Simple AD 的最佳实践
为避免问题并充分利用 Simple AD，您应该考虑以下建议和准则。
设置：先决条件
创建目录之前请考虑以下这些准则。
验证目录类型是否正确
Amazon Directory Service 提供了多种将 Microsoft Active Directory 与其他 Amazon 服务结合使用的方式。您可以根据预算成本选择具有适当功能的目录服务以满足您的需求：
-
Amazon Directory Service for Microsoft Active Directory 是托管在 Amazon 云上的功能丰富的托管式 Microsoft Active Directory。Amazon如果您的用户数超过 5000，并且需要在 Amazon 托管目录与您的本地目录之间建立信任关系，则 Managed Microsoft AD 是您的最佳选择。
-
AD Connector 将您现有的本地 Active Directory 直接连接到 Amazon。当您想要将现有本地目录与 Amazon 服务一起使用时，AD Connector 是您的最佳选择。
-
Simple AD 是一种小规模、低成本的目录，具有基础的 Active Directory 兼容性。其支持 5000 个或更少的用户、兼容 Samba 4 的应用程序，并支持 LDAP 感知型应用程序的 LDAP 兼容性。
有关 Amazon Directory Service 选项的更详细比较，请参阅选择哪一个。
确保 VPC 和实例正确配置
要连接到、管理和使用目录，必须正确配置目录所关联的 VPC。有关 VPC 安全和网络要求的信息，请参阅 创建 Amazon Managed Microsoft AD 的先决条件、AD Connector 先决条件 或 Simple AD 先决条件。
如果要将实例添加到域，请确保您具有实例连接并且可以远程访问实例，如将 Amazon EC2 实例加入 Amazon Managed Microsoft AD 的方法 中所述。
注意限制
了解特定目录类型的各种限制。对象的可用存储空间和总大小是可以存储在目录中的对象数量的唯一限制。有关所选目录的详细信息，请参阅 Amazon Managed Microsoft AD 限额、AD Connector 配额 或 Simple AD 配额。
了解目录的 Amazon 安全组配置和使用
Amazon 创建一个安全组并将其附加到目录的域控制器弹性网络接口。Amazon 会配置安全组，以阻止不必要的目录流量并允许必要的流量。
修改目录安全组
可修改目录的安全组，但只有在完全了解安全组筛选时才可以这么做。有关更多信息，请参阅《Amazon EC2 用户指南》中的适用于 Linux 实例的 Amazon EC2 安全组。更改不当可导致与目标计算机和实例的通信中断。Amazon 建议不要为目录开启其他端口，因为这会降低安全性。在进行更改之前，请查看 Amazon 责任共担模式
警告
从技术上来说，您可以将目录的安全组与您创建的其他 EC2 实例关联。但是，Amazon 不建议采用这种做法。Amazon 可能会由于某些原因在未经通知的情况下修改安全组，以满足托管目录的功能或安全需求。此类更改会影响您将目录安全组关联到的任何实例，并可能中断关联实例的操作。此外，将目录安全组与您的 EC2 实例关联可能为 EC2 实例带来潜在的安全风险。
需要信任时应使用 Amazon Managed Microsoft AD
Simple AD 不支持信任关系。如果需要在 Amazon Directory Service 目录与其他目录之间建立信任，则应使用 Amazon Directory Service for Microsoft Active Directory。
设置：创建目录
下面是创建目录时应考虑的一些建议。
记住管理员 ID 和密码
设置目录时，需要提供管理员账户的密码。此账户 ID 是 Simple AD 的 管理员 ID。请记住为此账户创建的密码；否则无法向您的目录中添加对象。
了解 Amazon 应用程序的用户名限制
Amazon Directory Service 支持大多数可用于构造用户名的字符格式。但是，对用于登录到 Amazon 应用程序（例如 WorkSpaces、WorkDocs、Amazon WorkMail 或 Quick Suite）的用户名有一些字符限制。这些限制要求不使用以下字符：
-
空间
多字节字符
!"#$%&'()*+,/:;<=>?@[\]^`{|}~
注意
仅允许在 UPN 后缀之前使用 @ 符号。
为您的应用程序编程
在为您的应用程序编程之前，请考虑以下事项：
使用 Windows DC 定位器服务
开发应用程序时，请使用 Windows DC 定位器服务或使用 Amazon Managed Microsoft AD 的动态 DNS（DDNS）服务找到域控制器（DC）所在位置。请勿使用 DC 的地址对应用程序进行硬编码。DC 定位器服务有助于确保分配目录负载，使您能够通过将域控制器添加到部署来利用水平扩展。如果您将应用程序绑定到固定 DC 并且 DC 进行修补或恢复，则您的应用程序将失去对 DC 的访问权限而不是使用其余的 DC。而且，DC 的硬编码可能导致在单一 DC 上出现热点。情况严重时，热点可能导致您的 DC 无法响应。此类情况可能还会导致 Amazon 目录自动化功能将目录标记为“受损”，并且可能触发更换无响应 DC 的恢复过程。
交付生产之前的负载测试
请务必对代表您的生产工作负载的对象和请求执行实验室测试，以确认目录将扩展至您的应用程序负载。如果您需要更多容量，则应使用 Amazon Directory Service for Microsoft Active Directory，以便能添加域控制器以获得高性能。有关更多信息，请参阅 为 Amazon Managed Microsoft AD 部署额外的域控制器。
使用高效的 LDAP 查询
对域控制器进行的针对数千个对象的广泛 LDAP 查询在单个 DC 中会产生明显的 CPU 周期消耗，从而导致热点。这可能影响在查询期间共享同一 DC 的应用程序。