使用 AWS Managed Microsoft AD 启用服务器端 LDAPS - AWS Directory Service
启用服务器端 LDAPS

使用 AWS Managed Microsoft AD 启用服务器端 LDAPS

服务器端轻型目录访问协议安全套接字层（SSL）/传输层安全性协议（TLS）（LDAPS）支持加密商业或自行开发的 LDAP 感知型应用程序与 AWS Managed Microsoft AD 目录之间的 LDAP 通信。这有助于使用安全套接字层 (SSL) 加密协议来提高整个网络的安全性并满足合规性要求。

启用服务器端 LDAPS

有关如何设置和配置服务器端 LDAPS 和证书颁发机构（CA）服务器的详细说明，请参阅 AWS 安全博客中的 How to Enable Server-Side LDAPS for Your AWS Managed Microsoft AD Directory。

您必须从用来管理 AWS Managed Microsoft AD 域控制器的 Amazon EC2 实例执行大多数设置。以下步骤指导您完成在 AWS 云中为您的域启用 LDAPS 的过程。

如果您想使用自动化来设置 PKI 基础设施，可以使用 AWS 快速入门指南中所述的 Microsoft 公钥基础设施。具体而言，您需要按照指南中的说明加载模版，以便将 Microsoft PKI 部署到 AWS 上的现有 VPC 中。加载模板后，请务必在到达 Active Directory 域服务选项时选择 AWSManaged。如果您使用了快速入门指南，则可以直接跳至 步骤 3：创建证书模板。

步骤 1：委托谁可以启用 LDAPS

要启用服务器端 LDAPS，您必须是 AWS Managed Microsoft AD 目录中的管理员或 AWS 委托企业证书颁发机构管理员组的成员。或者，您可以是默认管理用户（管理员账户）。如果您愿意，您可以拥有一个管理员账户设置 LDAPS 之外的用户。在此情况下，将该用户添加到 AWS Managed Microsoft AD 目录中的管理员或 AWS 委托企业证书颁发机构管理员组。

步骤 2：设置证书颁发机构

您必须先创建一个证书，然后才能启用服务器端 LDAPS。此证书必须由已加入 AWS Managed Microsoft AD 域的 Microsoft 企业 CA 服务器颁发。在创建后，该证书必须安装到该域中您的每个域控制器上。此证书使域控制器上的 LDAP 服务能够侦听并自动接受来自 LDAP 客户端的 SSL 连接。

注意

带 AWS Managed Microsoft AD 的服务器端 LDAPS 不支持由独立 CA 颁发的证书。此外，它也不支持由第三方证书颁发机构颁发的证书。

根据您的业务需求，您有以下选择来设置或连接到您域中的 CA：

  • 创建从属 Microsoft 企业 CA – （推荐）使用此选项，您可以在 AWS Cloud 中部署从属 Microsoft 企业 CA 服务器。该服务器可以使用 Amazon EC2，这样便能使用您现有的根 Microsoft CA。有关如何建立从属 Microsoft 企业 CA 的更多信息，请参阅 How to Enable Server-Side LDAPS for Your AWS Managed Microsoft AD Directory 中的 Step 4: Add a Microsoft Enterprise CA to your AWS Microsoft AD directory。

  • 创建根 Microsoft 企业 CA – 使用此选项，您可以在使用 Amazon EC2 在 AWS Cloud 中创建根 Microsoft 企业 CA，并将它加入 AWS Managed Microsoft AD 域。此根 CA 可以向您的域控制器颁发证书。有关设置新的根 CA 的更多信息，请参阅 How to Enable Server-Side LDAPS for Your AWS Managed Microsoft AD Directory 中的 Step 3: Install and configure an offline CA。

