Unire senza problemi un'istanza Amazon EC2 Linux a un AWS Managed Microsoft AD condiviso

Apri la IAM console all'indirizzo https://console.aws.amazon.com/iam/.

Nel riquadro di navigazione a sinistra, in Gestione degli accessi, scegli Ruoli.

Nella pagina Ruoli, seleziona Crea ruolo.

In Select type of trusted entity (Seleziona tipo di entità attendibile), scegli AWS service (Servizio).

In Caso d'uso, scegli EC2, quindi scegli Avanti

In Filtra policy‬, procedi come segue:

1. Specificare AmazonSSMManagedInstanceCore. Quindi seleziona la casella di controllo relativa all'elemento nell'elenco.

2. Specificare AmazonSSMDirectoryServiceAccess. Quindi seleziona la casella di controllo relativa a quell'elemento nell'elenco.

3. Dopo aver aggiunto queste politiche, seleziona Crea ruolo.

   Nota

   AmazonSSMDirectoryServiceAccessfornisce le autorizzazioni per unire le istanze a un Active Directory gestito da. AWS Directory ServiceAmazonSSMManagedInstanceCorefornisce le autorizzazioni minime necessarie per l'uso AWS Systems Manager. Per ulteriori informazioni sulla creazione di un ruolo con queste autorizzazioni e per informazioni su altre autorizzazioni e policy che è possibile assegnare al proprio IAM ruolo, vedere Configurare le autorizzazioni di istanza richieste per Systems Manager nella Guida per l'utente.AWS Systems Manager

Inserisci un nome per il tuo nuovo ruolo, ad esempio LinuxEC2DomainJoin o un altro nome che preferisci nel campo Nome del ruolo.

(Facoltativo) Per la descrizione del ruolo, inserisci una descrizione.

(Facoltativo) Scegli Aggiungi nuovo tag nel Passaggio 3: Aggiungi tag per aggiungere tag. Le coppie chiave-valore dei tag vengono utilizzate per organizzare, tracciare o controllare l'accesso per questo ruolo.

Scegliere Crea ruolo.

Apri la console Secrets Manager all'indirizzo https://console.aws.amazon.com/secretsmanager/.

Dall'elenco dei segreti, scegli il tuo segreto che hai creato durante ilPrerequisiti.

Nella pagina dei dettagli del segreto, nella scheda Panoramica, scorri verso il basso fino a Autorizzazioni per le risorse.

Seleziona Modifica autorizzazioni.

1. Nel campo della politica, inserisci la seguente politica. La seguente politica consente a Linux EC2DomainJoin in Account 2 di accedere al secret inAccount 1. Sostituisci il ARN ARN valore con quello relativo al Account 2 LinuxEC2DomainJoin ruolo che hai creato nella Fase 1. Per utilizzare questa politica, vedi Allegare una politica di autorizzazioni a un AWS Secrets Manager segreto.

   {
   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::Account2:role/LinuxEC2DomainJoin"
         },
         "Action": "secretsmanager:GetSecretValue",
         "Resource": "*"
       }
     ]
   }
   

Apri la console Secrets Manager all'indirizzo https://console.aws.amazon.com/secretsmanager/.

Nel riquadro di navigazione a sinistra, seleziona Customer managed keys.

Nella pagina Chiavi gestite dal cliente, seleziona la chiave che hai creato.

Nella pagina Dettagli chiave, vai a Politica chiave e seleziona Modifica.

La seguente dichiarazione sulla politica chiave consente di ApplicationRole Account 2 utilizzare la KMS chiave in Account 1 per decrittografare il secret in. Account 1 Per utilizzare questa dichiarazione, aggiungila alla policy chiave della tua KMS chiave. Per ulteriori informazioni, vedere Modifica di una policy delle chiavi.

{
{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::Account2:role/ApplicationRole"
  },
  "Action": [
    "kms:Decrypt",
    "kms:DescribeKey"
  ],
  "Resource": "*"
}

Apri la IAM console all'indirizzo https://console.aws.amazon.com/iam/.

Nel riquadro di navigazione a sinistra, in Gestione degli accessi, seleziona Politiche.

Seleziona Create Policy (Crea policy). Scegli JSONnell'editor delle politiche.

La seguente politica consente di accedere ApplicationRole Account 2 all'ingresso segreto Account 1 e di decrittografare il valore segreto utilizzando la chiave di crittografia anch'essa presente. Account 1 Puoi trovare il codice ARN per il tuo segreto nella console Secrets Manager nella pagina Dettagli segreti sotto Segreto ARN. In alternativa, puoi chiamare describe-secret per identificare i segreti. ARN Sostituisci la risorsa ARN con la risorsa ARN per il segreto e. ARN Account 1 Per utilizzare questa politica, consulta Allegare una politica di autorizzazioni a un AWS Secrets Manager segreto.

