Junte perfeitamente uma instância Amazon EC2 Linux a um Microsoft AD AWS gerenciado compartilhado

Abra o IAM console em https://console.aws.amazon.com/iam/.

No painel de navegação esquerdo, em Gerenciamento de acesso, escolha Funções.

Na página Roles (Funções), selecione Create role (Criar função).

Em Select type of trusted entity (Selecionar o tipo de entidade confiável), escolha AWS service (serviço).

Em Caso de uso, escolha e EC2, em seguida, escolha Avançar

Em Políticas de filtro, faça o seguinte:

1. Digite AmazonSSMManagedInstanceCore. Em seguida, marque a caixa de seleção desse item na lista.

2. Digite AmazonSSMDirectoryServiceAccess. Em seguida, marque a caixa de seleção desse item na lista.

3. Depois de adicionar essas políticas, selecione Criar função.

   nota

   AmazonSSMDirectoryServiceAccessfornece as permissões para unir instâncias a uma instância Active Directory gerenciada por AWS Directory Service. AmazonSSMManagedInstanceCorefornece as permissões mínimas necessárias para uso AWS Systems Manager. Para obter mais informações sobre a criação de uma função com essas permissões e sobre outras permissões e políticas que você pode atribuir à sua IAM função, consulte Configurar as permissões de instância necessárias para o Systems Manager no Guia do AWS Systems Manager Usuário.

Insira um nome para sua nova função, como LinuxEC2DomainJoin ou outro nome de sua preferência no campo Nome da função.

(Opcional) Em Descrição da função, insira uma descrição.

(Opcional) Escolha Adicionar nova tag na Etapa 3: Adicionar tags para adicionar tags. Os pares de chave-valor de tag são usados para organizar, rastrear ou controlar o acesso a essa função.

Selecione Criar função.

Abra o console do Secrets Manager em https://console.aws.amazon.com/secretsmanager/.

Na lista de segredos, escolha o segredo que você criou durante Pré-requisitos o.

Na página de detalhes do segredo, na guia Visão geral, role para baixo até Permissões de recursos.

Selecione Editar permissões.

1. No campo de política, insira a política a seguir. A política a seguir permite que o Linux EC2DomainJoin in acesse Account 2 a entrada secretaAccount 1. Substitua ARN o ARN valor pelo valor da sua Account 2 LinuxEC2DomainJoin função que você criou na Etapa 1. Para usar essa política, consulte Anexar uma política de permissões a um AWS Secrets Manager segredo.

   {
   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::Account2:role/LinuxEC2DomainJoin"
         },
         "Action": "secretsmanager:GetSecretValue",
         "Resource": "*"
       }
     ]
   }
   

Abra o console do Secrets Manager em https://console.aws.amazon.com/secretsmanager/.

No painel de navegação esquerdo, selecione Chaves gerenciadas pelo cliente.

Na página Chaves gerenciadas pelo cliente, selecione a chave que você criou.

Na página Detalhes da chave, navegue até Política de chaves e selecione Editar.

A seguinte declaração de política chave permite ApplicationRole usar Account 2 a KMS chave para Account 1 decifrar a entrada secreta. Account 1 Para usar essa declaração, adicione-a à política de chaves da sua KMS chave. Para obter mais informações, consulte Alterar uma política de chaves.

{
{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::Account2:role/ApplicationRole"
  },
  "Action": [
    "kms:Decrypt",
    "kms:DescribeKey"
  ],
  "Resource": "*"
}

Abra o IAM console em https://console.aws.amazon.com/iam/.

No painel de navegação esquerdo, em Gerenciamento de acesso, selecione Políticas.

Selecione Create Policy (Criar política). Escolha JSONno editor de políticas.

A política a seguir permite ApplicationRole Account 2 acessar o segredo Account 1 e descriptografar o valor secreto usando a chave de criptografia que também está dentro. Account 1 Você pode encontrar o ARN segredo no console do Secrets Manager, na página Detalhes secretos, em Segredo ARN. Como alternativa, você pode ligar para describe-secret para identificar os segredos. ARN Substitua o recurso ARN pelo recurso do segredo ARN Account 1 e. ARN Para usar essa política, consulte Anexar uma política de permissões a um AWS Secrets Manager segredo.

