Active Directory 마이그레이션 - AWS 권장 가이드
평가동원마이그레이션

Active Directory 마이그레이션

Active Directory는 많은 기업 환경을 위한 일반적인 ID 및 액세스 관리 솔루션입니다. DNS, 사용자 및 시스템 관리가 결합되어 있는 Active Directory는 Microsoft 및 Linux 워크로드 모두에서 중앙 집중식 사용자 인증을 위한 이상적인 선택입니다. 클라우드나 AWS로의 여정을 계획할 때는 Active Directory를 AWS로 확장할지 아니면 관리형 서비스를 사용하여 디렉터리 서비스 인프라 관리 부담을 덜어줄지 선택해야 합니다. 조직에 적합한 접근 방식을 결정할 때는 각 옵션의 위험과 이점을 파악하는 것이 좋습니다.

Active Directory 마이그레이션을 위한 올바른 전략은 조직의 요구 사항에 맞고 AWS 클라우드를 활용할 수 있는 방법입니다. 여기에는 디렉터리 서비스 자체뿐만 아니라 다른 AWS 서비스와 상호 작용하는 방식도 고려하는 작업이 포함됩니다. 또한 Active Directory를 관리하는 팀의 장기적인 목표를 고려해야 합니다.

Active Directory 마이그레이션 외에도 Active Directory가 위치할 계정 구조, AWS 계정의 네트워크 토폴로지, Active Directory가 필요하며 사용할 계획인 DNS 통합 및 기타 잠재적 AWS 서비스를 결정해야 합니다. 계정 토폴로지 설계 및 기타 마이그레이션 전략 고려 사항에 대한 자세한 내용은 이 가이드의 기본 모범 사례 섹션을 참조하세요.

평가

마이그레이션을 성공적으로 구현하려면 기존 인프라를 평가하고 환경에 필요한 주요 기능을 이해하는 것이 중요합니다. 마이그레이션 방법을 선택하기 전에 다음 영역을 검토하는 것이 좋습니다.

  • 기존 AWS 인프라 설계 검토 - 이 가이드의 Windows 환경 검색 섹션에 나와 있는 지침에 따라 기존 Active Directory 인프라의 설치 공간 및 인프라 요구 사항을 아직 모르는 경우 평가 방법을 사용하여 검토할 수 있습니다. AWS의 Active Directory 인프라에 대해 Microsoft에서 규정한 크기 조정을 사용하는 것이 좋습니다. Active Directory 인프라를 AWS로 확장하는 경우 AWS에서 Active Directory 인증 공간 중 일부만 필요할 수 있습니다. 따라서 Active Directory 공간을 AWS로 완전히 옮기지 않는 한 환경을 과도하게 확장하지 않습니다. 자세한 내용은 Microsoft 설명서의 Active Directory 도메인 서비스에 대한 용량 계획을 참조하세요.

  • 기존 온프레미스 Active Directory 디자인 검토 - 온프레미스(자체 관리형) Active Directory의 현재 사용률을 검토합니다. Active Directory 환경을 AWS로 확장하는 경우 온프레미스 환경에 대한 확장으로도 AWS의 여러 도메인 컨트롤러에서 Active Directory를 실행하는 것이 좋습니다. 이는 다중 가용 영역에 인스턴스를 배포하여 잠재적인 장애에 대비하도록 설계하는 AWS Well-Architected Framework를 준수합니다.

  • 애플리케이션 및 네트워킹의 종속성 파악 - 가장 적합한 마이그레이션 전략을 선택하기 전에 조직에서 기능에 필요한 Active Directory의 모든 기능을 완전히 이해해야 합니다. 즉, 관리형 서비스와 셀프 호스팅 중에서 선택할 경우 각각의 옵션을 이해하는 것이 중요합니다. 어떤 마이그레이션이 적합한지 결정할 때 다음 사항을 고려하세요.

    • 액세스 요구 사항 - Active Directory를 제어하기 위한 액세스 요구 사항에 따라 적합한 마이그레이션 경로가 지정됩니다. 규정 준수를 위해 모든 유형의 에이전트를 설치하기 위해 Active Directory 도메인 컨트롤러에 대한 전체 액세스 권한이 필요한 경우 AWS Managed Microsoft AD는 적합한 솔루션이 아닐 수 있습니다. 대신 도메인 컨트롤러에서 AWS 계정 계정 내 Amazon Elastic Compute Cloud(Amazon EC2)로 Active Directory의 확장을 조사합니다.

