Cómo unir sin problemas una instancia de Amazon EC2 Linux a su Active Directory AWS administrado de Microsoft AD

Creación de secretos y almacenamiento de la información de la cuenta de servicio de dominio

1. Inicie sesión en AWS Management Console y abra la AWS Secrets Manager consola en https://console.aws.amazon.com/secretsmanager/.

2. Elija Almacenar un secreto nuevo.

3. En la página Store a new secret (Almacenar un nuevo secreto), haga lo siguiente:

   1. En Tipo de secreto, seleccione Otro tipo de secretos.

   2. En Pares clave/valor, haga lo siguiente:

      1. En el cuadro de filtro, escriba awsSeamlessDomainUsername. En la misma fila, en el cuadro siguiente, introduzca el nombre de usuario de su cuenta de servicio. Por ejemplo, si utilizó el PowerShell comando anteriormente, el nombre de la cuenta de servicio seríaawsSeamlessDomain.

         nota

         Debe ingresar awsSeamlessDomainUsername exactamente como está. Asegúrese de que no haya espacios al principio ni al final. De lo contrario, la unión de dominio fallará.

         

      2. Seleccione Agregar regla.

      3. En la nueva fila, en el primer cuadro, ingrese awsSeamlessDomainPassword. En la misma fila, en el cuadro siguiente, ingrese la contraseña de su cuenta de servicio.

         nota

         Debe ingresar awsSeamlessDomainPassword exactamente como está. Asegúrese de que no haya espacios al principio ni al final. De lo contrario, la unión de dominio fallará.

      4. En Clave de cifrado, deje el valor predeterminadoaws/secretsmanager. AWS Secrets Manager siempre cifra el secreto al elegir esta opción. También puede elegir una clave que haya creado.

         nota

         Hay tarifas asociadas AWS Secrets Manager, según el secreto que utilices. Para obtener la lista de precios completa, consulte Precios de AWS Secrets Manager.

         Puedes usar la clave AWS gestionada aws/secretsmanager que crea Secrets Manager para cifrar tus secretos de forma gratuita. Si creas tus propias KMS claves para cifrar tus secretos, te AWS cobrará la tarifa actual AWS KMS . Para obtener más información, consulte AWS Key Management Service Precios.

      5. Elija Next (Siguiente).

4. En Nombre secreto, introduzca un nombre secreto que incluya su ID de directorio con el siguiente formato, sustituyendo d-xxxxxxxxx con tu ID de directorio:

   aws/directory-services/d-xxxxxxxxx/seamless-domain-join

   Se usará para recuperar los secretos de la aplicación.

   nota

   Debe escribir aws/directory-services/d-xxxxxxxxx/seamless-domain-join exactamente como está, pero reemplazar d-xxxxxxxxxx con su ID de directorio. Asegúrese de que no haya espacios al principio ni al final. De lo contrario, la unión de dominio fallará.

   

5. Deje todo lo demás con los valores predeterminados y, a continuación, elija Siguiente.

6. En Configurar rotación automática, elija Deshabilitar rotación automática y, a continuación, Siguiente.

   Puedes activar la rotación de este secreto después de guardarlo.

7. Revise la configuración y, a continuación, elija Almacenar para guardar los cambios. La consola de Secrets Manager vuelve a la lista de secretos de su cuenta con el nuevo secreto ahora incluido en la lista.

8. Elige el nombre secreto que acabas de crear de la lista y toma nota del ARN valor secreto. Lo necesitará en la sección siguiente.

Para activar la rotación del secreto de la cuenta del servicio de dominio

• Sigue las instrucciones de la Guía del AWS Secrets Manager usuario sobre cómo configurar la rotación automática de datos AWS Secrets Manager secretos.

  Para el paso 5, utilice la plantilla de rotación de credenciales de Microsoft Active Directory en la Guía del AWS Secrets Manager usuario.

  Para obtener ayuda, consulte Solucionar problemas de AWS Secrets Manager rotación en la Guía del AWS Secrets Manager usuario.

