Prérequis

Ouvrez l'https://portal.aws.amazon.com/billing/inscription.

Suivez les instructions en ligne.

Dans le cadre de la procédure d’inscription, vous recevrez un appel téléphonique et vous saisirez un code de vérification en utilisant le clavier numérique du téléphone.

Lorsque vous vous inscrivez à un Compte AWS, un Utilisateur racine d'un compte AWSest créé. Par défaut, seul l’utilisateur racine a accès à l’ensemble des Services AWS et des ressources de ce compte. La meilleure pratique de sécurité consiste à attribuer un accès administratif à un utilisateur, et à utiliser uniquement l’utilisateur racine pour effectuer les tâches nécessitant un accès utilisateur racine.

Suivez les instructions pour enregistrer un domaine auprès de Route53. Vous devriez recevoir un e-mail de confirmation.

Récupérez la zone hébergée pour votre domaine. Ceci est créé automatiquement par Route53.

1. Ouvrez la console Route53.

2. Choisissez Zones hébergées dans le menu de navigation de gauche.

3. Ouvrez la zone hébergée créée pour votre nom de domaine et copiez l'ID de zone hébergée.

Ouvrez AWS Certificate Manager et suivez ces étapes pour demander un certificat de domaine. Assurez-vous que vous vous trouvez dans la région où vous prévoyez de déployer la solution.

Choisissez Lister les certificats dans le menu de navigation, puis recherchez votre demande de certificat. La demande devrait être en attente.

Choisissez votre numéro de certificat pour ouvrir la demande.

Dans la section Domaines, choisissez Créer des enregistrements dans Route53. Le traitement de la demande prendra environ dix minutes.

Une fois le certificat émis, copiez l'ARN depuis la section État du certificat.

Déployez la AWS CloudFormation pile de certificats dans le AWS compte de partition commerciale où le domaine public hébergé a été créé.

Dans les CloudFormation sorties du certificat, recherchez et notez le CertificateARN etPrivateKeySecretARN.

Dans le compte de GovCloud partition, créez un secret avec la valeur de la CertificateARN sortie. Notez le nouvel ARN secret et ajoutez deux balises au secret pour vdc-gateway pouvoir accéder à la valeur du secret :

1. rouge : ModuleName = virtual-desktop-controller

2. res : EnvironmentName = [nom de l'environnement] (Cela pourrait être res-demo.)

Dans le compte de GovCloud partition, créez un secret avec la valeur de la PrivateKeySecretArn sortie. Notez le nouvel ARN secret et ajoutez deux balises au secret pour vdc-gateway pouvoir accéder à la valeur du secret :

1. rouge : ModuleName = virtual-desktop-controller

2. res : EnvironmentName = [nom de l'environnement] (Cela pourrait être res-demo.)

Suivez les étapes indiquées dans Comment activer le protocole LDAPS côté serveur pour votre. AWS Managed Microsoft AD Vous pouvez ignorer cette étape si vous avez déjà activé LDAPS.

Après avoir confirmé que LDAPS est configuré sur l'AD, exportez le certificat AD :

1. Accédez à votre serveur Active Directory.

2. Ouvrez PowerShell en tant qu'administrateur.

3. Exécutez certmgr.msc pour ouvrir la liste des certificats.

4. Ouvrez la liste des certificats en ouvrant d'abord les Autorités de certification racine fiables, puis les certificats.

5. Sélectionnez et maintenez (ou cliquez avec le bouton droit) le certificat portant le même nom que votre serveur AD et choisissez Toutes les tâches, puis Exporter.

6. Sélectionnez X.509 codé en Base-64 (.CER) et choisissez Next.

7. Sélectionnez un répertoire, puis cliquez sur Suivant.

Créez un secret dans AWS Secrets Manager :

Lorsque vous créez votre secret dans Secrets Manager, choisissez Autre type de secrets sous Type de secret et collez votre certificat codé PEM dans le champ Texte en clair.

Notez l'ARN créé et saisissez-le en tant que DomainTLSCertificateSecretARN paramètre dansÉtape 1 : Lancez le produit.

Téléchargez les dépendances. Pour être déployée dans un VPC isolé, l'infrastructure RES nécessite la disponibilité de dépendances sans accès public à Internet.

