Unir sin problemas una instancia de Amazon EC2 Linux a un Microsoft AD AWS gestionado compartido

Abra la IAM consola en https://console.aws.amazon.com/iam/.

En el panel de navegación izquierdo, en Administración de acceso, elija Funciones.

En la página Roles, elija Crear rol.

En Seleccionar tipo de entidad de confianza, seleccione Servicio de AWS .

En Caso de uso, elija y EC2, a continuación, elija Siguiente

En Políticas de filtro, haga lo siguiente:

1. Escriba AmazonSSMManagedInstanceCore. A continuación, selecciona la casilla de verificación correspondiente a ese elemento de la lista.

2. Escriba AmazonSSMDirectoryServiceAccess. A continuación, seleccione la casilla de verificación correspondiente a ese elemento de la lista.

3. Tras añadir estas políticas, selecciona Crear rol.

   nota

   AmazonSSMDirectoryServiceAccessproporciona los permisos para unir instancias a una instancia Active Directory gestionada por AWS Directory Service. AmazonSSMManagedInstanceCoreproporciona los permisos mínimos necesarios para su uso AWS Systems Manager. Para obtener más información sobre la creación de un rol con estos permisos y para obtener información sobre otros permisos y políticas que puede asignar a su IAM rol, consulte Configurar los permisos de instancia necesarios para Systems Manager en la Guía del AWS Systems Manager usuario.

Introduzca un nombre para su nueva función, por ejemplo, LinuxEC2DomainJoin u otro nombre que prefiera en el campo Nombre de la función.

(Opcional) En la descripción del rol, introduzca una descripción.

(Opcional) Seleccione Añadir nueva etiqueta en el paso 3: Añadir etiquetas para añadir etiquetas. Los pares clave-valor de etiquetas se utilizan para organizar, rastrear o controlar el acceso de este rol.

Elija Crear rol.

Abra la consola de Secrets Manager en https://console.aws.amazon.com/secretsmanager/.

De la lista de secretos, elige el secreto que creaste durante elRequisitos previos.

En la página de detalles del secreto, en la pestaña Descripción general, desplázate hacia abajo hasta Permisos de recursos.

Selecciona Editar permisos.

1. En el campo de política, introduce la siguiente política. La siguiente política permite a Linux EC2DomainJoin in acceder Account 2 a la entrada secretaAccount 1. Sustituya el ARN ARN valor por el valor del LinuxEC2DomainJoin rol que creó en el paso 1. Account 2 Para usar esta política, consulte Adjuntar una política de permisos a un AWS Secrets Manager secreto.

   {
   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::Account2:role/LinuxEC2DomainJoin"
         },
         "Action": "secretsmanager:GetSecretValue",
         "Resource": "*"
       }
     ]
   }
   

Abra la consola de Secrets Manager en https://console.aws.amazon.com/secretsmanager/.

En el panel de navegación izquierdo, selecciona Claves administradas por el cliente.

En la página Claves gestionadas por el cliente, selecciona la clave que has creado.

En la página de detalles clave, vaya a Política clave y seleccione Editar.

La siguiente declaración de política clave Account 2 permite ApplicationRole utilizar la KMS clave Account 1 para descifrar el secreto. Account 1 Para usar esta declaración, agréguela a la política de claves de su KMS clave. Para obtener más información, consulte Cambiar una política de claves.

{
{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::Account2:role/ApplicationRole"
  },
  "Action": [
    "kms:Decrypt",
    "kms:DescribeKey"
  ],
  "Resource": "*"
}

Abre la IAM consola en https://console.aws.amazon.com/iam/.

En el panel de navegación izquierdo, en Administración de acceso, seleccione Políticas.

Seleccione Create Policy (Crear política). Elija JSONen el editor de políticas.

La siguiente política permite ApplicationRole acceder Account 2 al valor secreto Account 1 y descifrarlo mediante la clave de cifrado que también se encuentra enAccount 1. Puedes encontrar el secreto ARN de tu secreto en la consola Secrets Manager, en la página de detalles del secreto, en Secreto ARN. También puedes llamar a describe-secret para identificar el secreto. ARN Sustituye el recurso ARN ARN por el recurso secreto y. ARN Account 1 Para usar esta política, consulte Adjuntar una política de permisos a un AWS Secrets Manager secreto.

