Büyük bir BT kuruluşu, şirket içi erişimi kontrol etmek için LDAP gruplarını kullanıyor ve herkese geniş erişim izni vermeden AWS'ye geçiş yapmak istiyor. Kullanıcıların mevcut LDAP kimlik bilgileriyle oturum açmasına ve işlevlerine göre farklı izinler vermesine olanak tanıyan en uygun yol nedir?

Doğru cevap, şirket içi LDAP'yi (SAML) IAM ile birleştirmek ve LDAP gruplarını farklı IAM rollerine eşlemektir. Bu yaklaşım, kullanıcıların mevcut LDAP kimlik bilgileriyle AWS'de oturum açmasını sağlar ve LDAP gruplarını kullanarak AWS kaynaklarına erişimlerini hassas bir şekilde kontrol etmenize olanak tanır. SAML 2.0, bu entegrasyon için endüstri standardı bir protokoldür. Diğer seçenekler şunlar için uygun değildir: AWS Directory Service Simple AD'yi dağıtmak ve LDAP dizinini kopyalamak, mevcut LDAP altyapısının karmaşıklığını ve yönetim yükünü artırır. LDAP gruplarını okuyan ve IAM kullanıcılarını/politikalarını sağlayan bir Lambda oluşturmak, manuel bir çözüm olup ölçeklenebilirlik ve bakım zorlukları yaratabilir. CloudFormation kullanarak IAM rolleri oluşturmak ve Direct Connect dağıtmak, LDAP entegrasyonu için doğrudan bir çözüm sunmaz; Direct Connect, yalnızca ağ bağlantısını sağlar, kimlik doğrulamayı değil.