기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
Microsoft Active Directory와의 통합
Amazon WorkSpaces 애플리케이션 이미지 빌더 및 플릿을 Microsoft Active Directory와 통합할 수 있습니다. 이를 통해 사용자 인증, 권한 부여를 위한 중앙 집중식 방법을 제공하고 도메인에 조인된 WorkSpaces 애플리케이션 인스턴스에 Active Directory 그룹 정책을 적용할 수 있습니다. 도메인에 조인된 WorkSpaces 애플리케이션 플릿을 사용하면 온프레미스 환경에서도 동일한 관리상의 이점을 얻을 수 있습니다. 여기에는 네트워크 파일 공유, 사용자-앱 사용 권한, 로밍 프로필, 프린터 액세스 및 기타 정책 기반 설정에 대한 중앙 집중식 관리가 포함됩니다.
WorkSpaces 애플리케이션 환경을 Active Directory와 통합할 때 WorkSpaces 애플리케이션 스택에 대한 초기 인증은 여전히 SAML2.0 IdP에서 관리된다는 점에 유의해야 합니다. 사용자가 IdP에 성공적으로 인증된 후 세션을 시작할 때 Active Directory 도메인에 대한 도메인 암호 또는 스마트 카드 인증을 입력해야 합니다.
WorkSpaces 애플리케이션에서 사용할 Active Directory 도메인 서비스(ADDS) 환경을 설계할 때는 두 가지 서비스 옵션과 다양한 배포 시나리오를 사용할 수 있습니다. 또한 Active Directory 사이트 토폴로지 소유자와 함께 WorkSpaces 애플리케이션 네트워킹을 검토해야 합니다.
서비스 옵션
AWS 관리형 Microsoft Active Directory(AD)를 사용하여 Active Directory를 배포할 수도 있습니다. AWS 관리형 Microsoft AD는 Microsoft Active Directory를 실행할 수 있는 완전 관리형 서비스입니다. Microsoft Active Directory는 EC2 또는 온프레미스에서 실행되는 자체 호스팅 환경에서도 사용할 수 있습니다.
배포 시나리오
다음 배포 시나리오는 Microsoft Managed AD 또는 고객의 자체 관리형 Active Directory가 있는 WorkSpaces 애플리케이션에 일반적으로 사용되고 권장되는 통합 옵션입니다. 아래 나열된 모든 아키텍처 다이어그램은 핵심 Amazon 구조를 사용합니다.
-
Amazon Virtual Private Cloud(VPC) - 4개의 AZs에 분산된 최소 4개의 프라이빗 서브넷이 있는 WorkSpaces 애플리케이션 서비스 전용 Amazon VPC를 생성합니다. 프라이빗 서브넷 중 두 개는 WorkSpaces 애플리케이션 플릿과 이미지 빌더에 사용됩니다. 나머지 두 서브넷은 EC2 또는 Microsoft Managed AD의 도메인 컨트롤러에 사용됩니다.
-
동적 호스트 구성 프로토콜(DHCP) 옵션 세트 - VPC에 프로비저닝될 WorkSpaces 애플리케이션 플릿 및 이미지 빌더에 구성 정보를 전달하기 위한 표준을 제공합니다. DHCP 옵션 세트는 VPC 수준에서 정의됩니다. 이를 통해 고객은 프로비저닝 시 인스턴스화된 WorkSpaces 애플리케이션에 사용할 지정된 도메인 이름과 DNS 설정을 정의할 수 있습니다.
-
AWS 디렉터리 서비스 - Amazon Microsoft Managed AD는 WorkSpaces 애플리케이션 워크로드와 함께 사용할 두 개의 프라이빗 서브넷에 배포할 수 있습니다.
-
WorkSpaces 애플리케이션 플릿 - WorkSpaces 애플리케이션 플릿 또는 이미지 빌더는 AWS 관리형 VPC에서 호스팅됩니다. 각 WorkSpaces 애플리케이션 인스턴스에는 두 개의 탄력적 네트워크 인터페이스(ENI)가 있습니다. 기본 인터페이스(
eth0)는 관리 목적과 스트리밍 게이트웨이를 통한 최종 사용자 인스턴스 연결을 중개하는 데 사용됩니다. 보조 인터페이스(eth1)는 고객-VPC에 삽입되며 맞춤형 VPC 또는 온프레미스의 다른 리소스에 액세스하는 데 사용할 수 있습니다.
시나리오 1: 온프레미스에 배포된 ADDS(Active Directory Domain Services)
모든 인증 트래픽은 고객 VPC에서 고객 게이트웨이로 향하는 VPN 또는 Direct Connect 연결을 통과합니다. 이 시나리오의 장점은 고객 VPC에 추가 도메인 컨트롤러를 프로비저닝하지 않고도 이미 배포된 AD 환경을 사용할 수 있다는 점입니다. 단점은 WorkSpaces 애플리케이션 플릿에 대해 사용자를 인증하고 권한을 부여하기 위한 VPN 또는 Direct Connect에 대한 유일한 종속성입니다. 네트워크 연결 문제가 있는 경우 WorkSpaces 애플리케이션 플릿 또는 이미지 빌더가 직접 영향을 받습니다. 경로가 서로 다른 이중 VPN 터널 또는 Direct Connect 연결을 제공하면 이러한 잠재적 위험을 줄일 수 있습니다.