{
{
  "Version" : "2012-10-17",
  "Statement" : [
    {
      "Effect": "Allow",
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "SecretARN"
    },
    {
      "Effect": "Allow",
      "Action": [
"kms:Decrypt",
"kms:Describekey"     
],
      "Resource": "arn:aws:kms:Region:Account1:key/Your_Encryption_Key"
    }
  ]
}

Seleziona Avanti, quindi seleziona Salva modifiche.

Trova e seleziona il ruolo Account 2 in cui hai creatoAttach a resource policy to the secret in Account 1.

In Aggiungi autorizzazioni, seleziona Allega politiche.

Nella barra di ricerca, trova la politica in cui hai creato Add a statement to the key policy for the KMS key in Account 1 e seleziona la casella per aggiungere la politica al ruolo. Quindi seleziona Aggiungi autorizzazioni.

Accedi a AWS Management Console e apri la EC2 console Amazon all'indirizzo https://console.aws.amazon.com/ec2/.

Dal selettore della regione nella barra di navigazione, scegli la Regione AWS stessa cartella esistente.

Nella EC2Dashboard, nella sezione Launch instance, scegli Launch instance.

Nella pagina Avvia un'istanza, nella sezione Nome e tag, inserisci il nome che desideri utilizzare per la tua EC2 istanza Linux.

(Facoltativo) Scegli Aggiungi tag aggiuntivi per aggiungere una o più coppie chiave-valore di tag per organizzare, tracciare o controllare l'accesso per questa EC2 istanza.

Nella sezione Applicazione e immagine del sistema operativo (Amazon Machine Image), scegli un Linux AMI che desideri avviare.

Nella sezione Tipo di istanza, scegli il tipo di istanza che desideri utilizzare dall'elenco a discesa Tipo di istanza.

Nella sezione Coppia di chiavi (accesso), puoi scegliere se creare una nuova coppia di chiavi o selezionare una coppia di chiavi esistente. Per creare una nuova coppia di chiavi, scegli Crea nuova coppia di chiavi. Inserisci un nome per la coppia di chiavi e seleziona un'opzione per il Tipo di coppia di chiavi e il Formato del file della chiave privata. Per salvare la chiave privata in un formato utilizzabile con OpenSSH, scegliete .pem. Per salvare la chiave privata in un formato utilizzabile con PuTTY, scegliete .ppk. Scegli crea coppia di chiavi. Il file della chiave privata viene automaticamente scaricato dal browser. Salvare il file della chiave privata in un luogo sicuro.

Nella pagina Avvia un'istanza, nella sezione Impostazioni di rete, scegli Modifica. Scegli VPCquello in cui è stata creata la tua directory dall'VPCelenco a discesa richiesto.

Scegli una delle sottoreti pubbliche VPC dal menu a discesa Subnet. La sottorete scelta deve avere tutto il traffico esterno instradato a un gateway Internet. In caso contrario, non potrai connetterti in remoto all'istanza.

Per ulteriori informazioni su come connettersi a un gateway Internet, consulta Connettersi a Internet utilizzando un gateway Internet nella Amazon VPC User Guide.

In Assegna automaticamente IP pubblico, scegli Abilita.

Per ulteriori informazioni sull'indirizzamento IP pubblico e privato, consulta l'indirizzo IP delle EC2 istanze Amazon nella Amazon EC2 User Guide.

Nelle impostazioni Firewall (gruppi di sicurezza), puoi utilizzare le impostazioni predefinite o apportare modifiche per soddisfare le tue esigenze.

Nelle impostazioni Configurazione dell'archiviazione, puoi utilizzare le impostazioni predefinite o apportare modifiche per soddisfare le tue esigenze.

Seleziona la sezione Dettagli avanzati, scegli il tuo dominio dall'elenco a discesa Directory di aggiunta al dominio.

Nota

Dopo aver scelto la directory di accesso al dominio, potresti vedere:

Questo errore si verifica se la procedura guidata di EC2 avvio identifica un SSM documento esistente con proprietà impreviste. Puoi effettuare una delle seguenti operazioni:

• Se avete già modificato il SSM documento e le proprietà sono previste, scegliete chiudi e procedete all'avvio dell'EC2istanza senza modifiche.

• Selezionate il link Elimina qui il SSM documento esistente per eliminare il SSM documento. Ciò consentirà la creazione di un SSM documento con le proprietà corrette. Il SSM documento verrà creato automaticamente all'avvio dell'EC2istanza.

Ad IAMesempio, profilo, scegli il IAM ruolo che hai creato in precedenza nella sezione dei prerequisiti Passaggio 2: creazione del EC2DomainJoin ruolo Linux.

Scegliere Launch Instance (Avvia istanza).