Nahtloses Verbinden einer Amazon EC2 Linux-Instance mit einem gemeinsam genutzten AWS Managed Microsoft AD

Öffnen Sie die IAM Konsole unter https://console.aws.amazon.com/iam/.

Wählen Sie im linken Navigationsbereich unter Access Management die Option Rollen aus.

Klicken Sie auf der Seite Roles (Rollen) auf Create role (Rolle erstellen).

Wählen Sie unter Select type of trusted entity (Typ der vertrauenswürdigen Entität auswählen) die Option AWS -Service aus.

Wählen Sie unter Anwendungsfall EC2die Option und dann Weiter

Gehen Sie für Filterrichtlinien wie folgt vor:

1. Geben Sie AmazonSSMManagedInstanceCore ein. Aktivieren Sie dann das Kontrollkästchen für dieses Element in der Liste.

2. Geben Sie AmazonSSMDirectoryServiceAccess ein. Aktivieren Sie dann das Kontrollkästchen für dieses Element in der Liste.

3. Nachdem Sie diese Richtlinien hinzugefügt haben, wählen Sie Rolle erstellen aus.

   Anmerkung

   AmazonSSMDirectoryServiceAccessbietet die Berechtigungen zum Verbinden von Instanzen mit einem Active Directory verwaltet von AWS Directory Service. AmazonSSMManagedInstanceCorebietet die Mindestberechtigungen, die zur Verwendung erforderlich sind AWS Systems Manager. Weitere Informationen zum Erstellen einer Rolle mit diesen Berechtigungen und Informationen zu anderen Berechtigungen und Richtlinien, die Sie Ihrer IAM Rolle zuweisen können, finden Sie unter Konfigurieren der für Systems Manager erforderlichen Instanzberechtigungen im AWS Systems Manager Benutzerhandbuch.

Geben Sie im Feld Rollenname einen Namen für Ihre neue Rolle ein, z. B. LinuxEC2DomainJoin oder einen anderen Namen, den Sie bevorzugen.

(Optional) Geben Sie für die Rollenbeschreibung eine Beschreibung ein.

(Optional) Wählen Sie unter Schritt 3: Stichwörter hinzufügen die Option Neues Tag hinzufügen aus, um Stichwörter hinzuzufügen. Tag-Schlüssel-Wert-Paare werden verwendet, um den Zugriff für diese Rolle zu organisieren, nachzuverfolgen oder zu kontrollieren.

Wählen Sie Rolle erstellen.

Öffnen Sie die Secrets Manager Manager-Konsole unter https://console.aws.amazon.com/secretsmanager/.

Wählen Sie aus der Liste der Geheimnisse Ihr Geheimnis aus, das Sie während des erstellt habenVoraussetzungen.

Scrollen Sie auf der Detailseite des Geheimnisses unter dem Tab Übersicht nach unten zu Ressourcenberechtigungen.

Wählen Sie Berechtigungen bearbeiten aus.

1. Geben Sie im Richtlinienfeld die folgende Richtlinie ein. Die folgende Richtlinie ermöglicht Linux EC2DomainJoin in den Account 2 Zugriff auf das Secret inAccount 1. Ersetzen Sie den ARN Wert durch den ARN Wert für Ihre LinuxEC2DomainJoin RolleAccount 2, die Sie in Schritt 1 erstellt haben. Informationen zur Verwendung dieser Richtlinie finden Sie unter Anhängen einer Berechtigungsrichtlinie an einen AWS Secrets Manager geheimen Schlüssel.

   {
   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::Account2:role/LinuxEC2DomainJoin"
         },
         "Action": "secretsmanager:GetSecretValue",
         "Resource": "*"
       }
     ]
   }
   

Öffnen Sie die Secrets Manager Manager-Konsole unter https://console.aws.amazon.com/secretsmanager/.

Wählen Sie im linken Navigationsbereich vom Kunden verwaltete Schlüssel aus.

Wählen Sie auf der Seite Vom Kunden verwaltete Schlüssel den Schlüssel aus, den Sie erstellt haben.

