Een grote IT-organisatie gebruikt LDAP-groepen om on-premises toegang te beheren en wil migreren naar AWS zonder iedereen brede toegang te geven. Wat is de meest geschikte manier om gebruikers in te laten loggen met bestaande LDAP-referenties, terwijl verschillende permissies worden toegekend op basis van hun functie?

De meest geschikte methode is het federeren van de on-premises LDAP-directory met AWS IAM via SAML. Dit stelt gebruikers in staat om in te loggen met hun bestaande LDAP-referenties. Door LDAP-groepen te koppelen aan specifieke IAM-rollen, kunt u gedifferentieerde permissies toewijzen op basis van de functie van elke gebruiker, wat voldoet aan de eis om niet iedereen brede toegang te geven. Het implementeren van Simple AD en het repliceren van de directory is minder efficiënt en voegt complexiteit toe. Een Lambda-functie bouwen om IAM-gebruikers en -beleid te provisioneren is een handmatige en foutgevoelige aanpak. Het gebruik van CloudFormation en Direct Connect om LDAP te bevragen, biedt geen directe federatie voor inloggen en permissiebeheer op basis van groepen.