As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

AWS Melhores práticas gerenciadas do Microsoft AD

Aqui estão algumas sugestões e diretrizes que você deve considerar para evitar problemas e aproveitar ao máximo o AWS Managed Microsoft AD.

Melhores práticas para configurar um AWS Microsoft AD gerenciado

Aqui estão algumas sugestões e diretrizes para quando você estiver configurando o AWS Managed Microsoft AD:

Pré-requisitos

Considere essas diretrizes antes de criar seu diretório.

Verifique se você tem o tipo de diretório correto

Directory Service fornece várias maneiras de usar Microsoft Active Directory com outros AWS serviços. Você pode escolher o serviço de diretório com os recursos necessários a um custo que caiba em seu orçamento:

Para uma comparação mais detalhada das Directory Service opções, consulteQual escolher.

Verificar se suas VPCs e instâncias estão configuradas corretamente

Para se conectar, gerenciar e usar seus diretórios, é necessário configurar corretamente as VPCs às quais seus diretórios estão associados. Consulte Pré-requisitos para criar um AWS Microsoft AD gerenciado, Pré-requisitos do AD Connector ou Pré-requisitos do Simple AD para obter informações sobre os requisitos de segurança e de rede da VPC.

Se estiver adicionando uma instância a seu domínio, verifique se você tem conectividade e acesso remoto à sua instância, conforme descrito em Maneiras de unir uma instância do Amazon EC2 à sua AWS Microsoft AD gerenciado.

Conhecer seus limites

Saiba mais sobre os vários limites do seu tipo de diretório específico. O armazenamento disponível e o tamanho agregado dos seus objetos são as únicas limitações no número de objetos que você pode armazenar em seu diretório. Consulte AWS Cotas gerenciadas do Microsoft AD, Cotas do AD Connector ou Cotas do Simple AD para obter detalhes sobre o diretório escolhido.

Entenda o seu diretório AWS configuração e uso do grupo de segurança

AWS cria um grupo de segurança e o anexa às interfaces de rede elástica do controlador de domínio do seu diretório. Esse grupo de segurança bloqueia tráfego desnecessário para o controlador de domínio e permite o tráfego necessário para comunicações do Active Directory. AWS configura o grupo de segurança para abrir somente as portas necessárias para as comunicações do Active Directory. Na configuração padrão, o grupo de segurança aceita tráfego para essas portas do endereço AWS gerenciado Microsoft AD VPC IPv4 CIDR ou IPv6 CIDR. AWS anexa o grupo de segurança às interfaces do controlador de domínio que podem ser acessadas de dentro de suas VPCs emparelhadas ou redimensionadas. Essas interfaces não são acessíveis pela Internet, mesmo que você modifique as tabelas de rotas, altere as conexões de rede à sua VPC e configure o Serviço do NAT Gateway. Sendo assim, apenas as instâncias e os computadores que têm um caminho de rede para a VPC podem acessar o diretório. Isso simplifica a configuração eliminando a necessidade de configurar intervalos de endereços específicos. Em vez disso, você configura rotas e grupos de segurança VPC que permitem o tráfego apenas de instâncias e computadores confiáveis.

Modificar o grupo de segurança do diretório

Para aumentar a segurança dos grupos de segurança do diretório, você pode modificá-los para aceitar tráfego de uma lista mais restritiva de endereços IP. Por exemplo, você pode alterar os endereços aceitos do intervalo CIDR IPv4 ou CIDR IPv6 da VPC para um intervalo CIDR específico de uma única sub-rede ou computador. Da mesma forma, você pode optar por restringir os endereços de destino com os quais seus controladores de domínio podem se comunicar. Faça essas alterações apenas se você compreender totalmente como funciona a filtragem do grupo de segurança. Para obter mais informações, consulte Grupos de segurança do Amazon EC2 para instâncias do Linux no Guia do usuário do Amazon EC2. Alterações impróprias podem resultar na perda de comunicações com os computadores e instâncias pretendidos. AWS recomenda que você não tente abrir portas adicionais para o controlador de domínio, pois isso diminui a segurança do seu diretório. Reveja cuidadosamente o Modelo de responsabilidade compartilhada da AWS.

