Firma migruje aplikacje do AWS w wielu kontach zarządzanych za pomocą AWS Organizations. Zespół ds. bezpieczeństwa potrzebuje pojedynczego logowania (SSO) we wszystkich kontach, jednocześnie kontynuując zarządzanie użytkownikami i grupami w lokalnym, samodzielnie zarządzanym środowisku Microsoft Active Directory. Które rozwiązanie spełnia te wymagania?

Prawidłowa odpowiedź to włączenie AWS Single Sign-On (AWS SSO) i utworzenie dwukierunkowej relacji zaufania lasu. AWS SSO jest zaprojektowane do zarządzania dostępem do wielu kont AWS w ramach AWS Organizations. Aby zintegrować lokalne Microsoft Active Directory z AWS SSO, wymagane jest utworzenie instancji AWS Directory Service for Microsoft Active Directory (Managed Microsoft AD), która następnie nawiązuje dwukierunkową relację zaufania lasu z lokalnym AD. Pozwala to na uwierzytelnianie użytkowników z lokalnego AD w AWS SSO. Jednokierunkowa relacja zaufania lasu lub domeny nie zapewniłaby pełnej funkcjonalności wymaganej do uwierzytelniania użytkowników z lokalnego AD w AWS SSO. Samodzielne użycie AWS Directory Service bez AWS SSO nie zapewniłoby scentralizowanego SSO dla wielu kont. Wdrażanie dostawcy tożsamości (IdP) lokalnie jest niepotrzebne, ponieważ AWS SSO może bezpośrednio integrować się z Managed Microsoft AD.