Компания использует локальную службу Active Directory для аутентификации и хочет, чтобы сотрудники входили во все учетные записи AWS в рамках AWS Organizations, используя одни и те же учетные данные. Site-to-Site VPN уже соединяет локальную сеть с каждой учетной записью AWS. Политика компании требует условного доступа на основе групп и ролей AD, и все пользовательские учетные данные должны управляться в одном месте. Какой подход удовлетворяет этим требованиям?

Правильный ответ — настройка AWS IAM Identity Center (AWS Single Sign-On) с федерацией Active Directory через SAML 2.0 и использованием SCIM v2.0 для автоматической синхронизации пользователей и групп. IAM Identity Center разработан для централизованного управления доступом к нескольким учетным записям AWS в Organizations, что соответствует требованию единого входа и управления учетными данными в одном месте. Использование SCIM обеспечивает автоматическую синхронизацию пользователей и групп из AD, а ABAC позволяет реализовать условный доступ на основе атрибутов AD, что соответствует политике компании. Неправильные варианты: Использование IAM Identity Center в качестве источника идентификации не позволяет федерацию с существующей Active Directory. Настройка IAM в одной учетной записи с поставщиком SAML 2.0 или OIDC требует ручного создания пользователей или ролей IAM в каждой учетной записи AWS, что не соответствует требованию централизованного управления и масштабируемости для AWS Organizations. Кроме того, это усложняет управление доступом на основе групп AD.