회사는 인증을 위해 온프레미스 Active Directory를 사용하며, 직원들이 AWS Organizations 설정의 모든 AWS 계정에 동일한 ID를 사용하여 로그인하기를 원합니다. Site-to-Site VPN은 이미 온프레미스 네트워크를 모든 AWS 계정에 연결하고 있습니다. 회사 정책은 AD 그룹 및 역할을 기반으로 하는 조건부 액세스를 요구하며, 모든 사용자 ID는 한 곳에서 관리되어야 합니다. 어떤 접근 방식이 이러한 요구 사항을 충족합니까?

정답은 AWS IAM Identity Center (AWS Single Sign-On)를 SAML 2.0을 사용하여 Active Directory에 페더레이션하고 SCIM v2.0으로 사용자 및 그룹을 자동 프로비저닝하는 것입니다. 이는 온프레미스 AD를 인증에 사용하고, 모든 AWS 계정에 동일한 ID로 로그인하며, AD 그룹 및 역할 기반 조건부 액세스를 요구하고, 모든 사용자 ID를 한 곳에서 관리해야 한다는 모든 요구 사항을 충족합니다. ABAC(속성 기반 액세스 제어)는 세분화된 권한 관리를 가능하게 합니다. 다른 옵션들은 다음 이유로 적합하지 않습니다: IAM Identity Center 자체를 ID 소스로 사용하는 것은 온프레미스 Active Directory를 인증에 사용하라는 요구 사항을 충족하지 않습니다. 단일 AWS 계정에서 IAM을 구성하고 교차 계정 IAM 사용자를 사용하는 것은 모든 AWS 계정에 걸쳐 단일 ID 관리를 복잡하게 만들고 확장성이 떨어집니다. 단일 AWS 계정에서 IAM을 구성하고 OIDC ID 공급자를 사용하는 것은 온프레미스 Active Directory와의 직접적인 통합을 제공하지 않으며, SAML 2.0이 AD 페더레이션에 더 일반적입니다.