Navigieren Sie auf der Seite mit den Schlüsseldetails zu Schlüsselrichtlinie und wählen Sie Bearbeiten aus.

Die folgende wichtige Richtlinienanweisung ermöglicht es Ihnen, den KMS Schlüssel ApplicationRole in Account 2 zu verwendenAccount 1, um den geheimen Eingang zu entschlüsseln. Account 1 Um diese Aussage zu verwenden, fügen Sie sie der Schlüsselrichtlinie für Ihren KMS Schlüssel hinzu. Weitere Informationen finden Sie unter Changing a key policy (Ändern einer Schlüsselrichtlinie).

{
{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::Account2:role/ApplicationRole"
  },
  "Action": [
    "kms:Decrypt",
    "kms:DescribeKey"
  ],
  "Resource": "*"
}

Öffnen Sie die IAM Konsole unter https://console.aws.amazon.com/iam/.

Wählen Sie im linken Navigationsbereich unter Zugriffsverwaltung die Option Richtlinien aus.

Wählen Sie Create Policy (Richtlinie erstellen). Wählen Sie JSONim Richtlinien-Editor.

Die folgende Richtlinie ermöglicht den Account 2 Zugriff ApplicationRole auf den geheimen Wert Account 1 und die Entschlüsselung des Geheimwerts mithilfe des Verschlüsselungsschlüssels, der ebenfalls enthalten ist. Account 1 Sie finden das ARN für Ihr Geheimnis in der Secrets Manager-Konsole auf der Seite Secret Details unter Secret ARN. Alternativ können Sie describe-secret aufrufen, um das Geheimnis zu identifizieren. ARN Ersetzen Sie die Ressource ARN durch die Ressource ARN für das Geheimnis ARN und. Account 1 Informationen zur Verwendung dieser Richtlinie finden Sie unter Anhängen einer Berechtigungsrichtlinie an einen AWS Secrets Manager geheimen Schlüssel.

{
{
  "Version" : "2012-10-17",
  "Statement" : [
    {
      "Effect": "Allow",
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "SecretARN"
    },
    {
      "Effect": "Allow",
      "Action": [
"kms:Decrypt",
"kms:Describekey"     
],
      "Resource": "arn:aws:kms:Region:Account1:key/Your_Encryption_Key"
    }
  ]
}

Wählen Sie Weiter und dann Änderungen speichern aus.

Suchen Sie die Rolle, die Sie Account 2 in erstellt haben, und wählen Sie sie ausAttach a resource policy to the secret in Account 1.

Wählen Sie unter Berechtigungen hinzufügen die Option Richtlinien anhängen aus.

Suchen Sie in der Suchleiste nach der Richtlinie, in der Sie sie erstellt haben, Add a statement to the key policy for the KMS key in Account 1 und wählen Sie das Feld aus, um die Richtlinie der Rolle hinzuzufügen. Wählen Sie dann Berechtigungen hinzufügen aus.

Melden Sie sich bei der an AWS Management Console und öffnen Sie die EC2 Amazon-Konsole unter https://console.aws.amazon.com/ec2/.

Wählen Sie in der Navigationsleiste in der Regionsauswahl dasselbe Verzeichnis aus AWS-Region wie das bestehende Verzeichnis.

Wählen Sie auf dem EC2Dashboard im Abschnitt Launch instance die Option Launch instance aus.

Geben Sie auf der Seite Launch a instance im Abschnitt Name und Tags den Namen ein, den Sie für Ihre EC2 Linux-Instance verwenden möchten.

(Optional) Wählen Sie Zusätzliche Tags hinzufügen, um ein oder mehrere Tag-Schlüssel-Wert-Paare hinzuzufügen, um den Zugriff für diese EC2 Instance zu organisieren, zu verfolgen oder zu kontrollieren.

Wählen Sie im Abschnitt Anwendungs- und Betriebssystem-Image (Amazon Machine Image) ein Linux aus, das AMI Sie starten möchten.

