Creazione di un SecureString parametro in Parameter Store e unire un nodo a un Domain (PowerShell)

Per creare un parametro SecureString e aggiungere un nodo a un dominio

1. Inserisci i parametri nel sistema utilizzando AWS Tools for Windows PowerShell.

   Nei seguenti comandi, sostituisci ciascuno user input placeholder con le tue informazioni.

   Write-SSMParameter -Name "domainName" -Value "DOMAIN-NAME" -Type String
   Write-SSMParameter -Name "domainJoinUserName" -Value "DOMAIN\USERNAME" -Type String
   Write-SSMParameter -Name "domainJoinPassword" -Value "PASSWORD" -Type SecureString

   Solo il valore di un parametro SecureString viene crittografato. I nomi dei parametri, le descrizioni e altre proprietà non sono crittografati.

2. Allega le seguenti politiche AWS Identity and Access Management (IAM) alle autorizzazioni del ruolo IAM per il tuo nodo:

   • AmazonSSMManagedInstanceCore: obbligatorio Questa policy AWS gestita consente a un nodo gestito di utilizzare le funzionalità di base del servizio Systems Manager.

   • AmazonSSMDirectoryServiceAccess: obbligatorio Questa policy AWS gestita consente di accedere SSM Agent Servizio di directory AWS per conto dell'utente alle richieste di aggiunta al dominio da parte del nodo gestito.

   • Una politica personalizzata per l'accesso al bucket S3: obbligatoria. SSM Agent, che si trova sul tuo nodo ed esegue attività di Systems Manager, richiede l'accesso a bucket specifici di Amazon-owned Amazon Simple Storage Service (Amazon S3). Nella policy di bucket S3 creata, fornire anche l'accesso ai bucket S3 personali necessari per le operazioni di Systems Manager.

     Esempi: è possibile scrivere l'output per i comandiRun Command o le sessioni Session Manager in un bucket S3 e quindi utilizzare questo output più tardi per l'audit o la risoluzione dei problemi. È possibile archiviare gli script di accesso o gli elenchi delle baseline delle patch personalizzati in un bucket S3 e quindi fare riferimento allo script o all'elenco quando si esegue un comando oppure quando viene applicata una baseline delle patch.

     Per ulteriori informazioni su come creare una policy personalizzata per l'accesso ai bucket Amazon S3, consulta Creare una policy di bucket S3 personalizzata per un profilo dell'istanza

     Nota

     La memorizzazione dei log di output in un bucket S3 è facoltativa ma, se si è deciso di utilizzarla, si consiglia di impostarla all'inizio del processo di configurazione di Systems Manager. Per ulteriori informazioni, consulta Creazione di un bucket nella Guida per l'utente di Amazon Simple Storage Service.

   • CloudWatchAgentServerPolicy: opzionale. Questa policy AWS gestita consente di eseguire l' CloudWatch agente su nodi gestiti. Questa policy consente di leggere le informazioni su un nodo e scriverle su Amazon CloudWatch. Il tuo profilo di istanza necessita di questa policy solo se utilizzi servizi come Amazon EventBridge o CloudWatch Logs.

     Nota

     L'utilizzo CloudWatch EventBridge delle funzionalità è facoltativo, ma se hai deciso di utilizzarle, ti consigliamo di configurarle all'inizio del processo di configurazione di Systems Manager. Per ulteriori informazioni, consulta la Amazon EventBridge User Guide e la Amazon CloudWatch Logs User Guide .

3. Modificare il ruolo IAM associato al nodo e aggiungere la policy seguente. Questa policy fornisce al nodo le autorizzazioni per chiamare kms:Decrypt e l'API ssm:CreateDocument.

   JSON

   {
       "Version":"2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "kms:Decrypt",
                   "ssm:CreateDocument"
               ],
               "Resource": [
                   "arn:aws:kms:us-east-1:111122223333:key/kms-key-id"
               ]
           }
       ]
   }
   

4. Copiare e incollare il seguente elemento json di testo in un editor di testo e salvare il file come JoinInstanceToDomain.json nella seguente posizione: c:\temp\JoinInstanceToDomain.json.

   {
       "schemaVersion": "2.2",
       "description": "Run a PowerShell script to securely join a Windows Server instance to a domain",
       "mainSteps": [
           {
               "action": "aws:runPowerShellScript",
               "name": "runPowerShellWithSecureString",
               "precondition": {
                   "StringEquals": [
                       "platformType",
                       "Windows"
                   ]
               },
               "inputs": {
                   "runCommand": [
                       "$domain = (Get-SSMParameterValue -Name domainName).Parameters[0].Value",
                       "if ((gwmi Win32_ComputerSystem).domain -eq $domain){write-host \"Computer is part of $domain, exiting\"; exit 0}",
                       "$username = (Get-SSMParameterValue -Name domainJoinUserName).Parameters[0].Value",
                       "$password = (Get-SSMParameterValue -Name domainJoinPassword -WithDecryption $True).Parameters[0].Value | ConvertTo-SecureString -asPlainText -Force",
                       "$credential = New-Object System.Management.Automation.PSCredential($username,$password)",
                       "Add-Computer -DomainName $domain -Credential $credential -ErrorAction SilentlyContinue -ErrorVariable domainjoinerror",
                       "if($?){Write-Host \"Instance joined to domain successfully. Restarting\"; exit 3010}else{Write-Host \"Instance failed to join domain with error:\" $domainjoinerror; exit 1 }"
                   ]
               }
           }
       ]
   }

5. Esegui il seguente comando in Tools for Windows PowerShell per creare un nuovo documento SSM.

   $json = Get-Content C:\temp\JoinInstanceToDomain | Out-String
   New-SSMDocument -Name JoinInstanceToDomain -Content $json -DocumentType Command 
   

6. Esegui il comando seguente in Strumenti per Windows PowerShell per unire il nodo al dominio.

   Send-SSMCommand -InstanceId instance-id -DocumentName JoinInstanceToDomain 

   Se il comando viene eseguito correttamente, il sistema restituisce informazioni simili alle seguenti.

   WARNING: The changes will take effect after you restart the computer EC2ABCD-EXAMPLE.
   Domain join succeeded, restarting
   Computer is part of example.local, exiting

   Se il comando non viene eseguito correttamente, il sistema restituisce informazioni simili alle seguenti.

   Failed to join domain with error:
   Computer 'EC2ABCD-EXAMPLE' failed to join domain 'example.local'
   from its current workgroup 'WORKGROUP' with following error message:
   The specified domain either does not exist or could not be contacted.