Unire senza problemi un'istanza Amazon EC2 Linux al tuo AWS Managed Microsoft AD Active Directory

Per creare segreti e archiviare le informazioni sull'account del servizio di dominio

1. Accedi a AWS Management Console e apri la AWS Secrets Manager console all'indirizzo https://console.aws.amazon.com/secretsmanager/.

2. Scegli Archivia un nuovo segreto.

3. Nella pagina Archivia un nuovo segreto, procedere nel seguente modo:

   1. In Tipo segreto, scegli Altro tipo di segreti.

   2. In Coppie chiave/valore, procedi come segue:

      1. Nella prima casella, inserisci awsSeamlessDomainUsername. Nella stessa riga, nella casella successiva, inserisci il nome utente per il tuo account di servizio. Ad esempio, se hai utilizzato il PowerShell comando in precedenza, il nome dell'account del servizio sarebbeawsSeamlessDomain.

         Nota

         Devi inserire awsSeamlessDomainUsername esattamente come è. Assicurati che non vi siano spazi iniziali o finali. In caso contrario, l'aggiunta del dominio avrà esito negativo.

         

      2. Scegli Aggiungi riga.

      3. Nella nuova riga, nella prima casella, inserisci awsSeamlessDomainPassword. Nella stessa riga, nella casella successiva, inserisci la password per il tuo account del servizio.

         Nota

         Devi inserire awsSeamlessDomainPassword esattamente come è. Assicurati che non vi siano spazi iniziali o finali. In caso contrario, l'aggiunta del dominio avrà esito negativo.

      4. In Chiave di crittografia, lascia il valore predefinitoaws/secretsmanager. AWS Secrets Manager crittografa sempre il segreto quando scegli questa opzione. Puoi anche scegliere una chiave creata da te.

      5. Scegli Next (Successivo).

4. In Nome segreto, inserisci un nome segreto che includa l'ID della tua directory utilizzando il seguente formato, sostituendolo d-xxxxxxxxx con il tuo ID di directory:

   aws/directory-services/d-xxxxxxxxx/seamless-domain-join

   Questo nome viene utilizzato per recuperare i segreti nell'applicazione.

   Nota

   Devi inserirlo aws/directory-services/d-xxxxxxxxx/seamless-domain-join esattamente così com'è, ma sostituirlo d-xxxxxxxxxx con l'ID della tua directory. Assicurati che non vi siano spazi iniziali o finali. In caso contrario, l'aggiunta del dominio avrà esito negativo.

   

5. Lascia tutto il resto impostato sui valori predefiniti, quindi scegli Avanti.

6. In Configura rotazione automatica, lascia selezionata Disabilita rotazione automatica e scegli Successivo.

   Puoi attivare la rotazione di questo segreto dopo averlo archiviato.

7. Controlla le impostazioni, quindi scegli Archivia per salvare le modifiche. La console Secrets Manager restituisce l'elenco dei segreti nel tuo account con il nuovo segreto ora incluso nell'elenco.

8. Scegli il nome segreto appena creato dall'elenco e prendi nota del valore ARN segreto. Lo utilizzerai nella sezione successiva.

Per attivare la rotazione per il segreto dell'account del servizio di dominio

• Segui le istruzioni riportate in Configurare la rotazione automatica per AWS Secrets Manager i segreti nella Guida per l'AWS Secrets Manager utente.

  Per il passaggio 5, utilizzare il modello di rotazione Microsoft Active Directory credenziali nella Guida per l'AWS Secrets Manager utente.

  Per assistenza, consulta Risoluzione dei problemi di AWS Secrets Manager rotazione nella Guida per l'AWS Secrets Manager utente.

Per creare la policy di lettura IAM di Secrets Manager

1. Accedi AWS Management Console come utente autorizzato a creare policy IAM. Quindi apri la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

2. Nel riquadro di navigazione, Gestione degli accessi, scegli Politiche.

3. Scegli Create Policy (Crea policy).

4. Seleziona la scheda JSON e copia il testo dal documento della seguente policy JSON. Quindi incollalo nella casella di testo JSON.

