Caractéristiques d'AWS Directory Service

La réplication multi-régions vous permet de déployer et d'utiliser un répertoire AWS Managed Microsoft AD unique dans plusieurs régions AWS. Il est ainsi plus simple et plus rentable de déployer et de gérer vos charges de travail Microsoft Windows et Linux à l'échelle mondiale. Grâce à la capacité de réplication multirégionale automatisée, vous bénéficiez d'une plus grande résilience, tandis que vos applications utilisent un répertoire local pour de meilleures performances.

AWS Managed Microsoft AD s'intègre étroitement à AWS Organizations pour permettre un partage d'annuaires fluide entre plusieurs comptes AWS. Vous pouvez partager un répertoire unique avec d'autres comptes AWS approuvés au sein de la même organisation ou partager le répertoire avec d'autres comptes AWS extérieurs à votre organisation. Vous pouvez également partager votre annuaire lorsque votre compte AWS n'est actuellement pas membre d'une organisation.

AWS Managed Microsoft AD permet d'utiliser la liaison de domaine transparente pour les instances Amazon EC2 for Windows Server et Amazon EC2 for Linux nouvelles et existantes. Dans le cas des nouvelles instances EC2, vous pouvez choisir le domaine à lier au moment du lancement grâce à la console de gestion AWS. Vous pouvez utiliser la liaison de domaine transparente pour les instances EC2 existantes grâce au service EC2Config. Les instances Amazon EC2 peuvent également se lier à un seul annuaire partagé depuis n'importe quel compte AWS et Amazon VPC au sein d'une région AWS.

AWS Managed Microsoft AD vous permet de gérer les utilisateurs et les appareils à l'aide d'objets Stratégie de groupe Active Directory (GPO) natifs. Vous pouvez créer des objets Stratégie de groupe en utilisant les outils existantes tels que Console de gestion des stratégies de groupe.

Vous pouvez étendre votre schéma AWS Managed Microsoft AD en ajoutant de nouvelles classes d'objets et de nouveaux attributs. Vous pouvez également utiliser des extensions de schéma pour permettre la prise en charge des applications qui s'appuient sur des classes d'objets et des attributs Active Directory spécifiques. Cela peut être particulièrement utile lorsque vous devez migrer des applications d'entreprise qui dépendent d'AWS Managed Microsoft AD vers le cloud AWS. (Source)

Les administrateurs peuvent gérer les comptes de service à l'aide d'une méthode appelée Group Managed Service Accounts (gMSAs). Grâce aux gMSAs, les administrateurs de services n'ont plus besoin de gérer manuellement la synchronisation des mots de passe entre les instances de service. Au lieu de cela, un administrateur pourrait simplement créer un gMSAs dans Active Directory, puis configurer plusieurs instances de service pour utiliser ce seul gMSAs. Pour accorder des autorisations permettant aux utilisateurs d'AWS Managed Microsoft AD de créer un gMSAs, vous devez ajouter leurs comptes en tant que membre du groupe de sécurité AWS Delegated Managed Service Account Administrators. Par défaut, le compte Admin est membre de ce groupe.

Vous pouvez facilement intégrer AWS Managed Microsoft AD à votre annuaire AD existant en utilisant les relations de confiance AD. L'utilisation de trusts vous permet d'utiliser votre Active Directory existant pour contrôler quels utilisateurs AD peuvent accéder à vos ressources AWS.

AWS Managed Microsoft AD utilise la même authentification Kerberos que votre annuaire AD sur site. En intégrant vos ressources AWS à AWS Managed Microsoft AD, vos utilisateurs AD peuvent se connecter avec SSO aux applications et ressources AWS en utilisant un seul ensemble d'informations d'identification.

Vous pouvez configurer des paramètres de répertoire précis pour votre AWS Managed Microsoft AD afin de répondre à vos exigences de conformité et de sécurité sans augmenter la charge de travail opérationnelle. Dans les paramètres du répertoire, vous pouvez mettre à jour la configuration des canaux sécurisés pour les protocoles et les chiffrements utilisés dans votre répertoire. Par exemple, vous avez la possibilité de désactiver les anciens chiffrements individuels, tels que RC4 ou DES, et les protocoles, tels que SSL 2.0/3.0 et TLS 1.0/1.1. AWS Managed Microsoft AD déploie ensuite la configuration sur tous les contrôleurs de domaine de votre annuaire, gère les redémarrages des contrôleurs de domaine et maintient cette configuration à mesure que vous montez en puissance ou déployez des régions AWS supplémentaires. Pour tous les paramètres disponibles, consultez la liste des paramètres de sécurité des annuaires.

