Аутентификация Windows (аутентификация AD) в AWS Elastic Beanstalk
У меня есть веб-приложение ASP.net MVC с локальной проверкой подлинности Active Directory, которое я хочу перенести в сервис AWS PaaS. Моя база данных SQL для веб-приложения ASP.Net MVC останется локальной.
Я провел небольшое исследование и обнаружил, что AWS ECS — хорошая функция для контейнеризации. Но я не ищу подход IaaS.
В основном я ищу подход PaaS для переноса моего локального приложения.
Для веб-сайта AWS Elastic Beanstalk я не нашел возможности включить локальную аутентификацию Active Directory. Является ли это возможным?
Также можно ли подключиться к локальному SQL-серверу с веб-сайта AWS Elastic Beanstalk, используя аутентификацию Windows/AD?
Ответы 1
Да. Возможно. Я использую это. Потребовалось много исследований, проб и ошибок. Поскольку наш облачный VPC AWS находится в другом домене, чем наш локальный домен AD, а наши пользователи находятся в локальном домене AD.
Это моя установка.
Мы настроили управляемую AD в домене AWS (т. е. XYZAWS) для моей организации с именем XYZ, которая имеет одностороннее доверие с нашим локальным AD, т. е. доменом XYZ.
Теперь вот загвоздка, когда мы развертываем приложение .Net с включенной аутентификацией Windows для EB (эластичный beanstalk), наш сервер EB работает в домене AWS, то есть XYZAWS, и этот сервер EB по умолчанию не присоединен к домену, поэтому вам нужно присоединиться к домену вашего сервера EB. сначала, и это присоединение к домену произойдет с вами в AD, управляемом AWS, то есть в домене XYZAWS.
Поскольку EB является доменом, присоединенным к управляемой AWS AD, которая не будет аутентифицировать ваших локальных пользователей AD, для этого вам необходимо олицетворять свой пул приложений IIS с пользователем, который находится в вашей локальной AD.
Например, я выдаю себя за свой пул удостоверений IIS с помощью пользователя XYZ\service-account-user, и, как я уже сказал, у нас есть одностороннее доверие между AD, управляемой AWS, и локальной AD, поэтому теперь ваше приложение должно иметь возможность аутентифицировать локальных пользователей AD. потому что ваше приложение работает как локальная учетная запись службы AD.
Вы должны указать доменное имя при входе в приложение предположим, что пользователь Джон должен войти в приложение, тогда он должен войти в систему с именем пользователя «XYZ\john» и своим паролем, чтобы приложение аутентифицировало его.
У меня вся эта настройка автоматизирована с помощью конфигурационных файлов .ebextensions. Если я когда-нибудь напишу об этом в блоге, я обновлю его здесь.