    • 마이그레이션 일정 - 완료 날짜가 명확하지 않은 연장된 마이그레이션 타임라인이 있는 경우 클라우드 및 온프레미스 환경에서 인스턴스 관리를 위한 대책이 마련되어 있는지 확인합니다. 인증은 Microsoft 워크로드에서 관리 문제를 방지하기 위해 갖추어야 할 핵심 구성 요소입니다. 마이그레이션 초기에 Active Directory 이동 계획을 세우는 것이 좋습니다.

  • 백업 전략 - Active Directory 도메인 컨트롤러의 시스템 상태를 캡처하기 위해 기존 Windows 백업을 사용하는 경우 AWS에서 기존 백업 전략을 계속 사용할 수 있습니다. 또한 AWS는 인스턴스를 백업하는 데 도움이 되는 기술 옵션을 제공합니다. 예를 들어 Amazon Data Lifecycle Manager, AWS Backup 및 AWS Elastic Disaster Recovery는 Active Directory 도메인 컨트롤러를 백업하는 데 지원되는 기술입니다. 문제를 방지하려면 Active Directory의 복원에 의존하지 않는 것이 가장 좋습니다. 권장되는 모범 사례는 복원력이 뛰어난 아키텍처를 빌드하는 것이지만 복구가 필요한 경우 백업 방법을 마련하는 것이 중요합니다.

  • 재해 복구(DR) 요구 사항 - AWS로 Active Directory를 마이그레이션하는 경우 재해 발생 시 복원력을 갖추도록 설계해야 합니다. AWS로 기존 Active Directory를 이동하는 경우 보조 AWS 리전을 사용하고 AWS Transit Gateway를 사용하여 두 리전을 연결해 복제가 수행되도록 할 수 있습니다. 이것이 일반적으로 선호되는 방법입니다. 일부 조직은 신뢰성을 테스트하기 위해 며칠 동안 기본 사이트와 보조 사이트 간의 연결을 제공하는 격리된 환경에서 장애 조치 테스트에 대한 다양한 요구 사항을 가지고 있습니다. 이것이 조직의 요구 사항인 경우 Active Directory에서 브레인 분할 문제를 정리하는 데 시간이 걸릴 수 있습니다. DR 사이트를 장애 조치 환경으로 남겨두고 DR 전략을 격리하여 정기적으로 테스트해야 하는 액티브/패시브 구현으로 AWS Elastic Disaster Recovery를 사용할 수 있습니다. 조직의 목표 복구 시간(RTO) 및 목표 복구 시점(RPO) 요구 사항을 계획하는 것은 AWS로의 마이그레이션을 평가할 때 중요한 요소입니다. 구현을 검증하기 위한 테스트 및 장애 조치 계획과 함께 요구 사항을 정의했는지 확인합니다.

동원

조직 및 운영 요구 사항을 충족하는 적절한 전략은 AWS로 Active Directory를 마이그레이션하거나 확장하는 데 있어 중요한 요소입니다. AWS 서비스와 통합할 방법을 선택하는 것은 AWS를 도입하는 데 있어 매우 중요합니다. 비즈니스 요구 사항에 맞는 Active Directory 또는 AWS Managed Microsoft AD의 메서드 확장을 선택해야 합니다. Amazon Relational Database Service(Amazon RDS)와 같은 서비스에는 AWS Managed Microsoft AD 사용에 의존하는 몇 가지 기능이 있습니다. AWS 서비스 제한을 평가하여 Amazon EC2 및 AWS Managed Microsoft AD의 Active Directory에 대한 호환성 제약이 있는지 확인해야 합니다. 계획 프로세스의 일부로 다음과 같은 통합 지점을 고려하는 것이 좋습니다.

AWS에서 Active Directory를 사용하는 이유는 다음과 같습니다.

