Active Directory administrado con AWS Directory Service - Gestion de identidades en entornos hibridos
Disene la construccion de AWS Managed Microsoft AD y la relacion de confianza con AD on-premises. Presentamos la gestion de identidades hibrida mediante integracion con WorkSpaces, RDS y FSx.
Descripcion general de Directory Service
Directory Service es un servicio que proporciona Active Directory administrado en AWS. Ofrece 3 opciones: AWS Managed Microsoft AD, AD Connector y Simple AD. Managed Microsoft AD proporciona un AD completamente administrado con controladores de dominio desplegados en 2 o mas AZ en configuracion multi-AZ, y puede establecer relaciones de confianza con AD on-premises. La aplicacion de parches del OS de los controladores de dominio, la replicacion de datos y las copias de seguridad diarias basadas en snapshots son gestionadas automaticamente por AWS, permitiendo que los equipos de operaciones se concentren en el diseno del esquema AD y las politicas de grupo.
Integracion hibrida
Al construir una confianza de bosque entre AD on-premises y Managed Microsoft AD, los usuarios on-premises pueden acceder a recursos AWS con inicio de sesion unico. Se conecta on-premises con la VPC mediante VPN o Direct Connect y se configuran reenviadores condicionales DNS. La direccion de confianza puede ser unidireccional (incoming) o bidireccional; elija bidireccional cuando los usuarios del lado AWS tambien necesiten acceso a recursos on-premises. AD Connector es un proxy hacia AD on-premises que no replica datos AD en AWS. Se utiliza como directorio para WorkSpaces o AWS SSO, reenviando las solicitudes de autenticacion al AD on-premises. Dado que la latencia de autenticacion de AD Connector depende de la ruta de red, se recomienda conexiones de baja latencia como Direct Connect en lugar de VPN.
Integracion con WorkSpaces y RDS
Managed Microsoft AD se integra directamente con numerosos servicios AWS como WorkSpaces, RDS for SQL Server, FSx for Windows File Server y QuickSight. Utiliza AD para la autenticacion de usuarios de WorkSpaces y gestiona centralmente la configuracion del escritorio con politicas de grupo. Con la autenticacion Windows de RDS for SQL Server, los usuarios AD pueden iniciar sesion en SQL Server de forma transparente. FSx for Windows File Server proporciona control de acceso a nivel de archivo usando ACLs de AD, permitiendo el uso directo de permisos NTFS. AD Connector funciona como proxy hacia AD on-premises, delegando la autenticacion sin replicar el directorio en AWS. Simple AD es un directorio ligero basado en Samba, adecuado para entornos pequenos o de desarrollo. Si desea profundizar su comprension de Directory Service, tambien puede consultar libros especializados en Amazon.
Mejores practicas de diseno y errores comunes
Varios puntos frecuentemente pasados por alto en el diseno de Managed Microsoft AD requieren atencion. Primero, seleccion de subnets VPC: los controladores de dominio se colocan en dos subnets especificadas (diferentes AZs), por lo que la resolucion DNS y el acceso de red desde estas subnets deben alcanzar todas las cargas de trabajo. Segundo, configuracion del conjunto de opciones DHCP: para que las instancias en la VPC se unan al dominio, el nombre de dominio y los servidores de nombres del conjunto de opciones DHCP deben configurarse con las direcciones DNS de Managed Microsoft AD. Olvidar esto causa fallos en la union al dominio. Tercero, extensiones de esquema: Managed Microsoft AD soporta extensiones de esquema mediante archivos LDIF, pero los cambios de esquema no pueden revertirse, asi que valide exhaustivamente en un entorno de prueba antes de aplicar. Cuarto, alcance de permisos de administrador: los contenedores administrados por AWS (Builtin, Domain Controllers OU, etc.) no son accesibles, y los usuarios deben crear OUs personalizadas para gestionar dentro de ellas.
Eleccion entre AD Connector, Simple AD e IAM Identity Center
La eleccion entre las tres opciones de Directory Service e IAM Identity Center (anteriormente AWS SSO) puede determinarse claramente segun los requisitos. Cuando desea mantener un AD on-premises existente y solo necesita acceso a recursos AWS, AD Connector es la opcion mas simple. Cuando necesita un AD completo en AWS con politicas de grupo, LDAP y Kerberos, elija Managed Microsoft AD. Cuando solo tiene instancias Linux y necesita un directorio ligero, Simple AD es suficiente. Por otro lado, cuando el objetivo principal es el acceso SSO a la consola de administracion de AWS y CLI sin necesitar AD, el directorio integrado de IAM Identity Center es apropiado. IAM Identity Center tambien puede conectar Managed Microsoft AD o AD Connector como fuente de identidad, funcionando como hub para asignar acceso a cuentas AWS a usuarios AD.
Precios de Directory Service
Managed Microsoft AD Standard Edition cuesta aproximadamente 146 dolares mensuales (2 controladores de dominio), y Enterprise Edition aproximadamente 438 dolares mensuales. Los controladores de dominio adicionales cuestan aproximadamente 73 dolares mensuales por unidad (Standard). AD Connector tiene Small (aproximadamente 73 dolares mensuales) y Large (aproximadamente 219 dolares mensuales). Simple AD tiene Small (aproximadamente 73 dolares mensuales) y Large (aproximadamente 219 dolares mensuales). Las principales diferencias entre Standard y Enterprise son el limite de objetos (Standard: aproximadamente 30,000, Enterprise: aproximadamente 500,000) y el tamano de instancia de los controladores de dominio. Para la mayoria de los casos de uso, se recomienda comenzar con Standard y migrar a Enterprise cuando se acerque al limite de objetos.
Resumen
Directory Service es un servicio que logra la gestion de identidades en entornos hibridos con Active Directory administrado. Se integra directamente con WorkSpaces, RDS for SQL Server y FSx for Windows File Server, y proporciona autenticacion transparente mediante confianza de bosque con AD on-premises. Tambien es posible la conexion proxy hacia AD on-premises con AD Connector. Combinado con IAM Identity Center, puede centralizar la gestion de acceso a cuentas AWS para usuarios AD.