Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich. # Hinzufügen einer Amazon EC2 EC2-Linux-Instance zu Ihrem AWS verwalteten Microsoft AD Active Directory Sie können eine EC2-Linux-Instance starten und mit Ihrem AWS Managed Microsoft AD in der AWS-Managementkonsole verbinden. Sie können die EC2-Linux-Instance auch manuell mit Ihrem AWS Managed Microsoft AD verbinden. Tools wie Winbind können auch verwendet werden, damit Sie eine EC2-Linux-Instance mit Ihrem AWS verwalteten Microsoft AD domänenverbinden können. Die folgenden Linux-Instance-Distributionen und -Versionen werden unterstützt: + Amazon Linux AMI 2018.03.0 + Amazon Linux 2 (64-Bit x86) + Red Hat Enterprise Linux 8 (HVM) (64-Bit x86) + Ubuntu Server 18.04 LTS und Ubuntu Server 16.04 LTS + CentOS 7 x86-64 + SUSE Linux Enterprise Server 15 SP1 **Anmerkung** Distributionen vor Ubuntu 14 und Red Hat Enterprise Linux 7 und 8 unterstützen die Funktion zum nahtlosen Domänenbeitritt nicht. **Topics** + [ # Nahtloses Hinzufügen einer Amazon EC2 EC2-Linux-Instance zu Ihrem AWS verwalteten Microsoft AD Active Directory ](seamlessly_join_linux_instance.md) + [ # Nahtloses Verbinden einer Amazon EC2 EC2-Linux-Instance mit einem gemeinsam genutzten AWS Managed Microsoft AD ](seamlessly_join_linux_to_shared_MAD.md) + [ # Manuelles Hinzufügen einer Amazon EC2 EC2-Linux-Instance zu Ihrem AWS verwalteten Microsoft AD Active Directory ](join_linux_instance.md) + [ # Manuelles Hinzufügen einer Amazon EC2 EC2-Linux-Instance zu Ihrem AWS verwalteten Microsoft AD Active Directory mithilfe von Winbind ](join_linux_instance_winbind.md) # Nahtloses Hinzufügen einer Amazon EC2 EC2-Linux-Instance zu Ihrem AWS verwalteten Microsoft AD Active Directory Durch dieses Verfahren wird eine Amazon EC2 EC2-Linux-Instance nahtlos mit Ihrem AWS verwalteten Microsoft AD Active Directory verbunden. Um dieses Verfahren abzuschließen, müssen Sie ein AWS Secrets Manager Geheimnis erstellen, für das zusätzliche Kosten anfallen können. Weitere Informationen finden Sie unter [AWS Secrets Manager  – Preise](https://aws.amazon.com/secrets-manager/pricing/). Wenn Sie einen nahtlosen Domänenbeitritt über mehrere AWS Konten hinweg durchführen möchten, können Sie optional die [gemeinsame Nutzung von Verzeichnissen](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/ms_ad_directory_sharing.html) aktivieren. Die folgenden Linux-Instance-Distributionen und -Versionen werden unterstützt: + Amazon Linux AMI 2018.03.0 + Amazon Linux 2 (64-Bit x86) + Red Hat Enterprise Linux 8 (HVM) (64-Bit x86) + Ubuntu Server 18.04 LTS und Ubuntu Server 16.04 LTS + CentOS 7 x86-64 + SUSE Linux Enterprise Server 15 SP1 **Anmerkung** Distributionen vor Ubuntu 14 und Red Hat Enterprise Linux 7 und 8 unterstützen die Funktion zum nahtlosen Domänenbeitritt nicht. Eine Demonstration des Prozesses zum nahtlosen Hinzufügen einer Linux-Instanz zu Ihrem AWS verwalteten Microsoft AD Active Directory finden Sie im folgenden YouTube Video. [![AWS Videos](http://img.youtube.com/vi/https://www.youtube.com/embed/NNUtdVVZVxU?si=_0zOiXhUObcW0_Wo/0.jpg)](http://www.youtube.com/watch?v=https://www.youtube.com/embed/NNUtdVVZVxU?si=_0zOiXhUObcW0_Wo) ## Voraussetzungen Bevor Sie einen nahtlosen Domänenbeitritt zu einer EC2-Linux-Instance einrichten können, müssen Sie die Verfahren in diesen Abschnitten abschließen. ### Netzwerkvoraussetzungen für einen nahtlosen Domänenbeitritt Für einen nahtlosen Domänenbeitritt zu einer EC2-Linux-Instance müssen Sie die folgenden Schritte ausführen: + Sie benötigen die folgenden IAM-Berechtigungen, um einer EC2-Linux-Instance nahtlos beizutreten: + Haben Sie ein AWS verwaltetes Microsoft AD. Weitere Informationen hierzu finden Sie unter [Ihr AWS verwaltetes Microsoft AD erstellen](ms_ad_getting_started.md#ms_ad_getting_started_create_directory). + Sie benötigen die folgenden IAM-Berechtigungen, um einer Windows EC2-Instance problemlos beitreten zu können: + IAM-Instanzprofil mit den folgenden IAM-Berechtigungen: + `AmazonSSMManagedInstanceCore` + `AmazonSSMDirectoryServiceAccess` + Die Benutzerdomäne, die EC2 nahtlos mit dem AWS Managed Microsoft AD verbindet, benötigt die folgenden IAM-Berechtigungen: + Directory Service Berechtigungen: + `"ds:DescribeDirectories"` + `"ds:CreateComputer"` + Amazon VPC-Berechtigungen: + `"ec2:DescribeVpcs"` + `"ec2:DescribeSubnets"` + `"ec2:DescribeNetworkInterfaces"` + `"ec2:CreateNetworkInterface"` + `"ec2:AttachNetworkInterface"` + EC2-Berechtigungen: + `"ec2:DescribeInstances"` + `"ec2:DescribeImages"` + `"ec2:DescribeInstanceTypes"` + `"ec2:RunInstances"` + `"ec2:CreateTags"` + AWS Systems Manager Berechtigungen: + `"ssm:DescribeInstanceInformation"` + `"ssm:SendCommand"` + `"ssm:GetCommandInvocation"` + `"ssm:CreateBatchAssociation"` + Wenn Ihr AWS verwaltetes Microsoft AD erstellt wird, wird eine Sicherheitsgruppe mit Regeln für eingehenden und ausgehenden Datenverkehr erstellt. Weitere Informationen zu diesen Regeln und Ports finden Sie unter. [Was wird mit Ihrem AWS Managed Microsoft AD erstellt](ms_ad_getting_started_what_gets_created.md) Für einen nahtlosen Domänenbeitritt zu einer EC2-Linux-Instance sollte Ihre VPC, auf der Sie Ihre Instance starten, dieselben Ports zulassen, die in den eingehenden und ausgehenden Regeln Ihrer AWS Managed Microsoft AD-Sicherheitsgruppe zulässig sind. + Abhängig von Ihren Netzwerksicherheits- und Firewalleinstellungen müssen Sie möglicherweise zusätzlichen ausgehenden Datenverkehr zulassen. Dieser Datenverkehr würde über HTTPS (Port 443) zu den folgenden Endpunkten erfolgen: **** [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/de_de/directoryservice/latest/admin-guide/seamlessly_join_linux_instance.html) + Wir empfehlen, einen DNS-Server zu verwenden, der Ihren AWS verwalteten Microsoft AD-Domainnamen auflöst. Zu diesem Zweck können Sie einen DHCP-Optionssatz erstellen. Weitere Informationen finden Sie unter [Einen DHCP-Optionssatz für AWS Managed Microsoft AD erstellen oder ändern](dhcp_options_set.md). + Wenn Sie sich dafür entscheiden, keinen DHCP-Optionssatz zu erstellen, sind Ihre DNS-Server statisch und werden von Ihrem AWS verwalteten Microsoft AD entsprechend konfiguriert. ### Ihr Servicekonto für die nahtlose Domainverbindung auswählen Sie können Linux-Computer nahtlos mit Ihrer AWS verwalteten Microsoft AD Active Directory-Domäne verbinden. Dazu müssen Sie ein Benutzerkonto mit der Berechtigung zum Erstellen von Computerkonten verwenden, um die Rechner mit der Domain zu verbinden. Obwohl Mitglieder der *AWS delegierten Administratoren* oder anderer Gruppen über ausreichende Berechtigungen verfügen, um Computer mit der Domain zu verbinden, raten wir davon ab, diese zu verwenden. Als bewährte Methode empfehlen wir Ihnen, ein Servicekonto zu verwenden, das über die erforderlichen Mindestberechtigungen verfügt, um die Computer mit der Domain zu verbinden. Um ein Konto mit den Mindestberechtigungen zu delegieren, die für den Beitritt der Computer zur Domäne erforderlich sind, können Sie die folgenden PowerShell Befehle ausführen. Sie müssen diese Befehle von einem mit der Domain verbundenen Windows-Computer ausführen, auf dem [Installation der Active Directory-Verwaltungstools für AWS verwaltetes Microsoft AD](ms_ad_install_ad_tools.md) installiert ist. Darüber hinaus müssen Sie ein Konto verwenden, das die Berechtigung hat, die Berechtigungen für Ihre Computer-OU oder Ihren Container zu ändern. Der PowerShell Befehl legt Berechtigungen fest, die es dem Dienstkonto ermöglichen, Computerobjekte im Standardcomputercontainer Ihrer Domäne zu erstellen. ``` $AccountName = 'awsSeamlessDomain' # DO NOT modify anything below this comment. # Getting Active Directory information. Import-Module 'ActiveDirectory' $Domain = Get-ADDomain -ErrorAction Stop $BaseDn = $Domain.DistinguishedName $ComputersContainer = $Domain.ComputersContainer $SchemaNamingContext = Get-ADRootDSE | Select-Object -ExpandProperty 'schemaNamingContext' [System.GUID]$ServicePrincipalNameGuid = (Get-ADObject -SearchBase $SchemaNamingContext -Filter { lDAPDisplayName -eq 'Computer' } -Properties 'schemaIDGUID').schemaIDGUID # Getting Service account Information. $AccountProperties = Get-ADUser -Identity $AccountName $AccountSid = New-Object -TypeName 'System.Security.Principal.SecurityIdentifier' $AccountProperties.SID.Value # Getting ACL settings for the Computers container. $ObjectAcl = Get-ACL -Path "AD:\$ComputersContainer" # Setting ACL allowing the service account the ability to create child computer objects in the Computers container. $AddAccessRule = New-Object -TypeName 'System.DirectoryServices.ActiveDirectoryAccessRule' $AccountSid, 'CreateChild', 'Allow', $ServicePrincipalNameGUID, 'All' $ObjectAcl.AddAccessRule($AddAccessRule) Set-ACL -AclObject $ObjectAcl -Path "AD:\$ComputersContainer" ``` Wenn Sie eine grafische Benutzeroberfläche (GUI) bevorzugen, können Sie den manuellen Prozess verwenden, der unter [Zuweisen von Berechtigungen zu Ihrem Servicekonto](ad_connector_getting_started.md#connect_delegate_privileges) beschrieben wird. ### Die Secrets zum Speichern des Domain-Servicekontos erstellen Sie können AWS Secrets Manager es zum Speichern des Domänendienstkontos verwenden. Weitere Informationen finden Sie unter [Create an AWS Secrets Manager Secret](https://docs.aws.amazon.com//secretsmanager/latest/userguide/create_secret.html). **Anmerkung** Für Secrets Manager fallen Gebühren an. Weitere Informationen finden Sie unter [Preise](https://docs.aws.amazon.com//secretsmanager/latest/userguide/intro.html#asm_pricing) im *AWS Secrets Manager Benutzerhandbuch*. **So erstellen Sie Secrets und speichern die Kontoinformationen des Domainservices** 1. Melden Sie sich bei der an AWS-Managementkonsole und öffnen Sie die AWS Secrets Manager Konsole unter [https://console.aws.amazon.com/secretsmanager/](https://console.aws.amazon.com/secretsmanager/). 1. Wählen Sie **Store a new secret** (Ein neues Secret speichern). 1. Gehen Sie auf der Seite **Neues Geheimnis speichern** wie folgt vor: 1. Wählen Sie unter **Geheimtyp** die Option **Andere Art von Geheimnissen aus**. 1. Gehen Sie unter **Schlüssel/Wert-Paare** wie folgt vor: 1. Geben Sie im ersten Feld **awsSeamlessDomainUsername** ein. Geben Sie in derselben Zeile im nächsten Feld den Benutzernamen für Ihr Dienstkonto ein. Wenn Sie den PowerShell Befehl beispielsweise zuvor verwendet haben, wäre der Name des Dienstkontos**awsSeamlessDomain**. **Anmerkung** Sie müssen **awsSeamlessDomainUsername** genau so eingeben, wie er lautet. Stellen Sie sicher, dass keine führenden oder abschließenden Leerzeichen vorhanden sind. Andernfalls schlägt die Domainverbindung fehl. ![\[In der AWS Secrets Manager Konsole auf der Seite „Geheimtyp auswählen“. Unter Geheimtyp wird ein anderer Geheimtyp ausgewählt und awsSeamlessDomainUsername als Schlüsselwert eingegeben.