Criando seu AWS Microsoft AD gerenciado

Aqui estão algumas sugestões a serem consideradas ao criar seu Microsoft AD AWS gerenciado.

Lembre-se de seu ID e senha de administrador

Ao configurar o diretório, você fornece uma senha para a conta de administrador. Essa ID da conta é Admin for AWS Managed Microsoft AD. Lembre-se da senha criada para essa conta. Caso contrário, você não poderá adicionar objetos a seu diretório.

Criar um conjunto de opções de DHCP

Recomendamos que você crie um conjunto de opções de DHCP para seu Directory Service diretório e atribua o conjunto de opções de DHCP à VPC em que seu diretório está. Dessa maneira, todas as instâncias nessa VPC podem apontar para o domínio especificado, e os servidores DNS podem resolver seus nomes de domínio.

Para obter mais informações sobre os conjuntos de opções DHCP, consulte Criando ou alterando um conjunto de opções de DHCP para AWS Microsoft AD gerenciado.

Habilitar configuração do encaminhador condicional

As configurações de encaminhamento condicional a seguir Armazene esse encaminhador condicional no Active Directory, replique-o da seguinte forma: devem estar habilitadas. A ativação dessas configurações garantirá que a configuração do encaminhador condicional seja persistente quando um nó for substituído devido a uma falha na infraestrutura ou falha de sobrecarga.

Os encaminhadores condicionais devem ser criados em um controlador de domínio com a configuração anterior habilitada. Isso permitirá a replicação para outros controladores de domínio.

Implantar controladores de domínio adicionais

Por padrão, AWS cria dois controladores de domínio que existem em zonas de disponibilidade separadas. Isso fornece resiliência a falhas durante a aplicação de patches de software e outros eventos que podem tornar um controlador de domínio inacessível ou indisponível. Recomendamos que você implante controladores de domínio adicionais para aumentar ainda mais a resiliência e garantir o desempenho da expansão no caso de um evento de longo prazo que afete o acesso a um controlador de domínio ou a uma zona de disponibilidade.

Para obter mais informações, consulte Use o comando Windows Serviço de localização de DC.

Compreenda as restrições de nome de usuário para AWS aplicações

Directory Service fornece suporte para a maioria dos formatos de caracteres que podem ser usados na construção de nomes de usuário. No entanto, existem restrições de caracteres impostas aos nomes de usuário que serão usados para fazer login em AWS aplicativos, como WorkSpaces WorkMail, WorkDocs Amazon ou Quick. Essas restrições exigem que os seguintes caracteres não sejam usados:

Melhores práticas ao usar um AWS Diretório gerenciado do Microsoft AD

Aqui estão algumas sugestões que você deve ter em mente ao usar seu Microsoft AD AWS gerenciado.

Não altere usuários, grupos e unidades organizacionais predefinidos

Quando você usa Directory Service para iniciar um diretório, AWS cria uma unidade organizacional (OU) que contém todos os objetos do seu diretório. Essa OU, que tem o nome de NetBIOS que você digitou quando criou seu diretório, está localizada na raiz do domínio. A raiz do domínio pertence e é gerenciada por AWS. Vários grupos e um usuário administrativo também são criados.

Não mova, exclua ou altere de qualquer maneira esses objetos predefinidos. Isso pode tornar seu diretório inacessível tanto para você quanto AWS para. Para obter mais informações, consulte O que é criado com o seu AWS Microsoft AD gerenciado.

Associe automaticamente a domínios

Ao iniciar uma instância do Windows que fará parte de um Directory Service domínio, geralmente é mais fácil ingressar no domínio como parte do processo de criação da instância, em vez de adicioná-la manualmente posteriormente. Para ingressar automaticamente em um domínio, basta selecionar o diretório correto para Domain join directory ao executar uma nova instância. Você pode localizar detalhes em Unindo uma instância Windows do Amazon EC2 à sua AWS Microsoft AD Active Directory gerenciado.