Para crear el Secrets Manager, IAM lea la política

1. Inicie sesión AWS Management Console como usuario que tiene permiso para crear IAM políticas. A continuación, abra la IAM consola en https://console.aws.amazon.com/iam/.

2. En el panel de navegación, Administración de acceso, elija Políticas.

3. Elija Crear política.

4. Seleccione la JSONpestaña y copie el texto del siguiente documento JSON de política. A continuación, péguelo en el cuadro de JSONtexto.

   nota

   Asegúrate de reemplazar la región y el recurso ARN por la región real y ARN el secreto que creaste anteriormente.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "secretsmanager:GetSecretValue",
                   "secretsmanager:DescribeSecret"
               ],
               "Resource": [
                   "arn:aws:secretsmanager:us-east-1:xxxxxxxxx:secret:aws/directory-services/d-xxxxxxxxx/seamless-domain-join"
               ]
           }
       ]
   }

5. Cuando haya terminado, elija Next. El validador de políticas notifica los errores de sintaxis. Para obtener más información, consulte Validación de IAM políticas.

6. En la página Revisar política, ingrese un nombre para la política, como SM-Secret-Linux-DJ-d-xxxxxxxxxx-Read. Revise el Resumen de la política para ver los permisos concedidos por su política. Seleccione Crear política para guardar los cambios. La nueva política aparece en la lista de las políticas administradas y está lista para asociar a una identidad.

Para crear el EC2DomainJoin rol de Linux

1. Inicie sesión AWS Management Console como usuario que tiene permiso para crear IAM políticas. A continuación, abra la IAM consola en https://console.aws.amazon.com/iam/.

2. En el panel de navegación, en Administración del acceso, elija Roles.

3. En el panel de contenido, elija Crear rol.

4. En Seleccionar tipo de entidad de confianza, seleccione Servicio de AWS .

5. En Caso de uso, selecciona y EC2, a continuación, selecciona Siguiente.

   

6. En Políticas de filtro, haga lo siguiente:

   1. Escriba AmazonSSMManagedInstanceCore. A continuación, seleccione la casilla de verificación de ese elemento de la lista.

   2. Escriba AmazonSSMDirectoryServiceAccess. A continuación, seleccione la casilla de verificación de ese elemento de la lista.

   3. Ingrese SM-Secret-Linux-DJ-d-xxxxxxxxxx-Read (o el nombre de la política creada en el procedimiento anterior). A continuación, seleccione la casilla de verificación de ese elemento de la lista.

   4. Tras añadir las tres políticas enumeradas anteriormente, seleccione Crear función.

   nota

   A mazonSSMDirectory ServiceAccess proporciona los permisos para unir instancias a un Active Directory gestionado por AWS Directory Service. A mazonSSMManaged InstanceCore proporciona los permisos mínimos necesarios para utilizar el AWS Systems Manager servicio. Para obtener más información sobre la creación de un rol con estos permisos y para obtener información sobre otros permisos y políticas que puede asignar a su IAM rol, consulte Crear un perfil de IAM instancia para Systems Manager en la Guía del AWS Systems Manager usuario.

7. Introduzca un nombre para el nuevo rol, por ejemplo, LinuxEC2DomainJoin u otro nombre que prefiera en el campo Nombre del rol.

8. (Opcional) En Role description (Descripción del rol), escriba una descripción.

9. (Opcional) Selecciona Añadir nueva etiqueta en el paso 3: Añadir etiquetas para añadir etiquetas. Los pares clave-valor de etiquetas se utilizan para organizar, rastrear o controlar el acceso de este rol.

10. Elija Crear rol.

Para unirse sin problemas a su instancia de Linux

1. Inicia sesión en la EC2 consola de Amazon AWS Management Console y ábrela en https://console.aws.amazon.com/ec2/.

2. En el selector de regiones de la barra de navegación, elige el Región de AWS mismo directorio que el existente.

3. En el EC2panel de control, en la sección Lanzar instancia, elija Launch instance.

4. En la página Lanzar una instancia, en la sección Nombre y etiquetas, introduce el nombre que te gustaría usar para tu EC2 instancia de Linux.

