AWS-Cloud-Umgebungen

Dieser Artikel führt Sie durch die Einrichtung Ihres AWS-Kontos als Ressourcenstandort, den Sie mit Citrix Virtual Apps and Desktops verwenden können. Der Ressourcenstandort wird für die Bereitstellung von Workloads in AWS EC2 und Amazon WorkSpaces Core Managed Instances verwendet. Eine Liste der unterstützten Betriebssystemtypen für Amazon WorkSpaces Core Managed Instances finden Sie unter VDAs in Amazon WorkSpaces Core Managed Instances.

Vergleich verschiedener konfigurierbarer Ressourcenstandorte: MCS für AWS EC2, MCS für Amazon WorkSpaces Core Managed Instances und Quick Deploy für Amazon WorkSpaces Core Bundles.

Wenn Sie die Aufgaben in diesem Artikel abgeschlossen haben, umfasst Ihr Ressourcenstandort die folgenden Komponenten:

• Eine virtuelle private Cloud (VPC) mit öffentlichen und privaten Subnetzen innerhalb einer einzigen Verfügbarkeitszone.
• Eine Instanz, die sowohl als Active Directory-Domänencontroller als auch als DNS-Server fungiert und sich im privaten Subnetz der VPC befindet.
• Eine Instanz, die als Bastion-Host im öffentlichen Subnetz Ihrer VPC fungiert. Diese Instanz wird verwendet, um RDP-Verbindungen zu den Instanzen im privaten Subnetz für Verwaltungszwecke zu initiieren. Nachdem Sie Ihren Ressourcenstandort eingerichtet haben, können Sie diese Instanz herunterfahren, damit sie nicht mehr ohne Weiteres zugänglich ist. Wenn Sie andere Instanzen im privaten Subnetz, wie z. B. VDA-Instanzen, verwalten müssen, können Sie die Bastion-Host-Instanz neu starten.

Aufgabenübersicht

Richten Sie eine virtuelle private Cloud (VPC) mit öffentlichen und privaten Subnetzen ein. Wenn Sie diese Aufgabe abgeschlossen haben, stellt AWS ein NAT-Gateway mit einer Elastic IP-Adresse im öffentlichen Subnetz bereit. Diese Aktion ermöglicht Instanzen im privaten Subnetz den Zugriff auf das Internet. Instanzen im öffentlichen Subnetz sind für eingehenden öffentlichen Datenverkehr zugänglich, während Instanzen im privaten Subnetz dies nicht sind.

Sicherheitsgruppen konfigurieren. Sicherheitsgruppen fungieren als virtuelle Firewalls, die den Datenverkehr für die Instanzen in Ihrer VPC steuern. Sie fügen Ihren Sicherheitsgruppen Regeln hinzu, die es Instanzen in Ihrem öffentlichen Subnetz ermöglichen, mit Instanzen in Ihrem privaten Subnetz zu kommunizieren. Sie verknüpfen diese Sicherheitsgruppen auch mit jeder Instanz in Ihrer VPC.

Einen DHCP-Optionssatz erstellen. Bei einer Amazon VPC werden DHCP- und DNS-Dienste standardmäßig bereitgestellt, was sich darauf auswirkt, wie Sie DNS auf Ihrem Active Directory-Domänencontroller konfigurieren. Das DHCP von Amazon kann nicht deaktiviert werden, und das DNS von Amazon kann nur für die öffentliche DNS-Auflösung verwendet werden, nicht für die Active Directory-Namensauflösung. Um die Domäne und die Namensserver anzugeben, die Instanzen über DHCP zugewiesen werden, erstellen Sie einen DHCP-Optionssatz. Der Satz weist das Active Directory-Domänensuffix zu und gibt den DNS-Server für alle Instanzen in Ihrer VPC an. Um sicherzustellen, dass Host (A)- und Reverse-Lookup (PTR)-Einträge automatisch registriert werden, wenn Instanzen der Domäne beitreten, konfigurieren Sie die Eigenschaften des Netzwerkadapters für jede Instanz, die Sie dem privaten Subnetz hinzufügen.

Einen Bastion-Host und Domänencontroller zur VPC hinzufügen. Über den Bastion-Host können Sie sich bei Instanzen im privaten Subnetz anmelden, um die Domäne einzurichten und Instanzen der Domäne beitreten zu lassen.