  • AWS 애플리케이션이 Active Directory와 연동되도록 지원

  • Active Directory를 사용하여 AWS Management 콘솔에 로그인

AWS 애플리케이션이 Active Directory와 연동되도록 지원

AWS Managed Microsoft AD 디렉터리를 사용하도록 AWS Client VPN, AWS Management 콘솔, AWS IAM Identity Center, Amazon Connect, Amazon FSx for Windows File Server, Amazon Quick Suite, Amazon RDS for SQL Server(Directory Service에서만 해당 가능), Amazon WorkMail, Amazon WorkSpaces와 같은 여러 AWS 애플리케이션 및 서비스를 활성화할 수 있습니다. 디렉터리에서 AWS 애플리케이션 또는 서비스를 활성화하면 사용자는 Active Directory 보안 인증을 사용하여 애플리케이션 또는 서비스에 액세스할 수 있습니다. 익숙한 Active Directory 관리 도구를 사용하면 Active Directory 그룹 정책 객체(GPO)를 적용하여 인스턴스를 AWS Managed Microsoft AD 디렉터리에 조인함으로써 Windows 또는 Linux용 Amazon EC2 인스턴스를 중앙에서 관리할 수 있습니다.

사용자는 자신의 Active Directory 보안 인증으로 인스턴스에 로그인할 수 있습니다. 따라서 개별 인스턴스 자격 증명을 사용하거나 프라이빗 키(PEM) 파일을 배포할 필요가 없습니다. 그로 인해 이미 사용 중인 Active Directory 사용자 관리 도구를 사용하여 사용자에게 액세스 권한을 즉시 부여하거나 취소하는 일이 더 간편해집니다.

Active Directory를 사용하여 AWS Management 콘솔에 로그인

AWS Managed Microsoft AD는 디렉터리 멤버에게 AWS Management 콘솔에 대한 액세스 권한을 부여할 수 있도록 지원합니다. 기본적으로 디렉터리 멤버는 AWS 리소스에 액세스할 수 있는 권한이 없습니다. 디렉터리 멤버에게 AWS Identity and Access Management(IAM) 역할을 할당하여 다양한 AWS 서비스 서비스 및 리소스에 대한 액세스 권한을 제공합니다. IAM 역할은 디렉터리 멤버가 보유하고 있는 서비스, 리소스, 액세스 수준을 정의합니다.

예를 들어 사용자가 자신의 Active Directory 자격 증명을 사용해 AWS Management 콘솔에 로그인하도록 활성화할 수 있습니다. 이렇게 하려면 디렉터리에서 AWS Management 콘솔을 애플리케이션으로 사용할 수 있게 활성화한 다음 Active Directory 사용자와 그룹을 IAM 역할에 할당해야 합니다. 사용자는 AWS Management 콘솔에 로그인할 때 AWS 리소스를 관리할 수 있는 IAM 역할을 갖습니다. 이로써 별도의 SAML 인프라를 구성 및 관리하지 않고도 사용자에게 AWS Management 콘솔에 액세스 권한을 손쉽게 부여할 수 있습니다. 자세한 내용은 AWS 보안 블로그의 How AWS IAM Identity Center Active Directory sync enhances AWS application experiences를 참조하세요. 디렉터리 또는 온프레미스 Active Directory의 사용자 계정에 액세스 권한을 부여할 수 있습니다. 이를 통해 사용자는 기존 사용자 계정에 직접 IAM 역할을 할당하여 AWS 리소스를 관리하도록 기존 자격 증명 및 권한으로 AWS Management 콘솔에 또는 AWS Command Line Interface(AWS CLI)를 통해 로그인할 수 있습니다.

디렉터리 멤버에게 콘솔 액세스 권한을 부여할 수 있으려면 디렉터리가 액세스 URL을 가지고 있어야 합니다. 디렉터리 세부 정보를 보고 액세스 URL을 얻는 방법에 대한 자세한 내용은 AWS Directory Service 설명서의 View directory information을 참조하세요. 액세스 URL을 생성하는 방법에 대한 자세한 내용은 Directory Service 설명서의 Creating an access URL을 참조하세요. IAM 역할을 생성하고 디렉터리 멤버에게 할당하는 방법에 대한 자세한 내용은 Directory Service 설명서의 Grant users and groups access to AWS resources를 참조하세요.

Active Directory에 대한 다음 마이그레이션 옵션을 고려하세요.

