Компания переносит приложения в AWS в несколько аккаунтов, управляемых с помощью AWS Organizations. Команде безопасности требуется единый вход (SSO) для всех аккаунтов, при этом необходимо продолжать управлять пользователями и группами в локальном самоуправляемом Microsoft Active Directory. Какое решение соответствует этим требованиям?

Правильный ответ — создание двустороннего доверия леса. AWS Single Sign-On (AWS SSO) позволяет централизованно управлять доступом к нескольким аккаунтам AWS. Для интеграции с существующим локальным Microsoft Active Directory требуется AWS Directory Service for Microsoft Active Directory. Двустороннее доверие леса позволяет AWS SSO аутентифицировать пользователей из локального AD и получать доступ к ресурсам в AWS, а локальному AD — доверять AWS Directory Service. Одностороннее доверие леса или домена недостаточно, так как оно не обеспечивает необходимой двунаправленной связи для полной интеграции. Использование только AWS Directory Service без AWS SSO не предоставляет централизованного SSO для нескольких аккаунтов. Развертывание локального IdP усложняет архитектуру и не является наиболее эффективным решением, когда AWS SSO предлагает прямую интеграцию.