Le protocole LDAPS côté serveur chiffre les communications LDAP entre vos applications commerciales ou locales compatibles LDAP (agissant en tant que clients LDAP) et AWS Managed Microsoft AD (agissant en tant que serveur LDAP). Pour plus d'informations, consultez Activer le protocole LDAPS côté serveur à l'aide d'AWS Managed Microsoft AD.

Le protocole LDAPS côté client chiffre les communications LDAP entre les applications AWS telles que WorkSpaces (agissant en tant que clients LDAP) et votre Active Directory autogéré (agissant en tant que serveur LDAP). Pour plus d'informations, consultez Activer le protocole LDAPS côté client à l'aide d'AWS Managed Microsoft AD.

L'intégration d'AWS Managed Microsoft AD et AD Connector au connecteur AWS Private Certificate Authority (AWS Private CA) pour AD vous permet d'inscrire des objets joints à un domaine AD, notamment des utilisateurs, des groupes et des machines, à l'aide de certificats émis par AWS Private CA. Vous pouvez utiliser AWS Private CA pour remplacer les autorités de certification autogérées de votre entreprise sans avoir à déployer, corriger ou mettre à jour des agents locaux ou des serveurs proxy. Vous pouvez configurer l'intégration d'AWS Private CA à votre annuaire en quelques clics ou par programmation via une API.

Vous pouvez utiliser AWS Managed Microsoft AD pour créer et exécuter des applications cloud compatibles avec la publicité qui sont soumises au programme fédéral de gestion des risques et des autorisations (FedRAMP), États-Unis. Programmes de conformité à la loi sur la portabilité et la responsabilité en matière d'assurance maladie (HIPAA) et à la norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS) . AWS Managed Microsoft AD réduit les efforts requis pour déployer une infrastructure AD conforme pour vos applications en nuage, car vous gérez vos propres programmes de gestion des risques HIPAA, PCI DSS ou la certification de conformité FedRAMP. Consultez la liste complète des programmes de conformité auxquels AWS Managed AD est éligible.

À l'aide d'Amazon Simple Notification Service (Amazon SNS), vous pouvez recevoir des e-mails ou des SMS lorsque le statut de votre annuaire change. Vous recevez une notification si votre répertoire passe du statut actif à l'état altéré ou inutilisable. Vous recevez également une notification lorsque l'annuaire redevient actif.

AWS Directory Service s'intègre à Amazon CloudWatch afin de vous fournir des métriques de performance importantes pour chaque contrôleur de domaine de votre annuaire. Cela signifie que vous pouvez surveiller les compteurs de performance des contrôleurs de domaine, tels que l'utilisation du processeur et de la mémoire. Vous pouvez également configurer des alarmes et lancer des actions automatisées pour répondre aux périodes de forte utilisation. 

Utilisez la console AWS Directory Service ou les API pour transférer les journaux des événements de sécurité du contrôleur de domaine vers Amazon CloudWatch Logs. Cela vous aide à répondre à vos exigences en matière de sécurité, d'audit et de conservation des journaux en assurant la transparence des événements de sécurité dans votre répertoire. Vous pouvez également transférer les journaux des événements de sécurité de votre annuaire vers Amazon CloudWatch Logs sur le compte Amazon Web Services (AWS) de votre choix, et surveiller les événements de manière centralisée à l'aide des services AWS ou d'applications tierces telles que Splunk, un partenaire technologique avancé du réseau de partenaires AWS (APN)doté de la compétence de sécurité AWS.

Vous pouvez permettre à vos utilisateurs AD sur site de se connecter à la console de gestion AWS et à AWS CLI avec leurs informations d'identification AD existantes avec AWS Identity Center (successeur d'AWS SSO) en sélectionnant AWS Managed Microsoft AD comme source d'identité. Ainsi, les utilisateurs peuvent assurer l'un des rôles qui leur ont été attribués lors de l'inscription, et accéder aux ressources et d'agir sur celles-ci selon les autorisations définies pour le rôle. Une autre option consiste à utiliser AWS Managed Microsoft AD pour permettre à vos utilisateurs d'assurer un rôle gestion des identités et des accès AWS (IAM).

AWS Managed Microsoft AD vous permet d'utiliser un seul annuaire pour vos charges de travail prenant en charge l'annuaire dans les ressources AWS, comme vos instances Amazon EC2, vos instances Amazon RDS for SQL Server et vos services AWS End User Computing, tels qu'Amazon WorkSpaces. Le partage d'un annuaire permet à vos charges de travail compatibles avec l'annuaire de gérer des instances Amazon EC2 sur plusieurs comptes AWS et Amazon VPC au sein d'une région. De plus, vous n'avez pas besoin de répliquer et de synchroniser les données entre plusieurs répertoires.