Een bedrijf host een intranet-app op EC2-instances achter een ALB. Momenteel authenticeren gebruikers zich tegen een interne database. Het bedrijf moet een bestaande AWS Directory Service for Microsoft Active Directory gebruiken, zodat alle directory-gebruikers toegang hebben tot de app. Welke oplossing voldoet aan deze vereiste?

De correcte optie maakt gebruik van Amazon Cognito User Pools als een identiteitsprovider die integreert met AWS Directory Service for Microsoft Active Directory. Een ALB kan vervolgens rechtstreeks authenticeren tegen deze Cognito User Pool met behulp van de authenticate-cognito actie, wat een eenvoudige en schaalbare oplossing biedt voor het authenticeren van gebruikers uit de bestaande Active Directory. De andere opties zijn minder geschikt: Het direct configureren van OIDC op de ALB met Active Directory is complexer, aangezien Active Directory niet standaard een OIDC-provider is die direct door ALB wordt ondersteund zonder tussenkomst van een federatiedienst. Het toevoegen van de directory als een IAM identity provider en het gebruik van SAML 2.0 federation is mogelijk, maar de authenticate-oidc actie op de ALB is niet direct compatibel met een IAM SAML identity provider voor applicatieauthenticatie op deze manier. AWS IAM Identity Center (SSO) is meer gericht op het beheren van toegang tot AWS-accounts en applicaties, niet primair op het authenticeren van gebruikers voor een applicatie achter een ALB via de authenticate-cognito actie.