Configuración de una puerta de enlace de escritorio remoto para cargas de trabajo de servidores Windows
En esta guía se muestra cómo implementar la puerta de enlace de escritorio remoto en la nube de AWS. La puerta de enlace de escritorio remoto utiliza el Protocolo de escritorio remoto (RDP), en lugar de HTTPS para establecer una conexión cifrada entre los usuarios remotos y las instancias de Amazon Elastic Compute Cloud (Amazon EC2) que pongan en marcha Microsoft Windows, sin la necesidad de configurar una red privada virtual. Esto le permite reducir los ataques en sus instancias basadas en Windows, mientras proporciona una solución administrativa remota para los administradores. Puede elegir implementar la puerta de enlace de escritorio remoto en una nueva nube privada virtual (VPC) en su cuenta de AWS, o bien en una VPC existente, ya sea de manera independiente o unida a un dominio.
Tenga en cuenta lo siguiente: [Descargo de responsabilidad]
Diagrama de la arquitectura
[Descripción del diagrama de arquitectura]
Paso 1
Utilice la plantilla de AWS CloudFormation para implementar la puerta de enlace de escritorio remoto en una instancia de Amazon Virtual Private Cloud (Amazon VPC) nueva o existente que abarque dos zonas de disponibilidad con subredes públicas y privadas. Use la plantilla de CloudFormation independiente para implementar instancias de Windows unidas a un dominio de Active Directory (que requiere una VPC existente) o no unidas a ningún dominio en las subredes privadas.
Paso 2
AWS Secrets Manager almacena de forma segura las credenciales (como el nombre de usuario y la contraseña) utilizadas para acceder a las instancias de la puerta de enlace de escritorio remoto. Nota: Recomendamos encarecidamente habilitar la autenticación multifactor (MFA) en las instancias de la puerta de enlace de escritorio remoto para una mayor seguridad.
Paso 3
AWS Systems Manager automatiza la implementación del grupo de Amazon EC2 Auto Scaling que abarca las dos subredes públicas mediante la recuperación de los valores de nombre de usuario y contraseña de Secrets Manager y la configuración de las instancias de la puerta de enlace de escritorio remoto.
Paso 4
Cada subred pública tiene hasta cuatro instancias puerta de enlace de escritorio remoto en un grupo de escalado automático para proporcionar acceso remoto seguro a instancias en las subredes privadas. A cada instancia de la puerta de enlace de escritorio remoto se le asigna una dirección IP elástica para que sea accesible directamente desde Internet.
Paso 5
Un nivel de aplicación vacío para las instancias de las subredes privadas, incluido un grupo de seguridad para las instancias, permite el acceso a los puertos de la puerta de enlace de escritorio remoto necesarios.
Paso 6
Un equilibrador de carga de red permite el acceso remoto al grupo de escalado automático de la puerta de enlace de escritorio remoto.
Paso 7
Una puerta de enlace de Internet permite el acceso a Internet. Las instancias de la puerta de enlace de escritorio remoto utilizan esta puerta de enlace para enviar y recibir tráfico.
Paso 8
Las puertas de enlace de traducción de direcciones de red (NAT) administradas permiten el acceso de salida a Internet a los recursos que se encuentren en las subredes privadas.
Paso 9
Un recurso de Amazon EventBridge elimina las instancias retiradas del dominio de Active Directory.
Paso 1
Utilice la plantilla de AWS CloudFormation para implementar la puerta de enlace de escritorio remoto en una instancia de Amazon Virtual Private Cloud (Amazon VPC) nueva o existente que abarque dos zonas de disponibilidad con subredes públicas y privadas. Use la plantilla de CloudFormation independiente para implementar instancias de Windows unidas a un dominio de Active Directory (que requiere una VPC existente) o no unidas a ningún dominio en las subredes privadas.
Paso 2
AWS Secrets Manager almacena de forma segura las credenciales (como el nombre de usuario y la contraseña) utilizadas para acceder a las instancias de la puerta de enlace de escritorio remoto. Nota: Recomendamos encarecidamente habilitar la autenticación multifactor (MFA) en las instancias de la puerta de enlace de escritorio remoto para una mayor seguridad.
