Rimuovi Amazon EC2 Entries Account AWS dall'altra AWS Managed Microsoft AD parte utilizzando l' AWS Lambda automazione - Prontuario AWS
RiepilogoPrerequisiti e limitazioniArchitetturaStrumentiBest practiceEpicheRisoluzione dei problemiRisorse correlate

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Rimuovi Amazon EC2 Entries Account AWS dall'altra AWS Managed Microsoft AD parte utilizzando l' AWS Lambda automazione

Creato dal dott. Rahul Sharad Gaikwad () e Tamilselvan P () AWS AWS

Ambiente: PoC o pilota

Tecnologie: DevOps; Infrastruttura; Gestione e governance

Carico di lavoro: tutti gli altri carichi di lavoro

AWSservizi: AWS Directory Service; Amazon; AmazonEC2; AWS Lambda EventBridge; AWS Systems Manager; AWS Auto Scaling

Riepilogo

Active Directory (AD) è uno strumento di scripting di Microsoft che gestisce le informazioni sul dominio e le interazioni degli utenti con i servizi di rete. È ampiamente utilizzato dai fornitori di servizi gestiti (MSPs) per gestire le credenziali dei dipendenti e le autorizzazioni di accesso. Poiché gli aggressori di AD possono utilizzare account inattivi per cercare di hackerare un'organizzazione, è importante trovare account inattivi e disattivarli secondo un programma di manutenzione ordinaria. Con AWS Directory Service for Microsoft Active Directory, puoi eseguire Microsoft Active Directory come servizio gestito. Questo modello può aiutarti a configurare AWS Lambda l'automazione per trovare e rimuovere rapidamente gli account inattivi.

Se i seguenti scenari si applicano alla vostra organizzazione, questo modello può aiutarvi:

  • Gestione AD centralizzata: se la tua organizzazione ne ha più di una Account AWS, ognuna con la propria implementazione AD, può essere difficile gestire gli account utente e le autorizzazioni di accesso in modo uniforme su tutti gli account. Con una soluzione di pulizia di AD per più account, puoi disabilitare o rimuovere gli account inattivi da tutte le istanze AD in modo centralizzato.

  • Ristrutturazione o migrazione di AD: se la tua organizzazione prevede di ristrutturare o migrare la distribuzione di AD, una soluzione di pulizia di AD per più account può aiutarti a preparare l'ambiente. La soluzione può aiutarti a rimuovere gli account non necessari o inattivi, semplificare il processo di migrazione e ridurre potenziali conflitti o problemi.

Quando si utilizza questo modello, è possibile ottenere i seguenti vantaggi:

  • Migliora le prestazioni di database e server e correggi le vulnerabilità di sicurezza dovute agli account inattivi.

  • Se il server AD è ospitato nel cloud, la rimozione degli account inattivi può anche ridurre i costi di archiviazione migliorando al contempo le prestazioni. Le bollette mensili potrebbero diminuire perché sia i costi della larghezza di banda che le risorse di elaborazione possono diminuire.

  • Tieni a bada i potenziali aggressori con un Active Directory pulito.

Prerequisiti e limitazioni

Prerequisiti

  • Un account genitore attivo Account AWS e uno o più account per figli. In questo modello, un account principale è il luogo in cui viene creato Active Directory. Gli account secondari ospitano server Windows e vengono uniti tramite l'account principale Active Directory.

  • Git installato e configurato su una workstation locale.

  • Terraform installato e configurato su una workstation locale.

  • AWS Managed Microsoft AD directory configurata nell'account principale e condivisa con tutti gli account secondari. Per maggiori dettagli, consulta Tutorial: Sharing your AWS Managed Microsoft AD directory for seamless EC2 domain-join nella Administration Guide.AWS Directory Service

  • Una connessione peering su cloud privato virtuale (VPC) o una AWS Transit Gateway connessione disponibile tra le istanze VPC di AWS Directory Service (account principale) e le VPC istanze Amazon Elastic Compute Cloud (AmazonEC2) (account secondari). Per maggiori dettagli, consulta Configurare una connessione VPC peering tra il proprietario della directory e l'account utente della directory nella Guida all'amministrazione.AWS Directory Service

  • Una macchina Windows configurata con lo EC2WindowsUserdata script su tutti gli account genitore e figlio. Il file di script è disponibile nella radice del repository di codice di questo pattern.

