View a markdown version of this page

在你们之间建立信任关系 AWS 托管微软 AD 和自管理 AD - AWS Directory Service
先决条件创建信任关系

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

在你们之间建立信任关系 AWS 托管微软 AD 和自管理 AD

你可以在微软 Active Directory 的 AWS 目录服务与自我管理（本地）目录之间以及 AWS 云中的多个托 AWS 管微软 AD 目录之间配置单向和双向外部和森林信任关系。 AWS Microsoft AD 支持所有三个信任关系方向：传入、传出和 Two-way (Bi-directional)。

有关信任关系的更多信息，请参阅你想了解的有关托 AWS 管 Microsoft AD 信任的所有信息。

注意

建立信任关系时，必须确保您的自我管理目录与 Directory Service s 兼容，并且仍然兼容。有关您的责任的更多信息，请参阅我们的责任共担模型。

AWS Microsoft AD 托管支持外部信任和森林信任。要演练演示如何创建林信任的示例方案，请参阅教程：在你的 AWS 托管 Microsoft AD 和你自行管理的 Active Directory 域之间创建信任关系。

亚马逊 Chime、Connect Customer、Quick、、、亚马逊 AWS IAM Identity Center WorkDocs WorkMail WorkSpaces、亚马逊等 AWS 企业应用程序需要双向信任。 AWS 管理控制台 AWS 托管的微软 AD 必须能够查询您自行管理的 Active Directory 中的用户和群组。

您可以启用选择性身份验证，这样只有 AWS 应用程序特定的服务帐号才能查询您自行管理的 Active Directory。有关更多信息，请参阅增强 AWS 应用程序与 Manag AWS ed Microsoft AD 集成的安全性。

Amazon EC2、Amazon RDS 和 Amazon FSx 支持单向或双向信任中的任一种。

先决条件

创建信任只需几个步骤，但是在设置信任之前必须先完成一些先决条件步骤。

注意

AWS 托管的微软 AD 不支持对单标签域的信任。

连接到 VPC

如果您要与自己的自托管式目录建立信任关系，则必须先将自托管式网络连接到包含 AWS Managed Microsoft AD 的 Amazon VPC。自我管理和 AWS 托管的 Microsoft AD 网络的防火墙必须打开 Windows Server 2008 及更高版本Microsoft文档中列出的网络端口。

要使用您的 NetBIOS 名称代替您的完整域名对亚马逊 WorkDocs 或亚马逊 Quick 等 AWS 应用程序进行身份验证，必须允许端口 9389。有关 Active Directory 端口和协议的更多信息，请参阅 Microsoft 文档中的 Windows 服务概述和网络端口要求。

这些是能够连接到目录所需的最少端口。根据您的特定配置，您可能需要打开其他端口。

配置 VPC

包含您的 AWS 托管 Microsoft AD 的 VPC 必须具有相应的出站和入站规则。

配置 VPC 出站规则

  1. 在AWS Directory Service 控制台的目录详细信息页面上，记下您的 AWS 托管 Microsoft AD 目录 ID。

  2. 打开位于 https://console.aws.amazon.com/vpc/ 的 Amazon VPC 控制台。

  3. 选择安全组。

  4. 搜索您的微软 AD AWS 托管目录 ID。在搜索结果中，选择描述AWS 为 “为目录 ID 目录控制器创建安全组” 的项目。

    注意

    所选安全组是在最初创建目录时自动创建的安全组。

  5. 转到该安全组的 Outbound Rules 选项卡。依次选择 Edit、Add another rule。对于新规则，输入以下值：

    • Type：All Traffic

    • Protocol：All

    • 目的地确定自托管式网络中可以离开域控制器的流量，以及它可以传送到何处。以 CIDR 表示法指定单个 IP 地址或 IP 地址范围（例如 203.0.113）。5/32 对于 IPv4 或 2001: db8:: /32 对于 IPv6）。您还可以指定同一区域中其他安全组的名称或 ID。有关更多信息，请参阅 了解你的名录 AWS 安全组配置和使用。

  6. 选择保存。

启用 Kerberos 预身份验证

用户账户必须启用 Kerberos 预身份验证。有关此设置的更多信息，请查看 Microsoft TechNet 上的预身份验证。

在自托管式域中配置 DNS 条件转发器

必须在自托管式域中设置 DNS 条件转发服务器。有关条件转发器的详细信息，请参阅在 Microsoft 上 TechNet 为域名分配条件转发器。

要执行以下步骤，自托管式域必须有权访问以下 Windows Server 工具：

  • AD DS 和 AD LDS 工具

  • DNS

要在自托管式域上配置条件转发器

  1. 首先，你必须获得一些关于你的微软 AWS 托管广告的信息。登录 AWS 管理控制台 并打开 AWS Directory Service 控制台。

  2. 在导航窗格中，选择 Directories。

  3. 选择您的微软 AWS 托管广告的目录 ID。

  4. 记下目录的完全限定域名 (FQDN) 和 DNS 地址。

  5. 现在，返回自托管式域控制器。打开服务器管理器。

  6. 在 Tools 菜单上，选择 DNS。

  7. 在控制台树中，展开为其设置信任的域的 DNS 服务器。

  8. 在控制台树中，选择 Conditional Forwarders。

  9. 在 Action 菜单上，选择 New conditional forwarder。

  10. 在 DNS 域中，键入你之前提到的微软 AWS 托管广告的完全限定域名 (FQDN)。

  11. 选择主服务器的 IP 地址，然后键入你之前提到的 Microsoft AD AWS 托管目录的 DNS 地址。

    输入 DNS 地址之后，可能遇到“超时”或“无法解析”错误。通常可以忽略这些错误。

  12. 选择 Store this conditional forwarder in Active Directory and replicate as follows: All DNS servers in this domain。选择确定。