Paso 3
AWS Systems Manager automatiza la implementación del grupo de Amazon EC2 Auto Scaling que abarca las dos subredes públicas mediante la recuperación de los valores de nombre de usuario y contraseña de Secrets Manager y la configuración de las instancias de la puerta de enlace de escritorio remoto.
Paso 4
Cada subred pública tiene hasta cuatro instancias puerta de enlace de escritorio remoto en un grupo de escalado automático para proporcionar acceso remoto seguro a instancias en las subredes privadas. A cada instancia de la puerta de enlace de escritorio remoto se le asigna una dirección IP elástica para que sea accesible directamente desde Internet.
Paso 5
Un nivel de aplicación vacío para las instancias de las subredes privadas, incluido un grupo de seguridad para las instancias, permite el acceso a los puertos de la puerta de enlace de escritorio remoto necesarios.
Paso 6
Un equilibrador de carga de red permite el acceso remoto al grupo de escalado automático de la puerta de enlace de escritorio remoto.
Paso 7
Una puerta de enlace de Internet permite el acceso a Internet. Las instancias de la puerta de enlace de escritorio remoto utilizan esta puerta de enlace para enviar y recibir tráfico.
Paso 8
Las puertas de enlace de traducción de direcciones de red (NAT) administradas permiten el acceso de salida a Internet a los recursos que se encuentren en las subredes privadas.
Paso 9
Un recurso de Amazon EventBridge elimina las instancias retiradas del dominio de Active Directory.
Pilares de Well-Architected
AWS Well-Architected Framework le permite comprender las ventajas y desventajas de las decisiones que tome durante la creación de sistemas en la nube. Los seis pilares de este marco permiten aprender las prácticas recomendadas arquitectónicas para diseñar y explotar sistemas confiables, seguros, eficientes, rentables y sostenibles. Con la Herramienta de AWS Well-Architected, que se encuentra disponible gratuitamente en la Consola de administración de AWS, puede revisar sus cargas de trabajo con respecto a estas prácticas recomendadas al responder a un conjunto de preguntas para cada pilar.
El diagrama de arquitectura mencionado es un ejemplo de una solución que se creó teniendo en cuenta las prácticas recomendadas de una buena arquitectura. Para tener completamente una buena arquitectura, debe seguir todas las prácticas recomendadas de buena arquitectura posibles.
-
Excelencia operativaLea el documento técnico sobre excelencia operativa
En las plantillas de CloudFormation se describen los recursos deseados y sus dependencias en una sola pila y le permiten crear, actualizar y eliminar una pila completa como una sola unidad, lo que le facilita la administración de los recursos de nube para las subredes públicas y privadas en todas las zonas de disponibilidad.
Systems Manager centraliza datos operativos de diferentes servicios de AWS en un centro y automatiza tareas en recursos de AWS. Ofrece administración de operaciones para supervisar el estado y el rendimiento, administración de aplicaciones para agilizar los flujos de trabajo operativos, administración de cambios para simplificar los cambios operativos en la configuración de las aplicaciones y administración de nodos para acelerar la resolución de problemas y automatizar la aplicación de revisiones.
-
SeguridadLea el documento técnico sobre seguridad
Secrets Manager cifra de forma segura y audita de forma centralizada los secretos en combinación con políticas detalladas de AWS Identity and Access Management (IAM) y basadas en recursos. Esto protege el acceso a sus aplicaciones, servicios y recursos de TI y le permite cumplir con los requisitos normativos y de conformidad en materia de seguridad y privacidad de los datos. Para lograr una mayor seguridad, habilite la MFA en las instancias de la puerta de enlace de escritorio remoto.
La subred privada de Amazon VPC contiene un grupo de seguridad para que las instancias permitan el acceso a los puertos necesarios. Las subredes públicas contienen instancias de la puerta de enlace de escritorio remoto para garantizar un acceso remoto seguro a las instancias de las subredes privadas. La subred pública tiene una ruta directa a una puerta de enlace de Internet que permite el acceso a la Internet pública; la subred privada no tiene ninguna ruta directa a una puerta de enlace de Internet y requiere una puerta de enlace de NAT para acceder a la Internet pública.
