Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
Integrasi dengan Microsoft Active Directory
Amazon WorkSpaces Applications Image Builders dan armada dapat diintegrasikan dengan Microsoft Active Directory. Ini memungkinkan Anda menyediakan metode terpusat untuk otentikasi pengguna, otorisasi, dan menerapkan kebijakan Grup Direktori Aktif ke instance Aplikasi yang bergabung dengan WorkSpaces domain. Menggunakan armada WorkSpaces Aplikasi yang digabungkan ke domain memberikan manfaat administratif yang sama dengan lingkungan lokal. Ini termasuk manajemen terpusat dari berbagi file jaringan, hak pengguna-aplikasi, profil roaming, akses printer, dan pengaturan berbasis kebijakan lainnya.
Saat mengintegrasikan lingkungan WorkSpaces Aplikasi dengan Active Directory, penting untuk dicatat bahwa otentikasi awal ke tumpukan WorkSpaces Aplikasi masih dikelola oleh SAML2.0 iDP. Setelah pengguna berhasil diautentikasi ke IDP, ketika pengguna meluncurkan sesi, mereka harus memasukkan kata sandi domain mereka atau otentikasi kartu pintar untuk domain Active Directory.
Saat merancang lingkungan Layanan Domain Direktori Aktif (ADDS) yang akan digunakan dengan WorkSpaces Aplikasi, ada dua opsi layanan dan banyak skenario penyebaran yang tersedia. Juga, pastikan bahwa jaringan WorkSpaces Aplikasi ditinjau dengan pemilik topologi situs Active Directory Anda.
Opsi layanan
Active Directory juga dapat digunakan menggunakan AWS Managed Microsoft Active Directory (AD). AWS Microsoft AD yang dikelola adalah layanan yang dikelola sepenuhnya yang memungkinkan Anda menjalankan Microsoft Active Directory. Microsoft Active Directory juga dapat digunakan di lingkungan yang dihosting sendiri, berjalan di EC2 atau lokal.
Skenario penyebaran
Skenario penerapan berikut yang tercantum adalah opsi integrasi yang umum digunakan dan direkomendasikan untuk WorkSpaces Aplikasi dengan Microsoft Managed AD atau Active Directory yang dikelola sendiri oleh pelanggan. Semua diagram arsitektur yang tercantum di bawah ini menggunakan konstruksi inti Amazon.
-
Amazon Virtual Private Cloud (VPC) - Pembuatan VPC Amazon yang didedikasikan untuk layanan WorkSpaces Aplikasi dengan setidaknya empat subnet pribadi yang tersebar di empat AZ. Dua subnet pribadi digunakan untuk armada WorkSpaces Aplikasi dan Pembuat Gambar. Dua subnet yang tersisa digunakan untuk pengontrol domain pada EC2 atau Microsoft Managed AD).
-
Set Opsi Dynamic Host Configuration Protocol (DHCP) - Menyediakan standar untuk meneruskan info konfigurasi ke armada WorkSpaces Aplikasi dan Pembuat Gambar yang akan disediakan di VPC. Set Opsi DHCP didefinisikan pada tingkat VPC. Hal ini memungkinkan pelanggan untuk menentukan nama domain tertentu dan pengaturan DNS yang akan digunakan dengan WorkSpaces Applications instance saat sedang disediakan.
-
AWS Layanan Direktori — Amazon Microsoft Managed AD dapat digunakan ke dalam dua subnet pribadi yang akan digunakan bersama dengan WorkSpaces beban kerja Aplikasi.
-
WorkSpaces Armada Aplikasi — Armada WorkSpaces Aplikasi atau Pembangun Gambar di-host di AWS VPC Terkelola. Setiap instance WorkSpaces Aplikasi memiliki dua Antarmuka Jaringan Elastis (ENI). Antarmuka utama (
eth0) digunakan untuk tujuan manajemen dan menengahi koneksi pengguna akhir ke instance melalui gateway streaming. Antarmuka sekunder (eth1) disuntikkan ke VPC pelanggan dan dapat digunakan untuk mengakses sumber daya lain di VPC atau lokal yang dipesan lebih dahulu.
Skenario 1: Layanan Domain Direktori Aktif (ADDS) diterapkan di lokasi
Semua lalu lintas otentikasi melintasi koneksi VPN atau Direct Connect dari VPC pelanggan ke gateway pelanggan. Keuntungan dari skenario ini adalah manfaat menggunakan lingkungan AD yang mungkin sudah diterapkan tanpa harus menyediakan pengontrol domain tambahan di VPC pelanggan. Kerugiannya adalah ketergantungan tunggal pada VPN atau Direct Connect untuk mengautentikasi dan mengotorisasi pengguna untuk armada Aplikasi. WorkSpaces Jika ada masalah konektivitas jaringan, armada WorkSpaces Aplikasi atau Pembuat Gambar akan terkena dampak langsung. Menyediakan terowongan VPN ganda atau koneksi Direct Connect dengan jalur yang berbeda mengurangi potensi risiko ini.
