Firma korzysta z lokalnego ADFS z SSO w celu uzyskania dostępu do konsoli zarządzania AWS. Starsza aplikacja internetowa została zmigrowana do instancji Amazon EC2 i nie zawiera wbudowanego uwierzytelniania. Pracownicy muszą mieć dostęp do aplikacji z dowolnego miejsca w Internecie, ale dostęp musi być ograniczony tylko do pracowników, bez modyfikowania aplikacji. Jak inżynier bezpieczeństwa powinien to zaimplementować?

Poprawna odpowiedź to umieszczenie aplikacji za Application Load Balancer (ALB) i skonfigurowanie uwierzytelniania Amazon Cognito na ALB, tworząc pulę użytkowników Cognito z federacją SAML połączoną z ADFS. To rozwiązanie pozwala na wykorzystanie istniejącego ADFS do uwierzytelniania pracowników, bez modyfikowania starszej aplikacji. ALB przejmuje odpowiedzialność za uwierzytelnianie, a Cognito działa jako pośrednik SAML, integrując się z ADFS. Pracownicy logują się za pośrednictwem ADFS, a ALB autoryzuje dostęp do aplikacji. Pozostałe opcje są mniej odpowiednie: Implementacja AWS IAM Identity Center (AWS Single Sign-On) jest dobrym rozwiązaniem do zarządzania dostępem do konsoli AWS, ale nie jest przeznaczona do bezpośredniego uwierzytelniania dostępu do aplikacji webowych EC2 w ten sposób. Tworzenie puli tożsamości Amazon Cognito i użycie SDK wymagałoby modyfikacji aplikacji, co jest sprzeczne z wymaganiem. Niestandardowy autoryzator AWS Lambda z odwrotnym proxy na EC2 jest zbyt złożonym rozwiązaniem, wymagającym znacznego nakładu pracy i utrzymania, podczas gdy ALB z Cognito oferuje gotowe rozwiązanie.