Компания использует локальный ADFS с SSO для доступа к AWS Management Console. Устаревшее веб-приложение было перенесено на инстанс Amazon EC2 и не включает встроенную аутентификацию. Сотрудникам необходимо получать доступ к приложению из любой точки интернета, но доступ должен быть ограничен только сотрудниками, без изменения приложения. Как инженер по безопасности должен реализовать это?

Правильный ответ позволяет использовать существующую инфраструктуру ADFS для аутентификации сотрудников без изменения устаревшего приложения. Application Load Balancer (ALB) может выполнять аутентификацию пользователей перед перенаправлением трафика в приложение. Интеграция Amazon Cognito с ADFS через федерацию SAML позволяет ALB использовать ADFS в качестве источника удостоверений. Остальные варианты не подходят: AWS IAM Identity Center (AWS Single Sign-On) не предназначен для аутентификации доступа к отдельным приложениям в EC2 таким образом, как требуется, и не решает проблему устаревшего приложения. Создание пула удостоверений Amazon Cognito с коннектором к Active Directory и использованием SDK требует изменения приложения, что противоречит условию задачи. Создание пользовательского авторизатора AWS Lambda для обратного прокси-сервера на EC2 является избыточным и более сложным решением по сравнению с функциональностью ALB, а также не использует существующий ADFS напрямую для аутентификации.