Aufgabe 1: VPC einrichten

1. Wählen Sie in der AWS-Verwaltungskonsole VPC aus.
2. Wählen Sie im VPC-Dashboard VPC erstellen aus.
3. Wählen Sie VPC und mehr aus.
4. Wählen Sie unter NAT-Gateways ($) In 1 AZ oder 1 pro AZ aus.
5. Lassen Sie unter DNS-Optionen DNS-Hostnamen aktivieren ausgewählt.
6. Wählen Sie VPC erstellen. AWS erstellt die öffentlichen und privaten Subnetze, das Internet-Gateway, die Routing-Tabellen und die Standard-Sicherheitsgruppe.

Aufgabe 2: Sicherheitsgruppen konfigurieren

Diese Aufgabe erstellt und konfiguriert die folgenden Sicherheitsgruppen für Ihre VPC:

• Eine öffentliche Sicherheitsgruppe zur Zuordnung zu den Instanzen in Ihrem öffentlichen Subnetz.
• Eine private Sicherheitsgruppe zur Zuordnung zu den Instanzen in Ihrem privaten Subnetz.

So erstellen Sie die Sicherheitsgruppen:

1. Wählen Sie im VPC-Dashboard Sicherheitsgruppen.
2. Erstellen Sie eine Sicherheitsgruppe für die öffentliche Sicherheitsgruppe. Wählen Sie Sicherheitsgruppe erstellen und geben Sie einen Namen und eine Beschreibung für die Gruppe ein. Wählen Sie unter VPC die zuvor erstellte VPC aus. Wählen Sie Ja, erstellen.

Öffentliche Sicherheitsgruppe konfigurieren

1. Wählen Sie aus der Liste der Sicherheitsgruppen die öffentliche Sicherheitsgruppe aus.

2. Wählen Sie die Registerkarte Eingehende Regeln und dann Bearbeiten, um die folgenden Regeln zu erstellen:

   Typ	Quelle
   ALLER Datenverkehr	Wählen Sie die private Sicherheitsgruppe aus.
   Gesamter Datenverkehr	Wählen Sie die öffentliche Sicherheitsgruppe aus.
   ICMP	0.0.0.0/0
   22 (SSH)	0.0.0.0/0
   80 (HTTP)	0.0.0.0/0
   443 (HTTPS)	0.0.0.0/0
   1494 (ICA/HDX)	0.0.0.0/0
   2598 (Sitzungszuverlässigkeit)	0.0.0.0/0
   3389 (RDP)	0.0.0.0/0

3. Wählen Sie nach Abschluss Speichern.

4. Wählen Sie die Registerkarte Outbound Rules und dann Edit, um die folgenden Regeln zu erstellen:

   Typ	Bestimmungsort
   ALLER Datenverkehr	Wählen Sie die private Sicherheitsgruppe aus.
   ALLER Datenverkehr	0.0.0.0/0
   ICMP	0.0.0.0/0

5. Wählen Sie nach Abschluss Speichern.

Konfigurieren der privaten Sicherheitsgruppe

1. Wählen Sie aus der Liste der Sicherheitsgruppen die private Sicherheitsgruppe aus.

2. Wenn Sie den Datenverkehr von der öffentlichen Sicherheitsgruppe noch nicht eingerichtet haben, müssen Sie TCP-Ports festlegen; wählen Sie die Registerkarte Inbound Rules und dann Edit, um die folgenden Regeln zu erstellen:

   Typ	Quelle
   Gesamter Datenverkehr	Wählen Sie die private Sicherheitsgruppe aus.
   Gesamter Datenverkehr	Wählen Sie die öffentliche Sicherheitsgruppe aus.
   ICMP	Wählen Sie die öffentliche Sicherheitsgruppe aus.
   TCP 53 (DNS)	Wählen Sie die öffentliche Sicherheitsgruppe aus.
   UDP 53 (DNS)	Wählen Sie die öffentliche Sicherheitsgruppe aus.
   80 (HTTP)	Wählen Sie die öffentliche Sicherheitsgruppe aus.
   TCP 135	Wählen Sie die öffentliche Sicherheitsgruppe aus.
   TCP 389	Wählen Sie die öffentliche Sicherheitsgruppe aus.
   UDP 389	Wählen Sie die öffentliche Sicherheitsgruppe aus.
   443 (HTTPS)	Wählen Sie die öffentliche Sicherheitsgruppe aus.
   TCP 1494 (ICA/HDX)	Wählen Sie die öffentliche Sicherheitsgruppe aus.
   TCP 2598 (Sitzungszuverlässigkeit)	Wählen Sie die öffentliche Sicherheitsgruppe aus.
   3389 (RDP)	Wählen Sie die öffentliche Sicherheitsgruppe aus.
   TCP 49152–65535	Wählen Sie die öffentliche Sicherheitsgruppe aus.

