本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
Simple AD 的最佳实践
以下是您应考虑的一些建议和指南，以避免出现问题并充分利用 Simple AD。
设置：先决条件
创建目录之前请考虑以下这些准则。
验证目录类型是否正确
Amazon Directory Service 提供了多种与其他 Amazon 服务配合使用的方式。您可以根据预算成本选择具有适当功能的目录服务以满足您的需求：
-
Amazon 微软目录服务 Active Directory 是一款托管在云端的功能丰富的托管服务。 Amazon Amazon 如果您拥有超过 5,000 个用户，并且需要在托管目录和本地目录之间建立信任关系，那么 Amazon 托管 Microsoft AD 是您的最佳选择。
-
AD Con nector 只需将您的现有本地环境连接Active Directory到 Amazon。当您想要将现有本地目录与 Amazon 服务一起使用时，AD Connector 是您的最佳选择。
-
S@@ imple AD 是一个低规模、低成本的目录，具有基本Active Directory兼容性。其支持 5000 个或更少的用户、兼容 Samba 4 的应用程序，并支持 LDAP 感知型应用程序的 LDAP 兼容性。
有关 Amazon Directory Service 选项的更详细比较，请参阅选择哪一个。
确保 VPC 和实例正确配置
要连接到、管理和使用目录，必须正确配置目录所关联的 VPC。有关 VPC 安全和网络要求的信息，请参阅 Amazon 微软 AD 托管先决条件、AD Connector 先决条件 或 Simple AD 先决条件。
如果要将实例添加到域，请确保您具有实例连接并且可以远程访问实例，如将 Amazon EC2 实例加入您的 Amazon 托管微软 AD 活动目录 中所述。
注意限制
了解特定目录类型的各种限制。对象的可用存储空间和总大小是可以存储在目录中的对象数量的唯一限制。有关所选目录的详细信息，请参阅 Amazon Managed Microsoft AD 限额、AD Connector 配额 或 Simple AD 限额。
了解目录 Amazon 的安全组配置并使用
Amazon 创建安全组并将其附加到目录的域控制器弹性网络接口。 Amazon 将安全组配置为阻止不必要的目录流量并允许必要的流量。
修改目录安全组
如果要修改目录的安全组的安全性，则可以这样做。只有在您完全了解安全组的筛选如何工作时，才进行这样的更改。有关更多信息，请参阅《Amazon EC2 用户指南》中的适用于 Linux 实例的 Amazon EC2 安全组。不当的更改可能会导致与目标计算机和实例的通信中断。 Amazon 建议您不要尝试打开目录的其他端口，因为这会降低目录的安全性。请仔细查看 Amazon
责任共担模型
警告
从技术上来说，您可以将目录的安全组与您创建的其他 EC2 实例关联。但是， Amazon 建议不要这样做。 Amazon 可能有理由在不另行通知的情况下修改安全组，以满足托管目录的功能或安全需求。此类更改会影响您将目录安全组关联到的任何实例，并可能中断关联实例的操作。此外，将目录安全组与您的 EC2 实例关联可能为 EC2 实例带来潜在的安全风险。
如果需要信任，请使用 Amazon 托管 Microsoft AD
Simple AD 不支持信任关系。如果你需要在你的 Amazon Directory Service 目录和其他目录之间建立信任，你应该使用 Microsoft Active Directory 的 Amazon 目录服务。
设置：创建目录
下面是创建目录时应考虑的一些建议。
记住管理员 ID 和密码
设置目录时，需要提供管理员账户的密码。此账户 ID 是 Simple AD 的 管理员 ID。请记住为此账户创建的密码；否则无法向您的目录中添加对象。
了解 Amazon 应用程序的用户名限制
Amazon Directory Service 支持大多数可用于构造用户名的字符格式。但是，对于用于登录 Amazon 应用程序（例如 WorkSpaces亚马逊、亚马逊或亚马 QuickSight逊 WorkDocs）的用户名有一些字符限制。 WorkMail这些限制要求不使用以下字符：
-
空格
多字节字符
!"#$%&'()*+,/:;<=>?@[\]^`{|}~
注意
仅允许在 UPN 后缀之前使用 @ 符号。
为您的应用程序编程
在为您的应用程序编程之前，请考虑以下事项：
使用 Windows DC 定位器服务
开发应用程序时，请使用 Windows DC 定位器服务或使用 Amazon 托管 Microsoft AD 的动态 DNS (DDNS) 服务来定位域控制器 (DC)。请勿使用 DC 的地址对应用程序进行硬编码。DC 定位器服务有助于确保分配目录负载，使您能够通过将域控制器添加到部署来利用水平扩展。如果您将应用程序绑定到固定 DC 并且 DC 进行修补或恢复，则您的应用程序将失去对 DC 的访问权限而不是使用其余的 DC。而且，DC 的硬编码可能导致在单一 DC 上出现热点。情况严重时，热点可能导致您的 DC 无法响应。此类情况还可能导致 Amazon 目录自动化将目录标记为受损，并可能触发替换无响应的 DC 的恢复进程。
交付生产之前的负载测试
请务必对代表您的生产工作负载的对象和请求执行实验室测试，以确认目录将扩展至您的应用程序负载。如果您需要更多容量，则应使用 Amazon Directory Service Microsoft Active Directory，它允许您添加域控制器以获得高性能。有关更多信息，请参阅 部署额外的域控制器。
使用高效的 LDAP 查询
对域控制器进行的针对数千个对象的广泛 LDAP 查询在单个 DC 中会产生明显的 CPU 周期消耗，从而导致热点。这可能影响在查询期间共享同一 DC 的应用程序。