Nahtloses Verbinden einer Amazon EC2-Linux-Instance mit einer gemeinsam genutzten AWS Verwaltetes Microsoft AD

Öffnen Sie unter https://console.aws.amazon.com/iam/ die IAM-Konsole.

Wählen Sie im linken Navigationsbereich unter Access Management die Option Rollen aus.

Klicken Sie auf der Seite Roles (Rollen) auf Create role (Rolle erstellen).

Wählen Sie unter Select type of trusted entity (Typ der vertrauenswürdigen Entität auswählen) die Option AWS -Service aus.

Wählen Sie unter Anwendungsfall die Option EC2 aus, und klicken Sie dann auf Weiter

Gehen Sie für Filterrichtlinien wie folgt vor:

1. Geben Sie AmazonSSMManagedInstanceCore ein. Markieren Sie dann das Kontrollkästchen für dieses Element in der Liste.

2. Geben Sie AmazonSSMDirectoryServiceAccess ein. Markieren Sie dann das Kontrollkästchen für dieses Element in der Liste.

3. Nachdem Sie diese Richtlinien hinzugefügt haben, wählen Sie Rolle erstellen aus.

   Anmerkung

   AmazonSSMDirectoryServiceAccessbietet die Berechtigungen, Instanzen mit einem Active Directory zu verbinden, das von verwaltet wird Directory Service. AmazonSSMManagedInstanceCorestellt die Mindestberechtigungen bereit, die für die Verwendung erforderlich sind AWS Systems Manager. Weitere Informationen zum Erstellen einer Rolle mit diesen Berechtigungen sowie Informationen zu anderen Berechtigungen und Richtlinien, die Sie Ihrer IAM-Rolle zuweisen können, finden Sie im AWS Systems Manager Benutzerhandbuch unter Konfigurieren der für Systems Manager erforderlichen Instanzberechtigungen.

Geben Sie einen Namen für Ihre neue Rolle ein, z. LinuxEC2DomainJoin B. einen anderen Namen, den Sie bevorzugen, in das Feld Rollenname.

(Optional) Geben Sie für die Rollenbeschreibung eine Beschreibung ein.

(Optional) Wählen Sie unter Schritt 3: Schlagworte hinzufügen die Option Neues Tag hinzufügen aus, um Stichwörter hinzuzufügen. Tag-Schlüssel-Wert-Paare werden verwendet, um den Zugriff für diese Rolle zu organisieren, zu verfolgen oder zu kontrollieren.

Wählen Sie Rolle erstellen aus.

Öffnen Sie die Secrets Manager-Konsole unter https://console.aws.amazon.com/secretsmanager/.

Wählen Sie aus der Liste der Geheimnisse Ihr Geheimnis aus, das Sie während des erstellt habenVoraussetzungen.

Scrollen Sie auf der Detailseite des Secrets im Tab „Übersicht“ nach unten zu Ressourcenberechtigungen.

Wähle Berechtigungen bearbeiten aus.

1. Geben Sie in das Richtlinienfeld die folgende Richtlinie ein. Die folgende Richtlinie ermöglicht LinuxEC2DomainJoin den Zugriff Account 2 auf den Secret-InAccount 1. Ersetzen Sie den ARN-Wert durch den ARN-Wert für Ihre LinuxEC2DomainJoin RolleAccount 2, die Sie in Schritt 1 erstellt haben. Informationen zur Verwendung dieser Richtlinie finden Sie unter Anfügen einer Berechtigungsrichtlinie an einen AWS Secrets Manager geheimen Schlüssel.

   JSON

   {
     "Version":"2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::123456789012:role/LinuxEC2DomainJoin"
         },
         "Action": "secretsmanager:GetSecretValue",
         "Resource": "*"
       }
     ]
   }
   
   

Öffnen Sie die Secrets Manager-Konsole unter https://console.aws.amazon.com/secretsmanager/.

