Joindre facilement une instance Amazon EC2 Linux à un Microsoft AD AWS géré partagé

Ouvrez la IAM console à l'adresse https://console.aws.amazon.com/iam/.

Dans le volet de navigation de gauche, sous Gestion des accès, sélectionnez Rôles.

Sur la page Rôles, choisissez Créer un rôle.

Sous Select type of trusted entity (Sélectionner le type d'entité approuvée), choisissez service AWS .

Sous Cas d'utilisation, choisissez EC2, puis cliquez sur Suivant

Pour Filter policies (Filtrer les politiques), procédez comme suit :

1. Saisissez AmazonSSMManagedInstanceCore. Cochez ensuite la case correspondant à cet élément dans la liste.

2. Saisissez AmazonSSMDirectoryServiceAccess. Cochez ensuite la case correspondant à cet élément dans la liste.

3. Après avoir ajouté ces politiques, sélectionnez Créer un rôle.

   Note

   AmazonSSMDirectoryServiceAccessfournit les autorisations nécessaires pour joindre des instances à un Active Directory géré par AWS Directory Service. AmazonSSMManagedInstanceCorefournit les autorisations minimales nécessaires à l'utilisation AWS Systems Manager. Pour plus d'informations sur la création d'un rôle doté de ces autorisations, ainsi que sur les autres autorisations et politiques que vous pouvez attribuer à votre IAM rôle, consultez la section Configurer les autorisations d'instance requises pour Systems Manager dans le Guide de AWS Systems Manager l'utilisateur.

Entrez un nom pour votre nouveau rôle, par exemple un autre nom que vous préférez dans le champ Nom du rôle. LinuxEC2DomainJoin

(Facultatif) Dans Description du rôle, entrez une description.

(Facultatif) Choisissez Ajouter une nouvelle balise à l'étape 3 : Ajouter des balises pour ajouter des balises. Les paires clé-valeur de balise sont utilisées pour organiser, suivre ou contrôler l'accès pour ce rôle.

Sélectionnez Créer un rôle.

Ouvrez la console Secrets Manager à l'adresse https://console.aws.amazon.com/secretsmanager/.

Dans la liste des secrets, choisissez le secret que vous avez créé pendant lePrérequis.

Sur la page des détails du secret, sous l'onglet Vue d'ensemble, faites défiler la page vers le bas jusqu'à Autorisations relatives aux ressources.

Sélectionnez Modifier les autorisations.

1. Dans le champ de stratégie, entrez la politique suivante. La politique suivante autorise Linux EC2DomainJoin in Account 2 à accéder au secret inAccount 1. Remplacez la ARN valeur par la ARN valeur de votre Account 2 LinuxEC2DomainJoin rôle que vous avez créé à l'étape 1. Pour utiliser cette politique, voir Associer une politique d'autorisation à un AWS Secrets Manager secret.

   {
   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::Account2:role/LinuxEC2DomainJoin"
         },
         "Action": "secretsmanager:GetSecretValue",
         "Resource": "*"
       }
     ]
   }
   

Ouvrez la console Secrets Manager à l'adresse https://console.aws.amazon.com/secretsmanager/.

Dans le volet de navigation de gauche, sélectionnez Clés gérées par le client.

Sur la page Clés gérées par le client, sélectionnez la clé que vous avez créée.

Sur la page Informations clés, accédez à Politique clé, puis sélectionnez Modifier.

La déclaration de politique clé suivante permet Account 2 à ApplicationRole in d'utiliser la KMS clé Account 1 pour déchiffrer le secret dansAccount 1. Pour utiliser cette déclaration, ajoutez-la à la politique de clé de votre KMS clé. Consultez Modification d'une stratégie de clé pour de plus amples informations.

{
{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::Account2:role/ApplicationRole"
  },
  "Action": [
    "kms:Decrypt",
    "kms:DescribeKey"
  ],
  "Resource": "*"
}

Ouvrez la IAM console à l'adresse https://console.aws.amazon.com/iam/.

Dans le volet de navigation de gauche, sous Gestion des accès, sélectionnez Politiques.

Sélectionnez Create Policy (Créer une politique). Choisissez JSONdans l'éditeur de politiques.

La politique suivante permet ApplicationRole Account 2 à l'entrée d'accéder au secret Account 1 et de déchiffrer la valeur du secret en utilisant la clé de chiffrement qui se trouve également dansAccount 1. Vous trouverez le secret correspondant ARN à votre secret dans la console Secrets Manager, sur la page Détails du secret, sous Secret ARN. Vous pouvez également appeler describe-secret pour identifier le secret. ARN Remplacez la ressource ARN par la ressource ARN pour le secret ARN etAccount 1. Pour utiliser cette politique, voir Associer une politique d'autorisation à un AWS Secrets Manager secret.

