Q28. AWS SSO와 Active Directory 연동 중앙 집중식 계정 관리의 핵심

AWS 자격증을 준비하는 여러분, 안녕하세요. 오늘은 기업 환경에서 자주 마주치는 Single Sign-On(SSO) 구현에 대한 문제를 살펴보겠습니다. 특히 AWS Organizations를 사용하는 기업이 온프레미스 Active Directory와 AWS SSO를 연동하는 방법에 대해 알아보겠습니다.

문제 상황

Q28:
회사에서 애플리케이션을 AWS로 마이그레이션하고 있습니다. 응용 프로그램은 다른 계정에 배포됩니다. 회사는 AWS Organizations를 사용하여 중앙에서 계정을 관리합니다. 회사의 보안 팀은 회사의 모든 계정에 SSO(Single Sign-On) 솔루션이 필요합니다. 회사는 사내 자체 관리 Microsoft Active Directory에서 사용자 및 그룹을 계속 관리해야 합니다. 어떤 솔루션이 이러한 요구 사항을 충족합니까?

<small>A company is migrating its applications to AWS. The applications are deployed to different accounts. The company uses AWS Organizations to manage the accounts centrally. The company's security team needs an SSO (Single Sign-On) solution for all of the company's accounts. The company must continue to manage users and groups in its on-premises self-managed Microsoft Active Directory. Which solution meets these requirements?</small>

선택지

A. AWS SSO 콘솔에서 AWS Single Sign-On(AWS SSO)을 활성화합니다. 단방향 포리스트 트러스트 또는 단방향 도메인 트러스트를 생성하여 Microsoft Active Directory용 AWS Directory Service를 사용하여 회사의 자체 관리형 Microsoft Active Directory를 AWS SSO와 연결합니다.
<small>Enable AWS Single Sign-On (AWS SSO) from the AWS SSO console. Create a one-way forest trust or a one-way domain trust to connect the company's self-managed Microsoft Active Directory to AWS SSO by using AWS Directory Service for Microsoft Active Directory.</small>

B. AWS SSO 콘솔에서 AWS Single Sign-On(AWS SSO)을 활성화합니다. Microsoft Active Directory용 AWS Directory Service를 사용하여 회사의 자체 관리형 Microsoft Active Directory를 AWS SSO와 연결하는 양방향 포리스트 트러스트를 생성합니다.
<small>Enable AWS Single Sign-On (AWS SSO) from the AWS SSO console. Create a two-way forest trust to connect the company's self-managed Microsoft Active Directory to AWS SSO by using AWS Directory Service for Microsoft Active Directory.</small>

C. AWS 디렉터리 서비스를 사용합니다. 회사의 자체 관리 Microsoft Active Directory와 양방향 신뢰 관계를 만드십시오.
<small>Use AWS Directory Service. Create a two-way trust relationship with the company's self-managed Microsoft Active Directory.</small>

D. 온프레미스에 ID 공급자(IdP)를 배포합니다. AWS SSO 콘솔에서 AWS Single Sign-On(AWS SSO)을 활성화합니다.
<small>Deploy an identity provider (IdP) on premises. Enable AWS Single Sign-On (AWS SSO) from the AWS SSO console.</small>

정답 및 해설

정답은 B입니다.

AWS Single Sign-On(AWS SSO, 현재는 IAM Identity Center로 알려짐)은 여러 AWS 계정과 비즈니스 애플리케이션에 대한 액세스를 중앙에서 관리할 수 있는 클라우드 SSO 서비스입니다. 이 서비스를 온프레미스 Active Directory와 연동하려면 AWS Directory Service for Microsoft Active Directory(AWS Managed Microsoft AD)를 사용해야 합니다.

양방향 포리스트 트러스트를 생성하는 것이 중요한 이유는 다음과 같습니다:

1. 완전한 통합: 양방향 트러스트를 통해 온프레미스 AD와 AWS Managed Microsoft AD 간에 완전한 통합이 가능합니다.
2. 원활한 인증: 사용자는 온프레미스 자격 증명을 사용하여 AWS 리소스에 원활하게 액세스할 수 있습니다.
3. 중앙 관리: 기존 온프레미스 AD에서 사용자와 그룹을 계속 관리할 수 있습니다.
4. AWS 서비스 호환성: Amazon Chime, Amazon Connect, AWS Management Console 등 여러 AWS 서비스는 양방향 트러스트를 요구합니다.

이 솔루션을 통해 회사는 기존 Active Directory 인프라를 유지하면서 AWS 환경에 대한 SSO를 구현할 수 있습니다.

오답 설명

A. 단방향 트러스트로는 충분하지 않습니다. AWS 관리 콘솔 및 여러 AWS 서비스에는 양방향 트러스트가 필요합니다.

C. 이 옵션은 AWS SSO(IAM Identity Center)를 명시적으로 언급하지 않아 요구사항을 완전히 충족하지 못합니다.

D. 온프레미스 IdP 배포는 기존 Active Directory 사용 요구사항과 맞지 않습니다.

결론

이 문제는 AWS 환경에서의 ID 관리와 SSO 구현의 중요성을 강조합니다. AWS SSO(IAM Identity Center)와 AWS Directory Service를 활용하여 온프레미스 Active Directory를 AWS 클라우드와 원활하게 통합할 수 있습니다. 양방향 트러스트 관계의 중요성을 이해하고, 다양한 AWS 서비스와의 호환성을 고려하는 것이 핵심입니다.

원본 문제 링크