SAA-C03 練習問題 9

ある企業がアプリケーションを AWS に移行しています。これらのアプリケーションは複数の異なるアカウントにデプロイされています。同社は AWS Organizations を使用してアカウントを一元管理しています。同社のセキュリティチームは、すべてのアカウントにまたがるシングルサインオン（SSO）ソリューションを必要としています。同社は引き続き、オンプレミスの自己管理型 Microsoft Active Directory でユーザーとグループを管理しなければなりません。 これらの要件を満たすソリューションはどれですか？

【正解】B

【0からの解説】
AWS SSO（現 AWS IAM Identity Center）は、AWS Organizations 配下の複数アカウントへのシングルサインオンを実現するサービスです。本問では「オンプレミスの自己管理型 AD で引き続きユーザー／グループを管理する」ことが条件です。

この場合、AWS Directory Service for Microsoft Active Directory（AWS Managed Microsoft AD）をオンプレミス AD と「信頼関係」で接続し、その AWS Managed Microsoft AD を AWS SSO の ID ソースとして使用します。AWS SSO がオンプレミス AD のユーザーを認証・参照できるようにするには、AWS Managed Microsoft AD とオンプレミス AD の間に「双方向のフォレスト信頼」が必要です。これにより、ユーザー管理はオンプレミスのまま、AWS 側の全アカウントへ SSO できます。

【誤りの選択肢】
A：一方向の信頼では、AWS SSO がオンプレミス AD のユーザーを認証する際に必要な双方向の信頼関係が成立しません。AWS Managed Microsoft AD と AWS SSO の連携には双方向フォレスト信頼が要件です。
C：「AWS Directory Service を使用する」だけでは AWS SSO による複数アカウント横断の SSO を有効化する手順が示されておらず、要件（Organizations 全体への SSO）を満たす構成として不完全です。
D：オンプレミスに別途 IdP を立てる構成は運用が複雑になり、また「自己管理型 AD でユーザー管理を継続する」という要件に対し、AD と AWS SSO を直接信頼で結ぶ B の方が適切かつ要件に合致します。

【参考】
AWS IAM Identity Center（旧 AWS SSO）とは
Active Directory を ID ソースとして接続する