授予创建和管理 Active Directory 计算机对象的权限 - 亚马逊 AppStream 2.0

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

授予创建和管理 Active Directory 计算机对象的权限

要允许 AppStream 2.0 执行 Active Directory 计算机对象操作，您需要一个具有足够权限的帐户。最佳实践是使用仅具有所需最低权限的账户。最低的 Active Directory 组织单位 (OU) 权限如下所示：

  • 创建计算机对象

  • 更改密码

  • 重置密码

  • 编写描述

在设置权限之前，需要先完成以下任务：

  • 获取对已加入您域的计算机或EC2实例的访问权限。

  • 安装 Active Directory 用户和计算机MMC管理单元。有关更多信息，请参阅 Microsoft 文档中的安装或删除适用于 Windows 7 的远程服务器管理工具。

  • 以拥有适当权限的域用户身份登录并修改 OU 安全设置。

  • 创建或标识要向其委派权限的用户、服务账户或组。

设置最低权限

  1. 在域中或域控制器上打开 Active Directory Users and Computers (Active Directory 用户和计算机)。

  2. 在左侧导航窗格中，选择要在其中提供域加入权限的第一个 OU，打开上下文 (右键单击) 菜单，然后选择 Delegate Control (委派控制)。

  3. 在控制委派向导页面上，依次选择下一步和添加。

  4. 对于选择用户、计算机或组，选择先前创建的用户、服务账户或组，然后选择确定。

  5. 在 Tasks to Delegate (要委派的任务) 页面上，选择 Create a custom task to delegate (创建要委派的自定义任务)，然后选择 Next (下一步)。

  6. 依次选择只是在这个文件夹中的下列对象和计算机对象。

  7. 依次选择在这个文件夹中创建所选对象和下一步。

  8. 对于权限，选择读取、写入、更改密码、重置密码，然后选择下一步。

  9. 在完成控制委派向导页面上，验证信息并选择完成。

  10. 对于其他需要这些权限的用户OUs，请重复步骤 2-9。

如果您将权限委派给组，则创建具有强密码的用户或服务账户，并将该账户添加到组中。这样该账户将拥有足够的权限将流实例连接到目录。创建 AppStream 2.0 目录配置时使用此帐户。