{
{
  "Version" : "2012-10-17",
  "Statement" : [
    {
      "Effect": "Allow",
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "SecretARN"
    },
    {
      "Effect": "Allow",
      "Action": [
"kms:Decrypt",
"kms:Describekey"     
],
      "Resource": "arn:aws:kms:Region:Account1:key/Your_Encryption_Key"
    }
  ]
}

Selecciona Siguiente y, a continuación, selecciona Guardar cambios.

Busca y selecciona el rol Account 2 en el que creasteAttach a resource policy to the secret in Account 1.

En Añadir permisos, selecciona Adjuntar políticas.

En la barra de búsqueda, busca la política en la que creaste Add a statement to the key policy for the KMS key in Account 1 y selecciona la casilla para agregarla al rol. A continuación, selecciona Añadir permisos.

Inicia sesión en la EC2 consola de Amazon AWS Management Console y ábrela en https://console.aws.amazon.com/ec2/.

En el selector de regiones de la barra de navegación, elige el Región de AWS mismo directorio que el existente.

En el EC2panel de control, en la sección Lanzar instancia, elija Launch instance.

En la página Lanzar una instancia, en la sección Nombre y etiquetas, introduce el nombre que te gustaría usar para tu EC2 instancia de Linux.

(Opcional) Selecciona Añadir etiquetas adicionales para añadir uno o más pares de etiquetas y valores para organizar, realizar un seguimiento o controlar el acceso a esta EC2 instancia.

En la sección Imagen de aplicación e sistema operativo (Amazon Machine Image), elija el Linux AMI que desee lanzar.

En la sección Tipo de instancia, elija el tipo de instancia que desee usar en la lista desplegable Tipo de instancia.

En la sección Par de claves (inicio de sesión), puede elegir entre crear un nuevo par de claves o elegir un par de claves existente. Para crear un nuevo par de claves, elija Crear nuevo par de claves. Ingrese un nombre para el par de claves y seleccione una opción en Tipo de par de claves y Formato de archivo de clave privada. Para guardar la clave privada en un formato que se pueda usar con OpenSSH, elija .pem. Para guardar la clave privada en un formato que se pueda usar con PuTTY, elija .ppk. Elija Crear par de claves. Su navegador descargará el archivo de clave privada automáticamente. Guarde el archivo de clave privada en un lugar seguro.

En la página Lanzar una instancia, en la sección Configuración de red, elija Editar. Seleccione el directorio en el VPCque se creó su directorio en la VPC lista desplegable requerida.

Elija una de las subredes públicas de la lista VPC desplegable de subredes. La subred que elija debe tener todo el tráfico externo dirigido a una puerta de enlace de Internet. De lo contrario, no podrá conectarse a la instancia de forma remota.

Para obtener más información sobre cómo conectarse a una puerta de enlace de Internet, consulte Conectarse a Internet mediante una puerta de enlace de Internet en la Guía del VPC usuario de Amazon.

En Autoasignar IP pública, elija Habilitar.

Para obtener más información sobre las direcciones IP públicas y privadas, consulte Direcciones IP de EC2 instancias de Amazon en la Guía del EC2 usuario de Amazon.

En la configuración Firewall (grupos de seguridad), puede usar la configuración predeterminada o hacer cambios para adaptarla a sus necesidades.

En la configuración Configurar almacenamiento, puede utilizar los ajustes predeterminados o hacer los cambios necesarios para adaptarlos a sus necesidades.

Seleccione la sección Detalles avanzados y elija su dominio en la lista desplegable Directorio de unión de dominios.

nota

Tras elegir el directorio de unión de dominios, es posible que veas lo siguiente:

Este error se produce si el asistente de EC2 inicio identifica un SSM documento existente con propiedades inesperadas. Puede elegir una de las opciones siguientes:

• Si ya ha editado el SSM documento y las propiedades son las esperadas, seleccione Cerrar y proceda a lanzar la EC2 instancia sin cambios.

• Seleccione el enlace para eliminar el SSM documento existente aquí para eliminar el SSM documento. Esto permitirá crear un SSM documento con las propiedades correctas. El SSM documento se creará automáticamente al lanzar la EC2 instancia.

Para el perfil de IAM ejemplo, elija el IAM rol que creó anteriormente en la sección de requisitos previos. Paso 2: Crear el EC2DomainJoin rol de Linux.

Seleccione Iniciar instancia.