本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
与 Microsoft Active Directory 集成
亚马逊 WorkSpaces 应用程序映像生成器和队列可以与微软 Active Directory 集成。这使您能够提供一种集中的用户身份验证和授权方法，并将 Active Directory 组策略 WorkSpaces 应用于加入域的应用程序实例。使用加入域的 WorkSpaces 应用程序队列具有与本地环境相同的管理优势。这包括集中管理网络文件共享、用户应用程序授权、漫游配置文件、打印机访问权限和其他基于策略的设置。
将 WorkSpaces 应用程序环境与 Active Directory 集成时，请务必注意， WorkSpaces 应用程序堆栈的初始身份验证仍由 SAML2.0 IdP 管理。用户成功通过 IdP 身份验证后，当用户启动会话时，他们必须输入 Active Directory 域的域密码或进行智能卡身份验证。
在设计用于 WorkSpaces 应用程序的 Active Directory 域服务 (ADDS) 环境时，有两个服务选项和许多部署方案可供选择。此外，请确保与您的 Active Directory 站点拓扑所有者一起审查 WorkSpaces 应用程序网络。
服务选项
活动目录也可以使用AWS 托管的 Microsoft 活动目录 (AD) 进行部署。 AWS Microsoft AD 是一项完全托管的服务，允许你运行微软 Active Directory。Microsoft Active Directory 也可以在自托管环境中使用，在 EC2 上或本地运行。
部署方案
以下列出的部署方案是带有 Microsoft 托管 AD 或客户自行管理的 Active Directory 的 WorkSpaces 应用程序的常用和推荐的集成选项。下面列出的所有架构图都使用 Amazon 的核心结构。
-
亚马逊虚拟私有云 (VPC) — 创建专 WorkSpaces 用于应用程序服务的亚马逊 VPC，其中至少有四个私有子网分布在四个可用区。其中两个私有子网用于 WorkSpaces 应用程序队列和映像生成器。其余两个子网用于 EC2 或托管的 Microsoft AD 上的域控制器。
-
动态主机配置协议 (DHCP) 选项集 — 提供将配置信息传递给将在 VPC 中置备的 WorkSpaces 应用程序队列和映像生成器的标准。DHCP 选项集是在 VPC 级别定义的。它使客户能够定义指定的域名和 DNS 设置，这些设置将在 WorkSpaces 应用程序实例化后使用。
-
AWS 目录服务 — Amazon Microsoft 托管 AD 可以部署到两个私有子网中，这些子网将与 WorkSpaces 应用程序工作负载配合使用。
-
WorkSpaces 应用程序队列 — WorkSpaces 应用程序队列或映像生成器托管在托管 AWS VPC 中。每个 WorkSpaces 应用程序实例都有两个弹性网络接口 (ENI)。主接口 (
eth0) 用于管理目的，并通过流网关代理最终用户与实例的连接。辅助接口 (eth1) 已接入客户 VPC，可用于访问定制 VPC 或本地的其他资源。
场景 1：本地部署的 Active Directory 域服务 (ADDS)
所有身份验证流量都会通过 VPN 或 Direct Connect 连接从客户 VPC 路由到客户网关。此场景的优势在于可以使用可能已经部署的 AD 环境，无需在客户 VPC 中配置其他域控制器。缺点是仅依赖 VPN 或 Direct Connect 来对 WorkSpaces 应用程序群的用户进行身份验证和授权。如果存在任何网络连接问题， WorkSpaces 应用程序群或映像生成器将受到直接影响。提供双 VPN 隧道或具有不同路径的 Direct Connect 连接可以降低这种潜在风险。
场景 1 — 本地部署的 Active Directory 域服务 (ADDS)
场景 2：将活动域服务 (ADDS) 扩展到 AWS 客户 VPC
Active Directory 已扩展到客户 VPC。应为客户 VPC 中的新域控制器创建 Active Directory 站点。身份验证流量将路由到 AWS 客户 VPC 中的域控制器，而不是通过 VPN 或 Direct Connect 连接。
场景 2 — 将活动域服务扩展到 AWS 客户的虚拟私有云
场景 3： AWS 微软活动目录托管
AWS 托管 Microsoft AD 部署在中，并用作 WorkSpaces 应用程序队列和映像生成器的身份和资源域。 AWS Cloud
场景 3- AWS 托管活动目录
Active Directory 服务站点拓扑
Active Directory 服务站点拓扑是物理网络的逻辑表示形式。
站点拓扑可以帮助您高效地路由客户端查询和 Active Directory 复制流量。精心设计和维护的站点拓扑可以帮助您的组织实现以下好处：
-
在本地和之间同步时，最大限度地降低复制 Active Directory 数据的成本。 AWS Cloud
-
可优化客户端计算机定位最近的资源（例如域控制器）的能力。这有助于减少缓慢广域网 (WAN) 链路的网络流量，改善登录和注销流程，并加快资源访问操作。
在引入 WorkSpaces 应用程序服务时，请确保将用于 WorkSpaces 应用程序实例子网的地址范围分配到适合您环境的正确站点。
对于场景 1 和场景 2，要获得登录时间和 Active Directory 资源访问时间方面的最佳用户体验，站点和服务是关键。
站点拓扑负责控制同一站点内和跨站点边界的域控制器之间的 Active Directory 复制。
定义正确的站点拓扑可确保客户端的亲和性，这意味着客户端（在本例中为 WorkSpaces 应用程序流式处理实例）使用其首选的本地域控制器。
Active Directory 站点和服务 — 客户端亲和性
提示
最好是能为本地 AD DS 和 AWS Cloud 之间的站点链接定义高昂的成本。上图举例说明了为确保独立于站点的客户端亲和性，您应该为站点链接分配多少成本（成本 100）。
有关站点拓扑的更多信息，请参阅设计站点拓扑
Active Directory 组织单位
AWS 建议将配置的组织单位 (OU) 存储在单个 A WorkSpaces pplications Directory Config 对象中。最佳做法是让每个 WorkSpaces 应用程序堆栈拥有自己的 OU。这样您就可以灵活地为每个堆栈设置特定的 GPO。确保 OU 专用于 WorkSpaces 应用程序计算机对象，以避免将 WorkSpaces Applications-specific 策略与本地桌面混用。考虑在其中部署 WorkSpaces 应用程序的每个子组织 AWS 区域 单位使用子 OU。
Active Directory 计算机对象清理
WorkSpaces 应用程序实例是短暂的。随着实例集扩展和缩减，实例集会创建并重复使用 Active Directory 计算机对象。
AWS 建议创建 AD 清理进程，以删除 WorkSpaces 应用程序队列后可能存在的陈旧 Active Directory 计算机对象。
