Configurazione di un gateway desktop remoto per i carichi di lavoro dei server Windows
Questa guida dimostra come distribuire il gateway desktop remoto nel cloud AWS. Gateway RD utilizza il protocollo RDP (Remote Desktop Protocol) su HTTPS per stabilire una connessione sicura e crittografata tra utenti remoti e istanze Amazon Elastic Compute Cloud (Amazon EC2) che eseguono Microsoft Windows senza dover configurare una connessione VPN. In questo modo è possibile ridurre gli attacchi sulle istanze basate su Windows, fornendo al contempo una soluzione di amministrazione da remoto per gli amministratori. Puoi scegliere di distribuire RD Gateway in un nuovo cloud privato virtuale (VPC, Virtual Private Cloud) nel tuo account AWS o in un VPC esistente, in modalità autonoma o aggiunta a un dominio.
Nota: [Disclaimer]
Diagramma dell'architettura
[Descrizione del diagramma dell’architettura]
Fase 1
Usa il modello AWS CloudFormation per distribuire RD Gateway in un Amazon Virtual Private Cloud (Amazon VPC) nuovo o esistente che si estende su due zone di disponibilità con sottoreti pubbliche e private. Usa il modello CloudFormation separato per distribuire istanze Windows di Active Directory aggiunte a un dominio (che richiede un VPC esistente) o non aggiunte al dominio nelle sottoreti private.
Fase 2
AWS Secrets Manager archivia in modo sicuro le credenziali (come nome utente e password) utilizzate per accedere alle istanze RD Gateway. Nota: consigliamo vivamente di abilitare l'autenticazione a più fattori (MFA) sulle istanze RD Gateway per una maggiore sicurezza.
Fase 3
AWS Systems Manager automatizza la distribuzione del gruppo Amazon EC2 Auto Scaling sulle due sottoreti pubbliche recuperando i valori di nome utente e password da Secrets Manager e configurando le istanze RD Gateway.
Fase 4
Ogni sotttorete pubblica ha fino a quattro istanze di RD Gateway in un gruppo Auto Scaling per fornire accesso sicuro in remoto alle istanze delle sottoreti private. A ciascuna istanza RD Gateway viene assegnato un indirizzo IP elastico che la rende raggiungibile direttamente da Internet.
Fase 5
Un livello applicativo vuoto per le istanze nelle sottoreti private, incluso un gruppo di sicurezza per le istanze, consente l'accesso alle porte RD Gateway necessarie.
Fase 6
Un Network Load Balancer consente l'accesso remoto al gruppo Auto Scaling di RD Gateway.
Fase 7
Un gateway Internet consente l'accesso a Internet. Questo gateway è utilizzato dalle istanze di RD Gateway per inviare e ricevere il traffico.
Fase 8
Gateway NAT (Network Address Translation) gestiti che consentono l’accesso Internet in uscita a Internet alle risorse all’interno delle sottoreti private.
Fase 9
Una risorsa Amazon EventBridge rimuove le istanze disattivate dal dominio Active Directory.
Fase 1
Usa il modello AWS CloudFormation per distribuire RD Gateway in un Amazon Virtual Private Cloud (Amazon VPC) nuovo o esistente che si estende su due zone di disponibilità con sottoreti pubbliche e private. Usa il modello CloudFormation separato per distribuire istanze Windows di Active Directory aggiunte a un dominio (che richiede un VPC esistente) o non aggiunte al dominio nelle sottoreti private.
Fase 2
AWS Secrets Manager archivia in modo sicuro le credenziali (come nome utente e password) utilizzate per accedere alle istanze RD Gateway. Nota: consigliamo vivamente di abilitare l'autenticazione a più fattori (MFA) sulle istanze RD Gateway per una maggiore sicurezza.
Fase 3
AWS Systems Manager automatizza la distribuzione del gruppo Amazon EC2 Auto Scaling sulle due sottoreti pubbliche recuperando i valori di nome utente e password da Secrets Manager e configurando le istanze RD Gateway.
