Verwaltetes Active Directory für Amazon EC2 & Co. AWS Simple AD mit Samba 4

Anbieter zum Thema

Amazon Web Services EMEA SARL,

Amazon Web Services Germany GmbH

ICP Deutschland GmbH

Lenovo Global Technology Germany GmbH

Southern Tech GmbH

Amazon bietet in AWS mit dem AWS Directory Service ein vollständig verwaltetes AD auf Basis von Windows Server. Mit AWS Simple AD steht auch eine AD-Implementation auf Basis der Open Source Software Samba 4 zur Verfügung.

Bei AWS Simple Active Directory handelt es sich um ein vollständig verwaltetes Active Directory auf Basis von Samba 4. Dieses Verzeichnis kommt vor allem dann zum Einsatz, wenn die Kosten für AWS Directory Service zu hoch sind und es sich nicht lohnt ein vollständiges AD zu erstellen.

Wir haben die Möglichkeiten dieser Linux-Installation von Active Directory im Beitrag „Domänencontroller auf Basis von Samba“ behandelt. Beim Buchen von AWS Simple AD müssen aber weder Linux noch Samba installiert und eingerichtet werden. AWS Simple AD ist ein vollständig verwalteter Dienst, der durchaus für große Umgebungen bis 5.000 Benutzer zum Einsatz kommen kann. AWS Simple AD Directory Service kann bis zu 30 Tage kostenlos genutzt werden.

Bildergalerie

Bildergalerie mit 10 Bildern

Die Möglichkeiten von AWS Simple Active Directory

AWS Simple AD ermöglicht den Aufbau eines vollständig verwalteten Active Directory in der AWS-Cloud, inklusive der Möglichkeit, Benutzer, Gruppen und Computer in der Domäne zu verwalten. Auch Gruppenrichtlinien sind verfügbar. Der Dienst unterstützt zudem auch Kerberos, zum Beispiel für VMs aus EC2. Eine große Anzahl an Windows-Anwendungen und -Diensten unterstützen AWS Simple AD und es ist auch der Zugriff auf Amazon WorkSpaces, WorkDocs oder WorkMail möglich. Vor dem Einsatz sollte aber überprüft werden, ob alle Dienste und Anwendungen, die genutzt werden sollen, auch mit dem Dienst kompatibel sind.

Einschränkungen von AD auf Basis von Samba 4

Nicht alle Funktionen, die AWS Directory Service auf Basis von Windows bietet, sind auch in Simple AD verfügbar. Es gibt zum Beispiel keine Multifaktor-Authentifizierung. Auch Vertrauensstellungen sind nicht möglich; die Verwaltung kann nicht mit der PowerShell erfolgen. Und einige Dienste in AWS lassen sich nicht an den Verzeichnisdienst anbinden, zum Beispiel AppStream, Chime, RDS for SQL Server/Oracle oder gruppenbasierte Dienstkonten.

Dazu kommt, dass Simple AD nicht in allen Regionen dauerhaft zur Verfügung steht. Wenn in der jeweiligen Region kein Simple AD verfügbar ist, erscheint die Option auch nicht bei der Einrichtung eines neuen AD. Nach einem Wechsel der Region in der AWS-Konsole lässt sich die Option einblenden. In Singapur funktioniert Simple AD in den meisten Fällen.

Erstes Verzeichnis mit AWS Simple AD erstellen

Für die Einrichtung von Verzeichnissen steht in der AWS-Konsole der Directory Service zur Verfügung. Im Rahmen der Einrichtung eines neuen Verzeichnisses über die Schaltfläche „Verzeichnis einrichten“ stehen verschiedene Optionen zur Verfügung. Wir haben die Möglichkeiten bereits im Beitrag „Verwaltetes Active Directory in AWS nutzen“ behandelt.

Mit „Simple AD“ wird in der Oberfläche ein Verzeichnis auf Basis von Samba erstellt. Die Einrichtung erfolgt über einen Assistenten. Für bis zu 500 Benutzer kann die Option „Klein“ zum Einsatz kommen, wenn bis zu 5.000 Benutzer genutzt werden sollen, steht „Groß“ zur Verfügung. Während der Einrichtung werden noch der DNS-Name und die NetBIOS-Bezeichnung der Domäne benötigt.

Diese Objekte erstellt AWS Simple AD im AWS-Abonnement

Im Anschluss werden die notwendige VPC und die Subnetze konfiguriert, damit die beiden Domänencontroller jeder Domäne in verschiedene Subnetze aufgeteilt sind, um die Verfügbarkeit zu garantieren. Am Ende lässt sich das Verzeichnis mit „Verzeichnis erstellen“ in AWS anlegen. Der Vorgang dauert nur wenige Minuten. Wenn alle Einstellungen vorgenommen sind, ist das AD in 5 bis 10 Minuten einsatzbereit. Wird das Verzeichnis als „Aktiv“ in der Konsole angezeigt, steht es für die Verwendung zur Verfügung. So lassen sich zum Beispiel auch virtuelle WorkSpaces und andere Dienste anbinden.

Im Rahmen der Erstellung wird ein Samba-Verzeichnis in der VPC erstellt und ein Benutzerkonto mit dem Anmeldenamen „Administrator“. Das Kennwort des Benutzers wird im Rahmen der Erstellung angegeben. Dazu kommen noch eine Sicherheitsgruppe, in der sich die Computerkonten der Samba-DCs befinden sowie ein Benutzerkonto, mit dem AWS selbst Wartungsaufgaben für den Domänencontroller durchführen kann. Jeder Domänencontroller erhält eine Elastic Network-Schnittstelle

AWS Simple AD verwalten und warten

Die Verwaltung von AWS Simple Active Directory erfolgt über die Installation von virtuellen Computern als EC2-Instanz, die sich im gleichen VPC befinden. Mit den Standardtools für die Verwaltung von AD ist es auch möglich, Simple AD zu verwalten. Allerdings stehen die PowerShell und das Active Directory Admnistrative Center nicht zur Verfügung.

Die Verwaltungskonsole „Active Directory-Benutzer und -Computer“ kann sich dagegen verbinden und auch das Aufnehmen von Computern in die Domäne ist kein Problem. Auch Linux-Server lassen sich in EC2 mit der Simple AD-Domäne verbinden.

Durch einen Klick auf das erstellte Verzeichnis lassen sich dessen Einstellungen anzeigen und anpassen. Bei „Netzwerk und Sicherheit“ ist die Verwendete VPC sowie die erstellten Subnetze zu sehen. Diese können an dieser Stelle aufgerufen und angepasst werden. Die verknüpften Anwendungen können bei „Anwendungsverwaltung“ überprüft und ebenfalls angepasst werden. Über „Wartung“ lassen sich Benachrichtigungen zur Überwachung oder auch Snapshots für die Datensicherung der Umgebung erstellen.

Domänen-Netze, Active Directory und Gruppenrichtlinien mit Linux

Domänencontroller auf Basis von Samba

AWS Directory Services

Verwaltetes Active Directory in AWS nutzen

(ID:48734539)