Créez un rôle IAM avec un accès en lecture seule à Amazon S3 et une identité fiable en tant qu'Amazon. EC2

1. Ouvrez la console IAM à l'adresse https://console.aws.amazon.com/iam/.

2. Dans Rôles, sélectionnez Créer un rôle.

3. Sur la page Sélectionner une entité de confiance :

   • Sous Type d'entité de confiance, sélectionnez Service AWS.

   • Pour Cas d'utilisation sous Service ou cas d'utilisation, choisissez EC2et choisissez Suivant.

4. Dans Ajouter des autorisations, sélectionnez les politiques d'autorisation suivantes, puis cliquez sur Suivant :

   • Amazon S3 ReadOnlyAccess

   • Amazon SSMManaged InstanceCore

   • EC2InstanceProfileForImageBuilder

5. Ajoutez un nom et une description du rôle, puis choisissez Créer un rôle.

Créez le composant du générateur d' EC2 images :

1. Ouvrez la console EC2 Image Builder à l'adressehttps://console.aws.amazon.com/imagebuilder.

2. Sous Ressources enregistrées, sélectionnez Composants, puis Créer un composant.

3. Sur la page Créer un composant, entrez les informations suivantes :

   • Pour Type de composant, choisissez Construire.

   • Pour les détails du composant, choisissez :

     Paramètre	Entrée utilisateur
     Système d'exploitation d'images (OS)	Linux
     Versions de systèmes d'exploitation compatibles	Amazon Linux 2 RHEL8, ou RHEL9
     Nom du composant	Entrez un nom tel que : <research-and-engineering-studio-infrastructure>
     Version du composant	Nous vous recommandons de commencer par la version 1.0.0.
     Description	Entrée utilisateur facultative.

4. Sur la page Créer un composant, choisissez Définir le contenu du document.

   1. Avant de saisir le contenu du document de définition, vous aurez besoin d'un URI pour le fichier tar.gz. Chargez le fichier tar.gz fourni par RES dans un compartiment Amazon S3 et copiez l'URI du fichier depuis les propriétés du compartiment.

   2. Saisissez :

      Note

      AddEnvironmentVariablesest facultatif, et vous pouvez le supprimer si vous n'avez pas besoin de variables d'environnement personnalisées dans vos hôtes d'infrastructure.

      Si vous configurez http_proxy des variables d'https_proxyenvironnement, les no_proxy paramètres sont nécessaires pour empêcher l'instance d'utiliser un proxy pour interroger localhost, les adresses IP des métadonnées de l'instance et les services prenant en charge les points de terminaison VPC.

      #  Copyright Amazon.com, Inc. or its affiliates. All Rights Reserved.
      #
      #  Licensed under the Apache License, Version 2.0 (the "License"). You may not use this file except in compliance
      #  with the License. A copy of the License is located at
      #
      #      http://www.apache.org/licenses/LICENSE-2.0
      #
      #  or in the 'license' file accompanying this file. This file is distributed on an 'AS IS' BASIS, WITHOUT WARRANTIES
      #  OR CONDITIONS OF ANY KIND, express or implied. See the License for the specific language governing permissions
      #  and limitations under the License.
      name: research-and-engineering-studio-infrastructure
      description: An RES EC2 Image Builder component to install required RES software dependencies for infrastructure hosts.
      schemaVersion: 1.0
      
