Een bedrijf wil gebruikers toegang geven tot AWS-resources. Het bedrijf heeft 1.500 gebruikers en beheert hun toegang tot on-premises resources via Active Directory-gebruikersgroepen op het bedrijfsnetwerk. Het bedrijf wil niet dat gebruikers een andere identiteit moeten onderhouden om toegang te krijgen tot de resources. Een solutions architect moet het gebruikersbeheer voor AWS-resources regelen, terwijl de toegang tot de on-premises resources behouden blijft. Wat moet de solutions architect doen om aan deze vereisten te voldoen?

De juiste oplossing is het configureren van SAML 2.0-gebaseerde federatie. Dit stelt het bedrijf in staat om de bestaande Active Directory-gebruikersgroepen te gebruiken voor authenticatie en autorisatie in AWS, zonder dat gebruikers een aparte AWS-identiteit hoeven te beheren. Door rollen met de juiste policies te creëren en deze toe te wijzen aan de Active Directory-groepen, krijgen gebruikers toegang tot AWS-resources op basis van hun bestaande groeps lidmaatschap. Het aanmaken van een IAM-gebruiker voor elke gebruiker (1.500 gebruikers) is onpraktisch en vereist dubbel identiteitsbeheer. Amazon Cognito is primair bedoeld voor mobiele en webapplicaties en is niet de meest geschikte oplossing voor het federeren van on-premises Active Directory-gebruikers voor toegang tot AWS-resources. Cross-account roles zijn bedoeld voor toegang tussen verschillende AWS-accounts, niet voor federatie met een on-premises identiteitsprovider.