Single Sign-on mit Microsoft Entra und Co. AWS mit Azure AD verbinden

Anbieter zum Thema

VMware Global Inc Zweigndl. Deutschland

Fujitsu Technology Solutions GmbH

Southern Tech GmbH

Es gibt Einsatzszenarien, in denen Anwender sich mit Konten aus Azure AD bei Ressourcen in AWS anmelden sollen, zum Beispiel für SSO oder für die einfachere Verwaltung der Berechtigungen. Auch beim Einsatz von AWS Workspaces ist es möglich, sich mit Azure AD-Konten zu authentifizieren.

Viele Unternehmen und Organisationen, die auf AWS setzen, nutzen zusätzlich Dienste aus Microsoft Azure und setzen dabei auf Azure AD. Hier kommen oft Anforderungen auf, die Authentifizierungen in AWS über Azure AD abzuwickeln. Zusammen mit Azure AD Connect lassen sich Konten aus Active Directory On-Premises mit Azure AD synchronisieren und auch für die Authentifizierung in AWS nutzen. Single Sign-on (SSO) lässt sich somit in der Infrastruktur nutzen bei maximal geschützter Sicherheit.

AWS und Azure lieber nicht über VPNs verknüpfen

Viele Unternehmen nutzen für die Verknüpfung von AWS mit Azure VPN-Tunnel zwischen den VPC in AWS und den VNets in Azure. Allerdings ist diese Verbindung nicht ideal, da sie nicht sehr performant ist und in den meisten Fällen auch nicht sonderlich stabil. Der Datendurchsatz von VPNs zwischen AWS und Azure ist häufig nicht ausreichend, sodass mehrere Tunnel notwendig sind. Das erhöht die Komplexität und die Wahrscheinlichkeit von Instabilitäten.

Das liegt auch daran, weil die Pakete über das Internet geroutet werden, was bezüglich Qualität und Leistung nicht ideal ist. Dazu kommen Sicherheitsgefahren durch das Hijacking des Border Gateway Protocol (BGP). Last but not least ist ein VPN zwischen den Welten auch teuer, da beide Cloud-Anbieter für den Transfer aus und in die Cloud Geld verlangen.

Stabiler lassen sich die Verbindungen über private Leitungen herstellen. Aber diese Leitungen sind teuer und oft mit langfristigen Verträgen verknüpft. Dazu kommt auch hier, dass die Leistung nicht unbedingt die beste ist. Private Leitungen sind aber eine Lösung für das Problem der Verbindungen über das Internet. Eine weitere Möglichkeit sind virtuelle Router, die eine private Verbindung zwischen AWS und Azure erstellen. Ein Beispiel dafür ist der Megaport Cloud Router. Allerdings kommen hier noch Kosten eines Drittanbieters dazu.

Direkte Synchronisierung

Für AWS Workspaces beispielsweise, aber auch andere Ressourcen in AWS, gibt es die Möglichkeit, auf Azure AD Domain Services zu setzen. Mit den Azure AD Domain Services können Organisationen ein Active Directory in der Cloud aufbauen, das im Gegensatz zu einem herkömmlichen Azure AD auch Gruppenrichtlinien, LDAP, NTLM und Kerberos unterstützt.

Benutzerkonten lassen sich ebenfalls mit Azure AD Domain Services aus lokalen Netzwerken mit On-Premises-Active Directory synchronisieren. Durch die Verknüpfung zwischen AWS und Azure AD Domain Services können auf diesem Weg SSO-Szenarien aufgebaut werden oder sich Anwender generell an AWS Workspaces und auch an anderen Ressourcen mit Konten aus AD und Azure AD anmelden.

Das Active Directory in der Amazon-Cloud

Parallel dazu stellt auch Amazon mit AWS Directory Services ein verwaltetes Active Directory in der Cloud zur Verfügung, das zum Beispiel für den Einsatz von AWS Workspaces genutzt werden kann. AWS Directory Service steht in der Standard- und der Enterprise-Edition zur Verfügung. In der Standard-Edition gibt es 1 GB Speicherplatz, in der Enterprise-Edition 17 GB Speicherplatz.

Die Enterprise-Edition ist für große Unternehmen bis zu 500.000 Objekte ideal. Für Administratoren, die nur Desktops benötigen und keine Domäne verwalten möchten, gibt es Simple Active Directory auf Basis von Samba.

Im Zusammenhang mit Azure AD Domain Services und auch mit AWS Directory Service für die Synchronisierung von Benutzerkonten und Geräten zwischen lokalen AD-Strukturen und Azure AD spielt der Amazon AWS Active Directory Connector eine wichtige Rolle. Mit dem Connector lassen sich Objekte zwischen Azure AD Domain Services, lokalen Active Directory-Gesamtstrukturen und AWS Directory Services synchronisieren.

Bildergalerie

Bildergalerie mit 10 Bildern

Verknüpfung von AWS Workspaces mit Azure AD Domain Services

Um AWS Workspaces oder auch andere Ressourcen mit Azure AD Domain Services zu verknüpfen, sind bestimmte Voraussetzungen notwendig. Wichtig ist zunächst eine virtuelle private Cloud (VPC) in einer AWS-Region mit Amazon Workspaces. Zwei private Subnetze in der VPC sind für die Verbindung zu Azure Active Directory ebenfalls notwendig.

Die Verbindung zwischen AWS und Azure AD kann in diesem Fall über ein VPN zwischen dem VPN und der Azure-Ressourcengruppe erfolgen. Hier werden nur Benutzerdaten synchronisiert, daher ist ein VPN durchaus ausreichend. Die Tunnel müssen so konfiguriert sein, dass der Verkehr zwischen Azure AD und den Subnetzen, in denen die Workspaces untergebracht sind, zugelassen wird. Danach erfolgt die Einrichtung zwischen AWS und Azure. Für die Synchronisierung kommt der AWS Directory Connector zum Einsatz, den wir bereits weiter oben behandelt haben.

Azure AD mit AWS Single Sign-on

Sollen sich Benutzer mit ihrem Azure AD-Konto an AWS-Ressourcen anmelden können und das im Rahmen einer SSO-Infrastruktur, bei der die Benutzeranmeldungen an die verschiedenen Ressourcen durchgereicht werden, kann AWS Single Sign-on zum Einsatz kommen. Auch hier ist eine Verknüpfung mit Azure AD möglich. Mehr dazu ist in der Dokumentation von Azure AD zu finden, ebenso in der Dokumentation von AWS.

(ID:48673000)