Q80 — AWS SAA-C03 第17章

第 80/89 問 | ← 第17章

Q1380. ある企業は、SAML 2.0 をサポートする Active Directory ベースの ID サービスを使用しています。この企業は、既存の認証ソリューションを活用して AWS Management Console にアクセスしたいと考えています。ソリューションアーキテクトは、フェデレーテッド認証を設定する必要があります。これらの要件を満たすソリューションはどれですか？

正解: D. AWS IAM Identity Center を構成して外部 IdP を使用します。ID プロバイダーから提供される SAML メタデータを指定します。

解説

要件を満たすソリューションを判断するため、各選択肢を検討します。要件は、「SAML 2.0 をサポートする既存の Active Directory ベースの ID サービスを活用し、AWS Management Console へのフェデレーテッド認証を実現すること」です。 選択肢 A：AWS Verified Access は、従来の VPN を必要とせずに AWS 上で実行されるアプリケーションへの安全なアクセスを提供するサービスであり、主にデバイスの状態やユーザーのアイデンティティなどの条件に基づくアプリケーションアクセス制御に焦点を当てています。AWS Management Console へのフェデレーテッド認証を実現するための標準的な手段ではなく、Verified Access 内で新しいトラストプロバイダーを作成して Active Directory IdP を接続する方法は、このユースケースには不適切です。よって、この選択肢は誤りです。 選択肢 B：Amazon Cognito は、Web・モバイルアプリケーション向けのユーザー認証・承認を主な目的とするサービスであり、ユーザープール（ユーザー管理）および ID プール（AWS リソースへのアクセス付与）で構成されます。外部 IdP との統合は可能ですが、AWS Management Console への直接的なフェデレーテッドアクセスを実現するには過剰な複雑さがあり、またその主な用途はアプリケーションレベルの認証であるため、この要件には不適切です。よって、この選択肢は誤りです。 選択肢 C：AWS Amplify は、スケーラブルな Web・モバイルアプリケーション構築のためのツールおよびサービス群であり、Amplify Auth を用いたカスタム認証バックエンドの構築や、EC2 上の Node.js アプリケーションによる LDAP 経由の連携などは、AWS Management Console へのフェデレーテッド認証という単純な要件に対して非標準かつ過剰に複雑なアプローチです。よりシンプルで標準的な方法が存在します。よって、この選択肢は誤りです。 選択肢 D：AWS IAM Identity Center（旧称：AWS Single Sign-On）は、AWS アカウントおよびビジネスアプリケーションへのシングルサインオン（SSO）アクセスを可能にするサービスであり、SAML 2.0 をサポートする外部 IdP（例：Active Directory）との統合を公式にサポートしています。AWS IAM Identity Center を外部 IdP と連携させ、ID プロバイダーから提供される SAML メタデータを登録することで、ユーザーは既存の Active Directory 資格情報を使用して AWS Management Console にアクセスできるようになります。これは、この要件を満たす標準的かつ正しい方法です。よって、この選択肢が正解です。 以上より、要件を満たすソリューションは選択肢 D です。