将亚马逊 EC2 Linux 实例无缝加入你的 AWS 托管微软 AD 活动目录 - AWS Directory Service
先决条件无缝加入你的 Linux 实例

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

将亚马逊 EC2 Linux 实例无缝加入你的 AWS 托管微软 AD 活动目录

此过程将亚马逊 EC2 Linux 实例无缝连接到您的 AWS 托管微软 AD 活动目录。如果您需要跨多个 AWS 账户进行无缝域加入，则可以选择启用目录共享。

支持以下 Linux 实例分发版和版本：

  • 亚马逊 Linux AMI 2018.03.0

  • Amazon Linux 2（64 位 x86）

  • 红帽企业 Linux 8 (HVM) (64 位 x86)

  • Ubuntu Server 18.04 LTS 和 Ubuntu Server 16.04 LTS

  • CentOS 7 x86-64

  • SUSELinux 企业服务器 15 SP1

注意

Ubuntu 14 和 Red Hat Enterprise Linux 7 之前的发行版不支持无缝域加入功能。

有关将 Linux 实例无缝加入 AWS 托管 Microsoft AD Active Directory 的过程的演示，请 YouTube 观看以下视频。

先决条件

在设置无缝域加入到 Linux 实例之前，您需要完成本节中的步骤。

选择无缝域名加入服务账户

你可以将 Linux 计算机无缝加入你的 AWS 托管微软 AD Active Directory 域。要执行此操作，您必须使用一个具有创建计算机账户权限的用户账户，才能将计算机加入域。尽管 AWS 委托管理员或其他组的成员可能有足够的权限将计算机加入域，但我们不建议使用这些角色。作为最佳实践，我们建议您使用具有将计算机加入域所需最低权限的服务账户。

要委托具有将计算机加入域所需的最低权限的帐户，可以运行以下 PowerShell 命令。您必须在已安装 为托管的 Microsoft AD 安装活动目录 AWS 管理工具 的已加入域的 Windows 计算机上运行这些命令。此外，您必须使用有权修改您的计算机 OU 或容器权限的账户。该 PowerShell 命令设置权限，允许服务帐户在域的默认计算机容器中创建计算机对象。

$AccountName = 'awsSeamlessDomain'
# DO NOT modify anything below this comment.
# Getting Active Directory information.
Import-Module 'ActiveDirectory'
$Domain = Get-ADDomain -ErrorAction Stop
$BaseDn = $Domain.DistinguishedName
$ComputersContainer = $Domain.ComputersContainer
$SchemaNamingContext = Get-ADRootDSE | Select-Object -ExpandProperty 'schemaNamingContext'
[System.GUID]$ServicePrincipalNameGuid = (Get-ADObject -SearchBase $SchemaNamingContext -Filter { lDAPDisplayName -eq 'Computer' } -Properties 'schemaIDGUID').schemaIDGUID
# Getting Service account Information.
$AccountProperties = Get-ADUser -Identity $AccountName
$AccountSid = New-Object -TypeName 'System.Security.Principal.SecurityIdentifier' $AccountProperties.SID.Value
# Getting ACL settings for the Computers container.
$ObjectAcl = Get-ACL -Path "AD:\$ComputersContainer" 
# Setting ACL allowing the service account the ability to create child computer objects in the Computers container.
$AddAccessRule = New-Object -TypeName 'System.DirectoryServices.ActiveDirectoryAccessRule' $AccountSid, 'CreateChild', 'Allow', $ServicePrincipalNameGUID, 'All'
$ObjectAcl.AddAccessRule($AddAccessRule)
Set-ACL -AclObject $ObjectAcl -Path "AD:\$ComputersContainer"

如果您更喜欢使用图形用户界面 (GUI)，则可以使用中所述的手动流程向您的服务账户委派权限。

创建密钥以存储域服务账户

您可以使用 AWS Secrets Manager 存储域名服务帐户。

创建密钥并存储域服务账户信息

  1. 登录 AWS Management Console 并打开 AWS Secrets Manager 控制台，网址为https://console.aws.amazon.com/secretsmanager/。

  2. 选择 存储新密钥。

  3. 在 Store a new secret（存储新密钥）页面上，执行以下操作：

    1. 在密钥类型下，选择其他密钥类型。

    2. 在 “键/值对” 下，执行以下操作：

      1. 在第一个框中，输入 awsSeamlessDomainUsername。在同一行的下一个框中，输入您的服务帐号的用户名。例如，如果您之前使用过该 PowerShell 命令，则服务帐户名称将为awsSeamlessDomain。

        注意

        必须完全按照原样输入 awsSeamlessDomainUsername。确保前后均没有任何空格。否则，域加入将失败。

        在 AWS Secrets Manager 控制台的 “选择密钥类型” 页面上。在密钥类型下选择其他类型的密钥并作为密钥awsSeamlessDomainUsername值输入。

      2. 选择添加行。

      3. 在新行的第一个框中输入 awsSeamlessDomainPassword。在同一行的下一个框中，输入服务账户密码。

        注意

        必须完全按照原样输入 awsSeamlessDomainPassword。确保前后均没有任何空格。否则，域加入将失败。

      4. 在 “加密密钥” 下，保留默认值aws/secretsmanager。 AWS Secrets Manager 当您选择此选项时，始终会对密钥进行加密。您也可以选择您创建的密钥。

        注意

        根据您使用的密钥 AWS Secrets Manager，会收取与之相关的费用。有关当前完整定价列表，请参阅 AWS Secrets Manager 定价。

        你可以使用 Secrets Manager 创建aws/secretsmanager的 AWS 托管密钥来免费加密你的秘密。如果您创建自己的KMS密钥来加密您的机密，则按当前费 AWS KMS 率向您 AWS 收费。有关更多信息，请参阅AWS Key Management Service 定价。

