设置自托管式 Active Directory

以域管理员身份连接到您的 AD 域。

打开 Active Directory 用户和计算机，然后选择要在其中创建 OU 的域。

打开域的上下文菜单，选择新建，然后选择组织单元。

为 OU 输入名称。

选中保护容器免遭意外删除复选框。

选择确定。您的新 OU 将出现在您的域下。

打开 Active Directory 用户和计算机，然后选择要在其中创建用户的域和 OU。

打开用户的上下文菜单，然后依次选择新建和用户。

输入用户的名字、姓氏和登录名。选择下一步。

输入用户的密码。请勿选择用户下次登录时必须更改密码。请勿选择账户已禁用。选择下一步。

选择确定。新用户将出现在您的域下。

打开 Active Directory 用户和计算机 Microsoft 管理控制台（MMC）管理单元，然后选择要在其中创建用户的域。

打开您之前创建的 OU 的上下文菜单，然后选择委派控制权。

在控制权委派向导上，选择下一步。

在用户或组部分，选择添加。

在选择用户、计算机或组部分，输入您创建的 AD 域服务账户，然后选择检查名称。如果您的 AD 域服务账户检查获得成功，请选择确定。

在用户或组部分，确认您的 AD 域服务账户已添加，然后选择下一步。

在要委派的任务部分，选择创建要委派的自定义任务，然后选择下一步。

在 Active Directory 对象类型部分：

1. 选择仅文件夹中的以下对象。

2. 选择用户对象。

3. 选择在此文件夹中创建选定对象。

4. 选择删除此文件夹中的选定对象，然后选择下一步。

在权限部分：

1. 将常规保持为选中状态。

2. 选择特定于属性。

3. 选择创建/删除特定的子对象。

4. 选择重置密码。

5. 选择读取 msDS-SupportedEncryptionTypes。

6. 选择写入 msDS-SupportedEncryptionTypes。

对于完成控制权委派向导，请检查并确认您的设置，然后选择完成。

在 https://console.aws.amazon.com/kms/ 上，打开 AWS KMS 控制台。选择创建密钥。

对于密钥类型，选择对称。

对于密钥用法，选择加密和解密。

对于 Advanced options (高级选项)：

1. 对于密钥材料源，选择 KMS。

2. 对于区域性，选择单区域密钥，然后选择下一步。

对于别名，提供 KMS 密钥的名称。

（可选）对于描述，提供 KMS 密钥的描述。

（可选）对于标签，提供 KMS 密钥的标签，然后选择下一步。

对于密钥管理员，提供 IAM 用户的名称并将其选中。

对于密钥删除，确保选中允许密钥管理员删除此密钥复选框，然后选择下一步。

对于密钥用户，请提供上一步中的 IAM 用户并将其选中。选择下一步。

审核配置。

对于密钥策略，请在策略声明中包括以下内容：

{
    "Sid": "Allow use of the KMS key on behalf of RDS",
    "Effect": "Allow",
    "Principal": {
        "Service": [
            "rds.amazonaws.com"
        ]
    },
    "Action": "kms:Decrypt",
    "Resource": "*"
}

选择结束。

打开位于 https://console.aws.amazon.com/secretsmanager/ 的 AWS Secrets Manager 控制台。选择存储新密钥。

对于密钥类型，请选择其他密钥类型。

对于键/值对，请添加您的两个密钥：

1. 对于第一个密钥，请输入 SELF_MANAGED_ACTIVE_DIRECTORY_USERNAME。

2. 对于第一个密钥的值，请仅输入 AD 用户的用户名（不带域前缀）。请勿包含域名，因为这会导致实例创建失败。

3. 对于第二个密钥，请输入 SELF_MANAGED_ACTIVE_DIRECTORY_PASSWORD。

4. 对于第二个密钥的值，请输入您在域中为 AD 用户创建的密码。

对于加密密钥，输入您在上一步中创建的 KMS 密钥，然后选择下一步。

在密钥名称中，输入一个描述性名称，以便您稍后查找自己的密钥。

（可选）对于描述，输入密钥名称的描述。

对于资源权限，选择编辑。

将以下策略添加到权限策略中：

{
    "Version":"2012-10-17",
    "Statement":
    [
        {
            "Effect": "Allow",
            "Principal":
            {
                "Service": "rds.amazonaws.com"
            },
            "Action": "secretsmanager:GetSecretValue",
            "Resource": "*",
            "Condition":
            {
                "StringEquals":
                {
                    "aws:sourceAccount": "123456789012"
                },
                "ArnLike":
                {
                    "aws:sourceArn": "arn:aws:rds:us-west-2:123456789012:db:*"
                }
            }
        }
    ]
}

选择保存，然后选择下一步。

对于配置轮换设置，保留原定设置值并选择下一步。

查看密钥的设置，然后选择存储。

选择您创建的密钥，然后复制密钥 ARN 的值。在下一步中使用此值来设置自行管理的 Active Directory。