Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Siapkan Konektor untuk AD

Langkah-langkah di bagian ini adalah prasyarat untuk menggunakan Konektor untuk AD. Ini mengasumsikan bahwa Anda telah membuat AWS akun. Setelah Anda menyelesaikan langkah-langkah di halaman ini, Anda dapat memulai dengan membuat konektor untuk AD.

Langkah 1: Buat CA pribadi menggunakan AWS Private CA

Siapkan otoritas sertifikat pribadi (CA) untuk menerbitkan sertifikat ke objek direktori Anda. Untuk informasi selengkapnya, lihat Otoritas sertifikat di AWS Private CA.

CA pribadi harus berada dalam Active status untuk membuat Konektor untuk AD. Nama subjek CA pribadi harus menyertakan nama umum. Pembuatan konektor akan gagal jika Anda mencoba membuat konektor menggunakan CA pribadi tanpa nama umum.

Langkah 2: Siapkan Direktori Aktif

Selain CA pribadi, Anda memerlukan direktori aktif di cloud pribadi virtual (VPC). Konektor untuk AD mendukung jenis direktori berikut yang ditawarkan oleh Directory Service:

(Hanya Konektor Direktori Aktif) Langkah 3: Mendelegasikan izin ke akun layanan

Saat menggunakan Konektor AD Layanan Direktori, Anda perlu mendelegasikan izin tambahan ke akun layanan. Setel daftar kontrol akses (ACL) pada akun layanan untuk memungkinkan kemampuan:

PowerShell Skrip yang tersedia di repositori Connector untuk Active Directory resmi dapat digunakan untuk mendelegasikan izin tambahan yang diperlukan untuk akun layanan Konektor AD Layanan Direktori.

Skrip ini membuat objek otoritas NTAuthCertificates sertifikasi.

Untuk versi terbaru skrip dan detail penggunaan, lihat README di GitHub repositori.

Langkah 4: Buat Kebijakan IAM

Untuk membuat konektor untuk AD, Anda memerlukan kebijakan IAM yang memungkinkan Anda membuat sumber daya konektor, berbagi CA pribadi Anda dengan layanan Connector for AD, dan mengotorisasi Connector for AD layanan dengan direktori Anda.

Ini adalah contoh kebijakan yang dikelola pengguna:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "pca-connector-ad:*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "acm-pca:DescribeCertificateAuthority",
                "acm-pca:GetCertificate",
                "acm-pca:GetCertificateAuthorityCertificate",
                "acm-pca:ListCertificateAuthorities",
                "acm-pca:ListTags",
                "acm-pca:PutPolicy"                
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "acm-pca:IssueCertificate",
            "Resource": "*",
            "Condition": {
                "ArnLike": {
                    "acm-pca:TemplateArn": "arn:aws:acm-pca:::template/BlankEndEntityCertificate_APIPassthrough/V*"
                },
                "ForAnyValue:StringEquals": {
                    "aws:CalledVia": "pca-connector-ad.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [ 
                "ds:AuthorizeApplication",
                "ds:DescribeDirectories",
                "ds:ListTagsForResource",
                "ds:UnauthorizeApplication",
                "ds:UpdateAuthorizedApplication"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateVpcEndpoint",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeSubnets",
                "ec2:DescribeVpcEndpoints",
                "ec2:DescribeVpcs",
                "ec2:DeleteVpcEndpoints"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeTags",
                "ec2:DeleteTags",
                "ec2:CreateTags"
            ],
            "Resource": "arn:*:ec2:*:*:vpc-endpoint/*"
        }
    ]
}

Konektor untuk AD memerlukan AWS RAM izin tambahan, untuk penggunaan konsol dan baris perintah.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ram:CreateResourceShare",
            "Resource": "*",
            "Condition": {
                "StringEqualsIfExists": {
                    "ram:Principal": "pca-connector-ad.amazonaws.com",
                    "ram:RequestedResourceType": "acm-pca:CertificateAuthority"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ram:GetResourcePolicies",
                "ram:GetResourceShareAssociations",
                "ram:GetResourceShares",
                "ram:ListPrincipals",
                "ram:ListResources",
                "ram:ListResourceSharePermissions",
                "ram:ListResourceTypes"
            ],
            "Resource": "*"
        }
    ]
}

Langkah 5: Bagikan CA pribadi Anda dengan Connector for AD

Anda harus membagikan CA pribadi Anda dengan layanan konektor dengan menggunakan AWS Resource Access Manager layanan berbagi prinsip.

Saat Anda membuat konektor di AWS konsol, berbagi sumber daya secara otomatis dibuat untuk Anda.

Saat Anda membuat berbagi sumber daya menggunakan AWS CLI, Anda akan menggunakan AWS RAM create-resource-share perintah.

Perintah berikut membuat berbagi sumber daya:

$  aws ram create-resource-share \
    --region us-east-1 \
    --name MyPcaConnectorAdResourceShare \
    --permission-arns arn:aws:ram::aws:permission/AWSRAMBlankEndEntityCertificateAPIPassthroughIssuanceCertificateAuthority \
    --resource-arns arn:aws:acm-pca:region:account:certificate-authority/CA_ID \
    --principals pca-connector-ad.amazonaws.com \
    --sources account

Prinsipal layanan yang memanggil CreateConnector memiliki izin penerbitan sertifikat pada PCA. Untuk mencegah prinsipal layanan yang menggunakan Connector for AD memiliki akses umum ke AWS Private CA sumber daya Anda, batasi penggunaan CalledVia izin mereka.

Langkah 6: Buat pendaftaran direktori

Anda mengotorisasi Connector for AD layanan dengan direktori Anda sehingga konektor dapat berkomunikasi dengan direktori Anda. Untuk mengotorisasi Connector for AD layanan, Anda membuat pendaftaran direktori. Untuk informasi selengkapnya tentang membuat pendaftaran direktori, lihat Kelola pendaftaran direktori

Langkah 7: Konfigurasikan grup keamanan

Komunikasi antara VPC Anda dan konektor Connector for AD sudah melalui AWS PrivateLink, yang memerlukan grup keamanan dengan aturan masuk yang membuka port 443 TCP pada VPC Anda. Anda akan diminta menyediakan grup keamanan ini ketika membuat konektor. Anda dapat menentukan sumber sebagai sumber kustom dan memilih blok CIDR VPC Anda. Anda dapat memilih untuk membatasi ini lebih lanjut (yaitu IP, CIDR, dan ID grup keamanan).

Langkah 8: Konfigurasikan akses jaringan untuk objek direktori

Objek direktori memerlukan akses internet publik untuk memvalidasi Protokol Status Sertifikat Online (OCSP) dan daftar pencabutan sertifikat (CRL) dari domain berikut:

*.windowsupdate.com
*.amazontrust.com 

Aturan akses minimum yang diperlukan:

Jika perangkat tidak memiliki akses internet publik, penerbitan sertifikat akan gagal sebentar-sebentar dengan kode kesalahan WS_E_OPERATION_TIMED_OUT.