Wählen Sie im linken Navigationsbereich vom Kunden verwaltete Schlüssel aus.

Wählen Sie auf der Seite „Vom Kunden verwaltete Schlüssel“ den Schlüssel aus, den Sie erstellt haben.

Navigieren Sie auf der Seite mit den Schlüsseldetails zu Schlüsselrichtlinie und wählen Sie Bearbeiten aus.

Die folgende Schlüsselrichtlinienanweisung ermöglicht es ApplicationRoleAccount 2, den KMS-Schlüssel Account 1 zur Entschlüsselung des Secrets in Account 1 zu verwenden. Um diese Anweisung zu verwenden, fügen Sie sie der Schlüsselrichtlinie für Ihren KMS-Schlüssel hinzu. Weitere Informationen finden Sie unter Changing a key policy (Ändern einer Schlüsselrichtlinie).

{
{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::Account2:role/ApplicationRole"
  },
  "Action": [
    "kms:Decrypt",
    "kms:DescribeKey"
  ],
  "Resource": "*"
}

Öffnen Sie unter https://console.aws.amazon.com/iam/ die IAM-Konsole.

Wählen Sie im linken Navigationsbereich unter Zugriffsverwaltung die Option Richtlinien aus.

Wählen Sie Create Policy (Richtlinie erstellen). Wählen Sie im Richtlinieneditor JSON aus.

Die folgende Richtlinie ermöglicht ApplicationRole den Account 2 Zugriff auf das Geheimnis Account 1 und das Entschlüsseln des Geheimwerts mithilfe des Verschlüsselungsschlüssels, der ebenfalls enthalten ist. Account 1 Den ARN für Ihr Geheimnis finden Sie in der Secrets Manager-Konsole auf der Seite Geheime Details unter Geheimer ARN. Alternativ können Sie describe-secret aufrufen, um den ARN des Secrets zu ermitteln. Ersetzen Sie den Ressourcen-ARN durch den Ressourcen-ARN für den geheimen ARN und. Account 1 Informationen zur Verwendung dieser Richtlinie finden Sie unter Anhängen einer Berechtigungsrichtlinie an ein AWS Secrets Manager Geheimnis.

Wählen Sie Weiter und dann Änderungen speichern aus.

Suchen Sie die Rolle, die Sie Account 2 in erstellt haben, und wählen Sie sie ausAttach a resource policy to the secret in Account 1.

Wählen Sie unter Berechtigungen hinzufügen die Option Richtlinien anhängen aus.

Suchen Sie in der Suchleiste nach der Richtlinie, in der Sie erstellt haben, Add a statement to the key policy for the KMS key in Account 1 und wählen Sie das Feld aus, um die Richtlinie der Rolle hinzuzufügen. Wählen Sie dann Berechtigungen hinzufügen aus.

Melden Sie sich bei der an AWS-Managementkonsole und öffnen Sie die Amazon EC2-Konsole unter https://console.aws.amazon.com/ec2/.

Wählen Sie in der Navigationsleiste in der Regionsauswahl dasselbe Verzeichnis AWS-Region wie das vorhandene Verzeichnis aus.

Wählen Sie auf dem EC2-Dashboard im Abschnitt Instance starten die Option Instance starten aus.

Geben Sie auf der Seite Eine Instance starten im Abschnitt Name und Tags den Namen ein, den Sie für Ihre Linux EC2-Instance verwenden möchten.

(Optional) Wählen Sie Zusätzliche Tags hinzufügen, um ein oder mehrere Tag-Schlüssel-Wert-Paare hinzuzufügen, mit denen Sie den Zugriff auf diese EC2-Instance organisieren, verfolgen oder steuern können.

Wählen Sie im Abschnitt Anwendungs- und Betriebssystemimage (Amazon Machine Image) ein Linux-AMI aus, das Sie starten möchten.

Wählen Sie im Abschnitt Instance-Typ den Instance-Typ, den Sie verwenden möchten, aus der Dropdown-Liste Instance-Typ aus.