   Nota

   Assicurati di sostituire l'ARN della regione e della risorsa con la regione e l'ARN effettivi del segreto che hai creato in precedenza.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "secretsmanager:GetSecretValue",
                   "secretsmanager:DescribeSecret"
               ],
               "Resource": [
                   "arn:aws:secretsmanager:us-east-1:xxxxxxxxx:secret:aws/directory-services/d-xxxxxxxxx/seamless-domain-join"
               ]
           }
       ]
   }

5. Quando hai terminato, seleziona Successivo. In Validatore di policy vengono segnalati eventuali errori di sintassi. Per ulteriori informazioni, consulta Convalida delle policy IAM.

6. Nella pagina Verifica policy, inserisci un nome per la policy, ad esempio SM-Secret-Linux-DJ-d-xxxxxxxxxx-Read. Consulta la sezione Riepilogo per visualizzare le autorizzazioni concesse dalla policy. Seleziona Crea policy per salvare le modifiche. La nuova policy appare nell'elenco delle policy gestite ed è pronta a collegarsi a un'identità.

Per creare il EC2 DomainJoin ruolo Linux

1. Accedi AWS Management Console come utente autorizzato a creare policy IAM. Quindi apri la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

2. Nel riquadro di navigazione, in Gestione degli accessi, scegli Ruoli.

3. Nel riquadro del contenuto seleziona Crea ruolo.

4. In Select type of trusted entity (Seleziona tipo di entità attendibile), scegli AWS service (Servizio).

5. In Caso d'uso, scegli EC2, quindi scegli Avanti.

   

6. In Filtra policy‬, procedi come segue:

   1. Specificare AmazonSSMManagedInstanceCore. Dopodiché, seleziona la casella di controllo per tale elemento nell'elenco.

   2. Specificare AmazonSSMDirectoryServiceAccess. Dopodiché, seleziona la casella di controllo per tale elemento nell'elenco.

   3. Inserisci SM-Secret-Linux-DJ-d-xxxxxxxxxx-Read (o il nome della policy creata nella procedura precedente). Dopodiché, seleziona la casella di controllo per tale elemento nell'elenco.

   4. Dopo aver aggiunto le tre politiche sopra elencate, seleziona Crea ruolo.

   Nota

   Amazon SSMDirectory ServiceAccess fornisce le autorizzazioni per unire le istanze a un Active Directory gestito da. AWS Directory Service Amazon SSMManaged InstanceCore fornisce le autorizzazioni minime necessarie per utilizzare il AWS Systems Manager servizio. Per ulteriori informazioni sulla creazione di un ruolo con queste autorizzazioni e per informazioni su altre autorizzazioni e policy che puoi assegnare al tuo ruolo IAM, consulta Creazione di un profilo dell'istanza IAM per Systems Manager nella Guida per l'utente di AWS Systems Manager .

7. Inserisci un nome per il tuo nuovo ruolo, ad esempio LinuxEC2DomainJoin o un altro nome che preferisci nel campo Nome del ruolo.

8. (Facoltativo) Per Role Description (Descrizione ruolo), immetti una descrizione.

9. (Facoltativo) Scegli Aggiungi nuovo tag nel Passaggio 3: Aggiungi tag per aggiungere tag. Le coppie chiave-valore dei tag vengono utilizzate per organizzare, tracciare o controllare l'accesso per questo ruolo.

10. Scegliere Crea ruolo.

Per unirti senza problemi alla tua istanza Linux

1. Accedi a AWS Management Console e apri la EC2 console Amazon all'indirizzo https://console.aws.amazon.com/ec2/.

2. Dal selettore della regione nella barra di navigazione, scegli la Regione AWS stessa cartella esistente.

3. Nella EC2 Dashboard, nella sezione Launch instance, scegli Launch instance.

4. Nella pagina Avvia un'istanza, nella sezione Nome e tag, inserisci il nome che desideri utilizzare per la tua EC2 istanza Linux.

5. (Facoltativo) Scegli Aggiungi tag aggiuntivi per aggiungere una o più coppie chiave-valore di tag per organizzare, tracciare o controllare l'accesso per questa EC2 istanza.

6. Nella sezione Applicazione e immagine del sistema operativo (Amazon Machine Image), scegli un'AMI Linux che desideri avviare.