  • Active Directory 확장

  • AWS Managed Microsoft AD으로 마이그레이션

  • 신뢰를 사용하여 AWS Managed Microsoft AD에서 Active Directory 연결

  • Amazon Route 53와 Active Directory DNS 통합

Active Directory 확장

Active Directory 인프라가 이미 있고 이를 사용해 Active Directory 인식 워크로드를 AWS 클라우드로 마이그레이션하고 싶다면 AWS Managed Microsoft AD가 도움이 될 수 있습니다. 신뢰를 사용하여 AWS Managed Microsoft AD를 기존 Active Directory에 연결할 수 있습니다. 이로써 사용자, 그룹 또는 암호를 동기화하지 않고도 사용자는 온프레미스 Active Directory 보안 인증을 사용해 Active Directory 인식 및 AWS 애플리케이션에 액세스할 수 있습니다. 예를 들어 사용자는 기존 Active Directory 사용자 이름과 암호를 사용하여 AWS Management 콘솔 및 WorkSpaces에 로그인할 수 있습니다. 또한 AWS Managed Microsoft AD와 함께 SharePoint와 같은 Active Directory 인식 애플리케이션을 사용하는 경우, 로그인한 Windows 사용자는 자격 증명을 다시 입력할 필요 없이 이 애플리케이션에 액세스할 수 있습니다.

신뢰를 사용하는 것 외에도 AWS의 EC2 인스턴스에서 실행되도록 Active Directory를 배포하여 Active Directory를 확장할 수 있습니다. 직접 수행하거나 AWS와 협력하여 프로세스를 도울 수 있습니다. Active Directory를 AWS로 확장할 때는 서로 다른 가용 영역에 2개 이상의 도메인 컨트롤러를 배포하는 것이 좋습니다. AWS에 있는 사용자 및 컴퓨터 수에 따라 2개 이상의 도메인 컨트롤러를 배포해야 할 수도 있지만 복원성을 위해 권장하는 최소 수는 2개입니다. 또한 Active Directory Migration Toolkit(ADMT) 및 Password Export Server(PES)를 사용하여 Active Directory 인프라의 운영 부담 없이 온프레미스 Active Directory 도메인을 AWS로 마이그레이션할 수 있습니다. Active Directory Launch Wizard를 사용하여 AWS에 Active Directory를 배포할 수도 있습니다.

AWS Managed Microsoft AD으로 마이그레이션

AWS에서 Active Directory를 사용하기 위해 두 가지 메커니즘을 적용할 수 있습니다. 한 가지 방법은 AWS Managed Microsoft AD를 도입하여 Active Directory 객체를 AWS로 마이그레이션하는 것입니다. 여기에는 사용자, 컴퓨터, 그룹 정책 등이 포함됩니다. 두 번째 메커니즘은 모든 사용자와 객체를 내보낸 다음, Active Directory Migration Tool을 사용하여 사용자와 객체를 수동으로 가져오는 수동 접근 방식입니다.

AWS Managed Microsoft AD로 이동해야 하는 또 다른 이유가 있습니다.

여러 AWS 계정에서 AWS Managed Microsoft AD를 공유할 수 있습니다. 이를 통해 각 계정 및 각 Amazon Virtual Private Cloud(Amazon VPC)에 대한 디렉터리를 운영할 필요 없이 Amazon EC2와 같은 AWS 서비스를 관리할 수 있습니다. AWS 리전 내 모든 Amazon VPC와 모든 AWS 계정 계정의 디렉터리를 사용할 수 있습니다. 모든 계정과 VPC에서 단일 디렉터리로 디렉터리 인식 워크로드를 더 쉽게, 그리고 더 비용 효과적으로 관리할 수 있는 기능입니다. 예를 들어 이제 단일 AWS Managed Microsoft AD 디렉터리를 사용하여 여러 계정 및 VPC에 걸쳐 EC2 인스턴스에 배포된 Microsoft Windows 워크로드를 쉽게 관리할 수 있습니다. AWS Managed Microsoft AD 디렉터리를 다른 AWS 계정 계정과 공유하는 경우 Amazon EC2 콘솔이나 AWS Systems Manager를 사용하여 자신의 인스턴스를 계정과 AWS 리전 내 모든 Amazon VPC 인스턴스에서 원활하게 조인할 수 있습니다.

