Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Erste Schritte mit AWS Managed Microsoft AD
AWS Managed Microsoft AD erstellt ein vollständig verwaltetes, Microsoft Active Directory im AWS Cloud und wird betrieben von Windows Server 2019 und arbeitet auf den Funktionsebenen 2012 R2 Forest und Domain. Wenn Sie ein Verzeichnis mit AWS Managed Microsoft AD erstellen, AWS Directory Service erstellt zwei Domänencontroller und fügt den DNS-Dienst in Ihrem Namen hinzu. Die Domain-Controller werden in verschiedenen Subnetzen in einer Amazon VPC erstellt. Durch diese Redundanz wird sichergestellt, dass Ihr Verzeichnis auch bei einem Ausfall zugänglich bleibt. Wenn Sie weitere Domain-Controller benötigen, können Sie diese später hinzufügen. Weitere Informationen finden Sie unter Bereitstellung zusätzlicher Domänencontroller für Ihr AWS verwaltetes Microsoft AD.
Eine Demo und einen Überblick über AWS Managed Microsoft AD finden Sie im Folgenden YouTube Video.
Themen
Voraussetzungen für die Erstellung eines AWS verwalteten Microsoft AD
So erstellen Sie ein AWS verwaltetes Microsoft AD Active Directory, Sie benötigen eine Amazon VPC mit den folgenden Komponenten:
-
Mindestens zwei Subnetze. Jedes dieser Subnetze muss sich in einer anderen Availability Zone befinden.
-
Die VPC muss über Standard-Hardware-Tenancy verfügen.
-
Sie können kein AWS verwaltetes Microsoft AD in einer VPC mithilfe von Adressen im 198.18.0.0/15-Adressraum erstellen.
Wenn Sie Ihre AWS verwaltete Microsoft AD-Domäne in eine bestehende lokale Domäne integrieren müssen Active Directory Domäne, müssen die Funktionsebenen Gesamtstruktur und Domäne für Ihre lokale Domäne auf eingestellt sein Windows Server 2003 oder höher.
AWS Directory Service verwendet eine Struktur mit zwei VPCs. Die EC2 Instanzen, aus denen Ihr Verzeichnis besteht, laufen außerhalb Ihres AWS Kontos und werden von AWS verwaltet. Sie haben zwei Netzwerkadapter ETH0 und ETH1. ETH0 ist der Verwaltungsadapter und existiert außerhalb Ihres Kontos. ETH1 wird in Ihrem Konto erstellt.
Der IP-Verwaltungsbereich des ETH0-Netzwerks Ihres Verzeichnisses ist 198.18.0.0/15.
Ein Tutorial zum Erstellen der AWS Umgebung und von AWS Managed Microsoft AD finden Sie unterAWS Tutorials für verwaltete Microsoft AD-Testlabore.
AWS IAM Identity Center Voraussetzungen
Wenn Sie planen, IAM Identity Center mit AWS Managed Microsoft AD zu verwenden, müssen Sie sicherstellen, dass Folgendes zutrifft:
-
Ihr AWS verwaltetes Microsoft AD-Verzeichnis ist im Verwaltungskonto Ihrer AWS Organisation eingerichtet.
-
Ihre Instanz von IAM Identity Center befindet sich in derselben Region, in der Ihr AWS verwaltetes Microsoft AD-Verzeichnis eingerichtet ist.
Weitere Informationen finden Sie unter Voraussetzungen für IAM Identity Center im AWS IAM Identity Center Benutzerhandbuch.
Voraussetzungen für Multifaktor-Authentifizierung
Um die Multi-Faktor-Authentifizierung mit Ihrem AWS verwalteten Microsoft AD-Verzeichnis zu unterstützen, müssen Sie entweder Ihren lokalen oder cloudbasierten RADIUS-Server (Remote Authentication Dial-In User Service
-
Erstellen Sie auf Ihrem RADIUS-Server zwei RADIUS-Clients, die beide AWS verwalteten Microsoft AD-Domänencontroller (DCs) in repräsentieren AWS. Sie müssen beide Clients mit den folgenden allgemeinen Parametern konfigurieren (Ihr RADIUS-Server kann abweichen):
-
Adresse (DNS oder IP): Dies ist die DNS-Adresse für eines der AWS verwalteten Microsoft AD DCs. Beide DNS-Adressen befinden sich in der AWS Directory Service Console auf der Detailseite des AWS verwalteten Microsoft AD-Verzeichnisses, in dem Sie MFA verwenden möchten. Die angezeigten DNS-Adressen stellen die IP-Adressen für beide AWS verwalteten Microsoft AD dar DCs , die von verwendet werden AWS.
Anmerkung
Wenn Ihr RADIUS-Server DNS-Adressen unterstützt, müssen Sie nur eine RADIUS-Client-Konfiguration erstellen. Andernfalls müssen Sie für jedes AWS verwaltete Microsoft AD DC eine RADIUS-Clientkonfiguration erstellen.
-
Portnummer: Konfigurieren Sie die Portnummer, für die Ihr RADIUS-Server RADIUS-Client-Verbindungen akzeptiert. Der Standard-RADIUS-Port ist 1812.
-
Gemeinsamer geheimer Schlüssel: Geben Sie einen gemeinsamen geheimen Schlüssel ein oder generieren sie einen, der vom RADIUS-Server für die Verbindung mit RADIUS-Clients verwendet wird.
-
Protokoll: Möglicherweise müssen Sie das Authentifizierungsprotokoll zwischen dem AWS Managed Microsoft AD DCs und dem RADIUS-Server konfigurieren. Die unterstützten Protokolle sind PAP, CHAP MS- und MS CHAPv1 -. CHAPv2 MS- CHAPv2 wird empfohlen, da es die stärkste Sicherheit der drei Optionen bietet.
