Een bedrijf migreert applicaties van een zelfbeheerde on-premises Microsoft Active Directory naar AWS. De applicaties draaien in meerdere AWS-accounts die centraal worden beheerd met AWS Organizations. Het beveiligingsteam heeft single sign-on nodig voor alle AWS-accounts, terwijl gebruikers en groepen in de on-premises Active Directory blijven worden beheerd. Welke oplossing voldoet aan deze vereisten?

Het inschakelen van AWS IAM Identity Center (voorheen AWS SSO) en het configureren van een two-way forest trust met de on-premises Active Directory via AWS Directory Service for Microsoft Active Directory is de juiste oplossing. IAM Identity Center biedt single sign-on voor alle AWS-accounts binnen AWS Organizations en integreert naadloos met een bestaande Active Directory via een trustrelatie, waardoor gebruikers en groepen on-premises beheerd kunnen blijven. De optie om een Enterprise Edition Active Directory in AWS te maken en deze als identiteitsbron te configureren, zou betekenen dat gebruikers en groepen naar AWS moeten worden gemigreerd, wat indruist tegen de vereiste om ze on-premises te beheren. Het gebruik van alleen AWS Directory Service en een two-way trust, zonder IAM Identity Center, biedt geen single sign-on voor alle AWS-accounts binnen Organizations. Het implementeren van een IdP op Amazon EC2 is een complexere, handmatige oplossing die niet de native integratie en eenvoud van IAM Identity Center biedt.