\]](http://docs.aws.amazon.com/de_de/directoryservice/latest/admin-guide/images/secrets_manager_1.png) 1. Wählen Sie **Zeile hinzufügen**. 1. Geben Sie in der neuen Zeile im ersten Feld **awsSeamlessDomainPassword** ein. Geben Sie in derselben Zeile im nächsten Feld das Passwort für Ihr Servicekonto ein. **Anmerkung** Sie müssen **awsSeamlessDomainPassword** genau so eingeben, wie er lautet. Stellen Sie sicher, dass keine führenden oder abschließenden Leerzeichen vorhanden sind. Andernfalls schlägt die Domainverbindung fehl. 1. Behalten Sie unter **Verschlüsselungsschlüssel** den Standardwert bei`aws/secretsmanager`. AWS Secrets Manager verschlüsselt das Geheimnis immer, wenn Sie diese Option wählen. Sie können auch einen von Ihnen erstellten Schlüssel auswählen. 1. Wählen Sie **Weiter** aus. 1. Geben Sie unter **Geheimer Name** einen geheimen Namen ein, der Ihre Verzeichnis-ID enthält. Verwenden Sie dabei das folgende Format und *d-xxxxxxxxx* ersetzen Sie ihn durch Ihre Verzeichnis-ID: ``` aws/directory-services/d-xxxxxxxxx/seamless-domain-join ``` Dies wird verwendet, um Secrets in der Anwendung abzurufen. **Anmerkung** Sie müssen **aws/directory-services/*d-xxxxxxxxx*/seamless-domain-join** genau so eingeben, wie er ist, aber durch Ihre Verzeichnis-ID *d-xxxxxxxxxx* ersetzen. Stellen Sie sicher, dass keine führenden oder abschließenden Leerzeichen vorhanden sind. Andernfalls schlägt die Domainverbindung fehl. ![\[In der AWS Secrets Manager Konsole auf der Seite „Geheimes Passwort konfigurieren“. Der geheime Name wird eingegeben und hervorgehoben.\]](http://docs.aws.amazon.com/de_de/directoryservice/latest/admin-guide/images/secrets_manager_2.png) 1. Belassen Sie alles andere auf den eingestellten Standardwerte und wählen Sie dann **Weiter**. 1. Wählen Sie unter **Automatische Rotation konfigurieren** die Option **Automatische Rotation deaktivieren** und wählen Sie dann **Weiter**. Sie können die Rotation für dieses Geheimnis aktivieren, nachdem Sie es gespeichert haben. 1. Überprüfen Sie die Einstellungen und wählen Sie dann **Speichern**, um Ihre Änderungen zu speichern. Die Secrets-Manager-Konsole zeigt Ihnen wieder die Liste der Secrets in Ihrem Konto an, in der Ihr neues Secret nun enthalten ist. 1. Wählen Sie Ihren neu erstellten Secret-Namen aus der Liste und notieren Sie sich den Wert des **Secret-ARN**. Sie brauchen diesen im nächsten Abschnitt. ### Schalten Sie die Rotation für das geheime Domänendienstkonto ein Wir empfehlen, dass Sie die geheimen Daten regelmäßig wechseln, um Ihre Sicherheitslage zu verbessern. **So aktivieren Sie die Rotation für das geheime Domänendienstkonto** + Folgen Sie den Anweisungen unter [Automatische Rotation für AWS Secrets Manager geheime Daten einrichten](https://docs.aws.amazon.com/secretsmanager/latest/userguide/rotate-secrets_turn-on-for-other.html) im *AWS Secrets Manager Benutzerhandbuch*. Verwenden Sie für Schritt 5 die Rotationsvorlage [Microsoft Active Directory-Anmeldeinformationen](https://docs.aws.amazon.com/secretsmanager/latest/userguide/reference_available-rotation-templates.html#template-AD-password) im *AWS Secrets Manager Benutzerhandbuch*. Hilfe finden Sie im *AWS Secrets Manager Benutzerhandbuch* unter [Problembehandlung bei der AWS Secrets Manager Rotation](https://docs.aws.amazon.com/secretsmanager/latest/userguide/troubleshoot_rotation.html). ### Die erforderliche IAM-Richtlinie und -Rolle erstellen Gehen Sie wie folgt vor, um eine benutzerdefinierte Richtlinie zu erstellen, die nur Lesezugriff auf Ihren Secrets Manager Seamless Domain Join Secret (den Sie zuvor erstellt haben) ermöglicht, und um eine neue EC2 DomainJoin Linux-IAM-Rolle zu erstellen. #### Die IAM-Leserichtlinie zu Secrets Manager erstellen Sie verwenden die IAM-Konsole, um eine Richtlinie zu erstellen, die schreibgeschützten Zugriff auf Ihr Secrets-Manager-Secret gewährt. **So erstellen Sie die IAM-Leserichtlinie zu Secrets Manager** 1. Melden Sie sich AWS-Managementkonsole als Benutzer an, der berechtigt ist, IAM-Richtlinien zu erstellen. Öffnen Sie dann die IAM-Konsole unter. [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/) 1. Wählen Sie im Navigationsbereich **Access Management** die Option **Policies** aus. 1. Wählen Sie **Richtlinie erstellen** aus. 1. Wählen Sie die Registerkarte **JSON** aus und kopieren Sie den Text aus dem folgenden JSON-Richtliniendokument. Fügen Sie ihn dann in das **JSON-Textfeld** ein. **Anmerkung** Stellen Sie sicher, dass Sie die Region und den Ressourcen-ARN durch die tatsächliche Region und den ARN des Secrets ersetzen, den Sie zuvor erstellt haben. ``` { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "secretsmanager:GetSecretValue", "secretsmanager:DescribeSecret" ], "Resource": [ "arn:aws:secretsmanager:us-east-1:xxxxxxxxx:secret:aws/directory-services/d-xxxxxxxxx/seamless-domain-join" ] } ] } ``` 1. Wählen Sie danach **Next** aus. Die Richtlinienvalidierung meldet mögliche Syntaxfehler. Weitere Informationen finden Sie unter [Validierung von IAM-Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_policy-validator.html). 1. Geben Sie auf der Seite **Richtlinie überprüfen** einen Namen für die Richtlinie ein, z. B. **SM-Secret-Linux-DJ-*d-xxxxxxxxxx*-Read**. Überprüfen Sie den Abschnitt **Zusammenfassung**, um die Berechtigungen einzusehen, die Ihre Richtlinie gewährt. Wählen Sie dann **Richtlinie erstellen** aus, um Ihre Änderungen zu speichern. Die neue Richtlinie erscheint in der Liste der verwalteten Richtlinien und ist nun bereit, einer Identität zugeordnet zu werden. **Anmerkung** Wir empfehlen Ihnen, eine Richtlinie pro Secret zu erstellen. Auf diese Weise wird sichergestellt, dass Instances nur auf das entsprechende Secret zugreifen können und die Auswirkungen einer Kompromittierung einer Instance minimiert werden. #### Erstellen Sie die EC2 DomainJoin Linux-Rolle Sie verwenden die IAM-Konsole, um die Rolle zu erstellen, die Sie für die Domainverbindung Ihrer Linux-EC2-Instance verwenden werden. **Um die EC2 DomainJoin Linux-Rolle zu erstellen** 1. Melden Sie sich AWS-Managementkonsole als Benutzer an, der berechtigt ist, IAM-Richtlinien zu erstellen. Öffnen Sie dann die IAM-Konsole unter. [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/) 1. Wählen Sie im Navigationsbereich unter **Access Management** die Option **Rollen** aus. 1. Wählen Sie im Inhaltsbereich die Option **Rolle erstellen**. 1. Wählen Sie unter **Select type of trusted entity** (Typ der vertrauenswürdigen Entität auswählen) die Option **AWS -Service** aus. 1. Wählen **Sie unter Anwendungsfall** die Option **EC2** und dann **Weiter** aus. ![\[In der IAM-Konsole auf der Seite „Vertrauenswürdige Entität auswählen“. AWS Service und EC2 sind ausgewählt.\]](http://docs.aws.amazon.com/de_de/directoryservice/latest/admin-guide/images/iam-console-trusted-entity.png) 1. Gehen Sie für **Filterrichtlinien** wie folgt vor: 1. Geben Sie **AmazonSSMManagedInstanceCore** ein. Aktivieren Sie dann das Kontrollkästchen für dieses Element in der Liste. 1. Geben Sie **AmazonSSMDirectoryServiceAccess** ein. Aktivieren Sie dann das Kontrollkästchen für dieses Element in der Liste. 1. Geben Sie **SM-Secret-Linux-DJ-*d-xxxxxxxxxx*-Read** ein (oder den Namen der Richtlinie, die Sie im vorherigen Verfahren erstellt haben). Aktivieren Sie dann das Kontrollkästchen für dieses Element in der Liste. 1. Nachdem Sie die drei oben aufgeführten Richtlinien hinzugefügt haben, wählen Sie **Rolle erstellen** aus. **Anmerkung** Amazon SSMDirectory ServiceAccess bietet die Berechtigungen zum Hinzufügen von Instances zu einem Active Directory, das von verwaltet wird Directory Service. Amazon SSMManaged InstanceCore stellt die Mindestberechtigungen bereit, die für die Nutzung des AWS Systems Manager Dienstes erforderlich sind. Weitere Informationen zum Erstellen einer Rolle mit diesen Berechtigungen und zu anderen Berechtigungen und Richtlinien, die Sie Ihrer IAM-Rolle zuweisen können, finden Sie unter [Ein IAM-Instance-Profil für Systems Manager erstellen](https://docs.aws.amazon.com/systems-manager/latest/userguide/setup-instance-profile.html) im *AWS Systems Manager -Benutzerhandbuch*. 1. Geben Sie im Feld Rollenname einen Namen für Ihre neue Rolle ein, z. B. **LinuxEC2DomainJoin** oder einen anderen **Namen**, den Sie bevorzugen. 1. (Optional) Geben Sie im Feld **Role description (Rollenbeschreibung)** eine Beschreibung ein. 1. (Optional) Wählen Sie unter **Schritt 3: Stichwörter **hinzufügen die Option Neues Tag** hinzufügen** aus, um Stichwörter hinzuzufügen. Tag-Schlüssel-Wert-Paare werden verwendet, um den Zugriff für diese Rolle zu organisieren, nachzuverfolgen oder zu kontrollieren. 1. Wählen Sie **Rolle erstellen** aus. ## Treten Sie Ihrer Linux-Instance nahtlos bei **Um Ihrer Linux-Instanz nahtlos beizutreten** 1. Melden Sie sich bei der an AWS-Managementkonsole und öffnen Sie die Amazon EC2 EC2-Konsole unter [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/). 1. Wählen Sie in der Regionsauswahl in der Navigationsleiste dasselbe Verzeichnis aus AWS-Region wie das bestehende Verzeichnis. 1. Wählen Sie auf dem **EC2-Dashboard** im Abschnitt **Instance starten** die Option **Instance starten** aus. 1. Geben Sie auf der Seite **Eine Instance starten** im Abschnitt **Name und Tags** den Namen ein, den Sie für Ihre Linux EC2-Instance verwenden möchten. 1. *(Optional)* Wählen Sie **Zusätzliche Tags hinzufügen**, um ein oder mehrere Tag-Schlüssel-Wert-Paare hinzuzufügen, um den Zugriff für diese EC2-Instance zu organisieren, zu verfolgen oder zu kontrollieren. 1. Wählen Sie im Abschnitt **Anwendungs- und Betriebssystem-Image (Amazon Machine Image)** ein Linux-AMI aus, das Sie starten möchten. **Anmerkung** Das verwendete AMI muss AWS Systems Manager (SSM Agent) Version 2.3.1644.0 oder höher haben. Um die installierte SSM-Agent-Version in Ihrem AMI zu überprüfen, indem Sie eine Instance von diesem AMI aus starten, lesen Sie den Abschnitt [Ermittlung der aktuell installierten SSM-Agent-Version](https://docs.aws.amazon.com/systems-manager/latest/userguide/ssm-agent-get-version.html). Wenn Sie den SSM Agent aktualisieren müssen, lesen Sie den Abschnitt [Installieren und Konfigurieren von SSM Agent in EC2-Instances für Linux](https://docs.aws.amazon.com/systems-manager/latest/userguide/sysman-install-ssm-agent.html). SSM verwendet das `aws:domainJoin` Plugin, wenn eine Linux-Instance einer Active Directory-Domäne hinzugefügt wird. Das Plugin ändert den Hostnamen für die Linux-Instanzen in das Format EC2 AMAZ-. *XXXXXXX* Weitere Informationen `aws:domainJoin` dazu finden Sie in der [Plugin-Referenz zum AWS Systems Manager Befehlsdokument](https://docs.aws.amazon.com//systems-manager/latest/userguide/documents-command-ssm-plugin-reference.html#aws-domainJoin) im *AWS Systems Manager Benutzerhandbuch*. 