Unir instancias a un dominio de Active Directory

Con AWS Elastic Beanstalk, las instancias de Windows Server de su entorno pueden unirse automáticamente a un dominio de Active Directory. El directorio se administra con el servicio de AWS directorio y se activa la unión con las opciones de configuración del espacio de aws:elasticbeanstalk:windows:activedirectory nombres. Luego, cada instancia se une al dominio cuando se lanza, antes de que Elastic Beanstalk implemente la aplicación en ella. No escribes ninguna lógica de unión personalizada ni administras la unión tú mismo.

Puedes unir instancias a un directorio AWS administrado de Microsoft AD o a un directorio simple de AD, o a tu Active Directory autogestionado a través de AD Connector.

Cómo funciona la unión a un dominio

Cuando se lanza una instancia en un entorno con opciones de Active Directory, hace lo siguiente antes de que Elastic Beanstalk implemente la aplicación:

Sin las opciones de Active Directory, Elastic Beanstalk deriva el nombre de host de cada instancia de Windows a partir de su dirección IPv4 privada (por ejemplo,). IP-0A010203 Las direcciones IP se pueden reutilizar, por lo que estos nombres pueden colisionar con objetos informáticos obsoletos de un directorio. Esto puede ocurrir en topologías de recuperación ante desastres que reutilizan rangos de IP en distintas regiones o en entornos de larga duración. Cuando se configuran las opciones de Active Directory, el nombre de host se deriva del ID de la instancia. Como cada ID de instancia es único en todo el mundo, la probabilidad de que un nombre colisione con un objeto informático obsoleto es insignificante. El ID-derived nombre de host de la instancia solo se aplica a los entornos con opciones de Active Directory.

Requisitos previos

Antes de configurar la unión al dominio de Active Directory, compruebe que se cumplen los siguientes requisitos previos:

Configuración de la unión al dominio de Active Directory

Para activar la unión a un dominio de Active Directory, defina las siguientes opciones de configuración en el espacio de aws:elasticbeanstalk:windows:activedirectory nombres. Puede configurarlas en un archivo de configuración, con el AWS CLI método o con cualquier otro método para establecer las opciones de configuración. Para obtener más información sobre cada opción, consulteaws:elasticbeanstalk:windows:active directory.

El siguiente AWS CLI ejemplo configura la unión a un dominio de Active Directory en un entorno en ejecución. El ejemplo usa la sintaxis JSON para el --option-settings parámetro, porque DirectoryOU los valores contienen comas, que la sintaxis abreviada interpreta como separadores.

aws elasticbeanstalk update-environment \
    --environment-name my-env \
    --option-settings '[
      {"Namespace": "aws:elasticbeanstalk:windows:activedirectory", "OptionName": "DirectoryId", "Value": "d-1234567890"},
      {"Namespace": "aws:elasticbeanstalk:windows:activedirectory", "OptionName": "DirectoryName", "Value": "corp.example.com"},
      {"Namespace": "aws:elasticbeanstalk:windows:activedirectory", "OptionName": "DirectoryOU", "Value": "OU=WebServers,DC=corp,DC=example,DC=com"}
    ]'

Si cambia la configuración del entorno para que apunte a un directorio diferente, las instancias de reemplazo se unen al nuevo directorio. Si eliminas las opciones, las instancias de reemplazo se lanzan sin unirse a un dominio y usan los IP-address-derived nombres de host estándar. En ambos casos, los objetos de la computadora que crearon las instancias anteriores permanecen en el directorio. Para obtener más información, consulte Administrar los objetos informáticos de su directorio.

Confirmar la unión al dominio

Para confirmar que una instancia se unió al dominio, realice una de las siguientes acciones:

Cuando su entorno se amplía, Auto Scaling agrega instancias que también se unen al dominio. Para revisar el registro de implementación de una de estas instancias, recupérelo de Amazon S3. Para obtener más información, consulte Dónde se almacenan los registros de implementación.

Uniones de dominio fallidas

Una unión de dominio fallida no bloquea la implementación. Si una instancia no puede unirse al dominio por cualquier motivo, vuelve al IP-address-derived nombre de host estándar (IP-XXXXXXXX), la implementación continúa y el entorno aún puede alcanzar el estado Listo e informar que está en buen estado.

Para hacer visible el error, Elastic Beanstalk compara la pertenencia real al dominio de la instancia con la del directorio configurado y emite un ERROR evento cuando no coinciden:

Active Directory domain join did not complete: instance is not joined to 'corp.example.com' (PartOfDomain=False, Domain=WORKGROUP). See the deployment log for the join output.

La instancia escribe el resultado del proceso de unión en. C:\cfn\log\eb-ad-join.log Cuando se produce un error en una unión, Elastic Beanstalk también copia este registro en el registro de implementación de la instancia para que pueda recuperar la causa sin conectarse a la instancia. Para obtener más información, consulte Visualización de los registros de implementación de un entorno de Elastic Beanstalk.

Resolución de problemas

Si tus instancias no se unen al dominio, comprueba lo siguiente:

Administrar los objetos informáticos de su directorio

Elastic Beanstalk no elimina el objeto informático de una instancia de su directorio cuando la instancia o el entorno terminan. Cada instancia unida deja su objeto de EC2-XXXXXXXX computadora y la actividad de escalado crea un objeto para cada instancia nueva. Eres responsable de eliminar periódicamente los objetos informáticos obsoletos de tu directorio, utilizando las herramientas de administración de directorios habituales de tu organización.

Como el nombre de host de cada nueva instancia deriva de su propio identificador de instancia único a nivel mundial, la posibilidad de que un nombre colisione con un objeto informático obsoleto es insignificante.