Het bedrijf gebruikt een on-premises Active Directory voor authenticatie en wil dat werknemers zich met dezelfde identiteiten aanmelden bij alle AWS-accounts in een AWS Organizations-setup. Site-to-Site VPN verbindt het on-premises netwerk al met elk AWS-account. Het bedrijfsbeleid vereist voorwaardelijke toegang op basis van AD-groepen en -rollen, en alle gebruikersidentiteiten moeten op één plek worden beheerd. Welke aanpak voldoet aan deze vereisten?

De correcte optie voldoet aan alle vereisten. AWS IAM Identity Center (voorheen AWS Single Sign-On) is ontworpen voor gecentraliseerd identiteitsbeheer binnen AWS Organizations. Federatie met Active Directory via SAML 2.0 maakt het gebruik van bestaande on-premises identiteiten mogelijk. SCIM 2.0 zorgt voor automatische synchronisatie van gebruikers en groepen, wat het beheer vereenvoudigt en de eis van één beheerde locatie ondersteunt. ABAC maakt gedetailleerde, voorwaardelijke toegang mogelijk op basis van AD-groepen en -rollen, zoals vereist. De andere opties zijn minder geschikt: IAM Identity Center gebruiken als identiteitsbron voldoet niet aan de eis om on-premises AD-identiteiten te gebruiken. Het configureren van een SAML 2.0 IdP in één AWS-account en het maken van IAM-gebruikers voor gefedereerde gebruikers is complex en schaalt niet goed voor meerdere accounts, en voldoet niet aan de eis van één beheerde locatie voor alle identiteiten. Het configureren van een OIDC IdP en het gebruik van IAM-rollen is ook complex en schaalt niet goed voor meerdere accounts en voldoet niet aan de eis van één beheerde locatie voor alle identiteiten.