1. Wählen Sie im Abschnitt **Instance-Typ** den Instance-Typ, den Sie verwenden möchten, aus der Dropdown-Liste **Instance-Typ** aus. 1. Im Abschnitt **Schlüsselpaar (Anmeldung)** können Sie entweder ein neues Schlüsselpaar erstellen oder aus einem vorhandenen Schlüsselpaar auswählen. Um ein neues Schlüsselpaar zu erstellen, wählen Sie **Neues Schlüsselpaar erstellen**. Geben Sie einen Namen für das Schlüsselpaar ein und wählen Sie eine Option für den **Schlüsselpaartyp** und das **Dateiformat des privaten Schlüssels**. Um den privaten Schlüssel in einem Format zu speichern, das mit OpenSSH verwendet werden kann, wählen Sie **.pem**. Um den privaten Schlüssel in einem Format zu speichern, das mit PuTTY verwendet werden kann, wählen Sie **.ppk**. Wählen Sie **Schlüsselpaar erstellen** aus. Die private Schlüsseldatei wird von Ihrem Browser automatisch runtergeladen. Speichern Sie die Datei mit dem privaten Schlüssel an einem sicheren Ort. **Wichtig** Dies ist die einzige Möglichkeit, die private Schlüsseldatei zu speichern. 1. Wählen Sie auf der Seite **Eine Instance starten** im Abschnitt **Netzwerkeinstellungen** die Option **Bearbeiten** aus. Wählen Sie die **VPC**, in der Ihr Verzeichnis erstellt wurde, aus der Dropdown-Liste **VPC –* erforderlich*** aus. 1. Wählen Sie eines der öffentlichen Subnetze in Ihrer VPC aus der Dropdown-Liste **Subnetz** aus. Das von Ihnen gewählte Subnetz muss den gesamten externen Datenverkehr an ein Internet-Gateway weiterleiten. Ist dies nicht der Fall, können Sie keine Remote-Verbindung zur Instance einrichten. Weitere Informationen zur Verbindung mit einem Internet-Gateway finden Sie unter [Verbinden mit dem Internet über ein Internet-Gateway](https://docs.aws.amazon.com//vpc/latest/userguide/VPC_Internet_Gateway.html) im *Amazon-VPC-Benutzerhandbuch*. 1. Wählen Sie unter **Öffentliche IP automatisch zuweisen** die Option **Aktivieren**. Weitere Informationen zur öffentlichen und privaten IP-Adressierung finden Sie unter [Amazon EC2 EC2-Instance-IP-Adressierung](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/using-instance-addressing.html) im *Amazon EC2 EC2-Benutzerhandbuch*. 1. Für die Einstellungen zu **Firewall (Sicherheitsgruppen)** können Sie die Standardeinstellungen verwenden oder an Ihre Bedürfnisse angepasste Änderungen vornehmen. 1. Für **Speichereinstellungen konfigurieren** können Sie die Standardeinstellungen verwenden oder an Ihre Bedürfnisse angepasste Änderungen vornehmen. 1. Wählen Sie den Abschnitt **Erweiterte Details** aus und wählen Sie Ihre Domain aus der Dropdown-Liste für das **Domainverbindungs-Verzeichnis** aus. **Anmerkung** Nachdem Sie das Domain-Join-Verzeichnis ausgewählt haben, sehen Sie möglicherweise: ![\[Eine Fehlermeldung bei der Auswahl Ihres Domain-Join-Verzeichnisses. In Ihrem vorhandenen SSM-Dokument ist ein Fehler aufgetreten.\]](http://docs.aws.amazon.com/de_de/directoryservice/latest/admin-guide/images/SSM-Error-Message.png) Dieser Fehler tritt auf, wenn der EC2-Startassistent ein vorhandenes SSM-Dokument mit unerwarteten Eigenschaften identifiziert. Sie können einen der folgenden Schritte ausführen: Wenn Sie das SSM-Dokument zuvor bearbeitet haben und die Eigenschaften erwartet werden, wählen Sie Schließen und fahren Sie fort, um die EC2-Instance ohne Änderungen zu starten. Wählen Sie den Link „Bestehendes SSM-Dokument hier löschen“, um das SSM-Dokument zu löschen. Dies ermöglicht die Erstellung eines SSM-Dokuments mit den richtigen Eigenschaften. Das SSM-Dokument wird automatisch erstellt, wenn Sie die EC2-Instance starten. 1. Wählen Sie für das **IAM-Instanzprofil** die IAM-Rolle aus, die Sie zuvor im Abschnitt Voraussetzungen erstellt haben. **Schritt 2: Linux-Rolle erstellen**. EC2 DomainJoin 1. Wählen Sie **Launch Instance (Instance starten)** aus. **Anmerkung** Wenn Sie eine nahtlose Domainverbindung mit SUSE Linux durchführen, ist ein Neustart erforderlich, bevor die Authentifizierungen funktionieren. Um SUSE vom Linux-Terminal aus neu zu starten, geben Sie **sudo reboot** ein. # Nahtloses Verbinden einer Amazon EC2 EC2-Linux-Instance mit einem gemeinsam genutzten AWS Managed Microsoft AD In diesem Verfahren verbinden Sie eine Amazon EC2 EC2-Linux-Instance nahtlos mit einem gemeinsam genutzten AWS Managed Microsoft AD. Dazu erstellen Sie eine AWS Secrets Manager IAM-Leserichtlinie in der EC2-Instance-Rolle des Kontos, in dem Sie die EC2-Linux-Instance starten möchten. Dies wird in diesem Verfahren als `Account 2` bezeichnet. Diese Instanz verwendet das AWS verwaltete Microsoft AD, das von dem anderen Konto gemeinsam genutzt wird, das als bezeichnet wird`Account 1`. ## Voraussetzungen Bevor Sie eine Amazon EC2 Linux-Instance nahtlos mit einem gemeinsam genutzten AWS Managed Microsoft AD verbinden können, müssen Sie die folgenden Schritte ausführen: + Schritte 1 bis 3 im Tutorial,[Tutorial: Teilen Ihres AWS verwalteten Microsoft AD-Verzeichnisses für einen nahtlosen EC2-Domänenbeitritt](ms_ad_tutorial_directory_sharing.md). Dieses Tutorial führt Sie durch die Einrichtung Ihres Netzwerks und die gemeinsame Nutzung Ihres AWS Managed Microsoft AD. + Das Verfahren wird in beschrieben[Nahtloses Hinzufügen einer Amazon EC2 EC2-Linux-Instance zu Ihrem AWS verwalteten Microsoft AD Active Directory](seamlessly_join_linux_instance.md). ## Schritt 1. Erstellen Sie die EC2 DomainJoin Linux-Rolle in Konto 2 In diesem Schritt verwenden Sie die IAM-Konsole, um die IAM-Rolle zu erstellen, die Sie für den Domänenbeitritt Ihrer EC2-Linux-Instance verwenden, während Sie angemeldet sind. `Account 2` **Erstellen Sie die Linux-Rolle EC2 DomainJoin** 1. Öffnen Sie unter [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/) die IAM-Konsole. 1. Wählen Sie im linken Navigationsbereich unter **Access Management** die Option **Rollen** aus. 1. Klicken Sie auf der Seite **Roles (Rollen)** auf **Create role (Rolle erstellen)**. 1. Wählen Sie unter **Select type of trusted entity** (Typ der vertrauenswürdigen Entität auswählen) die Option **AWS -Service** aus. 1. **Wählen **Sie unter Anwendungsfall** die Option **EC2** und dann Weiter** 1. Gehen Sie für **Filterrichtlinien** wie folgt vor: 1. Geben Sie `AmazonSSMManagedInstanceCore` ein. Aktivieren Sie dann das Kontrollkästchen für dieses Element in der Liste. 1. Geben Sie `AmazonSSMDirectoryServiceAccess` ein. Aktivieren Sie dann das Kontrollkästchen für dieses Element in der Liste. 1. Nachdem Sie diese Richtlinien hinzugefügt haben, wählen Sie **Rolle erstellen** aus. **Anmerkung** `AmazonSSMDirectoryServiceAccess`bietet die Berechtigungen zum Hinzufügen von Instanzen zu einem Active Directory, das von verwaltet wird Directory Service. `AmazonSSMManagedInstanceCore`stellt die Mindestberechtigungen bereit, die zur Verwendung erforderlich sind AWS Systems Manager. Weitere Informationen zum Erstellen einer Rolle mit diesen Berechtigungen und Informationen zu anderen Berechtigungen und Richtlinien, die Sie Ihrer IAM-Rolle zuweisen können, finden Sie unter [Konfigurieren der für Systems Manager erforderlichen Instanzberechtigungen](https://docs.aws.amazon.com/systems-manager/latest/userguide/setup-instance-permissions.html) im *AWS Systems Manager Benutzerhandbuch*. 1. Geben Sie im Feld Rollenname einen Namen für Ihre neue Rolle ein, z. B. `LinuxEC2DomainJoin` oder einen anderen **Namen**, den Sie bevorzugen. 1. *(Optional)* Geben Sie für die **Rollenbeschreibung** eine Beschreibung ein. 1. *(Optional)* Wählen Sie unter **Schritt 3: Stichwörter **hinzufügen die Option Neues Tag** hinzufügen** aus, um Stichwörter hinzuzufügen. Tag-Schlüssel-Wert-Paare werden verwendet, um den Zugriff für diese Rolle zu organisieren, nachzuverfolgen oder zu kontrollieren. 1. Wählen Sie **Rolle erstellen** aus. ## Schritt 2. Richten Sie kontenübergreifenden Zugriff auf Ressourcen ein, um Geheimnisse zu teilen AWS Secrets Manager Der nächste Abschnitt enthält zusätzliche Anforderungen, die erfüllt werden müssen, um EC2-Linux-Instances nahtlos mit einem gemeinsam genutzten AWS verwalteten Microsoft AD zu verbinden. Zu diesen Anforderungen gehören die Erstellung von Ressourcenrichtlinien und deren Verknüpfung mit den entsprechenden Diensten und Ressourcen. Um Benutzern in einem Konto den Zugriff auf AWS Secrets Manager geheime Daten in einem anderen Konto zu ermöglichen, müssen Sie den Zugriff sowohl in einer Ressourcenrichtlinie als auch in einer Identitätsrichtlinie zulassen. Diese Art des Zugriffs wird als [kontoübergreifender Ressourcenzugriff](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) bezeichnet. Diese Art des Zugriffs unterscheidet sich von der Gewährung des Zugriffs auf Identitäten in demselben Konto wie das Secrets Manager Manager-Geheimnis. Außerdem müssen Sie der Identität die Verwendung des [AWS Key Management Service](https://docs.aws.amazon.com/kms/latest/developerguide/overview.html)(KMS-Schlüssels) gestatten, mit dem das Geheimnis verschlüsselt ist. Diese Berechtigung ist erforderlich, da Sie den AWS verwalteten Schlüssel (`aws/secretsmanager`) nicht für den kontoübergreifenden Zugriff verwenden können. Stattdessen verschlüsseln Sie Ihr Geheimnis mit einem von Ihnen erstellten KMS-Schlüssel und fügen ihm dann eine Schlüsselrichtlinie hinzu. Informationen zum Ändern des Verschlüsselungsschlüssels für ein Geheimnis finden Sie unter [Ändern eines AWS Secrets Manager Geheimnisses](https://docs.aws.amazon.com/secretsmanager/latest/userguide/manage_update-secret.html). **Anmerkung** Je nachdem AWS Secrets Manager, welches Geheimnis Sie verwenden, fallen Gebühren an. Die aktuelle vollständige Preisliste finden Sie unter [AWS Secrets Manager – Preise](https://aws.amazon.com/secrets-manager/pricing/). Sie können den Von AWS verwalteter Schlüssel `aws/secretsmanager`, den Secrets Manager erstellt, verwenden, um Ihre Geheimnisse kostenlos zu verschlüsseln. Wenn Sie Ihre eigenen KMS-Schlüssel erstellen, um Ihre Geheimnisse zu verschlüsseln, wird Ihnen der aktuelle AWS KMS-Tarif AWS berechnet. Weitere Informationen finden Sie unter [AWS Key Management Service  – Preise](https://aws.amazon.com/kms/pricing/). Mit den folgenden Schritten können Sie die Ressourcenrichtlinien erstellen, damit Benutzer eine EC2-Linux-Instance nahtlos mit einem gemeinsam genutzten AWS verwalteten Microsoft AD verbinden können. **Fügen Sie dem Secret in Konto 1 eine Ressourcenrichtlinie hinzu** 1. Öffnen Sie die Secrets Manager Manager-Konsole unter [https://console.aws.amazon.com/secretsmanager/](https://console.aws.amazon.com/secretsmanager/). 1. Wählen Sie aus der Liste der Geheimnisse Ihr **Geheimnis** aus, das Sie während des erstellt haben[Voraussetzungen](#seamlessly_join_linux_to_shared_MAD_prereqs). 1. Scrollen Sie auf der **Detailseite des Geheimnisses** unter dem Tab **Übersicht** nach unten zu **Ressourcenberechtigungen**. 