Fase 4
Ogni sotttorete pubblica ha fino a quattro istanze di RD Gateway in un gruppo Auto Scaling per fornire accesso sicuro in remoto alle istanze delle sottoreti private. A ciascuna istanza RD Gateway viene assegnato un indirizzo IP elastico che la rende raggiungibile direttamente da Internet.
Fase 5
Un livello applicativo vuoto per le istanze nelle sottoreti private, incluso un gruppo di sicurezza per le istanze, consente l'accesso alle porte RD Gateway necessarie.
Fase 6
Un Network Load Balancer consente l'accesso remoto al gruppo Auto Scaling di RD Gateway.
Fase 7
Un gateway Internet consente l'accesso a Internet. Questo gateway è utilizzato dalle istanze di RD Gateway per inviare e ricevere il traffico.
Fase 8
Gateway NAT (Network Address Translation) gestiti che consentono l’accesso Internet in uscita a Internet alle risorse all’interno delle sottoreti private.
Fase 9
Una risorsa Amazon EventBridge rimuove le istanze disattivate dal dominio Active Directory.
Principi di Well-Architected
Il framework AWS Well-Architected consente di valutare i pro e i contro delle decisioni prese durante il processo di creazione di sistemi nel cloud. I sei principi del framework consentono di apprendere le best practice architetturali per la progettazione e il funzionamento di sistemi affidabili, sicuri, efficienti, convenienti e sostenibili. Grazie allo strumento AWS Well-Architected, disponibile gratuitamente nella Console di gestione AWS, puoi rivedere i tuoi carichi di lavoro rispetto a queste best practice rispondendo a una serie di domande per ciascun principio.
Il diagramma dell'architettura sopra riportato è un esempio di una soluzione creata tenendo conto delle best practice Well-Architected. Per essere completamente Well-Architected, dovresti seguire il maggior numero possibile di best practice.
-
Eccellenza operativaLeggi il whitepaper sull'eccellenza operativa
I modelli CloudFormation descrivono le risorse desiderate e le relative dipendenze in un unico stack e consentono di creare, aggiornare ed eliminare un intero stack come una singola unità, semplificando la gestione delle risorse cloud per le sottoreti pubbliche e private nelle zone di disponibilità.
Systems Manager centralizza i dati operativi in un hub da diversi servizi AWS e automatizza le attività delle risorse su AWS. Offre la gestione delle operazioni per il monitoraggio dello stato e delle prestazioni, la gestione delle applicazioni per semplificare i flussi di lavoro operativi, la gestione delle modifiche per semplificare le modifiche operative alla configurazione delle applicazioni e la gestione dei nodi per accelerare la risoluzione dei problemi e automatizzare l'applicazione delle patch.
-
SicurezzaLeggi il whitepaper sulla sicurezza
Secrets Manager crittografa in modo sicuro e verifica centralmente i segreti in combinazione con AWS Identity and Access Management (IAM) a grana fine e policy basate sulle risorse. Ciò protegge l'accesso alle applicazioni, ai servizi e alle risorse IT e consente di soddisfare i requisiti normativi e di conformità per la sicurezza e la privacy dei dati. Per una maggiore sicurezza, abilita l'MFA sulle istanze RD Gateway.
La sottorete privata in Amazon VPC contiene un gruppo di sicurezza per le istanze per consentire l'accesso alle porte necessarie. Le sottoreti pubbliche contengono istanze RD Gateway per l'accesso remoto sicuro alle istanze nelle sottoreti private. La sottorete pubblica ha un percorso diretto verso un gateway Internet che consente l'accesso alla rete Internet pubblica; la sottorete privata non ha un percorso diretto verso un gateway Internet e richiede un gateway NAT per accedere alla rete Internet pubblica.