Im Abschnitt Schlüsselpaar (Anmeldung) können Sie entweder ein neues Schlüsselpaar erstellen oder aus einem vorhandenen Schlüsselpaar auswählen. Um ein neues Schlüsselpaar zu erstellen, wählen Sie Neues Schlüsselpaar erstellen. Geben Sie einen Namen für das Schlüsselpaar ein und wählen Sie eine Option für den Schlüsselpaartyp und das Dateiformat des privaten Schlüssels. Um den privaten Schlüssel in einem Format zu speichern, das mit OpenSSH verwendet werden kann, wählen Sie .pem. Um den privaten Schlüssel in einem Format zu speichern, das mit PuTTY verwendet werden kann, wählen Sie .ppk. Wählen Sie Schlüsselpaar erstellen aus. Die private Schlüsseldatei wird von Ihrem Browser automatisch runtergeladen. Speichern Sie die Datei mit dem privaten Schlüssel an einem sicheren Ort.

Wählen Sie auf der Seite Eine Instance starten im Abschnitt Netzwerkeinstellungen die Option Bearbeiten aus. Wählen Sie die VPC, in der Ihr Verzeichnis erstellt wurde, aus der Dropdown-Liste VPC – erforderlich aus.

Wählen Sie eines der öffentlichen Subnetze in Ihrer VPC aus der Dropdown-Liste Subnetz aus. Das von Ihnen gewählte Subnetz muss den gesamten externen Datenverkehr an ein Internet-Gateway weiterleiten. Ist dies nicht der Fall, können Sie keine Remote-Verbindung zur Instance einrichten.

Weitere Informationen zur Verbindung mit einem Internet-Gateway finden Sie unter Verbinden mit dem Internet über ein Internet-Gateway im Amazon-VPC-Benutzerhandbuch.

Wählen Sie unter Auto-assign Public IP die Option Enable aus.

Weitere Informationen zur öffentlichen und privaten IP-Adressierung finden Sie unter IP-Adressierung von Amazon EC2-Instances im Amazon EC2-Benutzerhandbuch.

Für die Einstellungen zu Firewall (Sicherheitsgruppen) können Sie die Standardeinstellungen verwenden oder an Ihre Bedürfnisse angepasste Änderungen vornehmen.

Für Speichereinstellungen konfigurieren können Sie die Standardeinstellungen verwenden oder an Ihre Bedürfnisse angepasste Änderungen vornehmen.

Wählen Sie den Abschnitt Erweiterte Details aus und wählen Sie Ihre Domain aus der Dropdown-Liste für das Domainverbindungs-Verzeichnis aus.

Anmerkung

Nachdem Sie das Verzeichnis für den Domänenbeitritt ausgewählt haben, wird möglicherweise Folgendes angezeigt:

Dieser Fehler tritt auf, wenn der EC2-Startassistent ein vorhandenes SSM-Dokument mit unerwarteten Eigenschaften identifiziert. Sie können einen der folgenden Schritte ausführen:

• Wenn Sie das SSM-Dokument zuvor bearbeitet haben und die Eigenschaften erwartet werden, wählen Sie Schließen und fahren Sie mit dem Starten der EC2-Instance ohne Änderungen fort.

• Wählen Sie den Link „Das vorhandene SSM-Dokument hier löschen“, um das SSM-Dokument zu löschen. Dies ermöglicht die Erstellung eines SSM-Dokuments mit den richtigen Eigenschaften. Das SSM-Dokument wird automatisch erstellt, wenn Sie die EC2-Instance starten.

Wählen Sie für das IAM-Instanzprofil die IAM-Rolle aus, die Sie zuvor im Abschnitt Voraussetzungen Schritt 2: Rolle erstellen erstellt haben. LinuxEC2DomainJoin

Wählen Sie Launch Instance (Instance starten) aus.