1. Wählen Sie **Berechtigungen bearbeiten** aus. 1. Geben Sie im Richtlinienfeld die folgende Richtlinie ein. Die folgende Richtlinie ermöglicht **Linux EC2 DomainJoin** den `Account 2` Zugriff auf das Secret in`Account 1`. Ersetzen Sie den ARN-Wert durch den ARN-Wert für Ihre `LinuxEC2DomainJoin` Rolle`Account 2`, die Sie in [Schritt 1](#seamlessly_join_linux_to_shared_MAD_step_1) erstellt haben. Informationen zur Verwendung dieser Richtlinie finden Sie unter [Anhängen einer Berechtigungsrichtlinie an ein AWS Secrets Manager Geheimnis](https://docs.aws.amazon.com/secretsmanager/latest/userguide/auth-and-access_resource-policies.html). ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::123456789012:role/LinuxEC2DomainJoin" }, "Action": "secretsmanager:GetSecretValue", "Resource": "*" } ] } ``` ------ **Fügen Sie der Schlüsselrichtlinie für den KMS-Schlüssel in Konto 1 eine Erklärung hinzu** 1. Öffnen Sie die Secrets Manager Manager-Konsole unter [https://console.aws.amazon.com/secretsmanager/](https://console.aws.amazon.com/secretsmanager/). 1. Wählen Sie im linken Navigationsbereich vom **Kunden verwaltete Schlüssel** aus. 1. Wählen Sie auf der Seite **Vom Kunden verwaltete Schlüssel** den Schlüssel aus, den Sie erstellt haben. 1. Navigieren Sie auf der Seite mit den **Schlüsseldetails** zu **Schlüsselrichtlinie** und wählen Sie **Bearbeiten** aus. 1. Die folgende wichtige Richtlinienanweisung ermöglicht `ApplicationRole` die Verwendung des KMS-Schlüssels in`Account 1`, um den geheimen Schlüssel in `Account 1` zu entschlüsseln. `Account 2` Um diese Anweisung zu verwenden, fügen Sie sie der Schlüsselrichtlinie für Ihren KMS-Schlüssel hinzu. Weitere Informationen finden Sie unter [Changing a key policy (Ändern einer Schlüsselrichtlinie)](https://docs.aws.amazon.com/kms/latest/developerguide/key-policy-modifying.html). ``` { { "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::Account2:role/ApplicationRole" }, "Action": [ "kms:Decrypt", "kms:DescribeKey" ], "Resource": "*" } ``` **Erstellen Sie eine Identitätsrichtlinie für die Identität in Konto 2** 1. Öffnen Sie unter [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/) die IAM-Konsole. 1. Wählen Sie im linken Navigationsbereich unter **Zugriffsverwaltung** die Option **Richtlinien** aus. 1. Wählen Sie **Create Policy (Richtlinie erstellen)**. Wählen Sie im **Richtlinien-Editor** **JSON** aus. 1. Die folgende Richtlinie ermöglicht `ApplicationRole` den `Account 2` Zugriff auf den geheimen Wert `Account 1` und die Entschlüsselung des Geheimwerts mithilfe des ebenfalls enthaltenen Verschlüsselungsschlüssels. `Account 1` Sie finden den ARN für Ihr Secret in der Secrets Manager-Konsole auf der Seite **Secret Details** unter **Secret ARN**. Alternativ können Sie [describe-secret](https://docs.aws.amazon.com/cli/latest/reference/secretsmanager/describe-secret.html) aufrufen, um den ARN des Secrets zu identifizieren. Ersetzen Sie den Ressourcen-ARN durch den Ressourcen-ARN für den geheimen ARN und`Account 1`. Informationen zur Verwendung dieser Richtlinie finden Sie unter [Anhängen einer Berechtigungsrichtlinie an ein AWS Secrets Manager Geheimnis](https://docs.aws.amazon.com/secretsmanager/latest/userguide/auth-and-access_resource-policies.html). ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "secretsmanager:GetSecretValue", "Resource": "arn:aws:secretsmanager:us-east-1:111122223333:secret:secretName-AbCdEf" }, { "Effect": "Allow", "Action": [ "kms:Decrypt", "kms:Describekey" ], "Resource": "arn:aws:kms:us-east-1:111122223333:key/Your_Encryption_Key" } ] } ``` ------ 1. Wählen Sie **Weiter** und dann **Änderungen speichern** aus. 1. Suchen Sie die Rolle, die Sie `Account 2` in erstellt haben, und wählen Sie sie aus[Attach a resource policy to the secret in Account 1](#step1ResourcePolicy). 1. Wählen **Sie unter Berechtigungen hinzufügen** die Option **Richtlinien anhängen** aus. 1. Suchen Sie in der Suchleiste nach der Richtlinie, in der Sie sie erstellt haben, [Add a statement to the key policy for the KMS key in Account 1](#step2KeyPolicy) und wählen Sie das Feld aus, um die Richtlinie der Rolle hinzuzufügen. Wählen Sie dann **Berechtigungen hinzufügen** aus. ## Schritt 3. Treten Sie Ihrer Linux-Instanz nahtlos bei Sie können jetzt das folgende Verfahren verwenden, um Ihre EC2-Linux-Instance nahtlos mit Ihrem gemeinsam genutzten AWS verwalteten Microsoft AD zu verbinden. **Um Ihrer Linux-Instance nahtlos beizutreten** 1. Melden Sie sich bei der an AWS-Managementkonsole und öffnen Sie die Amazon EC2 EC2-Konsole unter [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/). 1. Wählen Sie in der Regionsauswahl in der Navigationsleiste dasselbe Verzeichnis aus AWS-Region wie das bestehende Verzeichnis. 1. Wählen Sie auf dem **EC2-Dashboard** im Abschnitt **Instance starten** die Option **Instance starten** aus. 1. Geben Sie auf der Seite **Eine Instance starten** im Abschnitt **Name und Tags** den Namen ein, den Sie für Ihre Linux EC2-Instance verwenden möchten. 1. *(Optional)* Wählen Sie **Zusätzliche Tags hinzufügen**, um ein oder mehrere Tag-Schlüssel-Wert-Paare hinzuzufügen, um den Zugriff für diese EC2-Instance zu organisieren, zu verfolgen oder zu kontrollieren. 1. Wählen Sie im Abschnitt **Anwendungs- und Betriebssystem-Image (Amazon Machine Image)** ein Linux-AMI aus, das Sie starten möchten. **Anmerkung** Das verwendete AMI muss AWS Systems Manager (SSM Agent) Version 2.3.1644.0 oder höher haben. Um die installierte SSM-Agent-Version in Ihrem AMI zu überprüfen, indem Sie eine Instance von diesem AMI aus starten, lesen Sie den Abschnitt [Ermittlung der aktuell installierten SSM-Agent-Version](https://docs.aws.amazon.com/systems-manager/latest/userguide/ssm-agent-get-version.html). Wenn Sie den SSM Agent aktualisieren müssen, lesen Sie den Abschnitt [Installieren und Konfigurieren von SSM Agent in EC2-Instances für Linux](https://docs.aws.amazon.com/systems-manager/latest/userguide/sysman-install-ssm-agent.html). SSM verwendet das `aws:domainJoin` Plugin, wenn eine Linux-Instance einer Active Directory-Domäne hinzugefügt wird. Das Plugin ändert den Hostnamen für die Linux-Instanzen in das Format EC2 AMAZ-. *XXXXXXX* Weitere Informationen `aws:domainJoin` dazu finden Sie in der [Plugin-Referenz zum AWS Systems Manager Befehlsdokument](https://docs.aws.amazon.com//systems-manager/latest/userguide/documents-command-ssm-plugin-reference.html#aws-domainJoin) im *AWS Systems Manager Benutzerhandbuch*. 1. Wählen Sie im Abschnitt **Instance-Typ** den Instance-Typ, den Sie verwenden möchten, aus der Dropdown-Liste **Instance-Typ** aus. 1. Im Abschnitt **Schlüsselpaar (Anmeldung)** können Sie entweder ein neues Schlüsselpaar erstellen oder aus einem vorhandenen Schlüsselpaar auswählen. Um ein neues Schlüsselpaar zu erstellen, wählen Sie **Neues Schlüsselpaar erstellen**. Geben Sie einen Namen für das Schlüsselpaar ein und wählen Sie eine Option für den **Schlüsselpaartyp** und das **Dateiformat des privaten Schlüssels**. Um den privaten Schlüssel in einem Format zu speichern, das mit OpenSSH verwendet werden kann, wählen Sie **.pem**. Um den privaten Schlüssel in einem Format zu speichern, das mit PuTTY verwendet werden kann, wählen Sie **.ppk**. Wählen Sie **Schlüsselpaar erstellen** aus. Die private Schlüsseldatei wird von Ihrem Browser automatisch runtergeladen. Speichern Sie die Datei mit dem privaten Schlüssel an einem sicheren Ort. **Wichtig** Dies ist die einzige Möglichkeit, die private Schlüsseldatei zu speichern. 1. Wählen Sie auf der Seite **Eine Instance starten** im Abschnitt **Netzwerkeinstellungen** die Option **Bearbeiten** aus. Wählen Sie die **VPC**, in der Ihr Verzeichnis erstellt wurde, aus der Dropdown-Liste **VPC –* erforderlich*** aus. 1. Wählen Sie eines der öffentlichen Subnetze in Ihrer VPC aus der Dropdown-Liste **Subnetz** aus. Das von Ihnen gewählte Subnetz muss den gesamten externen Datenverkehr an ein Internet-Gateway weiterleiten. Ist dies nicht der Fall, können Sie keine Remote-Verbindung zur Instance einrichten. Weitere Informationen zur Verbindung mit einem Internet-Gateway finden Sie unter [Verbinden mit dem Internet über ein Internet-Gateway](https://docs.aws.amazon.com//vpc/latest/userguide/VPC_Internet_Gateway.html) im *Amazon-VPC-Benutzerhandbuch*. 1. Wählen Sie unter **Öffentliche IP automatisch zuweisen** die Option **Aktivieren**. Weitere Informationen zur öffentlichen und privaten IP-Adressierung finden Sie unter [Amazon EC2 EC2-Instance-IP-Adressierung](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/using-instance-addressing.html) im *Amazon EC2 EC2-Benutzerhandbuch*. 1. Für die Einstellungen zu **Firewall (Sicherheitsgruppen)** können Sie die Standardeinstellungen verwenden oder an Ihre Bedürfnisse angepasste Änderungen vornehmen. 1. Für **Speichereinstellungen konfigurieren** können Sie die Standardeinstellungen verwenden oder an Ihre Bedürfnisse angepasste Änderungen vornehmen. 1. Wählen Sie den Abschnitt **Erweiterte Details** aus und wählen Sie Ihre Domain aus der Dropdown-Liste für das **Domainverbindungs-Verzeichnis** aus. **Anmerkung** Nachdem Sie das Domain-Join-Verzeichnis ausgewählt haben, sehen Sie möglicherweise: ![\[Eine Fehlermeldung bei der Auswahl Ihres Domain-Join-Verzeichnisses. In Ihrem vorhandenen SSM-Dokument ist ein Fehler aufgetreten.\]](http://docs.aws.amazon.com/de_de/directoryservice/latest/admin-guide/images/SSM-Error-Message.png) Dieser Fehler tritt auf, wenn der EC2-Startassistent ein vorhandenes SSM-Dokument mit unerwarteten Eigenschaften identifiziert. Sie können einen der folgenden Schritte ausführen: Wenn Sie das SSM-Dokument zuvor bearbeitet haben und die Eigenschaften erwartet werden, wählen Sie Schließen und fahren Sie fort, um die EC2-Instance ohne Änderungen zu starten. Wählen Sie den Link „Bestehendes SSM-Dokument hier löschen“, um das SSM-Dokument zu löschen. Dies ermöglicht die Erstellung eines SSM-Dokuments mit den richtigen Eigenschaften. Das SSM-Dokument wird automatisch erstellt, wenn Sie die EC2-Instance starten. 