Unire le istanze a un dominio Active Directory

Con AWS Elastic Beanstalk, le istanze di Windows Server presenti nell'ambiente possono entrare automaticamente a far parte di un dominio Active Directory. La directory viene gestita con AWS Directory Service e si attiva l'unione con le opzioni di configurazione nel aws:elasticbeanstalk:windows:activedirectory namespace. Ogni istanza si unisce quindi al dominio all'avvio, prima che Elastic Beanstalk vi distribuisca l'applicazione. Non puoi scrivere alcuna logica di join personalizzata né gestirla tu stesso.

Puoi unire le istanze a una directory Microsoft AD AWS gestita o a una directory Simple AD oppure alla tua Active Directory autogestita tramite AD Connector.

Come funziona l'aggiunta al dominio

Quando viene avviata un'istanza in un ambiente con opzioni di Active Directory, esegue le seguenti operazioni prima che Elastic Beanstalk distribuisca l'applicazione:

Senza le opzioni di Active Directory, Elastic Beanstalk ricava il nome host di ogni istanza Windows dal relativo indirizzo IPv4 privato (ad esempio,). IP-0A010203 Gli indirizzi IP possono essere riutilizzati, quindi questi nomi possono entrare in collisione con oggetti informatici obsoleti in una directory. Ciò può verificarsi nelle topologie di disaster recovery che riutilizzano gli intervalli IP tra le regioni o in ambienti di lunga durata. Quando le opzioni di Active Directory sono impostate, il nome host deriva invece dall'ID dell'istanza. Poiché ogni ID di istanza è univoco a livello globale, la possibilità di una collisione del nome con un oggetto informatico obsoleto è trascurabile. L'ID-derived istanza-hostname si applica solo agli ambienti con opzioni di Active Directory.

Prerequisiti

Prima di configurare l'aggiunta al dominio Active Directory, verifica che siano soddisfatti i seguenti prerequisiti:

Configurazione del join al dominio Active Directory

Per attivare l'aggiunta al dominio Active Directory, imposta le seguenti opzioni di configurazione nel aws:elasticbeanstalk:windows:activedirectory namespace. È possibile impostarle in un file di configurazione, con o con qualsiasi altro metodo per impostare le opzioni di configurazione. AWS CLI Per informazioni dettagliate su ciascuna opzione, vedereaws:elasticbeanstalk:windows:activedirectory.

L' AWS CLI esempio seguente configura l'aggiunta al dominio Active Directory in un ambiente in esecuzione. L'esempio utilizza la sintassi JSON per il --option-settings parametro, poiché DirectoryOU i valori contengono virgole, che la sintassi abbreviata interpreta come separatori.

aws elasticbeanstalk update-environment \
    --environment-name my-env \
    --option-settings '[
      {"Namespace": "aws:elasticbeanstalk:windows:activedirectory", "OptionName": "DirectoryId", "Value": "d-1234567890"},
      {"Namespace": "aws:elasticbeanstalk:windows:activedirectory", "OptionName": "DirectoryName", "Value": "corp.example.com"},
      {"Namespace": "aws:elasticbeanstalk:windows:activedirectory", "OptionName": "DirectoryOU", "Value": "OU=WebServers,DC=corp,DC=example,DC=com"}
    ]'

Se modifichi la configurazione dell'ambiente in modo che punti a una directory diversa, le istanze sostitutive si uniscono alla nuova directory. Se rimuovi le opzioni, le istanze sostitutive vengono avviate senza entrare a far parte di un dominio e utilizzano i nomi host standard IP-address-derived . In entrambi i casi, gli oggetti informatici creati dalle istanze precedenti rimangono nella directory. Per ulteriori informazioni, consulta Gestione degli oggetti del computer nella directory.

Conferma dell'adesione al dominio

Per confermare che un'istanza è entrata a far parte del dominio, effettuate una delle seguenti operazioni:

Quando l'ambiente si espande, Auto Scaling aggiunge istanze che si aggiungono anche al dominio. Per esaminare il log di distribuzione di una di queste istanze, recuperalo da Amazon S3. Per ulteriori informazioni, consulta Dove sono archiviati i log di distribuzione.

Iscrizioni al dominio non riuscite

Un join al dominio fallito non blocca la distribuzione. Se un'istanza non può accedere al dominio per qualsiasi motivo, torna all' IP-address-derived hostname standard (IP-XXXXXXXX), la distribuzione continua e l'ambiente può ancora raggiungere lo stato Pronto e risultare integro.

Per rendere visibile l'errore, Elastic Beanstalk confronta l'effettiva appartenenza al dominio dell'istanza con la directory configurata ed emette un ERROR evento quando non corrispondono:

Active Directory domain join did not complete: instance is not joined to 'corp.example.com' (PartOfDomain=False, Domain=WORKGROUP). See the deployment log for the join output.

L'istanza scrive l'output del processo di join in. C:\cfn\log\eb-ad-join.log Quando un join fallisce, Elastic Beanstalk copia anche questo log nel log di distribuzione dell'istanza, in modo da poter recuperare la causa senza connetterti all'istanza. Per ulteriori informazioni, consulta Visualizzazione dei log di distribuzione per un ambiente Elastic Beanstalk.

Risoluzione dei problemi

Se le tue istanze non si uniscono al dominio, controlla quanto segue:

Gestione degli oggetti del computer nella directory

Elastic Beanstalk non elimina l'oggetto informatico di un'istanza dalla directory quando l'istanza o l'ambiente vengono terminati. Ogni istanza unita lascia indietro il relativo oggetto EC2-XXXXXXXX informatico e l'attività di ridimensionamento crea un oggetto per ogni nuova istanza. Sei responsabile della rimozione periodica degli oggetti informatici obsoleti dalla tua directory, utilizzando i consueti strumenti di gestione delle directory della tua organizzazione.

Poiché il nome host di ogni nuova istanza deriva dal proprio ID di istanza univoco a livello globale, la possibilità di una collisione del nome con un oggetto informatico obsoleto è trascurabile.