本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 与 Microsoft Active Directory 集成
<a name="integration-with-microsoft-active-directory"></a>

 亚马逊 WorkSpaces 应用程序映像生成器和队列可以与微软 Active Directory 集成。这使您能够提供一种集中的用户身份验证和授权方法，并将 Active Directory 组策略 WorkSpaces 应用于加入域的应用程序实例。使用加入域的 WorkSpaces 应用程序队列具有与本地环境相同的管理优势。这包括集中管理网络文件共享、用户应用程序授权、漫游配置文件、打印机访问权限和其他基于策略的设置。

 将 WorkSpaces 应用程序环境与 Active Directory 集成时，请务必注意， WorkSpaces 应用程序堆栈的初始身份验证仍由 SAML2.0 IdP 管理。用户成功通过 IdP 身份验证后，当用户启动会话时，他们必须输入 Active Directory 域的域密码或进行智能卡身份验证。

 在设计用于 WorkSpaces 应用程序的 Active Directory 域服务 (ADDS) 环境时，有两个服务选项和许多部署方案可供选择。此外，请确保与您的 Active Directory 站点拓扑所有者一起审查 WorkSpaces 应用程序网络。

## 服务选项
<a name="service-options"></a>

 活动目录也可以使用[https://docs.aws.amazon.com/directoryservice/latest/admin-guide/directory_microsoft_ad.html](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/directory_microsoft_ad.html) (AD) 进行部署。 AWS Microsoft AD 是一项完全托管的服务，允许你运行微软 Active Directory。Microsoft Active Directory 也可以在自托管环境中使用，在 EC2 上或本地运行。

## 部署方案
<a name="deployment-scenarios"></a>

 以下列出的部署方案是带有 Microsoft 托管 AD 或客户自行管理的 Active Directory 的 WorkSpaces 应用程序的常用和推荐的集成选项。下面列出的所有架构图都使用 Amazon 的核心结构。
+  **亚马逊虚拟私有云 (VPC)** — 创建专 WorkSpaces 用于应用程序服务的亚马逊 VPC，其中至少有四个私有子网分布在四个可用区。其中两个私有子网用于 WorkSpaces 应用程序队列和映像生成器。其余两个子网用于 EC2 或托管的 Microsoft AD 上的域控制器。
+  **动态主机配置协议 (DHCP) 选项集** — 提供将配置信息传递给将在 VPC 中置备的 WorkSpaces 应用程序队列和映像生成器的标准。DHCP 选项集是在 VPC 级别定义的。它使客户能够定义指定的域名和 DNS 设置，这些设置将在 WorkSpaces 应用程序实例化后使用。
+  **AWS 目录服务** — Amazon Microsoft 托管 AD 可以部署到两个私有子网中，这些子网将与 WorkSpaces 应用程序工作负载配合使用。
+  **WorkSpaces 应用程序队列 — WorkSpaces 应用程序队列**或映像生成器托管在托管 AWS VPC 中。每个 WorkSpaces 应用程序实例都有两个弹性网络接口 (ENI)。主接口 (`eth0`) 用于管理目的，并通过流网关代理最终用户与实例的连接。辅助接口 (`eth1`) 已接入客户 VPC，可用于访问定制 VPC 或本地的其他资源。

### 场景 1：本地部署的 Active Directory 域服务 (ADDS)
<a name="scenario-1-active-directory-domain-services-adds-deployed-on--premises"></a>

 所有身份验证流量都会通过 VPN 或 Direct Connect 连接从客户 VPC 路由到客户网关。此场景的优势在于可以使用可能已经部署的 AD 环境，无需在客户 VPC 中配置其他域控制器。缺点是仅依赖 VPN 或 Direct Connect 来对 WorkSpaces 应用程序群的用户进行身份验证和授权。如果存在任何网络连接问题， WorkSpaces 应用程序群或映像生成器将受到直接影响。提供双 VPN 隧道或具有不同路径的 Direct Connect 连接可以降低这种潜在风险。

![本地部署的 Active Directory 域服务 (ADDS) 示意图](http://docs.aws.amazon.com/zh_cn/whitepapers/latest/best-practices-for-deploying-amazon-appstream-2/images/adds-on-premises.png)


