Компания переносит приложения из локальной среды Microsoft Active Directory с самостоятельным управлением в AWS. Приложения работают в нескольких аккаунтах AWS, централизованно управляемых с помощью AWS Organizations. Команде безопасности требуется единый вход (single sign-on) для всех аккаунтов AWS, при этом пользователи и группы должны по-прежнему управляться в локальной Active Directory. Какое решение соответствует этим требованиям?

Правильный ответ — это наиболее эффективное решение для централизованного управления доступом. AWS IAM Identity Center (ранее AWS SSO) позволяет управлять доступом к нескольким аккаунтам AWS через AWS Organizations. Интеграция с существующей локальной Active Directory через двустороннее доверие лесов с помощью AWS Directory Service for Microsoft Active Directory позволяет использовать уже существующие учетные данные пользователей и групп. Создание Enterprise Edition Active Directory в AWS Directory Service for Microsoft Active Directory и настройка ее как источника идентификации для AWS IAM Identity Center не соответствует требованию использования существующей локальной Active Directory. Использование только AWS Directory Service и создание двусторонних доверительных отношений не обеспечивает централизованный единый вход для всех аккаунтов AWS через AWS Organizations. Развертывание IdP на Amazon EC2 добавляет ненужную сложность и не использует встроенные возможности AWS для интеграции с Active Directory.