Wählen Sie im Abschnitt Instance-Typ den Instance-Typ, den Sie verwenden möchten, aus der Dropdown-Liste Instance-Typ aus.

Im Abschnitt Schlüsselpaar (Anmeldung) können Sie entweder ein neues Schlüsselpaar erstellen oder aus einem vorhandenen Schlüsselpaar auswählen. Um ein neues Schlüsselpaar zu erstellen, wählen Sie Neues Schlüsselpaar erstellen. Geben Sie einen Namen für das Schlüsselpaar ein und wählen Sie eine Option für den Schlüsselpaartyp und das Dateiformat des privaten Schlüssels. Um den privaten Schlüssel in einem Format zu speichern, das mit Open verwendet werden kannSSH, wählen Sie .pem. Um den privaten Schlüssel in einem Format zu speichern, das mit Pu verwendet werden kannTTY, wählen Sie .ppk. Wählen Sie Schlüsselpaar erstellen aus. Die private Schlüsseldatei wird von Ihrem Browser automatisch runtergeladen. Speichern Sie die Datei mit dem privaten Schlüssel an einem sicheren Ort.

Wählen Sie auf der Seite Eine Instance starten im Abschnitt Netzwerkeinstellungen die Option Bearbeiten aus. Wählen Sie aus der Dropdownliste VPC— erforderlich VPCdas Verzeichnis aus, in dem Ihr Verzeichnis erstellt wurde.

Wählen Sie eines der öffentlichen Subnetze in Ihrem VPC aus der Dropdownliste Subnetz aus. Das von Ihnen gewählte Subnetz muss den gesamten externen Datenverkehr an ein Internet-Gateway weiterleiten. Ist dies nicht der Fall, können Sie keine Remote-Verbindung zur Instance einrichten.

Weitere Informationen zum Herstellen einer Connect zu einem Internet-Gateway finden Sie unter Herstellen einer Verbindung zum Internet mithilfe eines Internet-Gateways im VPCAmazon-Benutzerhandbuch.

Wählen Sie unter Öffentliche IP automatisch zuweisen die Option Aktivieren.

Weitere Informationen zur öffentlichen und privaten IP-Adressierung finden Sie unter EC2Amazon-Instance-IP-Adressierung im EC2Amazon-Benutzerhandbuch.

Für die Einstellungen zu Firewall (Sicherheitsgruppen) können Sie die Standardeinstellungen verwenden oder an Ihre Bedürfnisse angepasste Änderungen vornehmen.

Für Speichereinstellungen konfigurieren können Sie die Standardeinstellungen verwenden oder an Ihre Bedürfnisse angepasste Änderungen vornehmen.

Wählen Sie den Abschnitt Erweiterte Details aus und wählen Sie Ihre Domain aus der Dropdown-Liste für das Domainverbindungs-Verzeichnis aus.

Anmerkung

Nachdem Sie das Domain-Join-Verzeichnis ausgewählt haben, sehen Sie möglicherweise:

Dieser Fehler tritt auf, wenn der EC2 Startassistent ein vorhandenes SSM Dokument mit unerwarteten Eigenschaften identifiziert. Sie können einen der folgenden Schritte ausführen:

• Wenn Sie das SSM Dokument bereits bearbeitet haben und die Eigenschaften erwartet werden, wählen Sie Schließen und fahren Sie fort, um die EC2 Instanz ohne Änderungen zu starten.

• Wählen Sie den Link „Bestehendes SSM Dokument hier löschen“, um das SSM Dokument zu löschen. Dies ermöglicht die Erstellung eines SSM Dokuments mit den richtigen Eigenschaften. Das SSM Dokument wird automatisch erstellt, wenn Sie die EC2 Instanz starten.

Wählen Sie zum Beispiel das IAMInstanzprofil die IAM Rolle aus, die Sie zuvor im Abschnitt Voraussetzungen erstellt haben. Schritt 2: EC2DomainJoin Linux-Rolle erstellen.

Wählen Sie Launch Instance (Instance starten) aus.