  • Un ruolo cross-account AWS Identity and Access Management (IAM) disponibile su ogni account figlio configurato con una politica di fiducia per consentire l'uso di una AWS Lambda funzione dell'account principale. Per ulteriori informazioni, consulta Invio e ricezione di eventi tra Amazon Account AWS EventBridge nella Amazon EventBridge User Guide.

  • I seguenti valori segreti sono disponibili in AWS Systems Manager Parameter Store dell'account principale:

    • domainJoinUser— Nome utente del servizio di directory

    • domainJoinPassword— Password del servizio di elenco

    Per ulteriori informazioni sui segreti, vedere Create an AWS Secrets Manager secret nella Guida per l'AWS Secrets Manager utente.

Limitazioni

  • La creazione di una risorsa in un account per bambini non è automatizzata con Terraform. È necessario creare manualmente le seguenti risorse utilizzando: AWS Management Console

    • EventBridge Regola di Amazon per inviare gli eventi di EC2 cessazione di Amazon all'account principale

    • Creazione EC2 di ruoli su più account Amazon nell'account per bambini con politica di fiducia

    • VPCconnessione peering o Transit Gateway

  • Alcuni Servizi AWS non sono disponibili in tutti Regioni AWS. Per la disponibilità per regione, vedi Servizi AWS per regione. Per endpoint specifici, consulta Endpoints and quotas del servizio e scegli il link relativo al servizio.

Versioni del prodotto

Architettura

Il diagramma seguente mostra l'architettura di alto livello della soluzione.

Processo per utilizzare l'automazione Lambda per rimuovere le EC2 voci da più account. AWS

Il diagramma dell'architettura illustra il seguente processo:

  1. Negli account per bambini, la EventBridge regola raccoglie tutti gli eventi di EC2 cessazione di Amazon. La regola invia gli eventi a EventBridge cui è presente nell'account principale.

  2. Dall'account principale, EventBridge raccoglie tutti gli eventi e contiene la regola per attivare la funzione ADcleanup-Lambda Lambda.

  3. L'account principale riceve eventuali eventi di chiusura dall'account genitore o figlio e attiva la funzione Lambda.

  4. La funzione Lambda effettua la chiamata ai gruppi di Amazon Auto EC2 Scaling utilizzando il modulo di avvio Python e ottiene l'ID casuale dell'istanza. L'ID dell'istanza viene utilizzato per eseguire i comandi di Systems Manager.

  5. La funzione Lambda effettua un'altra chiamata ad Amazon EC2 utilizzando il modulo boto. La funzione Lambda ottiene gli indirizzi IP privati dei server Windows in esecuzione e li archivia in una variabile temporanea. Nei passaggi 5.1 e 5.2, le EC2 istanze di Windows in esecuzione vengono raccolte dagli account secondari.

  6. La funzione Lambda effettua un'altra chiamata a Systems Manager per ottenere le informazioni sul computer a cui è connesso. AWS Directory Service

  7. Un AWS Systems Manager documento aiuta a eseguire il PowerShell comando sui server Amazon EC2 Windows per ottenere gli indirizzi IP privati dei computer collegati ad AD. (Il documento Systems Manager utilizza l'ID dell'istanza ottenuto nel passaggio 4.)

  8. Il nome utente e le password del dominio AD vengono archiviati nel AWS Systems Manager Parameter Store. AWS Lambda e Systems Manager effettuano una chiamata a Parameter Store e ottengono i valori di nome utente e password da utilizzare per connettersi ad AD.

  9. Utilizzando il documento Systems Manager, lo PowerShell script viene eseguito sul server Amazon EC2 Windows utilizzando l'id dell'istanza ottenuto in precedenza nel passaggio 4.

  10. Amazon EC2 si connette AWS Directory Service utilizzando PowerShell i comandi e rimuove i computer non in uso o inattivi.

