Unindo instâncias a um domínio do Active Directory

Com AWS Elastic Beanstalk, as instâncias do Windows Server em seu ambiente podem ingressar automaticamente em um domínio do Active Directory. Você gerencia o AWS diretório com o Serviço de Diretório e ativa a união com as opções de configuração no aws:elasticbeanstalk:windows:activedirectory namespace. Cada instância então se junta ao domínio quando é iniciada, antes que o Elastic Beanstalk implante seu aplicativo nela. Você não escreve nenhuma lógica de união personalizada nem gerencia a união sozinho.

Você pode unir instâncias a um diretório AWS gerenciado do Microsoft AD ou do Simple AD, ou ao seu Active Directory autogerenciado por meio do AD Connector.

Como funciona a associação ao domínio

Quando uma instância em um ambiente com opções do Active Directory é iniciada, ela faz o seguinte antes de o Elastic Beanstalk implantar seu aplicativo:

Sem as opções do Active Directory, o Elastic Beanstalk deriva o nome de host de cada instância do Windows de seu endereço IPv4 privado (por exemplo,). IP-0A010203 Os endereços IP podem ser reutilizados, então esses nomes podem colidir com objetos de computador obsoletos em um diretório. Isso pode acontecer em topologias de recuperação de desastres que reutilizam intervalos de IP entre regiões ou em ambientes de longa duração. Quando as opções do Active Directory são definidas, o nome do host deriva do ID da instância. Como cada ID de instância é globalmente exclusivo, a chance de uma colisão de nomes com um objeto de computador obsoleto é insignificante. O ID-derived nome do host da instância se aplica somente a ambientes com opções do Active Directory.

Pré-requisitos

Antes de configurar a adesão ao domínio do Active Directory, verifique se os seguintes pré-requisitos foram atendidos:

Configurando a adesão ao domínio do Active Directory

Para ativar a adesão ao domínio do Active Directory, defina as seguintes opções de configuração no aws:elasticbeanstalk:windows:activedirectory namespace. Você pode defini-las em um arquivo de configuração, com o AWS CLI ou com qualquer outro método para definir as opções de configuração. Para obter detalhes sobre cada opção, consulteaws: elasticbeanstalk: windows: active directory.

O AWS CLI exemplo a seguir configura a adesão ao domínio do Active Directory em um ambiente em execução. O exemplo usa a sintaxe JSON para o --option-settings parâmetro, pois os DirectoryOU valores contêm vírgulas, que a sintaxe abreviada interpreta como separadores.

aws elasticbeanstalk update-environment \
    --environment-name my-env \
    --option-settings '[
      {"Namespace": "aws:elasticbeanstalk:windows:activedirectory", "OptionName": "DirectoryId", "Value": "d-1234567890"},
      {"Namespace": "aws:elasticbeanstalk:windows:activedirectory", "OptionName": "DirectoryName", "Value": "corp.example.com"},
      {"Namespace": "aws:elasticbeanstalk:windows:activedirectory", "OptionName": "DirectoryOU", "Value": "OU=WebServers,DC=corp,DC=example,DC=com"}
    ]'

Se você alterar a configuração do ambiente para apontar para um diretório diferente, as instâncias de substituição ingressarão no novo diretório. Se você remover as opções, as instâncias substitutas serão iniciadas sem ingressar em um domínio e usarão os IP-address-derived nomes de host padrão. Em ambos os casos, os objetos de computador que as instâncias anteriores criaram permanecem no diretório. Para obter mais informações, consulte Gerenciando objetos de computador em seu diretório.

Confirmando a adesão ao domínio

Para confirmar que uma instância ingressou no domínio, faça o seguinte:

Quando seu ambiente se expande, o Auto Scaling adiciona instâncias que também se juntam ao domínio. Para revisar o log de implantação de uma dessas instâncias, recupere-o do Amazon S3. Para obter mais informações, consulte Onde os registros de implantação são armazenados.

Falha nas uniões de domínio

Uma falha na adesão ao domínio não bloqueia a implantação. Se uma instância não conseguir ingressar no domínio por algum motivo, ela retornará ao IP-address-derived nome de host padrão (IP-XXXXXXXX), a implantação continuará e o ambiente ainda poderá alcançar o estado Pronto e relatar integridade.

Para tornar a falha visível, o Elastic Beanstalk compara a associação real do domínio da instância com o diretório configurado e emite um ERROR evento quando elas não coincidem:

Active Directory domain join did not complete: instance is not joined to 'corp.example.com' (PartOfDomain=False, Domain=WORKGROUP). See the deployment log for the join output.

A instância grava a saída do processo de junção emC:\cfn\log\eb-ad-join.log. Quando uma junção falha, o Elastic Beanstalk também copia esse log para o log de implantação da instância, para que você possa recuperar a causa sem se conectar à instância. Para obter mais informações, consulte Visualizando registros de implantação em um ambiente Elastic Beanstalk.

Solução de problemas

Se suas instâncias não ingressarem no domínio, verifique o seguinte:

Gerenciando objetos de computador em seu diretório

O Elastic Beanstalk não exclui o objeto de computador de uma instância do seu diretório quando a instância ou o ambiente são encerrados. Cada instância unida deixa seu objeto de EC2-XXXXXXXX computador para trás, e a atividade de escalabilidade cria um objeto para cada nova instância. Você é responsável por remover periodicamente objetos de computador obsoletos do seu diretório, usando as ferramentas usuais de gerenciamento de diretórios da sua organização.

Como o nome de host de cada nova instância deriva de seu próprio ID de instância global exclusivo, a chance de uma colisão de nomes com um objeto de computador obsoleto é insignificante.