   Nota

   L'AMI utilizzato deve avere AWS Systems Manager (SSM Agent) la versione 2.3.1644.0 o successiva. Per verificare la versione dell'Agente SSM installata nell'AMI avviando un'istanza da quest'ultima, consulta Ottenere la versione dell'Agente SSM attualmente installata. Se è necessario aggiornare l'agente SSM, vedere Installazione e configurazione dell'agente SSM su istanze per Linux. EC2

   SSM utilizza il aws:domainJoin plug-in quando unisce un'istanza Linux a un Active Directory dominio. Il plugin cambia il nome host per le istanze Linux nel formato EC2 AMAZ-. XXXXXXX Per ulteriori informazioni in meritoaws:domainJoin, consultate AWS Systems Manager Command Document Plugin reference nella Guida per l'AWS Systems Manager utente.

7. Nella sezione Tipo di istanza, scegli il tipo di istanza che desideri utilizzare dall'elenco a discesa Tipo di istanza.

8. Nella sezione Coppia di chiavi (accesso), puoi scegliere se creare una nuova coppia di chiavi o selezionare una coppia di chiavi esistente. Per creare una nuova coppia di chiavi, scegli Crea nuova coppia di chiavi. Inserisci un nome per la coppia di chiavi e seleziona un'opzione per il Tipo di coppia di chiavi e il Formato del file della chiave privata. Per salvare la chiave privata in un formato che può essere utilizzato con OpenSSH, scegli .pem. Per salvare la chiave privata in un formato che può essere utilizzato con PuTTY, scegli .ppk. Scegli crea coppia di chiavi. Il file della chiave privata viene automaticamente scaricato dal browser. Salvare il file della chiave privata in un luogo sicuro.

   Importante

   Questo è l'unico momento in cui salvare il file della chiave privata.

9. Nella pagina Avvia un'istanza, nella sezione Impostazioni di rete, scegli Modifica. Scegli il VPC in cui è stata creata la tua directory dall'elenco a discesa VPC - obbligatorio.

10. Scegli una delle sottoreti pubbliche nel tuo VPC dall'elenco a discesa Sottorete. La sottorete scelta deve avere tutto il traffico esterno instradato a un gateway Internet. In caso contrario, non potrai connetterti in remoto all'istanza.

    Per ulteriori informazioni su come connettersi a un gateway Internet, consulta Eseguire la connessione a Internet utilizzando un gateway Internet nella Guida per l'utente di Amazon VPC.

11. In Assegna automaticamente IP pubblico, scegli Abilita.

    Per ulteriori informazioni sull'indirizzamento IP pubblico e privato, consulta l'indirizzo IP delle EC2 istanze Amazon nella Amazon EC2 User Guide.

12. Nelle impostazioni Firewall (gruppi di sicurezza), puoi utilizzare le impostazioni predefinite o apportare modifiche per soddisfare le tue esigenze.

13. Nelle impostazioni Configurazione dell'archiviazione, puoi utilizzare le impostazioni predefinite o apportare modifiche per soddisfare le tue esigenze.

14. Seleziona la sezione Dettagli avanzati, scegli il tuo dominio dall'elenco a discesa Directory di aggiunta al dominio.

    Nota

    Dopo aver scelto la directory di accesso al dominio, potresti vedere:

    

    Questo errore si verifica se la procedura guidata di EC2 avvio identifica un documento SSM esistente con proprietà impreviste. Puoi effettuare una delle seguenti operazioni:

    • Se in precedenza hai modificato il documento SSM e le proprietà sono previste, scegli chiudi e procedi all'avvio dell' EC2 istanza senza modifiche.

    • Seleziona qui il link Elimina il documento SSM esistente per eliminare il documento SSM. Ciò consentirà la creazione di un documento SSM con le proprietà corrette. Il documento SSM verrà creato automaticamente all'avvio dell' EC2 istanza.

15. Per il profilo dell'istanza IAM, scegli il ruolo IAM creato in precedenza nella sezione dei prerequisiti Step 2: Creazione del ruolo Linux EC2 DomainJoin .

16. Scegliere Launch Instance (Avvia istanza).