3. Wenn Sie fertig sind, wählen Sie Speichern.

4. Wählen Sie die Registerkarte Ausgehende Regeln und wählen Sie Bearbeiten, um die folgenden Regeln zu erstellen:

   Typ	Bestimmungsort
   ALLER Datenverkehr	Wählen Sie die private Sicherheitsgruppe aus.
   ALLER Datenverkehr	0.0.0.0/0
   ICMP	0.0.0.0/0
   UDP 53 (DNS)	0.0.0.0/0

5. Wenn Sie fertig sind, wählen Sie Speichern.

Aufgabe 3: Instanzen starten

Führen Sie die folgenden Schritte aus, um zwei EC2-Instanzen zu erstellen und das Standard-Administratorkennwort zu entschlüsseln, das Amazon generiert:

1. Wählen Sie in der AWS-Managementkonsole EC2 aus.
2. Wählen Sie im EC2-Dashboard Launch Instance aus.
3. Wählen Sie ein Windows Server-Maschinen-Image und einen Instanztyp aus.
4. Geben Sie auf der Seite Configure Instance Details einen Namen für die Instanz ein und wählen Sie die VPC aus, die Sie zuvor eingerichtet haben.

5. Wählen Sie unter Subnet für jede Instanz Folgendes aus:

   • Bastion-Host: Wählen Sie das öffentliche Subnetz aus
   • Domänencontroller: Wählen Sie das private Subnetz aus

6. Wählen Sie unter Auto-assign Public IP address für jede Instanz Folgendes aus:

   • Bastion-Host: Wählen Sie Enable aus.
   • Domänencontroller: Wählen Sie Use default setting oder Disable aus.
7. Geben Sie unter Network Interfaces eine primäre IP-Adresse innerhalb des IP-Bereichs Ihres privaten Subnetzes für den Domänencontroller ein.
8. Ändern Sie bei Bedarf auf der Seite Add Storage die Festplattengröße.
9. Geben Sie auf der Seite Tag Instance einen Anzeigenamen für jede Instanz ein.

10. Wählen Sie auf der Seite Configure Security Groups Select an existing security group aus und treffen Sie dann für jede Instanz die folgenden Auswahlen:

    • Bastion-Host: Wählen Sie die öffentliche Sicherheitsgruppe aus.
    • Domänencontroller: Wählen Sie die private Sicherheitsgruppe aus.
11. Überprüfen Sie Ihre Auswahl und wählen Sie dann Starten.
12. Erstellen Sie ein neues Schlüsselpaar oder wählen Sie ein vorhandenes aus. Wenn Sie ein neues Schlüsselpaar erstellen, laden Sie Ihre private Schlüsseldatei (.pem) herunter und bewahren Sie sie an einem sicheren Ort auf. Sie müssen Ihren privaten Schlüssel angeben, wenn Sie das Standard-Administratorkennwort für die Instanz abrufen.
13. Wählen Sie Instanzen starten. Wählen Sie Instanzen anzeigen, um eine Liste Ihrer Instanzen anzuzeigen. Warten Sie, bis die neu gestartete Instanz alle Statusprüfungen bestanden hat, bevor Sie darauf zugreifen.

14. Rufen Sie das Standard-Administratorkennwort für jede Instanz ab:

    1. Wählen Sie in der Instanzliste die Instanz aus und wählen Sie dann Verbinden.
    2. Gehen Sie zur Registerkarte RDP-Client, wählen Sie Passwort abrufen und laden Sie Ihre private Schlüsseldatei (.pem) hoch, wenn Sie dazu aufgefordert werden.
    3. Wählen Sie Passwort entschlüsseln, um das lesbare Passwort zu erhalten. AWS zeigt das Standardpasswort an.