시나리오 1: 온프레미스에 배포된 ADDS(Active Directory Domain Services)
시나리오 2: ADDS(Active Domain Services)를 AWS 고객 VPC로 확장
Active Directory는 고객 VPC까지 확장됩니다. 고객 VPC의 새 도메인 컨트롤러를 위한 Active Directory 사이트를 만들어야 합니다. 인증 트래픽은 VPN 또는 Direct Connect 연결을 통과하는 대신 AWS 고객 VPC의 도메인 컨트롤러로 라우팅됩니다.
시나리오 2 - 활성 도메인 서비스를 AWS 고객 가상 프라이빗 클라우드로 확장
시나리오 3: AWS 관리형 Microsoft Active Directory
AWS 관리형 Microsoft AD는에 배포되며 WorkSpaces 애플리케이션 플릿 AWS 클라우드 및 이미지 빌더의 자격 증명 및 리소스 도메인으로 사용됩니다.
시나리오 3 - AWS 관리형 Active Directory
Active Directory 서비스 사이트 토폴로지
Active Directory 서비스 사이트 토폴로지는 물리적 네트워크를 논리적으로 표현한 것입니다.
사이트 토폴로지는 클라이언트 쿼리와 Active Directory 복제 트래픽을 효율적으로 라우팅하는 데 도움이 됩니다. 잘 설계되고 유지 관리되는 사이트 토폴로지는 조직에서 다음과 같은 이점을 얻는 데 도움이 됩니다.
-
온프레미스와 간에 동기화할 때 Active Directory 데이터 복제 비용을 최소화합니다 AWS 클라우드.
-
도메인 컨트롤러와 같은 가장 가까운 리소스를 찾을 수 있도록 클라이언트 컴퓨터의 기능을 최적화합니다. 이를 통해 느린 WAN(Wide Area Network) 링크를 통한 네트워크 트래픽을 줄이고 로그온 및 로그오프 프로세스를 개선하며 리소스 액세스 작업의 속도를 높일 수 있습니다.
WorkSpaces 애플리케이션 서비스를 도입할 때 WorkSpaces 애플리케이션 인스턴스의 서브넷에 사용되는 주소 범위가 환경에 맞는 올바른 사이트에 할당되었는지 확인합니다.
시나리오 1과 시나리오 2에서 사이트와 서비스는 로그온 시간과 Active Directory 리소스 액세스 시간 측면에서 최상의 사용자 경험을 위한 중요한 구성 요소입니다.
사이트 토폴로지는 동일한 사이트 내 및 사이트 경계 전반의 도메인 컨트롤러 간 Active Directory 복제를 제어합니다.
올바른 사이트 토폴로지를 정의하면 클라이언트 선호도가 보장됩니다. 즉, 클라이언트(이 경우 WorkSpaces 애플리케이션 스트리밍 인스턴스)는 선호하는 로컬 도메인 컨트롤러를 사용합니다.
Active Directory 사이트 및 서비스의 AD 다이어그램 — 클라이언트 유사성
작은 정보
온프레미스 AD DS와 AWS 클라우드 간의 사이트 링크에 대한 높은 비용을 정의하는 것이 가장 좋습니다. 위 그림은 사이트 독립적인 클라이언트 유사성을 보장하기 위해 사이트 링크에 할당해야 하는 비용(비용 100)의 예입니다.
사이트 토폴로지에 대한 자세한 내용은 사이트 토폴로지 설계
Active Directory 조직 단위
AWS는 단일 WorkSpaces Applications Directory Config 객체에 구성된 조직 단위(OUs)를 저장할 것을 권장합니다. 각 WorkSpaces 애플리케이션 스택에 자체 OU가 있는 것이 모범 사례입니다. 이를 통해 스택당 특정 GPO를 유연하게 보유할 수 있습니다. WorkSpaces 애플리케이션별 정책을 온프레미스 데스크톱과 섞지 않도록 OUs가 WorkSpaces 애플리케이션 컴퓨터 객체 전용인지 확인합니다. WorkSpaces 애플리케이션을 배포하는 각에 대해 하위 OUs를 사용하는 AWS 리전 것이 좋습니다.
Active Directory 컴퓨터 객체 정리
WorkSpaces 애플리케이션 인스턴스는 임시 인스턴스입니다. 플릿이 스케일 아웃 및 스케일 인할 때 플릿은 Active Directory 컴퓨터 객체를 만들고 재사용합니다.
AWS 에서는 WorkSpaces 애플리케이션 플릿을 제거한 후 존재할 수 있는 오래된 Active Directory 컴퓨터 객체를 삭제하는 AD 정리 프로세스를 생성할 것을 권장합니다.