      parameters:
        - AWSAccountID:
            type: string
            description: RES Environment AWS Account ID
        - AWSRegion:
            type: string
            description: RES Environment AWS Region
      phases:
        - name: build
          steps:
             - name: DownloadRESInstallScripts
               action: S3Download
               onFailure: Abort
               maxAttempts: 3
               inputs:
                  - source: '<s3 tar.gz file uri>'
                    destination: '/root/bootstrap/res_dependencies/res_dependencies.tar.gz'
                    expectedBucketOwner: '{{ AWSAccountID }}'
             - name: RunInstallScript
               action: ExecuteBash
               onFailure: Abort
               maxAttempts: 3
               inputs:
                  commands:
                      - 'cd /root/bootstrap/res_dependencies'
                      - 'tar -xf res_dependencies.tar.gz'
                      - 'cd all_dependencies'
                      - '/bin/bash install.sh'
             - name: AddEnvironmentVariables
               action: ExecuteBash
               onFailure: Abort
               maxAttempts: 3
               inputs:
                  commands:
                      - |
                        echo -e "
                        http_proxy=http://<ip>:<port>
                        https_proxy=http://<ip>:<port>
                        no_proxy=127.0.0.1,169.254.169.254,169.254.170.2,localhost,{{ AWSRegion }}.res,{{ AWSRegion }}.vpce.amazonaws.com,{{ AWSRegion }}.elb.amazonaws.com,s3.{{ AWSRegion }}.amazonaws.com,s3.dualstack.{{ AWSRegion }}.amazonaws.com,ec2.{{ AWSRegion }}.amazonaws.com,ec2.{{ AWSRegion }}.api.aws,ec2messages.{{ AWSRegion }}.amazonaws.com,ssm.{{ AWSRegion }}.amazonaws.com,ssmmessages.{{ AWSRegion }}.amazonaws.com,kms.{{ AWSRegion }}.amazonaws.com,secretsmanager.{{ AWSRegion }}.amazonaws.com,sqs.{{ AWSRegion }}.amazonaws.com,elasticloadbalancing.{{ AWSRegion }}.amazonaws.com,sns.{{ AWSRegion }}.amazonaws.com,logs.{{ AWSRegion }}.amazonaws.com,logs.{{ AWSRegion }}.api.aws,elasticfilesystem.{{ AWSRegion }}.amazonaws.com,fsx.{{ AWSRegion }}.amazonaws.com,dynamodb.{{ AWSRegion }}.amazonaws.com,api.ecr.{{ AWSRegion }}.amazonaws.com,.dkr.ecr.{{ AWSRegion }}.amazonaws.com,kinesis.{{ AWSRegion }}.amazonaws.com,.data-kinesis.{{ AWSRegion }}.amazonaws.com,.control-kinesis.{{ AWSRegion }}.amazonaws.com,events.{{ AWSRegion }}.amazonaws.com,cloudformation.{{ AWSRegion }}.amazonaws.com,sts.{{ AWSRegion }}.amazonaws.com,application-autoscaling.{{ AWSRegion }}.amazonaws.com,monitoring.{{ AWSRegion }}.amazonaws.com,ecs.{{ AWSRegion }}.amazonaws.com,.execute-api.{{ AWSRegion }}.amazonaws.com
      >                   " > /etc/environment 

5. Choisissez Créer un composant.

Créez une recette d'image Image Builder.

1. Sur la page Créer une recette, entrez les informations suivantes :

   Section	Paramètre	Entrée utilisateur
   Détails de la recette	Nom	Entrez un nom approprié, tel que res-recipe-linux-x 86.
   	Version	Entrez une version, commençant généralement par 1.0.0.
   	Description	Ajoutez une description facultative.
   Image de base	Sélectionnez une image	Sélectionnez les images gérées.
   	SE	Amazon Linux ou Red Hat Enterprise Linux (RHEL)
   	Origine de l'image	Démarrage rapide (géré par Amazon)
   	Nom de l'image	Amazon Linux 2 x86, Red Hat Enterprise Linux 8 x86 ou Red Hat Enterprise Linux 9 x86
   	Options de gestion automatique des versions	Utilisez la dernière version du système d'exploitation disponible.
   Configuration de l'instance	–	Conservez tout dans les paramètres par défaut et assurez-vous que l'option Supprimer l'agent SSM après l'exécution du pipeline n'est pas sélectionnée.
   Répertoire de travail	Chemin du répertoire de travail	/root/bootstrap/res_dépendances
   Composants	Construire des composants	Recherchez et sélectionnez les éléments suivants : Géré par Amazon : -2-linux aws-cli-version Géré par Amazon : amazon-cloudwatch-agent-linux Vous êtes propriétaire : EC2 composant Amazon créé précédemment. Entrez votre Compte AWS identifiant et votre actuel Région AWS dans les champs.
   	Composants de test	Recherchez et sélectionnez : Géré par Amazon : simple-boot-test-linux

2. Choisissez Créer une recette.

Créez la configuration de l'infrastructure Image Builder.

