Крупная ИТ-организация использует группы LDAP для контроля доступа к локальным ресурсам и хочет перейти на AWS, не предоставляя всем широкий доступ. Какой наиболее подходящий способ разрешить пользователям входить в систему с существующими учетными данными LDAP, предоставляя при этом различные разрешения в зависимости от должностных обязанностей?

Федерация локального LDAP с IAM через SAML позволяет пользователям входить в AWS с существующими учетными данными LDAP. Сопоставление групп LDAP с различными ролями IAM обеспечивает детальный контроль разрешений в зависимости от должностных обязанностей, что является наиболее подходящим решением для крупных организаций. Развертывание AWS Directory Service Simple AD и репликация LDAP не являются оптимальными, так как Simple AD не поддерживает федерацию с существующими LDAP-каталогами напрямую для управления разрешениями таким образом. Создание Lambda для чтения групп LDAP и предоставления пользователей и политик IAM является сложным и менее безопасным решением по сравнению с федерацией. Использование CloudFormation и Direct Connect для запроса LDAP из AWS не обеспечивает федерацию или автоматическое сопоставление разрешений.