또한 수동으로 인스턴스를 도메인에 조인하거나 각 계정과 Amazon VPC의 디렉터리에 배포할 필요 없이, 신속하게 디렉터리 인식 워크로드를 EC2 인스턴스에 배포할 수 있습니다. 자세한 내용은 Directory Service 설명서의 Share your directory를 참조하세요. AWS Managed Microsoft AD 환경을 공유하려면 비용이 발생한다는 점에 유의하세요. Amazon VPC 피어 또는 Transit Gateway 피어를 사용하여 다른 네트워크 또는 계정에서 AWS Managed Microsoft AD 환경과 통신할 수 있으므로 공유가 필요하지 않을 수 있습니다. 디렉터리를 Amazon Aurora MySQL, Amazon Aurora PostgreSQL, Amazon FSx, Amazon RDS for MariaDB, Amazon RDS for MySQL, Amazon RDS for Oracle, Amazon RDS for PostgreSQL 및 Amazon RDS for SQL Server와 함께 사용하려는 경우 도메인을 공유해야 합니다.

AWS Managed Microsoft AD에서 신뢰 사용

기존 디렉터리의 사용자에게 AWS 리소스에 대한 액세스 권한을 부여하려면 AWS Managed Microsoft AD 구현에서 신뢰를 사용할 수 있습니다. AWS Managed Microsoft AD 환경 간에 신뢰를 생성하는 것도 가능합니다. 자세한 내용은 AWS 보안 블로그의 Everything you wanted to know about trusts with AWS Managed Microsoft AD 게시물을 참조하세요.

Amazon Route 53와 Active Directory DNS 통합

AWS로 마이그레이션할 때 Amazon Route 53 Resolver를 사용하여 DNS 이름으로 서버에 대한 액세스를 허용하는 방식으로 환경에 DNS를 통합할 수 있습니다. DHCP 옵션 세트를 수정하는 대신 Route 53 Resolver 엔드포인트를 사용하여 이 작업을 수행하는 것이 좋습니다. 이는 DHCP 옵션 세트를 수정하는 것보다 DNS 구성을 관리하기 위한 보다 중앙화된 접근 방식입니다. 또한 다양한 해석기 규칙을 활용할 수 있습니다. 자세한 내용은 네트워킹 및 콘텐츠 전달 블로그의 Integrating your Directory Service's DNS resolution with Amazon Route 53 Resolvers 게시물 및 AWS 권장 가이드 설명서의 다중 계정 AWS 환경에서 하이브리드 네트워크를 위한 DNS 확인 설정을 참조하세요.

마이그레이션

AWS로 마이그레이션을 시작할 때 마이그레이션에 도움이 되는 구성 및 도구 옵션을 고려해 보는 것이 좋습니다. 환경의 장기적인 보안 및 운영 측면을 고려하는 것도 중요합니다.

다음 옵션을 고려해보세요.

  • 클라우드 네이티브 보안

  • AWS로 Active Directory를 마이그레이션하는 도구

클라우드 네이티브 보안

  • Active Directory 컨트롤러에 대한 보안 그룹 구성 - AWS Managed Microsoft AD를 사용하는 경우 도메인 컨트롤러에는 도메인 컨트롤러에 대한 액세스를 제한하기 위한 VPC 보안 구성이 함께 제공됩니다. 일부 잠재적 사용 사례에 대한 액세스를 허용하도록 보안 그룹 규칙을 수정해야 할 수도 있습니다. 보안 그룹 구성에 대한 자세한 내용은 Directory Service 설명서의 Enhance your AWS Managed Microsoft AD network security configuration을 참조하세요. 사용자가 이러한 그룹을 수정하거나 다른 AWS 서비스에 사용하는 것을 허용하지 않는 것이 좋습니다. 다른 사용자가 이러한 그룹을 사용하도록 허용하면 사용자가 필요한 통신을 차단하도록 Active Directory 환경을 수정하는 경우 Active Directory 환경에 대한 서비스가 중단될 수 있습니다.

