Компания размещает интранет-приложение на инстансах EC2 за балансировщиком нагрузки ALB. В настоящее время пользователи проходят аутентификацию по внутренней базе данных. Компания должна использовать существующий AWS Directory Service for Microsoft Active Directory, чтобы все пользователи каталога могли получить доступ к приложению. Какое решение удовлетворит это требование?

Правильный ответ — это настройка пула пользователей Amazon Cognito с федеративным поставщиком удостоверений, использующим AWS Directory Service for Microsoft Active Directory. Затем создается клиент приложения для пула пользователей, и правило прослушивателя ALB настраивается с действием authenticate-cognito, ссылающимся на этот пул пользователей и клиент приложения. Это позволяет ALB делегировать аутентификацию Cognito, которое, в свою очередь, использует существующий Active Directory, обеспечивая доступ всем пользователям каталога. Вариант с authenticate-oidc и новым клиентом приложения в каталоге неверен, так как AWS Directory Service for Microsoft Active Directory не является прямым провайдером OIDC для ALB. Вариант с IAM Identity Center и SAML 2.0 не подходит, поскольку ALB напрямую не интегрируется с IAM Identity Center для аутентификации пользователей приложения. Вариант с IAM Identity Center и authenticate-cognito неверен, так как IAM Identity Center не используется для федерации с Cognito таким образом.