1. Sous Ressources enregistrées, sélectionnez Configurations d'infrastructure.

2. Choisissez Créer une configuration d'infrastructure.

3. Sur la page Créer une configuration d'infrastructure, entrez ce qui suit :

   Section	Paramètre	Entrée utilisateur
   Général	Nom	Entrez un nom approprié, tel que res-infra-linux-x 86.
   	Description	Ajoutez une description facultative.
   	Rôle IAM	Sélectionnez le rôle IAM créé précédemment.
   AWS infrastructure	Type d’instance	Choisissez t3.medium.
   	VPC, sous-réseau et groupes de sécurité	Sélectionnez une option qui autorise l'accès à Internet et au compartiment Amazon S3. Si vous devez créer un groupe de sécurité, vous pouvez en créer un depuis la EC2 console Amazon avec les entrées suivantes : VPC : sélectionnez le même VPC que celui utilisé pour la configuration de l'infrastructure. Ce VPC doit avoir accès à Internet. Règle entrante : Type : SSH Source : Personnalisé Bloc CIDR : 0.0.0.0/0

4. Choisissez Créer une configuration d'infrastructure.

Créez un nouveau pipeline EC2 Image Builder :

1. Accédez à Pipelines d'images, puis choisissez Créer un pipeline d'images.

2. Sur la page Spécifier les détails du pipeline, entrez ce qui suit et choisissez Next :

   • Nom du pipeline et description facultative

   • Pour le calendrier de création, définissez un calendrier ou choisissez Manuel si vous souhaitez démarrer le processus de cuisson des AMI manuellement.

3. Sur la page Choisir une recette, choisissez Utiliser une recette existante et entrez le nom de la recette créée précédemment. Choisissez Suivant.

4. Sur la page Définir le traitement d'image, sélectionnez les flux de travail par défaut, puis cliquez sur Suivant.

5. Sur la page Définir la configuration de l'infrastructure, choisissez Utiliser la configuration d'infrastructure existante et entrez le nom de la configuration d'infrastructure créée précédemment. Choisissez Suivant.

6. Sur la page Définir les paramètres de distribution, tenez compte des points suivants pour vos sélections :

   • L'image de sortie doit résider dans la même région que l'environnement RES déployé, afin que RES puisse lancer correctement les instances hôtes de l'infrastructure à partir de celui-ci. À l'aide des valeurs par défaut du service, l'image de sortie sera créée dans la région où le service EC2 Image Builder est utilisé.

   • Si vous souhaitez déployer RES dans plusieurs régions, vous pouvez choisir Créer de nouveaux paramètres de distribution et y ajouter d'autres régions.

7. Passez en revue vos sélections et choisissez Créer un pipeline.

Exécutez le pipeline EC2 Image Builder :

1. Dans Pipelines d'images, recherchez et sélectionnez le pipeline que vous avez créé.

2. Choisissez Actions, puis sélectionnez Exécuter le pipeline.

   Le pipeline peut prendre entre 45 minutes et une heure pour créer une image AMI.

Notez l'ID d'AMI de l'AMI générée et utilisez-le comme entrée pour le paramètre InfrastructureHost AMI dansÉtape 1 : Lancez le produit.

Si aucun point de terminaison n'a été configuré auparavant, suivez les instructions fournies dans Accès et Service AWS utilisation d'un point de terminaison VPC d'interface.

Sélectionnez un sous-réseau privé dans chacune des deux zones de disponibilité.

Lancez une instance Linux dans le sous-réseau public du VPC que vous utiliserez pour votre déploiement RES.

Connectez-vous à l'instance pour configurer un serveur proxy.

1. Ouvrez la connexion HTTP.

2. Autorisez la connexion aux domaines suivants à partir de tous les sous-réseaux concernés :

   • .amazonaws.com (pour les services génériques) AWS

   • .amazoncognito.com (pour Amazon Cognito)

   • .awsapps.com (pour Identity Center)

   • .signin.aws (pour Identity Center)

   • . amazonaws-us-gov.com (pour Gov Cloud)

3. Refusez toutes les autres connexions.

4. Activez et démarrez le serveur proxy.

5. Notez le PORT sur lequel le serveur proxy écoute.

Configurez votre table de routage pour autoriser l'accès au serveur proxy.

1. Accédez à votre console VPC et identifiez les tables de routage pour les sous-réseaux que vous utiliserez pour les hôtes d'infrastructure et les hôtes VDI.

2. Modifiez la table de routage pour autoriser toutes les connexions entrantes à accéder à l'instance de serveur proxy créée lors des étapes précédentes.

3. Procédez ainsi pour les tables de routage de tous les sous-réseaux (sans accès Internet) que vous allez utiliser pour VDIs Infrastructure/.

Modifiez le groupe de sécurité de l' EC2 instance du serveur proxy et assurez-vous qu'il autorise les connexions TCP entrantes sur le PORT sur lequel le serveur proxy écoute.