Een bedrijf gebruikt on-premises ADFS met SSO voor toegang tot de AWS Management Console. Een oudere webapplicatie is gemigreerd naar een Amazon EC2-instantie en bevat geen ingebouwde authenticatie. Werknemers moeten de applicatie overal via internet kunnen benaderen, maar de toegang moet beperkt blijven tot alleen werknemers, zonder de applicatie aan te passen. Hoe moet een security engineer dit implementeren?

De correcte optie plaatst de applicatie achter een ALB en gebruikt Amazon Cognito voor authenticatie. Cognito kan worden geconfigureerd met SAML-federatie om te integreren met de bestaande on-premises ADFS, waardoor werknemers hun bestaande ADFS-gegevens kunnen gebruiken zonder de applicatie aan te passen. De ALB handelt de authenticatie af voordat verkeer de EC2-instantie bereikt. De optie met AWS IAM Identity Center is minder geschikt omdat het primair gericht is op toegang tot AWS-accounts en applicaties die geïntegreerd zijn met IAM Identity Center, niet direct op het beveiligen van een willekeurige webapplicatie op een EC2-instantie zonder aanpassingen. De optie met een Amazon Cognito identity pool en SDK vereist aanpassingen aan de applicatie om de SDK te integreren, wat in strijd is met de vereiste om de applicatie niet te wijzigen. De optie met een AWS Lambda custom authorizer en reverse proxy is complexer en vereist meer operationeel beheer dan de ALB/Cognito-oplossing, en biedt geen directe integratie met ADFS zonder verdere configuratie.