{
{
  "Version" : "2012-10-17",
  "Statement" : [
    {
      "Effect": "Allow",
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "SecretARN"
    },
    {
      "Effect": "Allow",
      "Action": [
"kms:Decrypt",
"kms:Describekey"     
],
      "Resource": "arn:aws:kms:Region:Account1:key/Your_Encryption_Key"
    }
  ]
}

Selecione Avançar e, em seguida, selecione Salvar alterações.

Encontre e selecione a função que você criou Account 2 emAttach a resource policy to the secret in Account 1.

Em Adicionar permissões, selecione Anexar políticas.

Na barra de pesquisa, encontre a política que você criou Add a statement to the key policy for the KMS key in Account 1 e marque a caixa para adicionar a política à função. Em seguida, selecione Adicionar permissões.

Faça login no AWS Management Console e abra o EC2 console da Amazon em https://console.aws.amazon.com/ec2/.

No seletor de região na barra de navegação, escolha o mesmo Região da AWS que o diretório existente.

No EC2Painel, na seção Launch instance, escolha Launch instance.

Na página Iniciar uma instância, na seção Nome e tags, insira o nome que você gostaria de usar para sua EC2 instância Linux.

(Opcional) Escolha Adicionar tags adicionais para adicionar um ou mais pares de chave-valor de tag para organizar, rastrear ou controlar o acesso a essa EC2 instância.

Na seção Imagem do aplicativo e do sistema operacional (Amazon Machine Image), escolha um Linux AMI que você deseja iniciar.

Na seção Tipo de instância, escolha o tipo de instância que você gostaria de usar na lista suspensa Tipo de instância.

Na seção Par de chaves: login, é possível optar por criar um novo par de chaves ou escolher um par de chaves existente. Para criar um novo par de chaves, escolha Criar par de chaves. Insira um nome para o par de chaves e selecione uma opção para Tipo de par de chaves e Formato do arquivo de chave privada. Para salvar a chave privada em um formato que possa ser usado com AbrirSSH, escolha .pem. Para salvar a chave privada em um formato que possa ser usado com o PuTTY, escolha .ppk. Escolha Criar par de chaves. O arquivo de chave privada é baixado automaticamente pelo navegador. Salve o arquivo de chave privada em um lugar seguro.

Na página Iniciar uma instância, na seção Configurações de rede, escolha Editar. Escolha VPCaquele em que seu diretório foi criado na lista suspensa VPC- obrigatória.

Escolha uma das sub-redes públicas na sua na lista VPC suspensa Sub-rede. A sub-rede escolhida deve ter todo o tráfego externo ser roteado para um gateway da Internet. Caso contrário, não será possível conectar-se à instância de maneira remota.

Para obter mais informações sobre como se conectar a um gateway de internet, consulte Conectar à internet usando um gateway de internet no Guia VPC do usuário da Amazon.

Em Atribuir IP público automaticamente, escolha Habilitar.

Para obter mais informações sobre endereçamento IP público e privado, consulte Endereçamento IP de EC2 instâncias da Amazon no Guia EC2 do usuário da Amazon.

Para configurações de Firewall (grupos de segurança), é possível usar as configurações padrão ou fazer alterações para atender às suas necessidades.

Para opções de Configurar armazenamento, é possível usar as configurações padrão ou fazer alterações para atender às suas necessidades.

Selecione a seção Detalhes avançados, escolha seu domínio na lista suspensa Diretório de associação ao domínio.

nota

Depois de escolher o diretório de ingresso no domínio, você poderá ver:

Esse erro ocorre se o assistente de EC2 inicialização identificar um SSM documento existente com propriedades inesperadas. Você pode executar uma das seguintes ações:

• Se você editou o SSM documento anteriormente e as propriedades são esperadas, escolha fechar e continue com a execução da EC2 instância sem alterações.

• Selecione o link excluir o SSM documento existente aqui para excluir o SSM documento. Isso permitirá a criação de um SSM documento com as propriedades corretas. O SSM documento será criado automaticamente quando você iniciar a EC2 instância.

Por IAMexemplo, perfil, escolha a IAM função que você criou anteriormente na seção de pré-requisitos Etapa 2: Criar a função Linux. EC2DomainJoin

Escolha Iniciar instância.