Firma hostuje aplikację intranetową na instancjach EC2 za ALB. Obecnie użytkownicy uwierzytelniają się w wewnętrznej bazie danych. Firma musi używać istniejącej usługi AWS Directory Service for Microsoft Active Directory, aby wszyscy użytkownicy katalogu mogli uzyskać dostęp do aplikacji. Które rozwiązanie spełni ten wymóg?

Poprawna odpowiedź to skonfigurowanie puli użytkowników Amazon Cognito z federacyjnym dostawcą tożsamości, który wykorzystuje metadane z Active Directory. Następnie należy utworzyć klienta aplikacji dla tej puli użytkowników i skonfigurować regułę odbiornika ALB, która używa akcji authenticate-cognito, odwołując się do puli użytkowników Cognito i klienta aplikacji. To rozwiązanie jest najbardziej efektywne, ponieważ Cognito User Pools natywnie integruje się z AWS Directory Service for Microsoft Active Directory poprzez federację, umożliwiając użytkownikom AD logowanie się do aplikacji. ALB ma wbudowaną akcję authenticate-cognito, która upraszcza integrację. Pozostałe opcje są mniej odpowiednie: Opcja z authenticate-oidc bezpośrednio z Active Directory jest możliwa, ale wymaga ręcznej konfiguracji OIDC, co jest bardziej złożone niż użycie Cognito. Opcja z dostawcą tożsamości IAM i federacją SAML 2.0 jest przeznaczona głównie do zarządzania dostępem do zasobów AWS, a nie do uwierzytelniania użytkowników aplikacji webowych przez ALB. Opcja z AWS IAM Identity Center (AWS Single Sign-On) również jest bardziej ukierunkowana na dostęp do kont i aplikacji AWS, a nie na bezpośrednie uwierzytelnianie użytkowników aplikacji za pośrednictwem ALB z użyciem authenticate-cognito, co w tym kontekście jest niepotrzebnym pośrednikiem.