1. Wählen Sie für das **IAM-Instanzprofil** die IAM-Rolle aus, die Sie zuvor im Abschnitt Voraussetzungen erstellt haben. **Schritt 2: Linux-Rolle erstellen**. EC2 DomainJoin 1. Wählen Sie **Launch Instance (Instance starten)** aus. **Anmerkung** Wenn Sie eine nahtlose Domainverbindung mit SUSE Linux durchführen, ist ein Neustart erforderlich, bevor die Authentifizierungen funktionieren. Um SUSE vom Linux-Terminal aus neu zu starten, geben Sie **sudo reboot** ein. # Manuelles Hinzufügen einer Amazon EC2 EC2-Linux-Instance zu Ihrem AWS verwalteten Microsoft AD Active Directory Zusätzlich zu Amazon EC2 Windows EC2-Instances können Sie auch bestimmte Amazon EC2 EC2-Linux-Instances zu Ihrem AWS Managed Microsoft AD Active Directory hinzufügen. Die folgenden Linux-Instance-Distributionen und -Versionen werden unterstützt: + Amazon Linux AMI 2018.03.0 + Amazon Linux 2 (64-Bit x86) + Amazon-Linux-2023-AMI + Red Hat Enterprise Linux 8 (HVM) (64-Bit x86) + Ubuntu Server 18.04 LTS und Ubuntu Server 16.04 LTS + CentOS 7 x86-64 + SUSE Linux Enterprise Server 15 SP1 **Anmerkung** Andere Linux-Distributionen und -Versionen können funktionieren, sind jedoch nicht getestet worden. ## Verbinden Sie eine Linux-Instanz mit Ihrem AWS Managed Microsoft AD Bevor Sie eine Amazon-Linux-, CentOS-, Red-Hat- oder Ubuntu-Instance mit Ihrem Verzeichnis verbinden können, muss die Instance zunächst wie unter [Treten Sie Ihrer Linux-Instance nahtlos bei](seamlessly_join_linux_instance.md#seamless-linux-join-instance) beschrieben gestartet werden. **Wichtig** Einige der folgenden Verfahren können, wenn sie nicht richtig durchgeführt werden, Ihre Instance nicht erreichbar oder unbrauchbar machen. Aus diesem Grund empfehlen wir dringend, eine Sicherung anzufertigen oder einen Snapshot der Instance zu machen, bevor diese Verfahren ausgeführt werden. **So fügen Sie Ihrem Verzeichnis eine Linux-Instance hinzu** Folgen Sie den Schritten für Ihre spezifische Linux-Instance unter Verwendung einer der folgenden Registerkarten: ------ #### [ Amazon Linux ] 1. Stellen Sie über einen SSH-Client eine Verbindung zur Instance her. 1. Konfigurieren Sie die Linux-Instanz so, dass sie die DNS-Server-IP-Adressen der Directory Service bereitgestellten DNS-Server verwendet. Das können Sie entweder in den DHCP-Optionen der VPC oder manuell auf der Instance einrichten. Für eine manuelle Einrichtung finden Sie im AWS -Wissenszentrum im Artikel zum Thema [Wie weise ich einen statischen DNS-Server zu einer privaten Amazon-EC2-Instance zu?](https://aws.amazon.com/premiumsupport/knowledge-center/ec2-static-dns-ubuntu-debian/) eine Anleitung, um den persistenten DNS-Server für Ihre Linux-Distribution und -Version festzulegen. 1. Überprüfen Sie, ob Ihre Amazon-Linux-64bit-Instance auf dem aktuellen Stand ist. ``` sudo yum -y update ``` 1. Installieren Sie die erforderlichen Amazon-Linux-Pakete auf Ihrer Linux-Instance. **Anmerkung** Einige dieser Pakete sind möglicherweise bereits installiert. Wenn Sie die Pakete installieren, werden Ihnen mehrere Pop-up-Konfigurationsbildschirme gezeigt. Sie können in der Regel die Felder in diesen Bildschirmen leer lassen. Amazon Linux ``` sudo yum install samba-common-tools realmd oddjob oddjob-mkhomedir sssd adcli krb5-workstation ``` **Anmerkung** Hilfe bei der Bestimmung der Amazon-Linux-Version, die Sie verwenden, finden Sie unter [Identifizieren von Amazon-Linux-Images](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/amazon-linux-ami-basics.html#amazon-linux-image-id) im *Amazon-EC2-Benutzerhandbuch für Linux-Instances*. 1. Fügen Sie die Instance mit folgendem Befehl zur Instance hinzu. ``` sudo realm join -U join_account@EXAMPLE.COM example.com --verbose ``` *join\$1account@EXAMPLE.COM* Ein Konto in der *example.com* Domäne, das über Domänenbeitrittsrechte verfügt. Geben Sie das Passwort für das Konto ein, wenn Sie dazu aufgefordert werden. Weitere Informationen zum Erteilen dieser Berechtigungen finden Sie unter [Delegieren von Verzeichnisbeitrittsberechtigungen für AWS Managed Microsoft AD](directory_join_privileges.md). *example.com* Der vollständig berechtigte DNS-Name Ihres Verzeichnisses. ``` ... * Successfully enrolled machine in realm ``` 1. Konfigurieren Sie den SSH-Service so, dass die Passwortauthentifizierung zulässig ist. 1. Öffnen Sie die Datei `/etc/ssh/sshd_config` in einem Text-Editor. ``` sudo vi /etc/ssh/sshd_config ``` 1. Setzen Sie die Einstellung `PasswordAuthentication` auf `yes`. ``` PasswordAuthentication yes ``` 1. Starten Sie den SSH-Service neu. ``` sudo systemctl restart sshd.service ``` Alternative Vorgehensweise: ``` sudo service sshd restart ``` 1. Stellen Sie nach dem Neustart der Instanz mit einem beliebigen SSH-Client eine Verbindung zu ihr her und fügen Sie die Gruppe AWS Delegated Administrators der Sudoer-Liste hinzu, indem Sie die folgenden Schritte ausführen: 1. Öffnen Sie die `sudoers` - Datei mit dem folgenden Befehl: ``` sudo visudo ``` 1. Fügen Sie Folgendes am Ende der `sudoers`-Datei hinzu und speichern Sie die Datei. ``` ## Add the "AWS Delegated Administrators" group from the example.com domain. %AWS\ Delegated\ Administrators@example.com ALL=(ALL:ALL) ALL ``` (Im obigen Beispiel wird „\$1“ für das Linux-Leerzeichen verwendet.) ------ #### [ CentOS ] 1. Stellen Sie über einen SSH-Client eine Verbindung zur Instance her. 1. Konfigurieren Sie die Linux-Instanz so, dass sie die DNS-Server-IP-Adressen der bereitgestellten DNS-Server verwendet. Directory Service Das können Sie entweder in den DHCP-Optionen der VPC oder manuell auf der Instance einrichten. Für eine manuelle Einrichtung finden Sie im AWS -Wissenszentrum im Artikel zum Thema [Wie weise ich einen statischen DNS-Server zu einer privaten Amazon-EC2-Instance zu?](https://aws.amazon.com/premiumsupport/knowledge-center/ec2-static-dns-ubuntu-debian/) eine Anleitung, um den persistenten DNS-Server für Ihre Linux-Distribution und -Version festzulegen. 1. Überprüfen Sie, ob Ihre CentOS 7-Instance auf dem aktuellen Stand ist. ``` sudo yum -y update ``` 1. Installieren Sie die erforderlichen CentOS 7-Pakete auf Ihre Linux-Instance. **Anmerkung** Einige dieser Pakete sind möglicherweise bereits installiert. Wenn Sie die Pakete installieren, werden Ihnen mehrere Pop-up-Konfigurationsbildschirme gezeigt. Sie können in der Regel die Felder in diesen Bildschirmen leer lassen. ``` sudo yum -y install sssd realmd krb5-workstation samba-common-tools ``` 1. Fügen Sie die Instance mit folgendem Befehl zur Instance hinzu. ``` sudo realm join -U join_account@example.com example.com --verbose ``` *join\$1account@example.com* Ein Konto in der *example.com* Domäne, das über Domänenbeitrittsrechte verfügt. Geben Sie das Passwort für das Konto ein, wenn Sie dazu aufgefordert werden. Weitere Informationen zum Erteilen dieser Berechtigungen finden Sie unter [Delegieren von Verzeichnisbeitrittsberechtigungen für AWS Managed Microsoft AD](directory_join_privileges.md). *example.com* Der vollständig berechtigte DNS-Name Ihres Verzeichnisses. ``` ... * Successfully enrolled machine in realm ``` 1. Konfigurieren Sie den SSH-Service so, dass die Passwortauthentifizierung zulässig ist. 1. Öffnen Sie die Datei `/etc/ssh/sshd_config` in einem Text-Editor. ``` sudo vi /etc/ssh/sshd_config ``` 1. Setzen Sie die Einstellung `PasswordAuthentication` auf `yes`. ``` PasswordAuthentication yes ``` 1. Starten Sie den SSH-Service neu. ``` sudo systemctl restart sshd.service ``` Alternative Vorgehensweise: ``` sudo service sshd restart ``` 1. Stellen Sie nach dem Neustart der Instanz mit einem beliebigen SSH-Client eine Verbindung zu ihr her und fügen Sie die Gruppe AWS Delegated Administrators der Sudoer-Liste hinzu, indem Sie die folgenden Schritte ausführen: 1. Öffnen Sie die `sudoers` - Datei mit dem folgenden Befehl: ``` sudo visudo ``` 1. Fügen Sie Folgendes am Ende der `sudoers`-Datei hinzu und speichern Sie die Datei. ``` ## Add the "AWS Delegated Administrators" group from the example.com domain. %AWS\ Delegated\ Administrators@example.com ALL=(ALL:ALL) ALL ``` (Im obigen Beispiel wird „\$1“ für das Linux-Leerzeichen verwendet.) ------ #### [ Red Hat ] 1. Stellen Sie über einen SSH-Client eine Verbindung zur Instance her. 1. Konfigurieren Sie die Linux-Instanz so, dass sie die DNS-Server-IP-Adressen der bereitgestellten DNS-Server verwendet. Directory Service Das können Sie entweder in den DHCP-Optionen der VPC oder manuell auf der Instance einrichten. Für eine manuelle Einrichtung finden Sie im AWS -Wissenszentrum im Artikel zum Thema [Wie weise ich einen statischen DNS-Server zu einer privaten Amazon-EC2-Instance zu?](https://aws.amazon.com/premiumsupport/knowledge-center/ec2-static-dns-ubuntu-debian/) eine Anleitung, um den persistenten DNS-Server für Ihre Linux-Distribution und -Version festzulegen. 1. Stellen Sie sicher, dass die Red Hat - 64bit-Instance auf dem neuesten Stand ist. ``` sudo yum -y update ``` 1. Installieren Sie die erforderlichen Red Hat-Pakete auf Ihrer Linux-Instance. **Anmerkung** Einige dieser Pakete sind möglicherweise bereits installiert. Wenn Sie die Pakete installieren, werden Ihnen mehrere Pop-up-Konfigurationsbildschirme gezeigt. Sie können in der Regel die Felder in diesen Bildschirmen leer lassen. ``` sudo yum -y install sssd realmd krb5-workstation samba-common-tools ``` 1. Fügen Sie die Instance mit folgendem Befehl zur Instance hinzu. ``` sudo realm join -v -U join_account example.com --install=/ ``` *join\$1account* Der **AMAccounts-Name** für ein Konto in der *example.com* Domäne, das über Domänenbeitrittsrechte verfügt. Geben Sie das Passwort für das Konto ein, wenn Sie dazu aufgefordert werden. Weitere Informationen zum Erteilen dieser Berechtigungen finden Sie unter [Delegieren von Verzeichnisbeitrittsberechtigungen für AWS Managed Microsoft AD](directory_join_privileges.md). *example.com* Der vollständig berechtigte DNS-Name Ihres Verzeichnisses. ``` ... * Successfully enrolled machine in realm ``` 1. Konfigurieren Sie den SSH-Service so, dass die Passwortauthentifizierung zulässig ist. 1. Öffnen Sie die Datei `/etc/ssh/sshd_config` in einem Text-Editor. ``` sudo vi /etc/ssh/sshd_config ``` 1. Setzen Sie die Einstellung `PasswordAuthentication` auf `yes`. ``` PasswordAuthentication yes ``` 1. Starten Sie den SSH-Service neu. ``` sudo systemctl restart sshd.service ``` Alternative Vorgehensweise: ``` sudo service sshd restart ``` 1. Stellen Sie nach dem Neustart der Instanz mit einem beliebigen SSH-Client eine Verbindung zu ihr her und fügen Sie die Gruppe AWS Delegated Administrators der Sudoer-Liste hinzu, indem Sie die folgenden Schritte ausführen: 1. Öffnen Sie die `sudoers` - Datei mit dem folgenden Befehl: ``` sudo visudo ``` 1. Fügen Sie Folgendes am Ende der `sudoers`-Datei hinzu und speichern Sie die Datei. ``` ## Add the "AWS Delegated Administrators" group from the example.com domain. %AWS\ Delegated\ Administrators@example.com ALL=(ALL:ALL) ALL ``` (Im obigen Beispiel wird „\$1“ für das Linux-Leerzeichen verwendet.) ------ #### [ SUSE ] 1. Stellen Sie über einen SSH-Client eine Verbindung zur Instance her. 1. Konfigurieren Sie die Linux-Instance so, dass sie die DNS-Server-IP-Adressen der Directory Service-bereitgestellten DNS-Server verwendet. Das können Sie entweder in den DHCP-Optionen der VPC oder manuell auf der Instance einrichten. Wenn Sie ihn manuell einrichten möchten, finden Sie im AWS Knowledge Center unter [Wie weise ich einer privaten Amazon EC2 EC2-Instance einen statischen DNS-Server zu](https://aws.amazon.com/premiumsupport/knowledge-center/ec2-static-dns-ubuntu-debian/)? Anleitungen zur Einrichtung des persistenten DNS-Servers für Ihre spezielle Linux-Distribution und -Version. 