Strumenti

AWS servizi

  • AWS Directory Serviceoffre diversi modi per utilizzare Microsoft Active Directory (AD) con altri Servizi AWS come Amazon Elastic Compute Cloud (AmazonEC2), Amazon Relational Database Service (RDSAmazon) SQL for Server e FSx Amazon for Windows File Server.

  • AWS Directory Service for Microsoft Active Directoryconsente ai carichi di lavoro e alle risorse compatibili con le directory di AWS utilizzare Microsoft Active Directory in. Cloud AWS

  • Amazon Elastic Compute Cloud (AmazonEC2) fornisce capacità di elaborazione scalabile in. Cloud AWS Puoi avviare tutti i server virtuali di cui hai bisogno e dimensionarli rapidamente.

  • Amazon EventBridge è un servizio di bus eventi senza server che ti aiuta a connettere le tue applicazioni con dati in tempo reale provenienti da una varietà di fonti. Ad esempio, AWS Lambda funzioni, endpoint di HTTP invocazione che utilizzano API destinazioni o bus di eventi in altro modo. Account AWS

  • AWS Identity and Access Management (IAM) consente di gestire in modo sicuro l'accesso alle AWS risorse controllando chi è autenticato e autorizzato a utilizzarle. ConIAM, puoi specificare chi o cosa può accedere ai servizi e alle risorse AWS, gestire centralmente le autorizzazioni dettagliate e analizzare l'accesso per perfezionare le autorizzazioni. AWS

  • AWS Lambda è un servizio di calcolo che consente di eseguire il codice senza gestire i server o effettuarne il provisioning. Esegue il codice solo quando necessario e si ridimensiona automaticamente, quindi paghi solo per il tempo di elaborazione che utilizzi.

  • AWS Systems Managerti aiuta a gestire le applicazioni e l'infrastruttura in esecuzione in. Cloud AWS Semplifica la gestione delle applicazioni e delle risorse, riduce i tempi di rilevamento e risoluzione dei problemi operativi e aiuta a gestire le AWS risorse in modo sicuro su larga scala.

  • AWS Systems Manager i documenti definiscono le azioni che Systems Manager esegue sulle istanze gestite. Systems Manager include più di 100 documenti preconfigurati che è possibile utilizzare specificando i parametri nel runtime (tempo di esecuzione).

  • AWS Systems Manager Parameter Store è una funzionalità AWS Systems Manager e fornisce uno storage gerarchico sicuro per la gestione dei dati di configurazione e la gestione dei segreti.

Altri strumenti

  • HashiCorp Terraform è uno strumento open source di infrastruttura come codice (IaC) che consente di utilizzare il codice per fornire e gestire l'infrastruttura e le risorse cloud.

  • PowerShellè un programma di gestione dell'automazione e della configurazione di Microsoft che funziona su Windows, Linux e macOS.

  • Python è un linguaggio di programmazione per computer generico.

Deposito di codice

Il codice per questo pattern è disponibile nel repository GitHub aws-lambda-ad-cleanup-terraform-samples.

Best practice

  • Unisci automaticamente i domini.Quando avvii un'istanza Windows che deve far parte di un AWS Directory Service dominio, unisciti al dominio durante il processo di creazione dell'istanza anziché aggiungere manualmente l'istanza in un secondo momento. Per aggiungere automaticamente un dominio, seleziona la directory corretta dall'elenco a discesa Domain join directory quando avvii una nuova istanza. Per maggiori dettagli, consulta Unire senza problemi un'istanza Amazon EC2 Windows alla tua AWS Managed Microsoft AD Active Directory nella Guida all'AWS Directory Service amministrazione.

  • Elimina gli account non utilizzati.È comune trovare account in AD che non sono mai stati utilizzati. Come gli account disabilitati o inattivi che rimangono nel sistema, gli account trascurati e inutilizzati possono rallentare il sistema AD o rendere l'organizzazione vulnerabile alle violazioni dei dati.