-
FiabilidadLea el documento técnico sobre fiabilidad
El equilibrador de carga de red puede gestionar millones de solicitudes por segundo y mantener latencias muy bajas. También está optimizado para administrar patrones de tráfico volátiles y repentinos con una sola dirección IP estática por zona de disponibilidad. El equilibrador de carga de red funciona en el nivel de conexión (nivel 4) para que pueda equilibrar la carga del tráfico TCP y UDP y enrutar las conexiones a destinos, como instancias, microservicios y contenedores de Amazon Elastic Compute Cloud (Amazon EC2).
-
Eficiencia en el rendimientoLea el documento técnico sobre eficacia del rendimiento
Amazon EC2 Auto Scaling le permite garantizar que cuente con la cantidad correcta de instancias de EC2 disponibles para controlar la carga de su aplicación. Puede crear colecciones de instancias de EC2 denominadas “grupos de escalado automático”. Amazon EC2 Auto Scaling garantiza que su grupo siempre tenga la cantidad de instancias que ha especificado para cumplir con la capacidad deseada. Si especifica políticas de escalado, Amazon EC2 Auto Scaling puede lanzar o terminar instancias bajo demanda a medida que la carga de la aplicación aumente o disminuya.
-
Optimización de costosLea el documento técnico sobre optimización de costos
Amazon EC2 Auto Scaling optimiza el rendimiento y el costo de las cargas de trabajo mediante la combinación de opciones de compra y tipos de instancia. Este servicio le permite aprovisionar y escalar automáticamente instancias en opciones de compra, zonas de disponibilidad y familias de instancias en un mismo grupo de aplicación a fin de optimizar el escalado, el rendimiento y el costo. Puede incluir instancias de spot de Amazon EC2 con instancias bajo demanda y reservadas en un único grupo de escalado automático para ahorrar hasta un 90 por ciento en computación.
-
SostenibilidadLea el documento técnico sobre sostenibilidad
Juntos, Amazon EC2 Auto Scaling y el equilibrador de carga de red reducen y escalan horizontalmente de forma automática en función de la elasticidad del tráfico de la carga de trabajo. Un recurso de EventBridge elimina las instancias retiradas del dominio de Active Directory. Esta arquitectura agrega y elimina instancias automáticamente, lo que optimiza de manera efectiva el impacto ambiental de la carga de trabajo.
Recursos de implementación
Se proporciona una guía detallada para experimentar y utilizar dentro de su cuenta de AWS. Se examina cada etapa de la creación de la guía, incluida la implementación, el uso y la limpieza, con el fin de prepararla para su implementación.
El código de muestra es un punto de partida. Está validado por el sector, es prescriptivo pero no definitivo, y le permite profundizar en su funcionamiento para que le sea más fácil empezar.
Contenido relacionado
Puerta de enlace de escritorio remoto de CloudFormation
Puerta de enlace de escritorio remoto en AWS
Descargo de responsabilidad
El código de muestra; las bibliotecas de software; las herramientas de línea de comandos; las pruebas de concepto; las plantillas; o cualquier otra tecnología relacionada (incluida cualquiera de las anteriores que proporcione nuestro personal) se brinda como contenido de AWS bajo el Contrato de cliente de AWS, o el contrato escrito pertinente entre usted y AWS (lo que sea aplicable). No debe utilizar este contenido de AWS en sus cuentas de producción, ni en producción ni en otros datos críticos. Es responsable de probar, proteger y optimizar el contenido de AWS, como el código de muestra, según corresponda para el uso de grado de producción en función de sus prácticas y estándares de control de calidad específicos. La implementación de contenido de AWS puede incurrir en cargos de AWS por crear o utilizar recursos con cargo de AWS, como ejecutar instancias de Amazon EC2 o utilizar el almacenamiento de Amazon S3.
Las referencias a servicios u organizaciones de terceros en esta Guía no implican un respaldo, patrocinio o afiliación entre Amazon o AWS y el tercero. La orientación de AWS es un punto de partida técnico, y puede personalizar su integración con servicios de terceros al implementar la arquitectura.