1. Überprüfen Sie, ob Ihre SUSE Linux 15-Instance auf dem aktuellen Stand ist. 1. Verbinden Sie das Paket-Repository. ``` sudo SUSEConnect -p PackageHub/15.1/x86_64 ``` 1. Aktualisieren Sie SUSE. ``` sudo zypper update -y ``` 1. Installieren Sie die erforderlichen SUSE Linux 15-Pakete auf Ihrer Linux-Instance. **Anmerkung** Einige dieser Pakete sind möglicherweise bereits installiert. Wenn Sie die Pakete installieren, werden Ihnen mehrere Pop-up-Konfigurationsbildschirme gezeigt. Sie können in der Regel die Felder in diesen Bildschirmen leer lassen. ``` sudo zypper -n install realmd adcli sssd sssd-tools sssd-ad samba-client krb5-client ``` 1. Fügen Sie die Instance mit folgendem Befehl zur Instance hinzu. ``` sudo realm join -U join_account example.com --verbose ``` *join\$1account* Der AMAccount s-Name in der *example.com* Domäne, die über Domänenbeitrittsrechte verfügt. Geben Sie das Passwort für das Konto ein, wenn Sie dazu aufgefordert werden. Weitere Informationen zum Erteilen dieser Berechtigungen finden Sie unter [Delegieren von Verzeichnisbeitrittsberechtigungen für AWS Managed Microsoft AD](directory_join_privileges.md). *example.com* Der vollständig qualifizierte DNS-Name Ihres Verzeichnisses. ``` … realm: Couldn't join realm: Enabling SSSD in nsswitch.conf and PAM failed. ``` Beachten Sie, dass beide folgenden Rückgaben erwartet werden. ``` ! Couldn't authenticate with keytab while discovering which salt to use: ! Enabling SSSD in nsswitch.conf and PAM failed. ``` 1. Aktivieren Sie **SSSD** in **PAM** manuell. ``` sudo pam-config --add --sss ``` 1. Bearbeiten Sie nsswitch.conf, um SSSD in nsswitch.conf zu aktivieren. ``` sudo vi /etc/nsswitch.conf ``` ``` passwd: compat sss group: compat sss shadow: compat sss ``` 1. Fügen Sie die folgende Zeile zu/etc/pam.d/common-session hinzu, um bei der ersten Anmeldung auto ein Home-Verzeichnis zu erstellen ``` sudo vi /etc/pam.d/common-session ``` ``` session optional pam_mkhomedir.so skel=/etc/skel umask=077 ``` 1. Starten Sie die Instance neu, um den Domain-Beitrittsprozess abzuschließen. ``` sudo reboot ``` 1. Verbinden Sie sich mit einem beliebigen SSH-Client erneut mit der Instance, um zu überprüfen, ob die Domainverbindung erfolgreich abgeschlossen wurde, und schließen Sie die weiteren Schritte ab. 1. So überprüfen Sie, ob die Instance in der Domain registriert wurde ``` sudo realm list ``` ``` example.com type: kerberos realm-name: EXAMPLE.COM domain-name: example.com configured: kerberos-member server-software: active-directory client-software: sssd required-package: sssd-tools required-package: sssd required-package: adcli required-package: samba-client login-formats: %U@example.com login-policy: allow-realm-logins ``` 1. So überprüfen Sie den Status des SSSD-Daemon ``` systemctl status sssd ``` ``` sssd.service - System Security Services Daemon Loaded: loaded (/usr/lib/systemd/system/sssd.service; enabled; vendor preset: disabled) Active: active (running) since Wed 2020-04-15 16:22:32 UTC; 3min 49s ago Main PID: 479 (sssd) Tasks: 4 CGroup: /system.slice/sssd.service ├─479 /usr/sbin/sssd -i --logger=files ├─505 /usr/lib/sssd/sssd_be --domain example.com --uid 0 --gid 0 --logger=files ├─548 /usr/lib/sssd/sssd_nss --uid 0 --gid 0 --logger=files └─549 /usr/lib/sssd/sssd_pam --uid 0 --gid 0 --logger=files ``` 1. So gestatten Sie einem Benutzer Zugriff über SSH und Konsole ``` sudo realm permit join_account@example.com ``` So gestatten Sie einer Domaingruppe den Zugriff über SSH und Konsole ``` sudo realm permit -g 'AWS Delegated Administrators' ``` So gestatten Sie allen Benutzern den Zugriff ``` sudo realm permit --all ``` 1. Konfigurieren Sie den SSH-Service so, dass die Passwortauthentifizierung zulässig ist. 1. Öffnen Sie die Datei `/etc/ssh/sshd_config` in einem Text-Editor. ``` sudo vi /etc/ssh/sshd_config ``` 1. Setzen Sie die Einstellung `PasswordAuthentication` auf `yes`. ``` PasswordAuthentication yes ``` 1. Starten Sie den SSH-Service neu. ``` sudo systemctl restart sshd.service ``` Alternative Vorgehensweise: ``` sudo service sshd restart ``` 1. 13. Stellen Sie nach dem Neustart der Instanz mit einem beliebigen SSH-Client eine Verbindung zu ihr her und fügen Sie die Gruppe AWS Delegated Administrators der Sudoer-Liste hinzu, indem Sie die folgenden Schritte ausführen: 1. Öffnen Sie die sudoers-Datei mit dem folgenden Befehl: ``` sudo visudo ``` 1. Fügen Sie Folgendes am Ende der sudoers-Datei hinzu und speichern Sie die Datei. ``` ## Add the "Domain Admins" group from the awsad.com domain. %AWS\ Delegated\ Administrators@example.com ALL=(ALL) NOPASSWD: ALL ``` ------ #### [ Ubuntu ] 1. Stellen Sie über einen SSH-Client eine Verbindung zur Instance her. 1. Konfigurieren Sie die Linux-Instanz so, dass sie die DNS-Server-IP-Adressen der bereitgestellten DNS-Server verwendet. Directory Service Das können Sie entweder in den DHCP-Optionen der VPC oder manuell auf der Instance einrichten. Für eine manuelle Einrichtung finden Sie im AWS -Wissenszentrum im Artikel zum Thema [Wie weise ich einen statischen DNS-Server zu einer privaten Amazon-EC2-Instance zu?](https://aws.amazon.com/premiumsupport/knowledge-center/ec2-static-dns-ubuntu-debian/) eine Anleitung, um den persistenten DNS-Server für Ihre Linux-Distribution und -Version festzulegen. 1. Stellen Sie sicher, dass Ihre Ubuntu - 64bit-Instance auf dem neuesten Stand ist. ``` sudo apt-get update sudo apt-get -y upgrade ``` 1. Installieren Sie die erforderlichen Ubuntu-Pakete auf Ihrer Linux-Instance. **Anmerkung** Einige dieser Pakete sind möglicherweise bereits installiert. Wenn Sie die Pakete installieren, werden Ihnen mehrere Pop-up-Konfigurationsbildschirme gezeigt. Sie können in der Regel die Felder in diesen Bildschirmen leer lassen. ``` sudo apt-get -y install sssd realmd krb5-user samba-common packagekit adcli ``` 1. Deaktivieren Sie die Reverse DNS-Auflösung und legen Sie den Standardbereich auf den FQDN Ihrer Domain fest. Ubuntu-Instances **müssen** im DNS reverse-auflösbar sein, bevor der Bereich genutzt werden kann. Andernfalls müssen Sie Reverse DNS in der /etc/krb5.conf wie folgt deaktivieren: ``` sudo vi /etc/krb5.conf ``` ``` [libdefaults] default_realm = EXAMPLE.COM rdns = false ``` 1. Fügen Sie die Instance mit folgendem Befehl zur Instance hinzu. ``` sudo realm join -U join_account example.com --verbose ``` *join\$1account@example.com* Der **AMAccounts-Name** für ein Konto in der *example.com* Domäne, das über Domänenbeitrittsrechte verfügt. Geben Sie das Passwort für das Konto ein, wenn Sie dazu aufgefordert werden. Weitere Informationen zum Erteilen dieser Berechtigungen finden Sie unter [Delegieren von Verzeichnisbeitrittsberechtigungen für AWS Managed Microsoft AD](directory_join_privileges.md). *example.com* Der vollständig berechtigte DNS-Name Ihres Verzeichnisses. ``` ... * Successfully enrolled machine in realm ``` 1. Konfigurieren Sie den SSH-Service so, dass die Passwortauthentifizierung zulässig ist. 1. Öffnen Sie die Datei `/etc/ssh/sshd_config` in einem Text-Editor. ``` sudo vi /etc/ssh/sshd_config ``` 1. Setzen Sie die Einstellung `PasswordAuthentication` auf `yes`. ``` PasswordAuthentication yes ``` 1. Starten Sie den SSH-Service neu. ``` sudo systemctl restart sshd.service ``` Alternative Vorgehensweise: ``` sudo service sshd restart ``` 1. Stellen Sie nach dem Neustart der Instanz mit einem beliebigen SSH-Client eine Verbindung zu ihr her und fügen Sie die Gruppe AWS Delegated Administrators der Sudoer-Liste hinzu, indem Sie die folgenden Schritte ausführen: 1. Öffnen Sie die `sudoers` - Datei mit dem folgenden Befehl: ``` sudo visudo ``` 1. Fügen Sie Folgendes am Ende der `sudoers`-Datei hinzu und speichern Sie die Datei. ``` ## Add the "AWS Delegated Administrators" group from the example.com domain. %AWS\ Delegated\ Administrators@example.com ALL=(ALL:ALL) ALL ``` (Im obigen Beispiel wird „\$1“ für das Linux-Leerzeichen verwendet.) ------ ## Einschränken des Kontoanmeldungszugriffs Da alle Konten in Active Directory standardmäßig definiert sind, können sich alle Benutzer aus dem Verzeichnis bei der Instance anmelden. Mit **ad\$1access\$1filter** in **sssd.conf** können Sie festlegen, dass sich nur bestimmte Benutzer bei der Instance anmelden können. Beispiel: ``` ad_access_filter = (memberOf=cn=admins,ou=Testou,dc=example,dc=com) ``` *memberOf* Gibt an, dass Benutzer nur Zugriff auf die Instance haben, wenn sie Mitglied einer bestimmten Gruppe sind. *cn* Der allgemeine Name der Gruppe, die Zugriff haben soll. In diesem Beispiel lautet der Gruppenname. *admins* *ou* Dies ist die Organisationseinheit, in der sich die oben genannte Gruppe befindet. In diesem Beispiel ist die Organisationseinheit*Testou*. *dc* Dies ist die Domainkomponente Ihrer Domain. In diesem Beispiel *example*. *dc* Hierbei handelt es sich um eine zusätzliche Domainkomponente. In diesem Beispiel *com*. Sie müssen **ad\$1access\$1filter** manuell zu **/etc/sssd/sssd.conf** hinzufügen. Öffnen Sie die Datei **/etc/sssd/sssd.conf** in einem Text-Editor. ``` sudo vi /etc/sssd/sssd.conf ``` Danach sieht **sssd.conf** wie folgt aus: ``` [sssd] domains = example.com config_file_version = 2 services = nss, pam [domain/example.com] ad_domain = example.com krb5_realm = EXAMPLE.COM realmd_tags = manages-system joined-with-samba cache_credentials = True id_provider = ad krb5_store_password_if_offline = True default_shell = /bin/bash ldap_id_mapping = True use_fully_qualified_names = True fallback_homedir = /home/%u@%d access_provider = ad ad_access_filter = (memberOf=cn=admins,ou=Testou,dc=example,dc=com) ``` Damit die Konfiguration wirksam wird, müssen Sie den sssd-Service neu starten: ``` sudo systemctl restart sssd.service ``` Alternativ können Sie: ``` sudo service sssd restart ``` Da alle Konten in Active Directory standardmäßig definiert sind, können sich alle Benutzer aus dem Verzeichnis bei der Instance anmelden. Mit **ad\$1access\$1filter** in **sssd.conf** können Sie festlegen, dass sich nur bestimmte Benutzer bei der Instance anmelden können. Beispiel: ``` ad_access_filter = (memberOf=cn=admins,ou=Testou,dc=example,dc=com) ``` *memberOf* Gibt an, dass Benutzer nur Zugriff auf die Instance haben, wenn sie Mitglied einer bestimmten Gruppe sind. *cn* Der allgemeine Name der Gruppe, die Zugriff haben soll. In diesem Beispiel lautet der Gruppenname*admins*. *ou* Dies ist die Organisationseinheit, in der sich die oben genannte Gruppe befindet. In diesem Beispiel ist die Organisationseinheit*Testou*. *dc* Dies ist die Domainkomponente Ihrer Domain. In diesem Beispiel *example*. *dc* Hierbei handelt es sich um eine zusätzliche Domainkomponente. In diesem Beispiel *com*. Sie müssen **ad\$1access\$1filter** manuell zu **/etc/sssd/sssd.conf** hinzufügen. 