AWS Directory Services Verwaltetes Active Directory in AWS nutzen

Anbieter zum Thema

Amazon Web Services Germany GmbH

Microsoft Deutschland GmbH

ALE Deutschland GmbH

Mit AWS Directory Services kann in AWS ein vollständig verwaltetes Active Directory aufgebaut werden. Dieses kann zur Authentifizierung von AWS-Ressourcen eingesetzt werden. Es ist jedoch keine Synchronisierung mit einem lokalen Active Directory möglich. Der Beitrag zeigt die Möglichkeiten.

Wenn in AWS Ressourcen genutzt werden, die eine Authentifizierung auf Basis von Microsoft Active Directory nutzen sollen, ist der AWS Directory Service die richtige Lösung. Mit dem verwalteten Dienst kann ein Active Directory in der Cloud aufgebaut werden, das keine Synchronisierung mit einem lokalen Active Directory notwendig macht.

Wer Daten lokaler Active-Directory-Gesamtstrukturen einbetten will, kann eine Synchronisierung mit AWS Directory Service durchführen. Dazu steht in AWS der Active Directory Connector zur Verfügung. Auch Linux-Server, die Zugriff auf ein Active Directory benötigen, können den Dienst nutzen.

Bildergalerie

Bildergalerie mit 7 Bildern

AWS Directory Service steht in der Standard- und der Enterprise-Edition zur Verfügung. In der Standard-Edition steht 1 GB Speicherplatz zur Verfügung, in der Enterprise-Edition stehen 17 GB Speicherplatz zur Verfügung. Die Enterprise-Edition ist für große Unternehmen mit bis zu 500.000 Objekten ideal. In beiden Editionen stellt Amazon zwei Domänencontroller bereit. Es besteht die Möglichkeit, zusätzliche Domänencontroller für etwa 50 US-Dollar pro Monat dazuzubuchen. Die exakten Preise sind in der AWS-Dokumentation zu finden.

Gruppenrichtlinien und Microsoft-Tools zur Verwaltung nutzen

Zur Verwaltung von AWS Directory Service können die Standard-Verwaltungstools von Microsoft verwendet werden. Gruppenrichtlinien sind verfügbar, sodass auch Windows-Server in AWS die Funktionen nutzen und durch Richtlinien abgesichert werden können. Gruppenrichtlinien werden in AWS zum Beispiel über die Microsoft Gruppenrichtlinien-Verwaltungskonsole konfiguriert.

Das ermöglicht auch den Import von Microsoft-Vorlagen oder von eigenen Richtlinien. Um Active Directory in AWS zu verwalten, muss der Computer, auf dem die Verwaltungstools installiert sind, Mitglied der Domäne sein. Es sind keinerlei zusätzlichen Tools für die Verwaltung notwendig.

Instanzen in EC2 können so mit Gruppenrichtlinien versorgt werden. In AWS ist es dadurch auch möglich, Microsoft-Anwendungen wie SharePoint zu installieren. Auch SQL-basierte Webanwendungen und .NET-Apps können zur Authentifizierung auf AWS Directory Service setzen. Mit AWS Directory Services ist es zudem möglich, Vertrauensstellungen zu erstellen.

Auch Single-Sign-On-Szenarien sind damit möglich. Amazon EC2 und auch Amazon RDS for SQL Server können Active Directory nutzen. Auch Amazon WorkSpaces und AWS End User Computing lassen sich anbinden, genauso wie Amazon WorkDocs und Amazon WorkMail. Alle folgenden Dienste lassen sich mit AWS Directory Service nutzen:

• Amazon Chime

• Amazon Connect

• Amazon EC2-Instances

• Amazon FSx for Windows File Server

• Amazon QuickSight

• Amazon RDS for MySQL

• Amazon RDS for Oracle

• Amazon RDS for PostgreSQL

• Amazon RDS for SQL Server

• Amazon Single Sign On

• Amazon WorkDocs

• Amazon WorkMail

• Amazon WorkSpaces

• AWS Client VPN

• AWS-Managementkonsole

Wer sein lokales Active Directory (On-Premises) mit AWS Directory Services synchronisiert, kann auch alle Benutzerkonten synchronisieren. Dadurch können Anwender im lokalen Netzwerk nach der Anmeldung in Active Directory auch auf Ressourcen in AWS zugreifen, ohne sich erneut authentifizieren zu müssen. Eine direkte Migration von lokalen Active-Directory-Umgebungen ist mit Bordmitteln allerdings nicht möglich. Dafür können Unternehmen aber Konten aus AWS Directory Service auch in Office 365 nutzen.

Eigenes Verzeichnis in AWS Directory Service erstellen

Ein neues Verzeichnis wird über die AWS Management Console eingerichtet. Nach dem Aufrufen des Dienstes kann mit „Verzeichnis einrichten“ ein neues Verzeichnis erstellt werden. Danach kann ausgewählt werden, ob ein neues Active Directory in der Cloud erstellt, oder eine Verbindung von AWS zu einem lokalen Active Directory aufgebaut werden soll.

Bei der Einrichtung der neuen Domäne wird auch ein FQDN (Fully-Qualified Domain Name) angegeben. Dieser gilt nur im VPC (Virtual Private Cloud) des jeweiligen Abonnements. Auch ein optionaler NetBIOS-Name sowie ein Administrator-Kennwort sind notwendig. Im Rahmen der Erstellung werden auch Subnetze und VPC gesteuert. Wenn alle Eingaben vorgenommen wurden, erstellt der Assistent das Verzeichnis. Sobald es einsatzbereit ist, wird das in der Spalte „Status“ angezeigt. Danach können durch einen Klick auf den Verzeichnisnamen das Verzeichnis und dessen Einstellungen geöffnet werden. Die Erstellung eines Verzeichnisses kann jedoch bis zu einer Stunde dauern.

Bei dem Vorgang erstellt AWS zwei Domänencontroller, die sich in verschiedenen Subnetzen befinden. Die Subnetze werden beim Erstellen des Verzeichnisses festgelegt. Zusätzliche Domänencontroller können jederzeit hinzugefügt werden. Wie das funktioniert, ist auf der Seite „Deploy additional domain controllers“ zu finden.

Computer, die sich im gleichen Subnetz und VPC befinden können in die Domäne genauso aufgenommen werden, wie in herkömmlichen Active-Directory-Umgebungen. Wenn eine neue Instanz in EC2 erstellt wird, kann diese auch gleich bei der Erstellung in die Active-Directory-Domäne aufgenommen werden.

Einschränkungen von AWS Directory Services im Vergleich zu Active Directory

Die PowerShell kann zur Verwaltung von AWS Directory Service nicht verwendet werden. Auch eine direkte Verwaltung der Domänencontroller ist nicht möglich. Der Dienst ist vollständig verwaltet und erlaubt keine Anpassung.

Bei der Erstellung eines Verzeichnisses wird eine OU (Organizational Unit) erstellt. Administratoren haben die Möglichkeit, in dieser OU Verwaltungsaufgaben vorzunehmen. Weiterführende Eingriffe in Active Directory sind nicht möglich. Das Schema von Active Directory kann auch in AWS erweitert werden. Die Änderungen müssen mit einer LDIF-Datei in das Verzeichnis importiert werden.

Active-Directory-abhängige Dienste können AWS Directory Service nutzen. Es ist allerdings nicht möglich, Microsoft Exchange in der Umgebung zu installieren.

Definition

Was ist Active Directory?