Mobile-Menu

Verwaltetes Active Directory für Amazon EC2 & Co. AWS Simple AD mit Samba 4

Von Thomas Joos 4 min Lesedauer

Anbieter zum Thema

Amazon Web Services EMEA SARL,
Amazon Web Services Germany GmbH
Aagon GmbH

Amazon bietet in AWS mit dem AWS Directory Service ein vollständig verwaltetes AD auf Basis von Windows Server. Mit AWS Simple AD steht auch eine AD-Implementation auf Basis der Open Source Software Samba 4 zur Verfügung.

AWS Simple Active Directory ist ein vollständig verwaltetes Active Directory auf Basis von Samba 4 und eignet sich insbesondere dann, wenn ein vollständiges AD überdimensioniert und zu teuer ist.(Bild: Amazon Web Services, Inc)
AWS Simple Active Directory ist ein vollständig verwaltetes Active Directory auf Basis von Samba 4 und eignet sich insbesondere dann, wenn ein vollständiges AD überdimensioniert und zu teuer ist.
(Bild: Amazon Web Services, Inc)

Bei AWS Simple Active Directory handelt es sich um ein vollständig verwaltetes Active Directory auf Basis von Samba 4. Dieses Verzeichnis kommt vor allem dann zum Einsatz, wenn die Kosten für AWS Directory Service zu hoch sind und es sich nicht lohnt ein vollständiges AD zu erstellen.

Wir haben die Möglichkeiten dieser Linux-Installation von Active Directory im Beitrag „Domänencontroller auf Basis von Samba“ behandelt. Beim Buchen von AWS Simple AD müssen aber weder Linux noch Samba installiert und eingerichtet werden. AWS Simple AD ist ein vollständig verwalteter Dienst, der durchaus für große Umgebungen bis 5.000 Benutzer zum Einsatz kommen kann. AWS Simple AD Directory Service kann bis zu 30 Tage kostenlos genutzt werden.

Bildergalerie
Bildergalerie mit 10 Bildern

Die Möglichkeiten von AWS Simple Active Directory

AWS Simple AD ermöglicht den Aufbau eines vollständig verwalteten Active Directory in der AWS-Cloud, inklusive der Möglichkeit, Benutzer, Gruppen und Computer in der Domäne zu verwalten. Auch Gruppenrichtlinien sind verfügbar. Der Dienst unterstützt zudem auch Kerberos, zum Beispiel für VMs aus EC2. Eine große Anzahl an Windows-Anwendungen und -Diensten unterstützen AWS Simple AD und es ist auch der Zugriff auf Amazon WorkSpaces, WorkDocs oder WorkMail möglich. Vor dem Einsatz sollte aber überprüft werden, ob alle Dienste und Anwendungen, die genutzt werden sollen, auch mit dem Dienst kompatibel sind.

Einschränkungen von AD auf Basis von Samba 4

Nicht alle Funktionen, die AWS Directory Service auf Basis von Windows bietet, sind auch in Simple AD verfügbar. Es gibt zum Beispiel keine Multifaktor-Authentifizierung. Auch Vertrauensstellungen sind nicht möglich; die Verwaltung kann nicht mit der PowerShell erfolgen. Und einige Dienste in AWS lassen sich nicht an den Verzeichnisdienst anbinden, zum Beispiel AppStream, Chime, RDS for SQL Server/Oracle oder gruppenbasierte Dienstkonten.

Dazu kommt, dass Simple AD nicht in allen Regionen dauerhaft zur Verfügung steht. Wenn in der jeweiligen Region kein Simple AD verfügbar ist, erscheint die Option auch nicht bei der Einrichtung eines neuen AD. Nach einem Wechsel der Region in der AWS-Konsole lässt sich die Option einblenden. In Singapur funktioniert Simple AD in den meisten Fällen.

Erstes Verzeichnis mit AWS Simple AD erstellen

Für die Einrichtung von Verzeichnissen steht in der AWS-Konsole der Directory Service zur Verfügung. Im Rahmen der Einrichtung eines neuen Verzeichnisses über die Schaltfläche „Verzeichnis einrichten“ stehen verschiedene Optionen zur Verfügung. Wir haben die Möglichkeiten bereits im Beitrag „Verwaltetes Active Directory in AWS nutzen“ behandelt.