5. (Opcional) Selecciona Añadir etiquetas adicionales para añadir uno o más pares de etiquetas y valores para organizar, realizar un seguimiento o controlar el acceso a esta EC2 instancia.

6. En la sección Imagen de aplicación e sistema operativo (Amazon Machine Image), elija el Linux AMI que desee lanzar.

   nota

   El usuario AMI debe tener AWS Systems Manager (SSMAgent) la versión 2.3.1644.0 o superior. Para comprobar la versión del SSM agente instalada en su cuenta AMI mediante el lanzamiento de una instancia a partir de ellaAMI, consulte Obtener la versión del agente actualmente instalada. SSM Si necesita actualizar el SSM agente, consulte Instalación y configuración del SSM agente en EC2 instancias para Linux.

   SSMusa el aws:domainJoin complemento al unir una instancia de Linux a un Active Directory dominio. El complemento cambia el nombre de host de las instancias de Linux al formatoEC2AMAZ:XXXXXXX. Para obtener más información al respectoaws:domainJoin, consulte la referencia del complemento del documento de AWS Systems Manager comandos en la Guía del AWS Systems Manager usuario.

7. En la sección Tipo de instancia, elija el tipo de instancia que desee usar en la lista desplegable Tipo de instancia.

8. En la sección Par de claves (inicio de sesión), puede elegir entre crear un nuevo par de claves o elegir un par de claves existente. Para crear un nuevo par de claves, elija Crear nuevo par de claves. Ingrese un nombre para el par de claves y seleccione una opción en Tipo de par de claves y Formato de archivo de clave privada. Para guardar la clave privada en un formato que se pueda usar con OpenSSH, elija .pem. Para guardar la clave privada en un formato que pueda usarse con PuTTY, elija .ppk. Elija Crear par de claves. Su navegador descargará el archivo de clave privada automáticamente. Guarde el archivo de clave privada en un lugar seguro.

   importante

   Esta es la única oportunidad para guardar el archivo de clave privada.

9. En la página Lanzar una instancia, en la sección Configuración de red, elija Editar. Seleccione el directorio en el VPCque se creó su directorio en la VPC lista desplegable requerida.

10. Elija una de las subredes públicas de la lista VPC desplegable de subredes. La subred que elija debe tener todo el tráfico externo dirigido a una puerta de enlace de Internet. De lo contrario, no podrá conectarse a la instancia de forma remota.

    Para obtener más información sobre cómo conectarse a una puerta de enlace de Internet, consulte Conectarse a Internet mediante una puerta de enlace de Internet en la Guía del VPC usuario de Amazon.

11. En Autoasignar IP pública, elija Habilitar.

    Para obtener más información sobre las direcciones IP públicas y privadas, consulte Direcciones IP de EC2 instancias de Amazon en la Guía del EC2 usuario de Amazon.

12. En la configuración Firewall (grupos de seguridad), puede usar la configuración predeterminada o hacer cambios para adaptarla a sus necesidades.

13. En la configuración Configurar almacenamiento, puede utilizar los ajustes predeterminados o hacer los cambios necesarios para adaptarlos a sus necesidades.

14. Seleccione la sección Detalles avanzados y elija su dominio en la lista desplegable Directorio de unión de dominios.

    nota

    Tras elegir el directorio de unión de dominios, es posible que veas lo siguiente:

    

    Este error se produce si el asistente de EC2 inicio identifica un SSM documento existente con propiedades inesperadas. Puede elegir una de las opciones siguientes:

    • Si ya ha editado el SSM documento y las propiedades son las esperadas, seleccione Cerrar y proceda a lanzar la EC2 instancia sin cambios.

    • Seleccione el enlace para eliminar el SSM documento existente aquí para eliminar el SSM documento. Esto permitirá crear un SSM documento con las propiedades correctas. El SSM documento se creará automáticamente al lanzar la EC2 instancia.

15. Para el perfil de IAM ejemplo, elija el IAM rol que creó anteriormente en la sección de requisitos previos. Paso 2: Crear el EC2DomainJoin rol de Linux.

16. Seleccione Iniciar instancia.