As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Integração com o Microsoft Active Directory
Os Amazon WorkSpaces Applications Image Builders e frotas podem ser integrados ao Microsoft Active Directory. Isso permite que você forneça um método centralizado para autenticação e autorização de usuários e aplique políticas de grupo do Active Directory a instâncias de WorkSpaces aplicativos associadas ao domínio. O uso de frotas de WorkSpaces aplicativos unidas a um domínio oferece os mesmos benefícios administrativos de um ambiente local. Isso inclui gerenciamento centralizado de compartilhamentos de arquivos de rede, direitos de aplicativos de usuário, perfis de roaming, acesso à impressora e outras configurações com base em políticas.
Ao integrar um ambiente de WorkSpaces aplicativos com o Active Directory, é importante observar que a autenticação inicial na pilha de WorkSpaces aplicativos ainda é gerenciada por um SAML2.0 IdP. Depois que o usuário for autenticado com êxito no IdP, ao iniciar uma sessão, ele deverá inserir a senha do domínio ou uma autenticação por cartão inteligente para o domínio do Active Directory.
Ao projetar o ambiente dos Serviços de Domínio do Active Directory (ADDS) que será usado com WorkSpaces aplicativos, há duas opções de serviço e muitos cenários de implantação disponíveis. Além disso, certifique-se de que a rede de WorkSpaces aplicativos seja analisada com o proprietário da topologia do site do Active Directory.
Opções de serviço
O Active Directory também pode ser implantado usando o Microsoft Active Directory (AD)AWS gerenciado. AWS O Microsoft AD gerenciado é um serviço totalmente gerenciado que permite executar o Microsoft Active Directory. Ele também pode ser usado em um ambiente com hospedagem automática, executado no EC2 ou no local.
Cenários de implantação
Os cenários de implantação a seguir listados são opções de integração comumente usadas e recomendadas para WorkSpaces aplicativos com o Microsoft Managed AD ou o Active Directory autogerenciado de um cliente. Todos os diagramas de arquitetura listados abaixo usam as principais estruturas da Amazon.
-
Amazon Virtual Private Cloud (VPC) — Criação de uma Amazon VPC dedicada a serviços de WorkSpaces aplicativos com pelo menos quatro sub-redes privadas espalhadas por quatro AZs. Duas das sub-redes privadas são usadas para frotas de WorkSpaces aplicativos e construtores de imagens. As duas sub-redes restantes são usadas para os controladores de domínio no EC2 ou no Microsoft Managed AD.
-
Conjunto de opções do Dynamic Host Configuration Protocol (DHCP) — Fornece um padrão para transmitir informações de configuração para a frota de WorkSpaces aplicativos e os criadores de imagens que serão provisionados na VPC. O conjunto de opções do DHCP é definido no nível da VPC. Ele permite que os clientes definam um nome de domínio e configurações de DNS específicos que serão usados com os WorkSpaces aplicativos instanciados ao serem provisionados.
-
AWS Serviços de diretório — O Amazon Microsoft Managed AD pode ser implantado em duas sub-redes privadas que serão usadas em conjunto com cargas de trabalho de aplicativos. WorkSpaces
-
WorkSpaces Frotas de aplicativos — As frotas de WorkSpaces aplicativos ou construtores de imagens são hospedadas na VPC gerenciada AWS . Cada instância de WorkSpaces aplicativos tem duas interfaces de rede elásticas (ENI). A interface primária (
eth0) é usada para fins de gerenciamento e intermediação da conexão do usuário final com a instância por meio do gateway de streaming. A interface secundária (eth1) é injetada na VPC do cliente e pode ser usada para acessar outros recursos na VPC personalizada ou no local.
Cenário 1: Serviços de Domínio do Active Directory (ADDS) implantados no local
Todo o tráfego de autenticação atravessa a conexão VPN ou Direct Connect da VPC do cliente até o gateway do cliente. A vantagem desse cenário é usar um ambiente do AD possivelmente já implantado sem precisar provisionar controladores de domínio adicionais na VPC do cliente. A desvantagem é a dependência exclusiva da VPN ou do Direct Connect para autenticar e autorizar usuários para a frota de aplicativos. WorkSpaces Se houver algum problema de conectividade de rede, a frota de WorkSpaces aplicativos ou os Image Builders serão diretamente afetados. Os túneis de VPN duplos ou conexões Direct Connect com caminhos diferentes reduzem esse risco potencial.