1. Öffnen Sie die Datei **/etc/sssd/sssd.conf** in einem Text-Editor. ``` sudo vi /etc/sssd/sssd.conf ``` 1. Danach sieht **sssd.conf** wie folgt aus: ``` [sssd] domains = example.com config_file_version = 2 services = nss, pam [domain/example.com] ad_domain = example.com krb5_realm = EXAMPLE.COM realmd_tags = manages-system joined-with-samba cache_credentials = True id_provider = ad krb5_store_password_if_offline = True default_shell = /bin/bash ldap_id_mapping = True use_fully_qualified_names = True fallback_homedir = /home/%u@%d access_provider = ad ad_access_filter = (memberOf=cn=admins,ou=Testou,dc=example,dc=com) ``` 1. Damit die Konfiguration wirksam wird, müssen Sie den sssd-Service neu starten: ``` sudo systemctl restart sssd.service ``` Alternativ können Sie: ``` sudo service sssd restart ``` ## ID-Zuordnung Die ID-Zuordnung kann mit zwei Methoden durchgeführt werden, um eine einheitliche Benutzererfahrung zwischen UNIX/Linux User Identifier (UID) und Group Identifier (GID) sowie Windows- und Active Directory Security Identifier (SID) -Identitäten zu gewährleisten. Diese Methoden sind: 1. Zentralisiert 1. Verteilt **Anmerkung** Für die zentrale Zuordnung von Benutzeridentitäten in Active Directory ist ein Portable Operating System Interface oder POSIX erforderlich. **Zentralisierte Zuordnung von Benutzeridentitäten** Active Directory oder ein anderer LDAP-Dienst (Lightweight Directory Access Protocol) stellt den Linux-Benutzern UID und GID zur Verfügung. In Active Directory werden diese Bezeichner in den Benutzerattributen gespeichert, wenn die POSIX-Erweiterung konfiguriert ist: + UID — Der Linux-Benutzername (Zeichenfolge) + UID-Nummer — Die Linux-Benutzer-ID-Nummer (Integer) + GID-Nummer — Die Linux-Gruppen-ID-Nummer (Integer) Um eine Linux-Instanz für die Verwendung der UID und GID aus Active Directory zu konfigurieren, legen Sie diese `ldap_id_mapping = False` in der Datei sssd.conf fest. Bevor Sie diesen Wert festlegen, stellen Sie sicher, dass Sie den Benutzern und Gruppen in Active Directory eine UID, UID-Nummer und GID-Nummer hinzugefügt haben. **Zuordnung verteilter Benutzeridentitäten** Wenn Active Directory nicht über die POSIX-Erweiterung verfügt oder wenn Sie die Identitätszuweisung nicht zentral verwalten möchten, kann Linux die UID- und GID-Werte berechnen. Linux verwendet den eindeutigen Security Identifier (SID) des Benutzers, um die Konsistenz aufrechtzuerhalten. Um die verteilte Benutzer-ID-Zuordnung zu konfigurieren, legen Sie dies `ldap_id_mapping = True` in der Datei sssd.conf fest. **Häufige Probleme** Wenn Sie dies festlegen`ldap_id_mapping = False`, schlägt das Starten des SSSD-Dienstes manchmal fehl. Der Grund für diesen Fehler liegt darin, dass Änderungen UIDs nicht unterstützt werden. Wir empfehlen Ihnen, den SSSD-Cache zu löschen, wenn Sie von ID-Zuordnung zu POSIX-Attributen oder von POSIX-Attributen zu ID-Zuordnung wechseln. Weitere Informationen zur ID-Zuordnung und den ldap\$1id\$1mapping-Parametern finden Sie in der Manpage sssd-ldap (8) in der Linux-Befehlszeile. ## Connect zur Linux-Instanz her Wenn ein Benutzer die Verbindung zur Instance über einen SSH-Client herstellt, wird er zur Eingabe des Benutzernamens aufgefordert. Der Benutzer kann den Benutzernamen entweder im Format `username@example.com` oder `EXAMPLE\username` eingeben. Je nachdem, welche Linux-Distribution Sie verwenden, wird die Antwort etwa wie folgt aussehen: **Amazon Linux, Red Hat Enterprise Linux und CentOS Linux** ``` login as: johndoe@example.com johndoe@example.com's password: Last login: Thu Jun 25 16:26:28 2015 from XX.XX.XX.XX ``` **SUSE Linux** ``` SUSE Linux Enterprise Server 15 SP1 x86_64 (64-bit) As "root" (sudo or sudo -i) use the: - zypper command for package management - yast command for configuration management Management and Config: https://www.suse.com/suse-in-the-cloud-basics Documentation: https://www.suse.com/documentation/sles-15/ Forum: https://forums.suse.com/forumdisplay.php?93-SUSE-Public-Cloud Have a lot of fun... ``` **Ubuntu Linux** ``` login as: admin@example.com admin@example.com@10.24.34.0's password: Welcome to Ubuntu 18.04.4 LTS (GNU/Linux 4.15.0-1057-aws x86_64) * Documentation: https://help.ubuntu.com * Management: https://landscape.canonical.com * Support: https://ubuntu.com/advantage System information as of Sat Apr 18 22:03:35 UTC 2020 System load: 0.01 Processes: 102 Usage of /: 18.6% of 7.69GB Users logged in: 2 Memory usage: 16% IP address for eth0: 10.24.34.1 Swap usage: 0% ``` # Manuelles Hinzufügen einer Amazon EC2 EC2-Linux-Instance zu Ihrem AWS verwalteten Microsoft AD Active Directory mithilfe von Winbind Sie können den Winbind-Dienst verwenden, um Ihre Amazon EC2 EC2-Linux-Instances manuell mit einer AWS verwalteten Microsoft AD Active Directory-Domain zu verbinden. Dadurch können Ihre vorhandenen lokalen Active Directory-Benutzer ihre Active Directory-Anmeldeinformationen verwenden, wenn sie auf die Linux-Instanzen zugreifen, die mit Ihrem AWS verwalteten Microsoft AD Active Directory verknüpft sind. Die folgenden Linux-Instance-Distributionen und -Versionen werden unterstützt: + Amazon Linux AMI 2018.03.0 + Amazon Linux 2 (64-Bit x86) + Amazon-Linux-2023-AMI + Red Hat Enterprise Linux 8 (HVM) (64-Bit x86) + Ubuntu Server 18.04 LTS und Ubuntu Server 16.04 LTS + CentOS 7 x86-64 + SUSE Linux Enterprise Server 15 SP1 **Anmerkung** Andere Linux-Distributionen und -Versionen können funktionieren, sind jedoch nicht getestet worden. ## Verbinden Sie eine Linux-Instanz mit Ihrem AWS verwalteten Microsoft AD Active Directory **Wichtig** Einige der folgenden Verfahren können, wenn sie nicht richtig durchgeführt werden, Ihre Instance nicht erreichbar oder unbrauchbar machen. Aus diesem Grund empfehlen wir dringend, eine Sicherung anzufertigen oder einen Snapshot der Instance zu machen, bevor diese Verfahren ausgeführt werden. **So fügen Sie Ihrem Verzeichnis eine Linux-Instance hinzu** Folgen Sie den Schritten für Ihre spezifische Linux-Instance unter Verwendung einer der folgenden Registerkarten: ------ #### [ Amazon Linux/CENTOS/REDHAT ] 1. Stellen Sie über einen SSH-Client eine Verbindung zur Instance her. 1. Konfigurieren Sie die Linux-Instance so, dass sie die DNS-Server-IP-Adressen der Directory Service-bereitgestellten DNS-Server verwendet. Das können Sie entweder in den DHCP-Optionen der VPC oder manuell auf der Instance einrichten. Wenn Sie ihn manuell einrichten möchten, finden Sie im AWS Knowledge Center unter [Wie weise ich einer privaten Amazon EC2 EC2-Instance einen statischen DNS-Server zu](https://aws.amazon.com/premiumsupport/knowledge-center/ec2-static-dns-ubuntu-debian/)? Anleitungen zur Einrichtung des persistenten DNS-Servers für Ihre spezielle Linux-Distribution und -Version. 1. Überprüfen Sie, ob Ihre Linux-Instance auf dem aktuellen Stand ist. ``` sudo yum -y update ``` 1. Installieren Sie die erforderlichen Samba-/Winbind-Pakete auf Ihrer Linux-Instance. ``` sudo yum -y install authconfig samba samba-client samba-winbind samba-winbind-clients ``` 1. Erstellen Sie eine Sicherungskopie der `smb.conf`-Hauptdatei, damit Sie im Falle eines Fehlers auf diese zurückgreifen können: ``` sudo cp /etc/samba/smb.conf /etc/samba/smb.bk ``` 1. Öffnen Sie die ursprüngliche Konfigurationsdatei [`/etc/samba/smb.conf`] in einem Texteditor. ``` sudo vim /etc/samba/smb.conf ``` Geben Sie die Informationen zur Active Directory-Domänenumgebung ein, wie im folgenden Beispiel gezeigt: ``` [global] workgroup = example security = ads realm = example.com idmap config * : rangesize = 1000000 idmap config * : range = 1000000-19999999 idmap config * : backend = autorid winbind enum users = no winbind enum groups = no template homedir = /home/%U@%D template shell = /bin/bash winbind use default domain = false ``` 1. Öffnen Sie die Hosts-Datei [`/etc/hosts`] in einem Texteditor. ``` sudo vim /etc/hosts ``` Fügen Sie die private IP-Adresse Ihrer Linux-Instance wie folgt hinzu: ``` 10.x.x.x Linux_hostname.example.com Linux_hostname ``` **Anmerkung** Wenn Sie Ihre IP-Adresse nicht in der `/etc/hosts`-Datei angegeben haben, erhalten Sie möglicherweise den folgenden DNS-Fehler, während Sie die Instance mit der Domain verbinden: `No DNS domain configured for linux-instance. Unable to perform DNS Update. DNS update failed: NT_STATUS_INVALID_PARAMETER` Dieser Fehler bedeutet, dass die Verbindung erfolgreich war, aber der Befehl [net ads] den DNS-Eintrag nicht im DNS registrieren konnte. 1. Verbinden Sie die Linux-Instance mit Active Directory mithilfe von net utility. ``` sudo net ads join -U join_account@example.com ``` *join\$1account@example.com* Ein Konto in der *example.com* Domäne, das über Domänenbeitrittsrechte verfügt. Geben Sie das Passwort für das Konto ein, wenn Sie dazu aufgefordert werden. Weitere Informationen zum Erteilen dieser Berechtigungen finden Sie unter [Delegieren von Verzeichnisbeitrittsberechtigungen für AWS Managed Microsoft AD](directory_join_privileges.md). *example.com* Der vollständig berechtigte DNS-Name Ihres Verzeichnisses. ``` Enter join_account@example.com's password: Using short domain name -- example Joined 'IP-10-x-x-x' to dns domain 'example.com' ``` 1. Ändern Sie die PAM-Konfigurationsdatei. Verwenden Sie den folgenden Befehl, um die erforderlichen Einträge für die winbind-Authentifizierung hinzuzufügen: ``` sudo authconfig --enablewinbind --enablewinbindauth --enablemkhomedir --update ``` 1. Stellen Sie den SSH-Service so ein, dass er die Passwortauthentifizierung zulässt, indem Sie die `/etc/ssh/sshd_config`-Datei bearbeiten. 1. Öffnen Sie die Datei `/etc/ssh/sshd_config` in einem Text-Editor. ``` sudo vi /etc/ssh/sshd_config ``` 1. Setzen Sie die Einstellung `PasswordAuthentication` auf `yes`. ``` PasswordAuthentication yes ``` 1. Starten Sie den SSH-Service neu. ``` sudo systemctl restart sshd.service ``` Alternative Vorgehensweise: ``` sudo service sshd restart ``` 1. Nachdem die Instance neu gestartet wurde, stellen Sie mit einem beliebigen SSH-Client eine Verbindung zu ihr her und fügen die Root-Rechte für einen Domain-Benutzer oder eine Gruppe zur sudoers-Liste hinzu, indem Sie die folgenden Schritte ausführen: 1. Öffnen Sie die `sudoers` - Datei mit dem folgenden Befehl: ``` sudo visudo ``` 1. Fügen Sie die erforderlichen Gruppen oder Benutzer aus Ihrer Trusting- oder Trusted-Domain wie folgt hinzu und speichern Sie sie dann. ``` ## Adding Domain Users/Groups. %domainname\\AWS\ Delegated\ Administrators ALL=(ALL:ALL) ALL %domainname\\groupname ALL=(ALL:ALL) ALL domainname\\username ALL=(ALL:ALL) ALL %Trusted_DomainName\\groupname ALL=(ALL:ALL) ALL Trusted_DomainName\\username ALL=(ALL:ALL) ALL ``` (Im obigen Beispiel wird „\$1“ für das Linux-Leerzeichen verwendet.) ------ #### [ SUSE ] 1. Stellen Sie über einen SSH-Client eine Verbindung zur Instance her. 1. Konfigurieren Sie die Linux-Instance so, dass sie die DNS-Server-IP-Adressen der Directory Service-bereitgestellten DNS-Server verwendet. Das können Sie entweder in den DHCP-Optionen der VPC oder manuell auf der Instance einrichten. Wenn Sie ihn manuell einrichten möchten, finden Sie im AWS Knowledge Center unter [Wie weise ich einer privaten Amazon EC2 EC2-Instance einen statischen DNS-Server zu](https://aws.amazon.com/premiumsupport/knowledge-center/ec2-static-dns-ubuntu-debian/)? Anleitungen zur Einrichtung des persistenten DNS-Servers für Ihre spezielle Linux-Distribution und -Version. 