15. Wiederholen Sie die Schritte ab Schritt 2, bis Sie zwei Instanzen erstellt haben:

    • Eine Bastion-Host-Instanz in Ihrem öffentlichen Subnetz
    • Eine Instanz in Ihrem privaten Subnetz, die als Domänencontroller verwendet werden soll.

Aufgabe 4: Erstellen Sie einen DHCP-Optionssatz

1. Wählen Sie im VPC-Dashboard DHCP-Optionssätze aus.

2. Geben Sie die folgenden Informationen ein:

   • Namens-Tag: Geben Sie einen Anzeigenamen für den Satz ein.
   • Domänenname: Geben Sie den vollqualifizierten Domänennamen ein, den Sie bei der Konfiguration der Domänencontroller-Instanz verwenden.
   • Domänennamenserver: Geben Sie die private IP-Adresse, die Sie der Domänencontroller-Instanz zugewiesen haben, und die Zeichenfolge AmazonProvidedDNS durch Kommas getrennt ein.
   • NTP-Server: Lassen Sie dieses Feld leer.
   • NetBIOS-Namenserver: Geben Sie die private IP-Adresse der Domänencontroller-Instanz ein.
   • NetBIOS-Knotentyp: Geben Sie 2 ein.

3. Wählen Sie Ja, erstellen.

4. Verknüpfen Sie den neuen Satz mit Ihrer VPC:

   1. Wählen Sie im VPC-Dashboard Ihre VPCs und dann die zuvor eingerichtete VPC aus.
   2. Wählen Sie Aktionen > DHCP-Optionssatz bearbeiten.
   3. Wählen Sie bei Aufforderung den neu erstellten Satz und dann Speichern.

Aufgabe 5: Instanzen konfigurieren

1. Stellen Sie mit einem RDP-Client eine Verbindung zur öffentlichen IP-Adresse der Bastion-Host-Instanz her. Geben Sie bei Aufforderung die Anmeldeinformationen für das Administratorkonto ein.

2. Starten Sie von der Bastion-Host-Instanz aus die Remotedesktopverbindung und stellen Sie eine Verbindung zur privaten IP-Adresse der Instanz her, die Sie konfigurieren möchten. Geben Sie bei Aufforderung die Administratoranmeldeinformationen für die Instanz ein.

3. Konfigurieren Sie für alle Instanzen im privaten Subnetz die DNS-Einstellungen:

   1. Wählen Sie Start > Systemsteuerung > Netzwerk und Internet > Netzwerk- und Freigabecenter > Adaptereinstellungen ändern. Doppelklicken Sie auf die angezeigte Netzwerkverbindung.
   2. Wählen Sie Eigenschaften > Internetprotokoll Version 4 (TCP/IPv4) > Eigenschaften.

   3. Wählen Sie Erweitert > DNS. Stellen Sie sicher, dass die folgenden Einstellungen aktiviert sind, und wählen Sie OK:

      • Die Adressen dieser Verbindung im DNS registrieren
      • DNS-Suffix dieser Verbindung bei der DNS-Registrierung verwenden

4. So konfigurieren Sie den Domänencontroller:

   1. Fügen Sie über den Server-Manager die Rolle „Active Directory-Domänendienste“ mit allen Standardfunktionen hinzu.
   2. Stufen Sie die Instanz zu einem Domänencontroller hoch. Aktivieren Sie während der Höherstufung DNS und verwenden Sie den Domänennamen, den Sie beim Erstellen des DHCP-Optionssatzes angegeben haben. Starten Sie die Instanz neu, wenn Sie dazu aufgefordert werden.

Informationen zu AWS-Berechtigungen finden Sie unter Erforderliche AWS-Berechtigungen – Amazon EC2 und Erforderliche AWS-Berechtigungen – Amazon WorkSpaces Core Managed Instances.

Nächste Schritte

• Kernkomponenten installieren
• VDAs installieren
• Eine Site erstellen

• Informationen zum Erstellen und Verwalten von Verbindungen finden Sie unter:

  • Verbindung zu AWS EC2
  • Verbindung zu Amazon WorkSpaces Core Managed Instances

Weitere Informationen

• Verbindungen und Ressourcen erstellen und verwalten
• Maschinenkataloge erstellen