Configure relações de confiança corretamente

Ao configurar a relação de confiança entre seu diretório AWS gerenciado do Microsoft AD e outro diretório, tenha em mente estas diretrizes:

Para obter mais detalhes e instruções específicas sobre como configurar uma relação de confiança, consulte Criando uma relação de confiança entre seus AWS Microsoft AD gerenciado e AD autogerenciado.

Acompanhe a performance do seu controlador de domínio

Para ajudar a otimizar as decisões de escalabilidade e melhorar a resiliência e o desempenho do diretório, recomendamos que você use CloudWatch métricas. Para obter mais informações, consulte Usando CloudWatch para monitorar o desempenho de seus controladores de domínio AWS gerenciados do Microsoft AD.

Para obter instruções sobre como configurar as métricas do controlador de domínio usando o CloudWatch console, consulte Como automatizar o escalonamento AWS gerenciado do Microsoft AD com base nas métricas de utilização no Blog de Segurança. AWS

Planeje cuidadosamente as extensões de esquema

Aplique cuidadosamente extensões de esquema para indexar seu diretório para consultas frequentes e importantes. Cuidado para não indexar em excesso o diretório, pois índices consomem espaço do diretório, e valores indexados que mudam com muita rapidez podem causar problemas de desempenho. Para adicionar índices, crie um arquivo LDIF (Directory Interchange Format) do LDAP (Lightweight Directory Access Protocol) e estenda sua alteração do esquema. Para obter mais informações, consulte Estenda seu esquema AWS gerenciado do Microsoft AD.

Sobre balanceadores de carga

Não use um balanceador de carga na frente dos endpoints AWS gerenciados do Microsoft AD. Microsoftprojetou o Active Directory (AD) para uso com um algoritmo de descoberta de controlador de domínio (DC) que encontra o DC operacional mais responsivo sem balanceamento de carga externo. Network load balancers externos detectam imprecisamente DCs ativos e podem fazer com que seu aplicativo seja enviado para um DC que esteja chegando, mas não pronto para uso. Para obter mais informações, consulte Balanceadores de carga e Active Directory na Microsoft TechNet , que recomenda corrigir aplicativos para usar o Active Directory corretamente em vez de implementar balanceadores de carga externos.

Faça um backup da sua instância

Se você decidir adicionar manualmente uma instância a um Directory Service domínio existente, primeiro faça um backup ou tire um instantâneo dessa instância. Isso é especialmente importante ao ingressar em uma instância do Linux. Alguns dos procedimentos usados para adicionar uma instância, se não forem executados corretamente, podem tornar sua instância inacessível ou não utilizável. Para obter mais informações, consulte Restaurando seu Microsoft AD AWS gerenciado com instantâneos.

Configure o sistema de mensagens do SNS

Com o Amazon Simple Notification Service (Amazon SNS), é possível receber mensagens de e-mail ou de texto (SMS) quando o status de seu diretório é alterado. Você será notificado se o status do diretório mudar de Active para Impaired ou Inoperable. Você também recebe uma notificação quando o diretório retorna para um status Active.

Lembre-se também de que, se você tiver um tópico do SNS que recebe mensagens de Directory Service, antes de excluir esse tópico do console do Amazon SNS, você deve associar seu diretório a um tópico do SNS diferente. Caso contrário, você correrá o risco de perder mensagens de status importantes do diretório. Para obter informações sobre como configurar o Amazon SNS, consulte Habilitando notificações AWS gerenciadas de status de diretório do Microsoft AD com o Amazon Simple Notification Service.

Aplique configurações do serviço de diretório

AWS O Microsoft AD gerenciado permite que você personalize sua configuração de segurança para atender aos requisitos de conformidade e segurança. AWS O Microsoft AD gerenciado implanta e mantém a configuração em todos os controladores de domínio em seu diretório, inclusive ao adicionar novas regiões ou controladores de domínio adicionais. Você pode definir e aplicar essas configurações de segurança para todos os diretórios novos e existentes. Você pode fazer isso no console seguindo as etapas na UpdateSettingsAPI Editar configurações de segurança do diretório ou por meio dela.

Para obter mais informações, consulte Editando configurações de segurança do diretório AWS gerenciado do Microsoft AD.