1. Überprüfen Sie, ob Ihre SUSE Linux 15-Instance auf dem aktuellen Stand ist. 1. Verbinden Sie das Paket-Repository. ``` sudo SUSEConnect -p PackageHub/15.1/x86_64 ``` 1. Aktualisieren Sie SUSE. ``` sudo zypper update -y ``` 1. Installieren Sie die erforderlichen Samba-/Winbind-Pakete auf Ihrer Linux-Instance. ``` sudo zypper in -y samba samba-winbind ``` 1. Erstellen Sie eine Sicherungskopie der `smb.conf`-Hauptdatei, damit Sie im Falle eines Fehlers auf diese zurückgreifen können: ``` sudo cp /etc/samba/smb.conf /etc/samba/smb.bk ``` 1. Öffnen Sie die ursprüngliche Konfigurationsdatei [`/etc/samba/smb.conf`] in einem Texteditor. ``` sudo vim /etc/samba/smb.conf ``` Geben Sie die Informationen zu Ihrer Active-Directory-Domainumgebung ein, wie im folgenden Beispiel gezeigt: ``` [global] workgroup = example security = ads realm = example.com idmap config * : rangesize = 1000000 idmap config * : range = 1000000-19999999 idmap config * : backend = autorid winbind enum users = no winbind enum groups = no template homedir = /home/%U@%D template shell = /bin/bash winbind use default domain = false ``` 1. Öffnen Sie die Hosts-Datei [`/etc/hosts`] in einem Texteditor. ``` sudo vim /etc/hosts ``` Fügen Sie die private IP-Adresse Ihrer Linux-Instance wie folgt hinzu: ``` 10.x.x.x Linux_hostname.example.com Linux_hostname ``` **Anmerkung** Wenn Sie Ihre IP-Adresse nicht in der `/etc/hosts`-Datei angegeben haben, erhalten Sie möglicherweise den folgenden DNS-Fehler, während Sie die Instance mit der Domain verbinden: `No DNS domain configured for linux-instance. Unable to perform DNS Update. DNS update failed: NT_STATUS_INVALID_PARAMETER` Dieser Fehler bedeutet, dass die Verbindung erfolgreich war, aber der Befehl [net ads] den DNS-Eintrag nicht im DNS registrieren konnte. 1. Fügen Sie die Linux-Instance mit folgendem Befehl dem Verzeichnis hinzu. ``` sudo net ads join -U join_account@example.com ``` *join\$1account* Der AMAccount s-Name in der *example.com* Domäne, die über Domänenbeitrittsrechte verfügt. Geben Sie das Passwort für das Konto ein, wenn Sie dazu aufgefordert werden. Weitere Informationen zum Erteilen dieser Berechtigungen finden Sie unter [Delegieren von Verzeichnisbeitrittsberechtigungen für AWS Managed Microsoft AD](directory_join_privileges.md). *example.com* Der vollständig qualifizierte DNS-Name Ihres Verzeichnisses. ``` Enter join_account@example.com's password: Using short domain name -- example Joined 'IP-10-x-x-x' to dns domain 'example.com' ``` 1. Ändern Sie die PAM-Konfigurationsdatei. Verwenden Sie den folgenden Befehl, um die erforderlichen Einträge für die Winbind-Authentifizierung hinzuzufügen: ``` sudo pam-config --add --winbind --mkhomedir ``` 1. Öffnen Sie die Konfigurationsdatei Name Service Switch [`/etc/nsswitch.conf`] in einem Texteditor. ``` vim /etc/nsswitch.conf ``` Fügen Sie die Winbind-Direktive hinzu, wie unten gezeigt. ``` passwd: files winbind shadow: files winbind group: files winbind ``` 1. Stellen Sie den SSH-Service so ein, dass er die Passwortauthentifizierung zulässt, indem Sie die `/etc/ssh/sshd_config`-Datei bearbeiten. 1. Öffnen Sie die Datei `/etc/ssh/sshd_config` in einem Text-Editor. ``` sudo vim /etc/ssh/sshd_config ``` 1. Setzen Sie die Einstellung `PasswordAuthentication` auf `yes`. ``` PasswordAuthentication yes ``` 1. Starten Sie den SSH-Service neu. ``` sudo systemctl restart sshd.service ``` Alternative Vorgehensweise: ``` sudo service sshd restart ``` 1. Nachdem die Instance neu gestartet wurde, stellen Sie mit einem beliebigen SSH-Client eine Verbindung zu ihr her und fügen der Liste sudoers die Root-Rechte eines Domainbenutzers oder einer -Gruppe hinzu, indem Sie die folgenden Schritte ausführen: 1. Öffnen Sie die `sudoers` - Datei mit dem folgenden Befehl: ``` sudo visudo ``` 1. Fügen Sie die erforderlichen Gruppen oder Benutzer aus Ihrer Trusting- oder Trusted-Domain wie folgt hinzu und speichern Sie sie dann. ``` ## Adding Domain Users/Groups. %domainname\\AWS\ Delegated\ Administrators ALL=(ALL:ALL) ALL %domainname\\groupname ALL=(ALL:ALL) ALL domainname\\username ALL=(ALL:ALL) ALL %Trusted_DomainName\\groupname ALL=(ALL:ALL) ALL Trusted_DomainName\\username ALL=(ALL:ALL) ALL ``` (Im obigen Beispiel wird „\$1“ für das Linux-Leerzeichen verwendet.) ------ #### [ Ubuntu ] 1. Stellen Sie über einen SSH-Client eine Verbindung zur Instance her. 1. Konfigurieren Sie die Linux-Instance so, dass sie die DNS-Server-IP-Adressen der Directory Service-bereitgestellten DNS-Server verwendet. Das können Sie entweder in den DHCP-Optionen der VPC oder manuell auf der Instance einrichten. Wenn Sie ihn manuell einrichten möchten, finden Sie im AWS Knowledge Center unter [Wie weise ich einer privaten Amazon EC2 EC2-Instance einen statischen DNS-Server zu](https://aws.amazon.com/premiumsupport/knowledge-center/ec2-static-dns-ubuntu-debian/)? Anleitungen zur Einrichtung des persistenten DNS-Servers für Ihre spezielle Linux-Distribution und -Version. 1. Überprüfen Sie, ob Ihre Linux-Instance auf dem aktuellen Stand ist. ``` sudo apt-get -y upgrade ``` 1. Installieren Sie die erforderlichen Samba-/Winbind-Pakete auf Ihrer Linux-Instance. ``` sudo apt -y install samba winbind libnss-winbind libpam-winbind ``` 1. Erstellen Sie eine Sicherungskopie der `smb.conf`-Hauptdatei, damit Sie im Falle eines Fehlers auf diese zurückgreifen können. ``` sudo cp /etc/samba/smb.conf /etc/samba/smb.bk ``` 1. Öffnen Sie die ursprüngliche Konfigurationsdatei [`/etc/samba/smb.conf`] in einem Texteditor. ``` sudo vim /etc/samba/smb.conf ``` Geben Sie die Informationen zu Ihrer Active-Directory-Domainumgebung ein, wie im folgenden Beispiel gezeigt: ``` [global] workgroup = example security = ads realm = example.com idmap config * : rangesize = 1000000 idmap config * : range = 1000000-19999999 idmap config * : backend = autorid winbind enum users = no winbind enum groups = no template homedir = /home/%U@%D template shell = /bin/bash winbind use default domain = false ``` 1. Öffnen Sie die Hosts-Datei [`/etc/hosts`] in einem Texteditor. ``` sudo vim /etc/hosts ``` Fügen Sie die private IP-Adresse Ihrer Linux-Instance wie folgt hinzu: ``` 10.x.x.x Linux_hostname.example.com Linux_hostname ``` **Anmerkung** Wenn Sie Ihre IP-Adresse nicht in der `/etc/hosts`-Datei angegeben haben, erhalten Sie möglicherweise den folgenden DNS-Fehler, während Sie die Instance mit der Domain verbinden: `No DNS domain configured for linux-instance. Unable to perform DNS Update. DNS update failed: NT_STATUS_INVALID_PARAMETER` Dieser Fehler bedeutet, dass die Verbindung erfolgreich war, aber der Befehl [net ads] den DNS-Eintrag nicht im DNS registrieren konnte. 1. Verbinden Sie die Linux-Instance mit Active Directory mithilfe von net utility. ``` sudo net ads join -U join_account@example.com ``` *join\$1account@example.com* Ein Konto in der *example.com* Domäne, das über Domänenbeitrittsrechte verfügt. Geben Sie das Passwort für das Konto ein, wenn Sie dazu aufgefordert werden. Weitere Informationen zum Erteilen dieser Berechtigungen finden Sie unter [Delegieren von Verzeichnisbeitrittsberechtigungen für AWS Managed Microsoft AD](directory_join_privileges.md). *example.com* Der vollständig berechtigte DNS-Name Ihres Verzeichnisses. ``` Enter join_account@example.com's password: Using short domain name -- example Joined 'IP-10-x-x-x' to dns domain 'example.com' ``` 1. Ändern Sie die PAM-Konfigurationsdatei. Verwenden Sie den folgenden Befehl, um die erforderlichen Einträge für die Winbind-Authentifizierung hinzuzufügen: ``` sudo pam-auth-update --add --winbind --enable mkhomedir ``` 1. Öffnen Sie die Konfigurationsdatei Name Service Switch [`/etc/nsswitch.conf`] in einem Texteditor. ``` vim /etc/nsswitch.conf ``` Fügen Sie die Winbind-Direktive hinzu, wie unten gezeigt. ``` passwd: compat winbind group: compat winbind shadow: compat winbind ``` 1. Stellen Sie den SSH-Service so ein, dass er die Passwortauthentifizierung zulässt, indem Sie die `/etc/ssh/sshd_config`-Datei bearbeiten. 1. Öffnen Sie die Datei `/etc/ssh/sshd_config` in einem Text-Editor. ``` sudo vim /etc/ssh/sshd_config ``` 1. Setzen Sie die Einstellung `PasswordAuthentication` auf `yes`. ``` PasswordAuthentication yes ``` 1. Starten Sie den SSH-Service neu. ``` sudo systemctl restart sshd.service ``` Alternative Vorgehensweise: ``` sudo service sshd restart ``` 1. Nachdem die Instance neu gestartet wurde, stellen Sie mit einem beliebigen SSH-Client eine Verbindung zu ihr her und fügen der Liste sudoers die Root-Rechte eines Domainbenutzers oder einer -Gruppe hinzu, indem Sie die folgenden Schritte ausführen: 1. Öffnen Sie die `sudoers` - Datei mit dem folgenden Befehl: ``` sudo visudo ``` 1. Fügen Sie die erforderlichen Gruppen oder Benutzer aus Ihrer Trusting- oder Trusted-Domain wie folgt hinzu und speichern Sie sie dann. ``` ## Adding Domain Users/Groups. %domainname\\AWS\ Delegated\ Administrators ALL=(ALL:ALL) ALL %domainname\\groupname ALL=(ALL:ALL) ALL domainname\\username ALL=(ALL:ALL) ALL %Trusted_DomainName\\groupname ALL=(ALL:ALL) ALL Trusted_DomainName\\username ALL=(ALL:ALL) ALL ``` (Im obigen Beispiel wird „\$1“ für das Linux-Leerzeichen verwendet.) ------ ## Connect zur Linux-Instanz her Wenn ein Benutzer die Verbindung zur Instance über einen SSH-Client herstellt, wird er zur Eingabe des Benutzernamens aufgefordert. Der Benutzer kann den Benutzernamen entweder im Format `username@example.com` oder `EXAMPLE\username` eingeben. Je nachdem, welche Linux-Distribution Sie verwenden, wird die Antwort etwa wie folgt aussehen: **Amazon Linux, Red Hat Enterprise Linux und CentOS Linux** ``` login as: johndoe@example.com johndoe@example.com's password: Last login: Thu Jun 25 16:26:28 2015 from XX.XX.XX.XX ``` **SUSE Linux** ``` SUSE Linux Enterprise Server 15 SP1 x86_64 (64-bit) As "root" (sudo or sudo -i) use the: - zypper command for package management - yast command for configuration management Management and Config: https://www.suse.com/suse-in-the-cloud-basics Documentation: https://www.suse.com/documentation/sles-15/ Forum: https://forums.suse.com/forumdisplay.php?93-SUSE-Public-Cloud Have a lot of fun... ``` **Ubuntu Linux** ``` login as: admin@example.com admin@example.com@10.24.34.0's password: Welcome to Ubuntu 18.04.4 LTS (GNU/Linux 4.15.0-1057-aws x86_64) * Documentation: https://help.ubuntu.com * Management: https://landscape.canonical.com * Support: https://ubuntu.com/advantage System information as of Sat Apr 18 22:03:35 UTC 2020 System load: 0.01 Processes: 102 Usage of /: 18.6% of 7.69GB Users logged in: 2 Memory usage: 16% IP address for eth0: 10.24.34.1 Swap usage: 0% ```