我可以用 AWS Directory Service 替换本地 Microsoft Active Directory 吗？

Question

我们有非常基本的 AD 使用（基本上管理用户密码重置），为此我们必须维护一个旧的 Windows 服务器。

我们内部用户访问的所有服务都在云端（GMail、Google Drive、Salesforce 等），因此，由于我们非常依赖互联网连接，我们认为在云端提供目录服务也没有问题。

因为无法使用 Azure Active Directory 来实现这一点（我可以用 Azure Active Directory 替换我的域控制器吗？)，我想知道是否可以使用 AWS Directory Service

是否可以？

谢谢

Answer 1

是的，您可以将活动目录迁移到 AWS Directory Service。

您可以使用 AWS Directory Service简易广告（价钱这里) 如果您有基本需求，它提供了一个与 Samba 4 兼容的目录。

您可以使用实际微软活动目录如果您有更复杂的需求或需要完全兼容性，可以从目录服务产品中选择。

如果您想在 AWS 和本地之间建立联合，目录服务并不总是最佳选择，因为它比 AD 服务器的灵活性更低。不过这听起来不像是您想要做的，所以 ADS 应该适合您。

Answer 2

微软最近开始在 Azure 中提供实际的 Active Directory 服务：https://azure.microsoft.com/en-us/services/active-directory-ds；如果您只需要集中身份验证，它们完全可以取代本地 AD。

Answer 3

我不太清楚为什么不能使用 Azure AD 对其他服务进行身份验证，以下是 salesforce 的教程https://msdn.microsoft.com/en-us/library/azure/dn308593.aspx。您提到的问题是关于非基于声明的身份验证（本地 Kerberos），您当然不能在 Windows 8 及以下版本下用 Azure AD 替换它。您也可以在没有本地 AD 的情况下进行自助密码重置。如果您不需要，我会保留您现有的内容并放弃本地 AD。