{
{
  "Version" : "2012-10-17",
  "Statement" : [
    {
      "Effect": "Allow",
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "SecretARN"
    },
    {
      "Effect": "Allow",
      "Action": [
"kms:Decrypt",
"kms:Describekey"     
],
      "Resource": "arn:aws:kms:Region:Account1:key/Your_Encryption_Key"
    }
  ]
}

Sélectionnez Suivant, puis sélectionnez Enregistrer les modifications.

Recherchez et sélectionnez le rôle que vous avez créé Account 2 dansAttach a resource policy to the secret in Account 1.

Sous Ajouter des autorisations, sélectionnez Joindre des politiques.

Dans la barre de recherche, recherchez la politique que vous avez créée Add a statement to the key policy for the KMS key in Account 1 et cochez la case pour ajouter la politique au rôle. Sélectionnez ensuite Ajouter des autorisations.

Connectez-vous à la EC2 console Amazon AWS Management Console et ouvrez-la à l'adresse https://console.aws.amazon.com/ec2/.

Dans le sélecteur de région de la barre de navigation, choisissez le même répertoire Région AWS que le répertoire existant.

Sur le EC2tableau de bord, dans la section Launch instance, choisissez Launch instance.

Sur la page Lancer une instance, dans la section Nom et balises, entrez le nom que vous souhaitez utiliser pour votre EC2 instance Linux.

(Facultatif) Choisissez Ajouter des balises supplémentaires pour ajouter une ou plusieurs paires clé-valeur de balise afin d'organiser, de suivre ou de contrôler l'accès à cette EC2 instance.

Dans la section Image de l'application et du système d'exploitation (Amazon Machine Image), choisissez le Linux AMI que vous souhaitez lancer.

Dans la section Type d'instance, choisissez le type d'instance que vous souhaitez utiliser dans la liste déroulante Type d'instance.

Dans la section Paire de clés (connexion), vous pouvez choisir de créer une nouvelle paire de clés ou choisir une paire de clés existante. Pour créer une nouvelle paire de clés, choisissez Créer une paire de clés. Entrez le nom de la paire de clés et sélectionnez une option pour le type de paire de clés et le format de fichier de clé privée. Pour enregistrer la clé privée dans un format utilisable avec OpenSSH, choisissez .pem. Pour enregistrer la clé privée dans un format utilisable avec PuTTY, choisissez .ppk. Choisissez Créer une paire de clés. Le fichier de clé privée est automatiquement téléchargé dans votre navigateur. Enregistrez le fichier de clé privée en lieu sûr.

Sur la page Lancer une instance, dans la section Paramètres réseau, choisissez Modifier. Choisissez le répertoire dans VPClequel votre répertoire a été créé dans la liste déroulante VPC- obligatoire.

Choisissez l'un des sous-réseaux publics de votre choix dans la liste VPC déroulante des sous-réseaux. Tout le trafic externe du sous-réseau que vous choisissez doit être acheminé vers une passerelle Internet. Sinon, vous ne pourrez pas vous connecter à l'instance à distance.

Pour plus d'informations sur la connexion à une passerelle Internet, consultez la section Se connecter à Internet à l'aide d'une passerelle Internet dans le guide de VPC l'utilisateur Amazon.

Sous Auto-assign Public IP (Attribuer automatiquement l'adresse IP publique), choisissez Enable (Activer).

Pour plus d'informations sur l'adressage IP public et privé, consultez la section Adressage IP des EC2 instances Amazon dans le guide de EC2 l'utilisateur Amazon.

Pour les paramètres Firewall (security groups) [Pare-feu (groupes de sécurité)], vous pouvez utiliser les paramètres par défaut ou les modifier selon vos besoins.

Pour les paramètres Configure storage (Configurer le stockage), vous pouvez utiliser les paramètres par défaut ou les modifier selon vos besoins.

Choisissez la section Advanced details (Détails avancés), puis sélectionnez votre domaine dans la liste déroulante Domain join directory (Annuaire de jonction de domaines).

Note

Après avoir choisi le répertoire de jointure du domaine, vous pouvez voir :

Cette erreur se produit si l'assistant de EC2 lancement identifie un SSM document existant présentant des propriétés inattendues. Vous pouvez effectuer l'une des actions suivantes :

• Si vous avez déjà modifié le SSM document et que les propriétés sont attendues, choisissez Fermer et lancez l'EC2instance sans aucune modification.

• Cliquez sur le lien Supprimer le SSM document existant ici pour supprimer le SSM document. Cela permettra de créer un SSM document doté des propriétés correctes. Le SSM document sera automatiquement créé lorsque vous lancerez l'EC2instance.

Pour le profil d'IAMinstance, choisissez le IAM rôle que vous avez créé précédemment dans la section des prérequis Étape 2 : Création du EC2DomainJoin rôle Linux.

Choisissez Launch instance (Lancer une instance).