-
Anwendungs-Name: Dies kann optional in einigen RADIUS-Servern sein, und bestimmt in der Regel die Anwendung in Nachrichten oder Berichten.
-
-
Konfigurieren Sie Ihr vorhandenes Netzwerk so, dass eingehender Verkehr von den RADIUS-Clients (AWS verwaltete Microsoft DCs AD-DNS-Adressen, siehe Schritt 1) zu Ihrem RADIUS-Serverport zugelassen wird.
-
Fügen Sie der EC2 Amazon-Sicherheitsgruppe in Ihrer AWS verwalteten Microsoft AD-Domain eine Regel hinzu, die eingehenden Datenverkehr von der zuvor definierten DNS-Adresse und Portnummer des RADIUS-Servers zulässt. Weitere Informationen finden Sie unter Hinzufügen von Regeln zu einer Sicherheitsgruppe im EC2 Benutzerhandbuch.
Weitere Informationen zur Verwendung von AWS Managed Microsoft AD mit MFA finden Sie unterAktivierung der Multi-Faktor-Authentifizierung für AWS Managed Microsoft AD.
Ihr AWS verwaltetes Microsoft AD erstellen
So erstellen Sie ein neues AWS verwaltetes Microsoft AD Active Directory, führen Sie die folgenden Schritte aus. Bevor Sie dieses Verfahren beginnen, stellen Sie sicher, dass Sie die in Voraussetzungen für die Erstellung eines AWS verwalteten Microsoft AD angegebenen Voraussetzungen erfüllt haben.
So erstellen Sie ein AWS verwaltetes Microsoft AD
-
Wählen Sie im Navigationsbereich AWS Directory Service -Konsole
den Eintrag Verzeichnisse und wählen Sie Verzeichnis einrichten aus. -
Wählen Sie auf der Seite Verzeichnistyp auswählen die Option AWS Managed Microsoft AD aus und klicken Sie dann auf Weiter.
-
Geben Sie auf der Seite Enter directory information (Verzeichnisinformationen eingeben) die folgenden Informationen ein:
- Edition
-
Wählen Sie zwischen der Standard Edition oder der Enterprise Edition von AWS Managed Microsoft AD. Weitere Informationen zu Editionen finden Sie unter AWS Directory Service für Microsoft Active Directory.
- DNS-Name des Verzeichnisses
-
Den vollständig qualifizierten Namen für das Verzeichnis, z. B.
corp.example.com.Anmerkung
Wenn Sie Amazon Route 53 für DNS verwenden möchten, muss sich der Domainname Ihres AWS Managed Microsoft AD von Ihrem Route 53-Domainnamen unterscheiden. Probleme mit der DNS-Auflösung können auftreten, wenn Route 53 und AWS Managed Microsoft AD denselben Domainnamen verwenden.
- NetBIOS-Name des Verzeichnisses
-
Die kurzen Namen für das Verzeichnis, z. B.
CORP. - Verzeichnisbeschreibung
-
Eine optionale Beschreibung des Verzeichnisses. Diese Beschreibung kann nach der Erstellung Ihres AWS Managed Microsoft AD geändert werden.
- Administratorpasswort
-
Das Passwort für den Verzeichnisadministrator. Mit der Verzeichniserstellung wird ein Administratorkonto mit dem Benutzernamen
Adminund diesem Passwort angelegt. Sie können das Admin-Passwort ändern, nachdem Sie Ihr AWS Managed Microsoft AD erstellt haben.Das Passwort darf das Wort „admin“ nicht beinhalten.
Das Verzeichnisadministrator-Passwort unterscheidet zwischen Groß-/ Kleinschreibung und muss zwischen 8 und 64 Zeichen lang sein. Zudem muss es mindestens ein Zeichen aus dreien der vier folgenden Kategorien enthalten:
-
Kleinbuchstaben (a – z)
-
Großbuchstaben (A – Z)
-
Zahlen (0 – 9)
-
Nicht-alphanumerische Zeichen (~!@#$%^&*_-+=`|\(){}[]:;"'<>,.?/)
-
- Confirm password (Passwort bestätigen)
-
Geben Sie das Administratorpasswort erneut ein.
- (Optional) Benutzer- und Gruppenverwaltung
-
Um die AWS verwaltete Microsoft AD-Benutzer- und Gruppenverwaltung von zu aktivieren AWS Management Console, wählen Sie Benutzer- und Gruppenverwaltung verwalten in der AWS Management Console. Weitere Informationen zur Verwendung der Benutzer- und Gruppenverwaltung finden Sie unterAWS Verwaltete Microsoft AD-Benutzer und -Gruppen mit dem AWS Management Console, AWS CLI, oder verwalten AWS -Tools für PowerShell.
-
Geben Sie auf der Seite Choose VPC and subnets (VPC und Subnetze wählen) die folgenden Informationen an und wählen Sie dann Next (Weiter).
- VPC
-
Die VPC für das Verzeichnis.
- Subnets
-
Wählen Sie Subnetze für die Domain-Controller aus. Die beiden Subnetze müssen zu verschiedenen Availability-Zonen gehören.
-
Überprüfen Sie auf der Seite Review & create (Überprüfen und erstellen) die Verzeichnisinformationen und nehmen Sie gegebenenfalls Änderungen vor. Wenn die Informationen richtig sind, wählen Sie Create directory (Verzeichnis erstellen). Das Erstellen des Verzeichnisses dauert 20 bis 40 Minuten. Sobald sie erstellt wurden, ändert sich der Status in Active.
Weitere Informationen darüber, was mit Ihrem AWS Managed Microsoft AD erstellt wird, finden Sie im Folgenden:
