Hinzufügen von Instanzen zu einer Active Directory-Domäne

Mit AWS Elastic Beanstalk können die Windows Server-Instanzen in Ihrer Umgebung automatisch einer Active Directory-Domäne beitreten. Sie verwalten das Verzeichnis mit dem AWS Verzeichnisdienst und aktivieren die Optionen für die Verknüpfung mit den Konfigurationsoptionen im aws:elasticbeanstalk:windows:activedirectory Namespace. Jede Instance tritt dann der Domain bei, wenn sie gestartet wird, bevor Elastic Beanstalk Ihre Anwendung auf ihr bereitstellt. Sie schreiben keine benutzerdefinierte Join-Logik und verwalten den Join nicht selbst.

Sie können Instanzen mit einem AWS verwalteten Microsoft AD-Verzeichnis oder einem Simple AD-Verzeichnis oder mit Ihrem selbstverwalteten Active Directory über AD Connector verbinden.

So funktioniert der Domänenbeitritt

Wenn eine Instanz in einer Umgebung mit Active Directory-Optionen gestartet wird, geht sie wie folgt vor der Bereitstellung Ihrer Anwendung durch Elastic Beanstalk vor:

Ohne Active Directory-Optionen leitet Elastic Beanstalk den Hostnamen jeder Windows-Instanz von ihrer privaten IPv4-Adresse ab (z. B.). IP-0A010203 IP-Adressen können wiederverwendet werden, sodass diese Namen mit veralteten Computerobjekten in einem Verzeichnis kollidieren können. Dies kann in Disaster Recovery-Topologien passieren, die IP-Bereiche regionsübergreifend wiederverwenden, oder in langlebigen Umgebungen. Wenn Active Directory-Optionen festgelegt sind, leitet sich der Hostname stattdessen von der Instanz-ID ab. Da jede Instanz-ID global eindeutig ist, ist die Wahrscheinlichkeit einer Namenskollision mit einem veralteten Computerobjekt vernachlässigbar. Der ID-derived Instanz-Hostname gilt nur für Umgebungen mit Active Directory-Optionen.

Voraussetzungen

Bevor Sie den Active Directory-Domänenbeitritt konfigurieren, stellen Sie sicher, dass die folgenden Voraussetzungen erfüllt sind:

Konfiguration des Active Directory-Domänenbeitritts

Um den Active Directory-Domänenbeitritt zu aktivieren, legen Sie die folgenden Konfigurationsoptionen im aws:elasticbeanstalk:windows:activedirectory Namespace fest. Sie können sie in einer Konfigurationsdatei, mit der AWS CLI oder mit einer anderen Methode zum Festlegen von Konfigurationsoptionen festlegen. Einzelheiten zu den einzelnen Optionen finden Sie unteraws: elasticbeanstalk: windows: aktives Verzeichnis.

Im folgenden AWS CLI Beispiel wird der Active Directory-Domänenbeitritt in einer laufenden Umgebung konfiguriert. Das Beispiel verwendet die JSON-Syntax für den --option-settings Parameter, da DirectoryOU Werte Kommas enthalten, die von der Kurzschriftsyntax als Trennzeichen interpretiert werden.

aws elasticbeanstalk update-environment \
    --environment-name my-env \
    --option-settings '[
      {"Namespace": "aws:elasticbeanstalk:windows:activedirectory", "OptionName": "DirectoryId", "Value": "d-1234567890"},
      {"Namespace": "aws:elasticbeanstalk:windows:activedirectory", "OptionName": "DirectoryName", "Value": "corp.example.com"},
      {"Namespace": "aws:elasticbeanstalk:windows:activedirectory", "OptionName": "DirectoryOU", "Value": "OU=WebServers,DC=corp,DC=example,DC=com"}
    ]'

Wenn Sie die Konfiguration der Umgebung so ändern, dass sie auf ein anderes Verzeichnis verweist, werden die Ersatz-Instances dem neuen Verzeichnis hinzugefügt. Wenn Sie die Optionen entfernen, werden die Ersatzinstanzen gestartet, ohne einer Domain beizutreten, und verwenden die IP-address-derived Standard-Hostnamen. In beiden Fällen verbleiben die Computerobjekte, die die vorherigen Instanzen erstellt haben, im Verzeichnis. Weitere Informationen finden Sie unter Verwaltung von Computerobjekten in Ihrem Verzeichnis.

Bestätigung des Domänenbeitritts

Gehen Sie wie folgt vor, um zu bestätigen, dass eine Instanz der Domain beigetreten ist:

Wenn Ihre Umgebung skaliert wird, fügt Auto Scaling Instances hinzu, die ebenfalls der Domain beitreten. Um das Bereitstellungsprotokoll für eine dieser Instances zu überprüfen, rufen Sie es von Amazon S3 ab. Weitere Informationen finden Sie unter Wo werden Bereitstellungsprotokolle gespeichert.

Fehlgeschlagene Domain-Joins

Ein fehlgeschlagener Domänenbeitritt blockiert die Bereitstellung nicht. Wenn eine Instanz aus irgendeinem Grund der Domäne nicht beitreten kann, wird auf den IP-address-derived Standard-Hostnamen (IP-XXXXXXXX) zurückgegriffen, die Bereitstellung wird fortgesetzt, und die Umgebung kann immer noch den Status Bereit erreichen und als fehlerfrei melden.

Um den Fehler sichtbar zu machen, vergleicht Elastic Beanstalk die tatsächliche Domain-Mitgliedschaft der Instance mit dem konfigurierten Verzeichnis und gibt ein ERROR Ereignis aus, wenn sie nicht übereinstimmen:

Active Directory domain join did not complete: instance is not joined to 'corp.example.com' (PartOfDomain=False, Domain=WORKGROUP). See the deployment log for the join output.

Die Instanz schreibt die Ausgabe des Join-Prozesses in. C:\cfn\log\eb-ad-join.log Wenn ein Join fehlschlägt, kopiert Elastic Beanstalk auch dieses Protokoll in das Bereitstellungsprotokoll der Instanz, sodass Sie die Ursache abrufen können, ohne eine Verbindung zur Instance herstellen zu müssen. Weitere Informationen finden Sie unter Bereitstellungsprotokolle für eine Elastic Beanstalk-Umgebung anzeigen.

Fehlerbehebung

Wenn Ihre Instances der Domain nicht beitreten, überprüfen Sie Folgendes:

Verwaltung von Computerobjekten in Ihrem Verzeichnis

Elastic Beanstalk löscht das Computerobjekt einer Instanz nicht aus Ihrem Verzeichnis, wenn die Instance oder die Umgebung beendet wird. Jede verknüpfte Instanz hinterlässt ihr EC2-XXXXXXXX Computerobjekt, und durch Skalierung wird für jede neue Instanz ein Objekt erstellt. Sie sind dafür verantwortlich, in regelmäßigen Abständen veraltete Computerobjekte aus Ihrem Verzeichnis zu entfernen, indem Sie die üblichen Verzeichnisverwaltungstools Ihrer Organisation verwenden.

Da der Hostname jeder neuen Instanz von ihrer eigenen, global eindeutigen Instanz-ID abgeleitet wird, ist die Wahrscheinlichkeit einer Namenskollision mit einem veralteten Computerobjekt vernachlässigbar.