Skenario 1 — Layanan Domain Direktori Aktif (ADDS) digunakan di lokasi
Skenario 2: Perluas Layanan Domain Aktif (ADDS) ke AWS VPC pelanggan
Direktori Aktif diperluas ke VPC pelanggan Anda. Situs Direktori Aktif harus dibuat untuk pengontrol domain baru di VPC pelanggan. Lalu lintas otentikasi diarahkan ke pengontrol domain di AWS VPC pelanggan alih-alih melintasi koneksi VPN atau Direct Connect.
Skenario 2 — Memperluas Layanan Domain Aktif ke Cloud Pribadi Virtual AWS pelanggan
Skenario 3: AWS Direktori Aktif Microsoft yang Dikelola
AWS Microsoft AD yang dikelola digunakan di AWS Cloud dan digunakan sebagai domain identitas dan sumber daya untuk armada WorkSpaces Aplikasi dan Pembuat Gambar.
Skenario 3 - Direktori Aktif AWS Terkelola
Topologi Situs Active Directory Service
Topologi situs layanan Active Directory adalah representasi logis dari jaringan fisik Anda.
Topologi situs membantu Anda secara efisien merutekan kueri klien dan lalu lintas replikasi Direktori Aktif. Topologi situs yang dirancang dan dipelihara dengan baik membantu organisasi Anda mencapai manfaat berikut:
-
Minimalkan biaya replikasi data Active Directory saat menyinkronkan antara lokal dan. AWS Cloud
-
Optimalkan kemampuan komputer klien untuk menemukan sumber daya terdekat, seperti pengontrol domain. Ini membantu mengurangi lalu lintas jaringan melalui tautan jaringan area luas (WAN) yang lambat, meningkatkan proses logon dan logoff, dan mempercepat operasi akses sumber daya.
Saat memperkenalkan layanan WorkSpaces Aplikasi, pastikan rentang alamat yang digunakan untuk subnet instans WorkSpaces Aplikasi ditetapkan ke situs yang benar untuk lingkungan Anda.
Untuk Skenario 1 dan Skenario 2, situs dan layanan adalah komponen penting untuk pengalaman pengguna terbaik dalam hal waktu masuk, dan waktu untuk akses sumber daya Direktori Aktif.
Topologi situs mengontrol replikasi Direktori Aktif antara pengontrol domain dalam situs yang sama dan melintasi batas situs.
Mendefinisikan topologi situs yang benar memastikan afinitas klien, yang berarti bahwa klien (dalam hal ini, instance streaming WorkSpaces Aplikasi) menggunakan pengontrol domain lokal pilihan mereka.
Situs dan layanan Active Directory — afinitas klien
Tip
Sebagai praktik terbaik, tentukan biaya tinggi untuk tautan situs antara AD DS lokal dan AWS Cloud. Angka sebelumnya adalah contoh biaya yang harus Anda tetapkan ke tautan situs (biaya 100) untuk memastikan afinitas klien yang tidak bergantung pada situs.
Untuk informasi lebih lanjut tentang topologi situs, lihat Merancang Topologi Situs
Unit Organisasi Direktori Aktif
AWS merekomendasikan untuk menyimpan Unit Organisasi (OU) yang dikonfigurasi dalam satu objek WorkSpaces Applications Directory Config. Ini adalah praktik terbaik untuk setiap tumpukan WorkSpaces Aplikasi untuk memiliki OU sendiri. Ini memungkinkan Anda fleksibilitas untuk memiliki GPO spesifik per tumpukan. Pastikan bahwa OU didedikasikan untuk objek komputer WorkSpaces Aplikasi untuk menghindari pencampuran WorkSpaces Applications-specific kebijakan dengan desktop lokal. Pertimbangkan untuk menggunakan Sub-OUS untuk setiap WorkSpaces aplikasi yang Wilayah AWS Anda gunakan.
Pembersihan objek komputer Active Directory
WorkSpaces Contoh aplikasi bersifat fana. Armada membuat dan menggunakan kembali objek komputer Active Directory saat armada skala dan skala masuk.
AWS merekomendasikan untuk membuat proses pembersihan AD untuk menghapus objek komputer Active Directory basi yang dapat ada setelah armada WorkSpaces Aplikasi dihapus.
