Een bedrijf migreert applicaties naar AWS over meerdere accounts die worden beheerd met AWS Organizations. Het beveiligingsteam heeft single sign-on (SSO) nodig voor alle accounts, terwijl gebruikers en groepen in de on-premises zelfbeheerde Microsoft Active Directory blijven beheerd. Welke oplossing voldoet aan deze vereisten?

De correcte optie is het inschakelen van AWS Single Sign-On (AWS SSO) en het creëren van een two-way forest trust met de on-premises Microsoft Active Directory via AWS Directory Service for Microsoft Active Directory. AWS SSO is ontworpen voor gecentraliseerd identiteitsbeheer over meerdere AWS-accounts binnen AWS Organizations. Een two-way trust is essentieel omdat het AWS SSO toestaat om gebruikers en groepen te authenticeren vanuit de on-premises AD, terwijl de on-premises AD ook toegang kan krijgen tot resources in AWS indien nodig, wat een volledige integratie biedt. De optie met een one-way trust is incorrect omdat dit de functionaliteit van AWS SSO om gebruikers uit de on-premises AD te authenticeren beperkt. De optie die alleen AWS Directory Service noemt zonder AWS SSO, voldoet niet aan de vereiste van single sign-on voor alle accounts. De optie met een on-premises IdP is onnodig complex en niet de meest directe oplossing, aangezien AWS SSO direct kan integreren met de bestaande AD.