  • Automatizza le pulizie di Active Directory.Per contribuire a mitigare i rischi per la sicurezza e impedire che gli account obsoleti influiscano sulle prestazioni di AD, è necessario eseguire le pulizie di AD a intervalli regolari. Puoi eseguire la maggior parte delle attività di gestione e pulizia di AD scrivendo script. Le attività di esempio includono la rimozione di account disabilitati e inattivi, l'eliminazione di gruppi vuoti e inattivi e l'individuazione di account utente e password scaduti.

Epiche

AttivitàDescrizioneCompetenze richieste

Crea un ruolo per più account nell'account per bambini.

Per creare un ruolo tra più account in un account per bambini, procedi come segue:

  1. Per ogni account figlio, crea un ruolo denominato ec2crossaccountrole utilizzando la politica gestita denominataAmazonEC2ReadOnlyAccess. (Per ulteriori informazioni, consulta Creare un ruolo utilizzando politiche di fiducia personalizzate nella IAM documentazione.)

  2. Nella sezione Politica di fiducia personalizzata, aggiungi il codice seguente:

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ec2.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        },
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::${Parentaccountid}:role/ADcleanuprole"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}
DevOps ingegnere

Crea una regola relativa agli eventi nell'account per bambini.

Per creare una EventBridge regola per ogni account per bambini, procedi come segue:

  1. Accedi al bambino Account AWS, quindi apri la EventBridge console Amazon all'indirizzo https://console.aws.amazon.com/events/.

  2. Nel pannello di navigazione, scegli Regole.

  3. Scegli Crea regola.

  4. Inserisci un nome e, facoltativamente, una descrizione per la regola.

  5. Per Event bus, seleziona Event bus AWS predefinito.

  6. Per Tipo di regola, scegliete Regola con uno schema di eventi.

  7. Scegli Next (Successivo).

  8. Per Event pattern, incolla il seguente codice:

    {
  "source": ["aws.ec2"],
  "detail-type": ["EC2 Instance State-change Notification"],
  "detail": {
    "state": ["terminated"]
  }
}

  9. Scegli Next (Successivo).

  10. Per Target type, scegli Event bus in un account o in una regione diversi.Per Event bus come destinazione, inserisci il bus di eventi Amazon Resource Name (ARN) per l'account principale.

  11. Per Ruolo di esecuzione, scegli Crea un nuovo ruolo per questa risorsa specifica.

  12. Scegli Avanti per esaminare i dettagli della nuova regola, quindi scegli Crea.

Per maggiori dettagli, consulta la sezione Creazione di regole che reagiscono agli eventi in Amazon EventBridge nella Amazon EventBridge User Guide.

DevOps ingegnere

Crea un'EC2istanza e unisciti ad AD.

Per creare un'EC2istanza per Windows, procedi come segue:

  1. Utilizzate lo EC2WindowsUserdata script disponibile nell'archivio di codice di questo pattern.

  2. Nello script dei dati utente, rivedi il codice seguente per utilizzare Directory service addresses i valori dell'account principale:

    set-DnsClientServerAddress -InterfaceIndex 6 -ServerAddresses $(Directory service addresses)

DevOps ingegnere
AttivitàDescrizioneCompetenze richieste

Crea una cartella di progetto e aggiungi i file.

Per clonare il repository e creare una cartella di progetto, procedi come segue:

  1. Apri l'archivio di questo pattern. GitHub

  2. Scegli il pulsante Codice per visualizzare le opzioni per la clonazione nel menu a discesa Clone.

  3. Nella HTTPSscheda, copia quanto URL fornito in Clone utilizzando il web. URL

  4. Crea una cartella sul tuo computer e assegnale il nome del tuo progetto.

  5. Apri un terminale nel tuo computer locale e accedi a questa cartella.

  6. Per clonare il repository git, usa il seguente comando.

    git clone <repository-URL>.git

  7. Dopo che il repository è stato clonato, usa il seguente comando per andare alla directory clonata.

    cd <directory name>/terraform-aws-lambda-ad-cleanup/multiple-account-cleanup

  8. Nel repository clonato, aprite questo progetto in un ambiente di sviluppo integrato () di vostra scelta. IDE

DevOps ingegnere

Costruisci il adcleanup.zip file.