有关如何将您的 EC2 实例加入域的更多信息，请参阅将 Amazon EC2 实例加入 AWS Managed Microsoft AD 的方法。

步骤 3：创建证书模板

设置企业 CA 后，即可配置 Kerberos 身份验证证书模板。

创建证书模板

  1. 启动 Microsoft Windows Server Manager。依次选择工具 > 证书颁发机构。

  2. 在证书颁发机构窗口中，展开左侧窗格中的证书颁发机构树。右键单击证书模版，然后选择管理。

  3. 在证书模版控制台窗口中，右键单击域控制器，然后选择重复模版。

  4. 系统将会弹出新模板的属性窗口。

  5. 在新模板的属性窗口中，转到兼容性选项卡，然后执行以下操作：

    1. 将证书颁发机构更改为与 CA 匹配的操作系统。

    2. 如果系统弹出生成的更改窗口，选择确定。

    3. 将证书接收者更改为 Windows 10/Windows Server 2016。

      注意

      AWS Managed Microsoft AD 由 Windows Server 2019 提供支持。

    4. 如果系统弹出生成的更改窗口，选择确定。

  6. 单击常规选项卡，将模板显示名称更改为 LDAPOverSSL 或您偏好的任何其他名称。

  7. 单击安全选项卡，然后选择组或用户名称部分中的域控制器 。在域控制器的权限部分，确认已选中读取、注册和自动注册的允许复选框。

  8. 选择确定以创建 LDAPOverSSL（或您在上面指定的名称）证书模板。关闭证书模板控制台窗口。

  9. 在证书颁发机构窗口中，右键单击证书模版，然后依次选择新建 > 要颁发的证书模版。

  10. 在启用证书模板窗口中，选择 LDAPOverSSL（或您在上面指定的名称），然后选择确定。

步骤 4：添加安全组规则

在最后一步中，您必须打开 Amazon EC2 控制台并添加安全组规则。这些规则将允许您的域控制器连接到企业 CA 以请求证书。为此，请添加入站规则，以便您的企业 CA 可以接受来自您的域控制器的传入流量。然后，添加出站规则以允许从您的域控制器到企业 CA 的流量。

一旦配置了两个规则，您的域控制器会自动从您的企业 CA 请求证书，并为您的目录启用 LDAPS。您的域控制器上的 LDAP 服务现已准备好接受 LDAPS 连接。

配置安全组规则

  1. 导航到 Amazon EC2 控制台（网址为 https://console.aws.amazon.com/ec2），然后使用管理员凭证登录。

  2. 在左侧窗格中，选择 Network & Security 下方的 Security Groups。

  3. 在主窗格中，为您的 CA 选择 AWS 安全组。

  4. 选择 Inbound 选项卡，然后选择 Edit。

  5. 在 Edit inbound rules 对话框中，执行以下操作：

    • 选择添加规则。

    • 为 Type 选择 All traffic，并为 Source 选择 Custom。

    • 在来源旁边的框中输入目录的 AWS 安全组（例如 sg-123456789）。

    • 选择保存。

  6. 现在，选择 AWS Managed Microsoft AD 目录的 AWS 安全组。选择 Outbound 选项卡，然后选择 Edit。

  7. 在 Edit outbound rules 对话框中，执行以下操作：

    • 选择添加规则。

    • 为 Type 选择 All traffic，并为 Destination 选择 Custom。

    • 在 AWSDestination 旁边的框中键入您的 CA 的 安全组。

    • 选择保存。

您可以使用 LDP 工具测试与 AWS Managed Microsoft AD 目录的 LDAPS 连接。LDP 工具随 Active Directory 管理工具一起提供。有关更多信息，请参阅 为 AWS Managed Microsoft AD 安装 Active Directory 管理工具。

注意

在测试 LDAPS 连接之前，您必须等待最长 30 分钟时间，以便从属 CA 向域控制器颁发证书。

有关服务器端 LDAPS 的更多详细信息以及要查看如何设置它的示例用例，请参阅 AWS 安全博客中的 How to Enable Server-Side LDAPS for Your AWS Managed Microsoft AD Directory。