Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Configurer le CA privée AWS connecteur pour AD pour Microsoft AD AWS géré
Vous pouvez intégrer votre Microsoft AD AWS géré à Autorité de certification privée AWS (CA) pour émettre et gérer des certificats pour vos contrôleurs de domaine Active Directory, vos utilisateurs joints à un domaine, vos groupes et vos machines. CA privée AWS Connector for Active Directory vous permet d'utiliser une solution de remplacement entièrement gérée CA privée AWS pour votre entreprise autogérée CAs sans qu'il soit nécessaire de déployer, de patcher ou de mettre à jour des agents locaux ou des serveurs proxy.
Vous pouvez configurer CA privée AWS l'intégration à votre annuaire via la Directory Service console, la console CA privée AWS
Connector for Active Directory ou en appelant l'CreateTemplateAPI. Pour configurer l'intégration de Private CA via la console CA privée AWS Connector for Active Directory, reportez-vous à la section Création d'un modèle de connecteur. Consultez les étapes suivantes pour configurer cette intégration depuis la Directory Service console.
Configuration CA privée AWS du connecteur pour AD
Pour créer un connecteur CA privé pour Active Directory
Connectez-vous à la Directory Service console Console de gestion AWS et ouvrez-la à l'adressehttps://console.aws.amazon.com/directoryservicev2/
. Sur la page Directories (Annuaires), choisissez l'ID de votre annuaire.
Dans l'onglet Gestion des AWS applications et dans la section Applications et services, sélectionnez CA privée AWS Connector for AD.
Sur la page Créer un certificat d'autorité de certification privée pour Active Directory, suivez les étapes pour créer votre connecteur d'autorité de certification privée pour Active Directory.
Pour de plus amples informations, veuillez consulter Creating a connector (français non garanti).
CA privée AWS Connecteur de visualisation pour AD
Pour afficher les détails du connecteur Private CA
Connectez-vous à la Directory Service console Console de gestion AWS et ouvrez-la à l'adressehttps://console.aws.amazon.com/directoryservicev2/
. Sur la page Directories (Annuaires), choisissez l'ID de votre annuaire.
Dans l'onglet Gestion des AWS applications et dans la section Applications et services, consultez vos connecteurs d'autorité de certification privée et l'autorité de certification privée associée. Les champs suivants s'affichent :
CA privée AWS ID du connecteur : identifiant unique d'un CA privée AWS connecteur. Sélectionnez-le pour afficher la page de détails.
CA privée AWS objet — Informations concernant le nom distinctif de l'autorité de certification. Sélectionnez-le pour afficher la page de détails.
État — Résultats de la vérification de l'état du CA privée AWS connecteur et CA privée AWS :
Actif — Les deux contrôles sont réussis
1/2 vérification échouée — échec d'une vérification
Échec — Les deux vérifications échouent
Pour obtenir des informations sur le statut d'échec, passez le curseur sur le lien hypertexte pour voir quelle vérification a échoué.
État d'inscription des certificats DC — Vérification de l'état du certificat du contrôleur de domaine :
Activé — L'inscription aux certificats est activée
Désactivé — L'inscription au certificat est désactivée
Date de création : date de création CA privée AWS du connecteur.
Pour plus d'informations, veuillez consulter View connector details (français non garanti).
Le tableau suivant présente les différents statuts d'inscription des certificats de contrôleur de domaine pour AWS Managed Microsoft AD with CA privée AWS.
| État d'inscription au DC | Description | Action requise |
|---|---|---|
|
Activé |
Les certificats de contrôleur de domaine sont correctement inscrits dans votre annuaire. |
Aucune action requise. |
|
Échec |
L'activation ou la désactivation de l'inscription des certificats de contrôleur de domaine a échoué pour votre annuaire. |
Si votre action d'activation échoue, réessayez en désactivant les certificats de contrôleur de domaine, puis en les réactivant. Si votre action de désactivation échoue, réessayez en activant les certificats de contrôleur de domaine, puis en les désactivant à nouveau. Si la nouvelle tentative échoue, contactez le AWS Support. |
|
Dégradé |
Les contrôleurs de domaine rencontrent des problèmes de connectivité réseau lorsqu'ils communiquent avec les CA privée AWS terminaux. |
Vérifiez les politiques relatives aux points de terminaison CA privée AWS VPC et aux compartiments S3 pour autoriser la connectivité réseau avec votre annuaire. Pour plus d'informations, consultez Résoudre les messages d'exception des autorités de certification AWS privées et Résoudre les problèmes de révocation de CA privée AWS certificats. |
|
Désactivé |
L'inscription des certificats de contrôleur de domaine est correctement désactivée pour votre annuaire. |
Aucune action requise. |
|
Désactivation |
La désactivation de l'inscription des certificats de contrôleur de domaine est en cours. |
Aucune action requise. |
|
Activation |
L'activation de l'inscription des certificats de contrôleur de domaine est en cours. |
Aucune action requise. |
Configuration des politiques AD
CA privée AWS Le Connector for AD doit être configuré de manière AWS à ce que les contrôleurs de domaine et les objets Microsoft AD gérés puissent demander et recevoir des certificats. Configurez votre objet de stratégie de groupe (GPO
Configuration des politiques Active Directory pour les contrôleurs de domaine
Activer les politiques Active Directory pour les contrôleurs de domaine
-
Ouvrez l'onglet Réseau et sécurité.
-
Choisissez CA privée AWS Connectors.
-
Choisissez un connecteur lié au CA privée AWS sujet qui émet des certificats de contrôleur de domaine pour votre annuaire.
-
Choisissez Actions, puis Activer les certificats de contrôleur de domaine.