-
AffidabilitàLeggi il whitepaper sull'affidabilità
Network Load Balancer è in grado di gestire milioni di richieste per secondo mantenendo al contempo latenze estremamente basse. È inoltre ottimizzato per gestire pattern di traffico incostanti e con picchi improvvisi utilizzando un singolo indirizzo IP statico per ogni zona di disponibilità. Network Load Balancer opera a livello di connessione (livello 4) in modo da poter bilanciare il carico del traffico TCP e UDP, indirizzando le connessioni verso destinazioni, come le istanze Amazon Elastic Compute Cloud (Amazon EC2), i microservizi e i contenitori.
-
Efficienza delle prestazioniLeggi il whitepaper sull'efficienza delle prestazioni
Amazon EC2 Auto Scaling ti aiuta a disporre sempre del numero corretto di istanze EC2 disponibili per gestire il carico della tua applicazione. Si creano raccolte di istanze EC2 denominate gruppi Auto Scaling. Amazon EC2 Auto Scaling assicura che il gruppo disponga sempre del numero di istanze specificato per soddisfare la capacità desiderata. Se specifichi politiche di scalabilità, Amazon EC2 Auto Scaling può avviare o terminare istanze su richiesta man mano che il carico dell'applicazione aumenta o diminuisce.
-
Ottimizzazione dei costiLeggi il whitepaper sull'ottimizzazione dei costi
Amazon EC2 Auto Scaling ottimizza le prestazioni e i costi del carico di lavoro combinando opzioni di acquisto e tipi di istanza. Questo servizio consente di effettuare il provisioning e dimensionare automaticamente le istanze su più modelli di acquisto, zone di disponibilità e famiglie di istanze in un’unica applicazione per ottimizzare dimensionamento, prestazioni e costo. Puoi includere istanze Spot di Amazon EC2 con istanze on demand e riservate in un singolo gruppo Auto Scaling per risparmiare fino al 90 percento sull'elaborazione.
-
SostenibilitàLeggi il whitepaper sulla sostenibilità
Insieme, Amazon EC2 Auto Scaling e Network Load Balancer si scalano automaticamente in entrata e in uscita in base all'elasticità del traffico del carico di lavoro. Una risorsa EventBridge rimuove le istanze disattivate dal dominio Active Directory. Questa architettura aggiunge e rimuove automaticamente le istanze, ottimizzando efficacemente l'impatto ambientale del carico di lavoro.
Risorse per l'implementazione
Viene fornita una guida dettagliata da sperimentare e utilizzare all'interno del tuo account AWS. Ogni fase della creazione della guida, inclusa l'implementazione, l'utilizzo e la pulizia, viene esaminata per prepararla all'implementazione.
Il codice di esempio è un punto di partenza. È convalidato dal settore, prescrittivo ma non definitivo, ed è il punto di partenza per iniziare a lavorare.
Contenuti correlati
Gateway desktop remoto CloudFormation
Gateway desktop remoto su AWS
Avvertenza
Il codice di esempio, le librerie software, gli strumenti della linea di comando, le proof of concept, i modelli e le altre tecnologie correlate (comprese tutte le tecnologie di cui sopra fornite dal nostro personale) vengono forniti all'utente sotto forma di contenuto AWS ai sensi dell'Accordo cliente AWS o del relativo accordo scritto stipulato tra l'utente e AWS (a seconda dei casi). Non bisogna utilizzare il contenuto AWS in questione negli account di produzione o sui dati di produzione o altri dati fondamentali. L'utente è responsabile dei test, della sicurezza e dell'ottimizzazione del contenuto AWS, come il codice di esempio, in modo appropriato per l'utilizzo in produzione sulla base delle pratiche e degli standard di qualità specifici. L'implementazione del contenuto AWS può comportare costi AWS per la creazione o l'utilizzo di risorse AWS addebitabili, quali le istanze Amazon EC2 in esecuzione o l'archiviazione Amazon S3.
Eventuali riferimenti a servizi o organizzazioni di terze parti contenuti in questa guida non implicano alcuna approvazione, sponsorizzazione o affiliazione tra Amazon o AWS e dette terze parti. La guida di AWS è un punto di partenza tecnico e l'integrazione con servizi di terze parti può essere personalizzata al momento dell'implementazione dell'architettura.