Duża organizacja IT używa grup LDAP do kontrolowania dostępu w środowisku lokalnym i chce migrować do AWS bez nadawania wszystkim szerokiego dostępu. Jaki jest najbardziej odpowiedni sposób, aby umożliwić użytkownikom logowanie się przy użyciu istniejących poświadczeń LDAP, jednocześnie nadając różne uprawnienia w zależności od funkcji pracy?

Federacja lokalnego LDAP z AWS IAM za pomocą SAML jest najbardziej odpowiednim rozwiązaniem. Umożliwia użytkownikom logowanie się przy użyciu istniejących poświadczeń LDAP, co jest kluczowe dla organizacji. Mapowanie grup LDAP do ról IAM pozwala na precyzyjne przypisywanie uprawnień w AWS na podstawie funkcji pracy, bez konieczności migracji użytkowników czy replikacji całego katalogu. Pozostałe opcje są mniej odpowiednie: AWS Directory Service Simple AD nie obsługuje bezpośredniej replikacji z istniejącego LDAP i jest uproszczoną usługą, która może nie spełniać wymagań dużej organizacji. Budowanie Lambdy do automatycznego udostępniania użytkowników i polityk IAM jest złożonym i kosztownym rozwiązaniem, które wymagałoby ciągłej synchronizacji i zarządzania. Użycie CloudFormation do tworzenia ról IAM i Direct Connect do zapytań LDAP nie zapewnia mechanizmu logowania użytkowników do AWS przy użyciu poświadczeń LDAP ani mapowania grup do ról w sposób dynamiczny.