Bir şirket, AWS Yönetim Konsolu'na erişim için şirket içi ADFS'yi SSO ile kullanmaktadır. Eski bir web uygulaması bir Amazon EC2 instance'ına taşınmıştır ve yerleşik kimlik doğrulama içermemektedir. Çalışanların uygulamaya internet üzerinden her yerden erişmesi gerekmektedir, ancak erişim, uygulamayı değiştirmeden yalnızca çalışanlarla kısıtlanmalıdır. Bir güvenlik mühendisi bunu nasıl uygulamalıdır?

Doğru cevap, uygulamayı bir Application Load Balancer (ALB) arkasına yerleştirmek ve ALB üzerinde Amazon Cognito kimlik doğrulamasını yapılandırmaktır. Bir Cognito kullanıcı havuzu SAML federasyonu ile oluşturulur ve ADFS'ye bağlanır. Bu yaklaşım, mevcut ADFS kimlik bilgilerini kullanarak çalışanların uygulamaya güvenli bir şekilde erişmesini sağlar ve uygulama kodunda herhangi bir değişiklik yapmadan kimlik doğrulamasını ALB katmanına devreder. AWS IAM Identity Center (AWS Single Sign-On) genellikle AWS hesaplarına ve uygulamalarına erişimi yönetmek için kullanılır, ancak doğrudan bir web uygulaması için kimlik doğrulama sağlamaz. Amazon Cognito kimlik havuzu ve SDK kullanımı, uygulama kodunda değişiklik gerektirir. AWS Lambda özel yetkilendiricisi ile ters proxy oluşturmak, daha karmaşık bir çözümdür ve ALB'nin yerleşik Cognito entegrasyonuna kıyasla daha fazla yönetim yükü getirir.