Cenário 1: Serviços de Domínio do Active Directory (ADDS) implantados no local
Cenário 2: Estender os Serviços de Domínio Ativo (ADDS) para AWS VPC do cliente
O Active Directory é estendido à VPC do cliente. Um site do Active Directory deve ser criado para os novos controladores de domínio na VPC do cliente. O tráfego de autenticação é roteado para os controladores de domínio na AWS VPC do cliente em vez de atravessar a conexão VPN ou Direct Connect.
Cenário 2 — Estenda os serviços do Active Domain à nuvem privada virtual AWS do cliente
Cenário 3: AWS Microsoft Active Directory gerenciado
AWS O Microsoft AD gerenciado é implantado no Nuvem AWS e é usado como domínio de identidade e recurso para as frotas de WorkSpaces aplicativos e os Image Builders.
Cenário 3 — Active Directory AWS gerenciado
Topologia do site do serviço do Active Directory
A topologia do site de serviços do Active Directory é uma representação lógica da sua rede física.
A topologia do site ajuda você a rotear com eficiência as consultas do cliente e o tráfego de replicação do Active Directory. Com uma topologia do site bem projetada e mantida, a organização pode obter os seguintes benefícios:
-
Minimize o custo da replicação de dados do Active Directory ao sincronizar entre locais e. Nuvem AWS
-
Otimize a capacidade dos computadores clientes de localizar os recursos mais próximos, como controladores de domínio. Isso ajuda a reduzir o tráfego de rede em links lentos de rede de longa distância (WAN), melhorar os processos de logon e logoff, além de acelerar as operações de acesso a recursos.
Ao introduzir os serviços de WorkSpaces aplicativos, certifique-se de que os intervalos de endereços usados nas sub-redes das instâncias de WorkSpaces aplicativos estejam atribuídos ao site correto para seu ambiente.
Para os cenários 1 e 2, sites e serviços são componentes essenciais para a melhor experiência do usuário em termos de horários de logon e tempo de acesso aos recursos do Active Directory.
A topologia do site controla a replicação do Active Directory entre os controladores de domínio dentro do mesmo site e entre limites do site.
Definir a topologia correta do site garante a afinidade com o cliente, o que significa que os clientes (nesse caso, instâncias de streaming de WorkSpaces aplicativos) usam seu controlador de domínio local preferido.
Sites e serviços do Active Directory: afinidade com o cliente
dica
Como prática recomendada, defina o alto custo dos links de sites entre o AD DS local e a Nuvem AWS. A figura anterior é um exemplo de quais custos você deve atribuir aos links do site (custo 100) para garantir a afinidade com o cliente de modo independente do site.
Para obter mais informações sobre a topologia do site, consulte Como projetar a topologia do site
Unidades organizacionais do Active Directory
A AWS recomenda armazenar as unidades organizacionais (OUs) configuradas em um único objeto do WorkSpaces Applications Directory Config. É uma prática recomendada que cada pilha de WorkSpaces aplicativos tenha sua própria OU. Isso permite a flexibilidade de ter GPOs específicos por pilha. Certifique-se de que as OUs sejam dedicadas aos objetos de computador de WorkSpaces aplicativos para evitar misturar WorkSpaces Applications-specific políticas com desktops locais. Considere o uso de Sub-OUs para cada WorkSpaces aplicativo em Região da AWS que você implanta.
Limpeza de objetos no computador do Active Directory
WorkSpaces As instâncias dos aplicativos são efêmeras. Uma frota cria e reutiliza objetos de computador do Active Directory à medida que as frotas aumentam e reduzem a escala horizontalmente.
AWS recomenda criar um processo de limpeza do AD para excluir objetos de computador obsoletos do Active Directory que possam existir após a remoção de uma frota de WorkSpaces aplicativos.