Per comprimere il lambda_function.py file, esegui il seguente comando:

zip -r adcleanup.zip lambda_function.py

DevOps ingegnere
AttivitàDescrizioneCompetenze richieste

Fornisci valori per le variabili Terraform.

Per l'account secondario, fornisci i valori per le seguenti arn variabili come tipi di stringa nel terraform.tfvars file:

  • lambda_env_cross_role_arn

  • child_account_cross_role_arn

DevOps ingegnere

Inizializza la configurazione Terraform.

Per inizializzare la directory di lavoro che contiene i file Terraform, esegui il seguente comando:

terraform init

DevOps ingegnere

Visualizza in anteprima le modifiche.

Puoi visualizzare in anteprima le modifiche che Terraform apporterà all'infrastruttura prima che l'infrastruttura venga implementata. Per verificare che Terraform apporti le modifiche necessarie, esegui il seguente comando:

terraform plan —-var-file=examples/terraform.tfvars

DevOps ingegnere

Esegui le azioni proposte.

Per verificare che i risultati del terraform plan comando siano quelli previsti, effettuate le seguenti operazioni:

  1. Esegui il comando riportato qui di seguito: terraform apply

  2. Accedere a AWS Management Console e verificare che le risorse siano presenti.

DevOps ingegnere
AttivitàDescrizioneCompetenze richieste

Esegui e testa la funzione Lambda.

Per verificare che la distribuzione sia avvenuta correttamente, procedi come segue:

  1. Accedi a e AWS Management Console apri la console Lambda. Aprire la pagina Funzioni e selezionare il nome della funzione che inizia con ADcleanup-Lambda-*.

  2. Nella pagina di panoramica delle funzioni, scegliete Test nella scheda Codice nella sezione Codice sorgente.

  3. Per salvare l'evento di test, fornite un nome per l'evento e scegliete Salva. Per testare l'evento, scegli nuovamente Test.

I risultati dell'esecuzione mostrano l'output della funzione.

DevOps ingegnere

Visualizza i risultati dell'esecuzione delle EventBridge regole dall'account principale.

Per visualizzare i risultati della EventBridge regola basata sugli eventi di EC2 cessazione di Amazon dall'account principale, procedi come segue:

  1. Termina le EC2 istanze dall'account principale.

  2. Apri la console Lambda dell'account principale. Aprire la pagina Funzioni e selezionare il nome della funzione che inizia con ADcleanup-Lambda-*.

  3. Scegliete la scheda Monitor e scegliete Visualizza registri. CloudWatch

Nella CloudWatch console, la pagina Log groups mostra i risultati della funzione Lambda.

DevOps ingegnere

Visualizza i risultati dell'esecuzione delle EventBridge regole dall'account secondario.

Per visualizzare i risultati della EventBridge regola basata sugli eventi di EC2 chiusura di Amazon dall'account secondario, procedi come segue:

  1. Termina le EC2 istanze dall'account secondario.

  2. Apri la console Lambda dell'account principale. Aprire la pagina Funzioni e selezionare il nome della funzione che inizia con ADcleanup-Lambda-*.

  3. Scegliete la scheda Monitor e scegliete Visualizza registri. CloudWatch

Nella CloudWatch console, la pagina Log groups mostra i risultati della funzione Lambda.

DevOps ingegnere
AttivitàDescrizioneCompetenze richieste

Pulisci l'infrastruttura.

Per pulire l'infrastruttura che hai creato, usa il seguente comando:

terraform destroy

Per confermare il destroy comando, digitateyes.

DevOps ingegnere

Verifica dopo la pulizia.

Verifica che le risorse siano state rimosse correttamente.

DevOps ingegnere

Risoluzione dei problemi

ProblemaSoluzione

Problema di connessione tra AWS Directory Service (account principale) e EC2 istanza Amazon (account figlio): non puoi unire i computer dell'account figlio ad AD anche se il VPC peering è disponibile.

Aggiungi il routing in. VPCs Per istruzioni, consulta Configurare una connessione VPC peering tra il proprietario della directory e l'account utente della directory nella AWS Directory Service documentazione.

Risorse correlate

AWS documentazione

Altre risorse