Szenario 1: Verwenden des AD-Konnektors zur Proxy-Authentifizierung an den On-Premises-Active-Directory-Service

Dieses Szenario richtet sich an Kunden, die ihren On-Premises-AD-Service nicht auf erweitern möchten AWSoder bei denen eine neue Bereitstellung von AD DS keine Option ist. Die folgende Abbildung zeigt auf hoher Ebene, jede der Komponenten und den Ablauf der Benutzerauthentifizierung.

Abbildung 5: AD Connector zu On-Premises Active Directory

In diesem Szenario wird AWS der -Directory-Service (AD Connector) für alle Benutzer- oder MFA-Authentifizierungen verwendet, die über den AD Connector an den On-Premises-AD-DS des Kunden weitergeleitet werden (siehe folgende Abbildung). Einzelheiten zu den Protokollen oder der Verschlüsselung, die für den Authentifizierungsprozess verwendet werden, finden Sie im Sicherheit Abschnitt dieses Dokuments.

Abbildung 6: Benutzerauthentifizierung über das Authentication Gateway

Szenario 1 zeigt eine Hybridarchitektur, in der der Kunde möglicherweise bereits über Ressourcen in verfügt AWS, sowie über Ressourcen in einem On-Premises-Rechenzentrum, auf das über Amazon zugegriffen werden kann WorkSpaces. Der Kunde kann seine vorhandenen On-Premises-AD-DS- und RADIUS-Server für die Benutzer- und MFA-Authentifizierung nutzen.

Diese Architektur verwendet die folgenden Komponenten oder Konstrukte:

AWS

• Amazon VPC – Erstellen einer Amazon VPC mit mindestens zwei privaten Subnetzen über zwei AZs hinweg.

• DHCP Options Set – Erstellen eines Amazon VPC DHCP Options Set. Auf diese Weise können vom Kunden angegebene Domänennamen und Domänennamenserver (DNS) (On-Premises-Services) definiert werden. Weitere Informationen finden Sie unter DHCP-Optionssätze.

• Amazon Virtual Private Gateway – Aktivieren Sie die Kommunikation mit Ihrem eigenen Netzwerk über einen IPsec-VPN-Tunnel oder eine AWS Direct Connect -Verbindung.

• AWS Directory Service – AD Connector wird in einem Paar privater Amazon-VPC-Subnetze bereitgestellt.

• Amazon WorkSpaces – WorkSpaces werden in denselben privaten Subnetzen wie der AD Connector bereitgestellt. Weitere Informationen finden Sie im Abschnitt Active Directory: Standorte und Services dieses Dokuments.

Customer

• Netzwerkkonnektivität – Unternehmens-VPN- oder Direct-Connect-Endpunkte.

• AD DS – Unternehmens-AD DS.

• MFA (optional) – Unternehmens-RADIUS-Server.

• Endbenutzergeräte – Endbenutzergeräte für Unternehmen oder Bring Your Own License (BYOL), die für den Zugriff auf den Amazon- WorkSpaces Service verwendet werden (wie Windows, Macs, iPads, Android-Tablets, Null-Clients und Chromebooks). Weitere Informationen finden Sie in dieser Liste der Clientanwendungen für unterstützte Geräte und Webbrowser.

Diese Lösung eignet sich zwar hervorragend für Kunden, die AD DS nicht in der Cloud bereitstellen möchten, bietet jedoch einige Einschränkungen:

• Abhängigkeit von der Konnektivität – Wenn die Konnektivität zum Rechenzentrum verloren geht, können sich Benutzer nicht bei ihrem jeweiligen anmelden WorkSpaces, und bestehende Verbindungen bleiben während der Lebensdauer des Kerberos/Ticket-Granting Ticket (TGT) aktiv.

• Latenz – Wenn Latenz über die Verbindung besteht (dies ist bei VPN häufiger als bei Direct Connect der Fall), dauert die WorkSpaces Authentifizierung und alle AD-DS-bezogenen Aktivitäten, wie z. B. die Durchsetzung von Gruppenrichtlinien (GPO), mehr Zeit.

• Datenverkehrskosten – Die gesamte Authentifizierung muss den VPN- oder Direct-Connect-Link durchlaufen und hängt daher vom Verbindungstyp ab. Dies ist entweder die Datenübertragung von Amazon EC2 ins Internet oder die Datenübertragung von außen (Direct Connect).

Anmerkung

AD Connector ist ein Proxy-Service. Es speichert oder speichert keine Benutzeranmeldeinformationen. Stattdessen werden alle Authentifizierungs-, Such- und Verwaltungsanfragen von Ihrem AD bearbeitet. In Ihrem Verzeichnisservice ist ein Konto mit Delegierungsrechten erforderlich, das berechtigt ist, alle Benutzerinformationen zu lesen und der Domain einen Computer hinzuzufügen.

Im Allgemeinen hängt die WorkSpaces Erfahrung stark vom Active-Directory-Authentifizierungsprozess ab, der in der vorherigen Abbildung gezeigt wurde. In diesem Szenario hängt die WorkSpaces Authentifizierungserfahrung stark von der Netzwerkverbindung zwischen dem Kunden-AD und der WorkSpaces VPC ab. Der Kunde sollte sicherstellen, dass der Link hochverfügbar ist.