Important
Configurez un modèle de contrôleur de domaine valide avant d'activer les certificats de contrôleur de domaine afin d'éviter les mises à jour différées.
Une fois que vous avez activé l'inscription des certificats de contrôleur de domaine, les contrôleurs de domaine de votre annuaire demandent et reçoivent des certificats de CA privée AWS Connector for AD.
Pour modifier votre émission CA privée AWS de certificats de contrôleur de domaine, connectez d'abord le nouveau CA privée AWS à votre annuaire à l'aide d'un nouveau CA privée AWS Connector for AD. Avant d'activer l'enregistrement des certificats sur le nouveau CA privée AWS, désactivez l'enregistrement des certificats sur le certificat existant :
Désactiver les certificats de contrôleur de domaine
-
Ouvrez l'onglet Réseau et sécurité.
-
Choisissez CA privée AWS Connectors.
-
Choisissez un connecteur lié au CA privée AWS sujet qui émet des certificats de contrôleur de domaine pour votre annuaire.
-
Choisissez Actions, Désactiver les certificats de contrôleur de domaine.
Configuration des politiques Active Directory pour les utilisateurs, ordinateurs et machines joints à un domaine
Configuration des objets de stratégie de groupe
-
Connectez-vous à l'instance d'administration Microsoft AD AWS gérée et ouvrez le Gestionnaire de serveur
depuis le menu Démarrer. -
Sous Outils, sélectionnez Gestion des politiques de groupe.
-
Sous Forêt et domaines, recherchez l'unité organisationnelle (UO) de votre sous-domaine (par exemple,
corpil s'agit de votre unité organisationnelle de sous-domaine si vous avez suivi les procédures décrites dansCréation de votre AWS Microsoft AD géré) et cliquez avec le bouton droit sur l'unité organisationnelle de votre sous-domaine. Choisissez Créer un GPO dans ce domaine, liez-le ici et entrez PCA GPO pour le nom. Choisissez OK. -
Le GPO nouvellement créé apparaît après le nom de votre sous-domaine. Cliquez avec le bouton droit sur
PCA GPOet choisissez Modifier. Si une boîte de dialogue s'ouvre avec un message d'alerte indiquant qu'il s'agit d'un lien et que les modifications sont propagées dans le monde entier, confirmez le message en choisissant OK pour continuer. La fenêtre de l'éditeur de gestion des politiques de groupe s'ouvre. -
Dans la fenêtre de l'éditeur de gestion des stratégies de groupe, accédez à Configuration ordinateur > Stratégies > Paramètres Windows > Paramètres de sécurité > Politiques de clé publique (choisissez le dossier).
-
Sous Type d'objet, choisissez Certificate Services Client - Certificate Enrollment Policy.
-
Dans la fenêtre Client des services de certificats - Politique d'inscription des certificats, remplacez le modèle de configuration par Activé.
-
Vérifiez que la politique d'inscription Active Directory est sélectionnée et activée. Choisissez Ajouter.
-
La boîte de dialogue du serveur de politiques d'inscription aux certificats s'ouvre. Entrez le point de terminaison du serveur de politique d'inscription des certificats que vous avez généré lorsque vous avez créé votre connecteur dans le champ Entrez l'URI de la politique du serveur d'inscription. Laissez le type d'authentification Windows intégré.
-
Choisissez Valider. Une fois la validation réussie, choisissez Ajouter.
-
Revenez à la boîte de dialogue Client des services de certificats - Politique d'inscription des certificats et cochez la case à côté du connecteur nouvellement créé pour vous assurer que le connecteur est la politique d'inscription par défaut.
-
Choisissez la politique d'inscription Active Directory, puis sélectionnez Supprimer.
-
Dans la boîte de dialogue de confirmation, choisissez Oui pour supprimer l'authentification basée sur LDAP.
-
Choisissez Appliquer puis OK dans la fenêtre Client des services de certificats - Politique d'inscription des certificats. Fermez ensuite la fenêtre.
-
Sous Type d'objet pour le dossier Public Key Policies, choisissez Certificate Services Client - Auto-Enrollment.
-
Modifiez l'option Modèle de configuration sur Activé.
-
Vérifiez que les options Renouveler les certificats expirés et Mettre à jour les certificats sont toutes deux sélectionnées. Laissez les autres paramètres tels quels.
-
Choisissez Appliquer, puis OK, puis fermez la boîte de dialogue.
Configurez ensuite les politiques de clé publique pour la configuration utilisateur en répétant les étapes 6 à 17 dans la section Configuration utilisateur > Stratégies > Paramètres Windows > Paramètres de sécurité > Politiques de clé publique.
Une fois que vous avez terminé la configuration GPOs et les politiques de clé publique, les objets du domaine demandent des certificats à CA privée AWS Connector for AD et reçoivent des certificats émis par CA privée AWS.
Confirmation de la CA privée AWS délivrance d'un certificat
Le processus de mise CA privée AWS à jour pour émettre des certificats pour votre Microsoft AD AWS géré peut prendre jusqu'à 8 heures.
Vous pouvez effectuer l’une des actions suivantes :
-
Vous pouvez attendre cette période.
-
Vous pouvez redémarrer les machines jointes au domaine Microsoft AD AWS géré qui ont été configurées pour recevoir des certificats du CA privée AWS. Vous pouvez ensuite confirmer que les certificats ont CA privée AWS été émis aux membres de votre domaine Microsoft AD AWS géré en suivant la procédure décrite dans la Microsoftdocumentation
. -
Vous pouvez utiliser la PowerShell commande suivante pour mettre à jour les certificats de votre Microsoft AD AWS géré :
certutil -pulse