信任关系密码

如果要创建与现有域的信任关系，则使用 Windows Server 管理工具对该域设置信任关系。执行此操作时，请记下所使用的信任密码。在托 AWS 管的 Microsoft AD 上设置信任关系时，你需要使用相同的密码。有关更多信息，请参阅在 Microsoft 上管理信任 TechNet。

现在，您可以在 Microsoft 托 AWS 管广告上创建信任关系了。

NetBIOS 和域名

为了建立信任关系，NetBIOS 和域名必须是唯一的，并且不能相同。

创建、验证或删除信任关系

注意

信任关系是 Manag AWS ed Microsoft AD 的一项全球功能。如果您使用的是 为 AWS 托管的 Microsoft AD 配置多区域复制，则必须在 主 区域 中执行以下过程。更改将自动应用于所有复制的区域。有关更多信息，请参阅 全局与区域特色。

与您建立信任关系 AWS 管理微软广告

  1. 打开 AWS Directory Service 控制台。

  2. 在目录页面上，选择您的 AWS 托管微软 AD ID。

  3. 在报告详细信息页面上，执行以下操作之一：

    • 如果您在 “Multi-Region复制” 下显示了多个区域，请选择主区域，然后选择 “网络和安全” 选项卡。有关更多信息，请参阅 主区域与其他区域。

    • 如果Multi-Region复制下方没有显示任何区域，请选择 “网络和安全” 选项卡。

  4. 在信任关系部分中，选择操作，然后选择添加信任关系。

  5. 在添加信任关系页面上，提供所需信息，包括信任类型、受信任域的完全限定域名 (FQDN)、信任密码和信任方向。

  6. （可选）如果您只想允许授权用户访问您的 Microsoft AD AWS 托管目录中的资源，则可以选择选择性身份验证复选框。有关选择性身份验证的一般信息，请参阅 Microsoft 信任https://technet.microsoft.com/pt-pt/library/cc755321(v=ws.10).aspx的安全注意事项 TechNet。

  7. 对于条件转发器，键入您的自管理 DNS 服务器的 IP 地址（例如，对于 IPv4 为 172.16.10.153 或对于 IPv6 为 2001:db8:: 1）。如果以前创建过条件转发服务器，则可键入自托管式域的 FQDN，而不是 DNS IP 地址。

  8. （可选）选择添加其他 IP 地址，然后键入另一台自托管式 DNS 服务器的 IP 地址。可以为每台适用的 DNS 服务器地址重复此步骤，总共可输入四个地址。同时支持 IPv4 和 IPv6 地址。

  9. 选择添加。

  10. 如果自托管式域的 DNS 服务器或网络使用公有（非 RFC 1918）IP 地址空间，则转到 IP 路由选择部分，选择操作，然后选择添加路由。使用 CIDR 格式键入您的 DNS 服务器或自我管理网络的 IP 地址块，例如 203.0.113。0/24 对于 IPv4 或 2001: db8:: /32 用于 IPv6。如果 DNS 服务器和自托管式网络均使用 RFC 1918 IP 地址空间，此步骤并不是必要的。

    注意

    如果使用公有 IP 地址空间，请确保您不会使用 AWS IP 地址范围内的任何地址，因为无法使用它们。

  11. （可选）我们建议，当您位于添加路由页面上时，您还可以选择向此目录的 VPC 的安全组添加路由。这样会按照上面“配置 VPC”中的详细说明来配置安全组。这些安全规则会影响未公开的内部网络接口。如果此选项不可用，则您会看到一条消息，指示已自定义了安全组。

必须对两个域都设置信任关系。关系必须互相补充。例如，如果在一个域上创建传出信任，则必须在另一个域上创建传入信任。

如果要创建与现有域的信任关系，则使用 Windows Server 管理工具对该域设置信任关系。

你可以在你的微软托 AWS 管广告和各个 Active Directory 域之间创建多个信任。但是，每次只能有一个信任关系存在。例如，如果您在 “传入方向” 中存在单向信任，然后想要在 “传出方向” 建立另一个信任关系，则需要删除现有的信任关系，并创建一个新的 “Two-way” 信任。

验证传出信任关系

  1. 打开 AWS Directory Service 控制台。

  2. 在目录页面上，选择您的 AWS 托管微软 AD ID。

  3. 在报告详细信息页面上，执行以下操作之一：

    • 如果您在 “Multi-Region复制” 下显示了多个区域，请选择主区域，然后选择 “网络和安全” 选项卡。有关更多信息，请参阅 主区域与其他区域。

    • 如果Multi-Region复制下方没有显示任何区域，请选择 “网络和安全” 选项卡。

  4. 在信任关系部分中，选择您想要验证的信任，选择操作，然后选择验证信任关系。

此过程仅验证双向信任的传出方向。 AWS 不支持验证传入的信任。有关如何验证与您自行管理的 Active Directory 之间的信任的更多信息，请参阅在 Microsoft TechNet 上验证信任。

删除现有信任关系

  1. 打开 AWS Directory Service 控制台。

  2. 在目录页面上，选择您的 AWS 托管微软 AD ID。

  3. 在报告详细信息页面上，执行以下操作之一：

    • 如果您在 “Multi-Region复制” 下显示了多个区域，请选择主区域，然后选择 “网络和安全” 选项卡。有关更多信息，请参阅 主区域与其他区域。

    • 如果Multi-Region复制下方没有显示任何区域，请选择 “网络和安全” 选项卡。

  4. 在信任关系部分中，选择您想要删除的信任，选择操作，然后选择删除信任关系。

  5. 选择删除。