Mit „Simple AD“ wird in der Oberfläche ein Verzeichnis auf Basis von Samba erstellt. Die Einrichtung erfolgt über einen Assistenten. Für bis zu 500 Benutzer kann die Option „Klein“ zum Einsatz kommen, wenn bis zu 5.000 Benutzer genutzt werden sollen, steht „Groß“ zur Verfügung. Während der Einrichtung werden noch der DNS-Name und die NetBIOS-Bezeichnung der Domäne benötigt.

Diese Objekte erstellt AWS Simple AD im AWS-Abonnement

Im Anschluss werden die notwendige VPC und die Subnetze konfiguriert, damit die beiden Domänencontroller jeder Domäne in verschiedene Subnetze aufgeteilt sind, um die Verfügbarkeit zu garantieren. Am Ende lässt sich das Verzeichnis mit „Verzeichnis erstellen“ in AWS anlegen. Der Vorgang dauert nur wenige Minuten. Wenn alle Einstellungen vorgenommen sind, ist das AD in 5 bis 10 Minuten einsatzbereit. Wird das Verzeichnis als „Aktiv“ in der Konsole angezeigt, steht es für die Verwendung zur Verfügung. So lassen sich zum Beispiel auch virtuelle WorkSpaces und andere Dienste anbinden.

Im Rahmen der Erstellung wird ein Samba-Verzeichnis in der VPC erstellt und ein Benutzerkonto mit dem Anmeldenamen „Administrator“. Das Kennwort des Benutzers wird im Rahmen der Erstellung angegeben. Dazu kommen noch eine Sicherheitsgruppe, in der sich die Computerkonten der Samba-DCs befinden sowie ein Benutzerkonto, mit dem AWS selbst Wartungsaufgaben für den Domänencontroller durchführen kann. Jeder Domänencontroller erhält eine Elastic Network-Schnittstelle

AWS Simple AD verwalten und warten

Die Verwaltung von AWS Simple Active Directory erfolgt über die Installation von virtuellen Computern als EC2-Instanz, die sich im gleichen VPC befinden. Mit den Standardtools für die Verwaltung von AD ist es auch möglich, Simple AD zu verwalten. Allerdings stehen die PowerShell und das Active Directory Admnistrative Center nicht zur Verfügung.

Die Verwaltungskonsole „Active Directory-Benutzer und -Computer“ kann sich dagegen verbinden und auch das Aufnehmen von Computern in die Domäne ist kein Problem. Auch Linux-Server lassen sich in EC2 mit der Simple AD-Domäne verbinden.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Netzwerktechnik, IP-Kommunikation und UCC

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Durch einen Klick auf das erstellte Verzeichnis lassen sich dessen Einstellungen anzeigen und anpassen. Bei „Netzwerk und Sicherheit“ ist die Verwendete VPC sowie die erstellten Subnetze zu sehen. Diese können an dieser Stelle aufgerufen und angepasst werden. Die verknüpften Anwendungen können bei „Anwendungsverwaltung“ überprüft und ebenfalls angepasst werden. Über „Wartung“ lassen sich Benachrichtigungen zur Überwachung oder auch Snapshots für die Datensicherung der Umgebung erstellen.

Alles, was Sie wissen müssen!

Active Directory & Domain Networking im Fokus

Active Directory & Domain Networking ist seit vielen Jahren ein Schwerpunktthema bei IP-Insider. Neben zahlreichen Fachartikeln finden Sie auch viele Definitionen und Begriffserklärungen aus diesem Themenkomplex auf unserer Website. Am Artikelende der Begriffserläuterung „Was ist Active Directory?“ haben wir als Service für Sie jetzt alle bisher auf IP-Insider erschienenen Artikel rund um die Themen Active Directory, Entra ID und Domain Networking für Sie zusammengefasst. Viel Spaß beim Schmökern!

(ID:48734539)

Weiterführende Inhalte