  • Active Directory 이벤트 로그를 위해 Amazon CloudWatch Logs와 통합 - AWS Managed Microsoft AD를 실행 중이거나 자체 관리형 Active Directory를 사용하는 경우 Amazon CloudWatch Logs를 활용하여 Active Directory 로깅을 중앙 집중화할 수 있습니다. CloudWatch Logs를 사용하여 인증, 보안 및 기타 로그를 CloudWatch에 복사할 수 있습니다. 이렇게 하면 한 곳에서 로그를 쉽게 검색할 수 있으며 일부 규정 준수 요구 사항을 충족하는 데 도움이 될 수 있습니다. 향후 사용자 환경에서 발생하는 인시던트에 더 잘 대응할 수 있도록 CloudWatch Logs와의 통합이 권장됩니다. 자세한 내용은 Directory Service 설명서의 Enabling Amazon CloudWatch Logs for AWS Managed Microsoft AD 및 AWS 지식 센터의 Windows Event Logs에 대한 Amazon CloudWatch Logs를 참조하세요.

AWS로 Active Directory를 마이그레이션하는 도구

마이그레이션을 수행하려면 Active Directory Migration Tool(ADMT)과 Password Export Server(PES)를 사용하는 것이 좋습니다. 이렇게 하면 사용자와 컴퓨터를 도메인 간에 쉽게 이동할 수 있습니다. PES를 사용하거나 관리형 Active Directory 도메인 간에 마이그레이션하는 경우 다음 고려 사항에 유의하세요.

  • 사용자, 그룹 및 컴퓨터를 위한 Active Directory Migration Tool(ADMT) - ADMT를 사용하여 자체 관리형 Active Directory에서 AWS Managed Microsoft AD로 사용자를 마이그레이션할 수 있습니다. 중요한 고려 사항은 마이그레이션 타임라인과 보안 식별자(SID) 기록의 중요성입니다. 마이그레이션 중 SID 기록이 이전되지 않습니다. SID 기록 지원이 꼭 필요한 경우 SID 기록을 유지 관리할 수 있도록 ADMT 대신 Amazon EC2에서 자체 관리형 Active Directory를 사용하는 것이 좋습니다.

  • Password Export Server(PES) – PES를 사용하여 암호를 AWS Managed Microsoft AD 내부로 마이그레이션할 수 있지만 외부로 마이그레이션할 수는 없습니다. 디렉터리에서 사용자와 암호를 마이그레이션하는 방법에 대한 자세한 내용은 AWS 보안 블로그의 How to migrate your on-premises domain to AWS Managed Microsoft AD using ADMT 및 Microsoft 설명서의 Password Export Server version 3.1 (x64)을 참조하세요.

  • LDIF - LDAP Data Interchange Format(LDIF)은 AWS Managed Microsoft AD 디렉터리의 스키마를 확장하는 데 사용되는 파일 형식입니다. LDIF 파일에는 디렉터리에 새 객체와 속성을 추가하는 데 필요한 정보가 들어 있습니다. 파일은 구문에 대한 LDAP 표준을 충족해야 하며 파일이 추가하는 각 객체에 대한 유효한 개체 정의를 포함해야 합니다. LDIF 파일을 생성한 후에는 파일을 디렉터리에 업로드하여 해당 스키마를 확장해야 합니다. LDIF 파일을 사용하여 AWS Managed Microsoft AD 디렉터리의 스키마를 확장하는 방법에 대한 자세한 내용은 Directory Service 설명서의 Extending the schema of AWS Managed Microsoft AD를 참조하세요.

  • CSVDE - 트러스트를 생성하고 ADMT를 사용하지 않고 디렉터리로 사용자를 내보내고 가져와야 하는 경우도 있습니다. 이상적이지는 않지만 Csvde(명령줄 도구)를 사용하여 도메인 간에 Active Directory 사용자를 마이그레이션할 수 있습니다. Csvde를 사용하려면 사용자 이름, 암호 및 그룹 멤버십과 같은 사용자 정보가 포함된 CSV 파일을 생성해야 합니다. 그런 다음 csvde 명령을 사용하여 사용자를 새 도메인으로 가져올 수 있습니다. 이 명령을 사용하여 소스 도메인에서 기존 사용자를 내보낼 수도 있습니다. 이는 SAMBA Domain Services 등의 다른 디렉터리 소스에서 Microsoft Active Directory로 마이그레이션하는 경우 유용할 수 있습니다. 자세한 내용은 AWS 보안 블로그의 How to Migrate Your Microsoft Active Directory Users to Simple AD or AWS Managed Microsoft AD를 참조하세요.

추가 리소스