 *场景 1 — 本地部署的 Active Directory 域服务 (ADDS)* 

### 场景 2：将活动域服务 (ADDS) 扩展到 AWS 客户 VPC
<a name="scenario-2-extend-active-domain-services-adds-into-aws-customer-vpc"></a>

 Active Directory 已扩展到客户 VPC。应为客户 VPC 中的新域控制器创建 Active Directory 站点。身份验证流量将路由到 AWS 客户 VPC 中的域控制器，而不是通过 VPN 或 Direct Connect 连接。

![显示将 Active Domain 服务扩展到 AWS 客户虚拟私有云的示意图](http://docs.aws.amazon.com/zh_cn/whitepapers/latest/best-practices-for-deploying-amazon-appstream-2/images/extend-active-domain.png)


 *场景 2 — 将活动域服务扩展到 AWS 客户的虚拟私有云* 

### 场景 3： AWS 微软活动目录托管
<a name="scenario-3-aws-managed-microsoft-active-directory"></a>

 AWS 托管 Microsoft AD 部署在中，并用作 WorkSpaces 应用程序队列和映像生成器的身份和资源域。 AWS Cloud 

![AWS 托管活动目录示意图](http://docs.aws.amazon.com/zh_cn/whitepapers/latest/best-practices-for-deploying-amazon-appstream-2/images/aws-managed-directory.png)


 *场景 3- AWS 托管活动目录* 

## Active Directory 服务站点拓扑
<a name="active-directory-service-site-topology"></a>

 Active Directory 服务站点拓扑是物理网络的逻辑表示形式。

 站点拓扑可以帮助您高效地路由客户端查询和 Active Directory 复制流量。精心设计和维护的站点拓扑可以帮助您的组织实现以下好处：
+  在本地和之间同步时，最大限度地降低复制 Active Directory 数据的成本。 AWS Cloud
+  可优化客户端计算机定位最近的资源（例如域控制器）的能力。这有助于减少缓慢广域网 (WAN) 链路的网络流量，改善登录和注销流程，并加快资源访问操作。

 在引入 WorkSpaces 应用程序服务时，请确保将用于 WorkSpaces 应用程序实例子网的地址范围分配到适合您环境的正确站点。

 对于场景 1 和场景 2，要获得登录时间和 Active Directory 资源访问时间方面的最佳用户体验，站点和服务是关键。

 站点拓扑负责控制同一站点内和跨站点边界的域控制器之间的 Active Directory 复制。

 定义正确的站点拓扑可确保客户端的亲和性，这意味着客户端（在本例中为 WorkSpaces 应用程序流式处理实例）使用其首选的本地域控制器。

![Active Directory 站点和服务示意图 — 客户端亲和性](http://docs.aws.amazon.com/zh_cn/whitepapers/latest/best-practices-for-deploying-amazon-appstream-2/images/active-directory-client-affinity.png)


 *Active Directory 站点和服务 — 客户端亲和性* 

**提示**  
 最好是能为本地 AD DS 和 AWS Cloud 之间的站点链接定义高昂的成本。上图举例说明了为确保独立于站点的客户端亲和性，您应该为站点链接分配多少成本（成本 100）。

 有关站点拓扑的更多信息，请参阅[https://docs.microsoft.com/en-us/windows-server/identity/ad-ds/plan/designing-the-site-topology](https://docs.microsoft.com/en-us/windows-server/identity/ad-ds/plan/designing-the-site-topology)。

## Active Directory 组织单位
<a name="active-directory-organizational-units"></a>

AWS 建议将配置的组织单位 (OU) 存储在单个 A WorkSpaces pplications Directory Config 对象中。最佳做法是让每个 WorkSpaces 应用程序堆栈拥有自己的 OU。这样您就可以灵活地为每个堆栈设置特定的 GPO。确保 OU 专用于 WorkSpaces 应用程序计算机对象，以避免将 WorkSpaces Applications-specific 策略与本地桌面混用。考虑在其中部署 WorkSpaces 应用程序的每个子组织 AWS 区域 单位使用子 OU。

## Active Directory 计算机对象清理
<a name="active-directory-computer-object-cleanup"></a>

 WorkSpaces 应用程序实例是短暂的。随着实例集扩展和缩减，实例集会创建并重复使用 Active Directory 计算机对象。

 AWS 建议创建 AD 清理进程，以删除 WorkSpaces 应用程序队列后可能存在的陈旧 Active Directory 计算机对象。