Remova aplicações da Amazon Enterprise antes de excluir um diretório

Antes de excluir um diretório associado a um ou mais aplicativos empresariais da Amazon, como WorkSpaces, Amazon WorkSpaces Application Manager WorkDocs WorkMail Console de gerenciamento da AWS, Amazon ou Amazon Relational Database Service (Amazon RDS), você deve primeiro remover cada aplicativo. Para obter mais informações sobre como remover esses aplicativos, consulte Excluindo seu AWS Microsoft AD gerenciado.

Use clientes do SMB 2.x ao acessar os compartilhamentos SYSVOL e NETLOGON

Os computadores clientes usam o Server Message Block (SMB) para acessar os compartilhamentos SYSVOL e NETLOGON nos controladores de domínio gerenciados AWS do Microsoft AD para Política de Grupo, scripts de login e outros arquivos. AWS O Microsoft AD gerenciado oferece suporte somente para SMB versão 2.0 (SMBv2) e versões mais recentes.

Os protocolos SMBv2 e mais recentes adicionam alguns recursos que aprimoram o desempenho do cliente e aumentam a segurança dos controladores de domínio e clientes. Esta alteração segue recomendações da United States Computer Emergency Readiness Team e da Microsoft para desabilitar o SMBv1.

Os clientes do SMBv1 trabalharão com qualquer outro servidor de arquivos compatível com o SMBv1 que você tiver. No entanto, AWS recomenda que você atualize todos os seus servidores e clientes SMB para SMBv2 ou mais recente. Para saber mais sobre como desabilitar o SMBv1 e atualizá-lo para versões SMB mais recentes em seus sistemas, consulte essas postagens na Microsoft e na Documentação. TechNet Microsoft

Rastrear conexões remotas do SMBv1

Você pode revisar o log de eventos Microsoft-Windows-SMBServer/Auditdo Windows conectando-se remotamente ao controlador de domínio AWS gerenciado do Microsoft AD. Qualquer evento nesse log indica conexões SMBv1. Veja abaixo um exemplo das informações que você poderá ver em um desses logs:

Acesso do SMB1

Endereço do cliente: ###.###.###.###

Orientação:

Este evento indica que um cliente tentou acessar o servidor usando o SMB1. Para parar de auditar o acesso SMB1, use o cmdlet. PowerShell Set-SmbServerConfiguration

Melhores práticas ao programar seus aplicativos para um AWS Microsoft AD gerenciado

Antes de programar seus aplicativos para funcionarem com o AWS Managed Microsoft AD, considere o seguinte:

Use o comando Windows Serviço de localização de DC

Ao desenvolver aplicativos, use o serviço localizador de Windows DC ou use o serviço DNS Dinâmico (DDNS) do seu AWS Microsoft AD gerenciado para localizar controladores de domínio (DCs). Não codifique aplicativos com o endereço de um DC. O serviço de localização de DC ajuda a garantir que a carga do diretório seja distribuída e permite que você aproveite a escalabilidade horizontal, adicionando controladores de domínio à implantação. Se você vincular o aplicativo a um DC fixo, e o DC passar por patches ou recuperação, seu aplicativo perderá acesso ao DC, em vez de usar um dos DCs restantes. Além disso, a codificação do DC pode resultar na criação de um ponto de acesso de um único DC. Em casos graves, a criação do ponto de acesso pode fazer com que o DC não responda. Esses casos também podem fazer com que a automação do AWS diretório sinalize o diretório como prejudicado e desencadeie processos de recuperação que substituam o DC que não responde.

Faça um teste de carga antes de implantar no ambiente de produção

Faça testes laboratoriais com objetos e solicitações que representam sua workload de produção para confirmar se o diretório é dimensionado conforme a carga da aplicação. Se você precisar de capacidade adicional, teste com outros DCs enquanto distribui as solicitações entre os DCs. Para obter mais informações, consulte Implantando controladores de domínio adicionais para seu AWS Microsoft AD gerenciado.

Use consultas LDAP eficientes

Muitas consultas LDAP para um controlador de domínio em dezenas de milhares de objetos podem consumir ciclos de CPU significativos em um único DC, resultando em pontos de acesso. Isso pode afetar aplicativos que compartilham o mesmo DC durante a consulta.