      5. 选择下一步。

  4. 在 “密钥名称” 下，使用以下格式输入包含您的目录 ID 的机密名称，替换 d-xxxxxxxxx 使用您的目录 ID：

    aws/directory-services/d-xxxxxxxxx/seamless-domain-join

    这将用于检索应用程序中的密钥。

    注意

    必须aws/directory-services/d-xxxxxxxxx/seamless-domain-join完全按原样输入，但要替换 d-xxxxxxxxxx 使用您的目录 ID。确保前后均没有空格。否则，域加入将失败。

    在 AWS Secrets Manager 控制台的配置密钥页面上。输入并突出显示机密名称。

  5. 将其他所有内容都设置为默认值，然后选择下一步。

  6. 在配置自动轮换下，选择禁用自动轮换，然后选择下一步。

    存储此密钥后，您可以为其开启轮换功能。

  7. 查看设置，然后选择存储以保存更改。Secrets Manager 控制台将返回您账户中的密钥列表，并且列表中现在包含新的密钥。

  8. 从列表中选择您新创建的密钥名称，并记下密钥ARN值。您需要在下一部分中使用该名称。

开启域名服务账户密钥的轮换

我们建议您定期轮换密钥以改善您的安全状况。

启用域名服务账户密钥的轮换

创建所需的IAM策略和角色

使用以下先决条件创建自定义策略，该策略允许对您的 Secrets Manager 无缝域加入密钥（您之前创建的）进行只读访问，并创建新的 Linux EC2DomainJoin IAM 角色。

创建 Secrets Manager IAM 读取策略

您可以使用IAM控制台创建策略，授予对您的 Secrets Manager 密钥的只读访问权限。

要创建 Secrets Manager，IAM请阅读策略

  1. 以有权创建IAM策略的用户 AWS Management Console 身份登录。然后打开IAM控制台，网址为https://console.aws.amazon.com/iam/。

  2. 在导航窗格的 “访问管理” 中，选择 “策略”。

  3. 选择创建策略。

  4. 选择JSON选项卡并复制以下JSON策略文档中的文本。然后将其粘贴到JSON文本框中。

    注意

    请务必将区域和资源ARN替换为实际区域和您之前创建ARN的密钥。

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue",
                "secretsmanager:DescribeSecret"
            ],
            "Resource": [
                "arn:aws:secretsmanager:us-east-1:xxxxxxxxx:secret:aws/directory-services/d-xxxxxxxxx/seamless-domain-join"
            ]
        }
    ]
}

  5. 完成后，选择下一步。策略验证程序将报告任何语法错误。有关更多信息，请参阅验证IAM策略。

  6. 在检查策略页面上，输入一个策略名称，例如 SM-Secret-Linux-DJ-d-xxxxxxxxxx-Read。查看摘要部分，以查看您的策略授予的权限。选择创建策略，保存更改。托管策略列表中将显示新策略，并且现在已准备好附加到身份中。

注意

我们建议您为每个密钥创建一个策略。这样做可以确保实例只能访问相应的密钥，并在实例受损时将影响降至最低。

创建 Linux EC2DomainJoin 角色

您可以使用IAM控制台创建用于加入您的 Linux EC2 实例的域名的角色。

创建 Linux EC2DomainJoin 角色

  1. 以有权创建IAM策略的用户 AWS Management Console 身份登录。然后打开IAM控制台，网址为https://console.aws.amazon.com/iam/。

  2. 在导航窗格中的访问管理下，选择角色。

  3. 在内容窗格中，选择创建角色。

  4. 在选择受信任实体的类型下，选择 AWS 服务。

  5. 在 “用例” 下，选择 EC2，然后选择 “下一步”。

    在IAM控制台的 “选择可信实体” 页面上。 AWS 服务并EC2被选中。

  6. 对于筛选策略，执行以下操作：

    1. 输入 AmazonSSMManagedInstanceCore。然后选择列表中该项目的复选框。

    2. 输入 AmazonSSMDirectoryServiceAccess。然后选择列表中该项目的复选框。

    3. 输入 SM-Secret-Linux-DJ-d-xxxxxxxxxx-Read（或您在上一过程中创建的策略名称）。然后选择列表中该项目的复选框。

    4. 添加上面列出的三个策略后，选择创建角色。

    注意

    A mazonSSMDirectory ServiceAccess 提供将实例加入的权限 Active Directory 由... 管理 AWS Directory Service。A mazonSSMManaged InstanceCore 提供使用该 AWS Systems Manager 服务所需的最低权限。有关创建具有这些权限的角色的更多信息，以及您可以分配给IAM角色的其他权限和策略的信息，请参阅AWS Systems Manager 用户指南中的为 S ystems Manager 创建IAM实例配置文件。

  7. 在角色名称字段中输入新角色的名称，例如LinuxEC2DomainJoin或其他您喜欢的名称。

  8. （可选）对于角色描述，请输入描述。

  9. （可选）在 “步骤 3：添加标签” 下选择 “添加新标签” 以添加标签。标签键值对用于组织、跟踪或控制此角色的访问权限。

  10. 选择 Create role（创建角色）。

无缝加入你的 Linux 实例

无缝加入你的 Linux 实例

  1. 登录 AWS Management Console 并打开 Amazon EC2 控制台，网址为https://console.aws.amazon.com/ec2/。

  2. 从导航栏的区域选择器中，选择与现有目录 AWS 区域 相同的目录。

  3. 在EC2控制面板的启动实例部分，选择启动实例。

  4. 在启动实例页面的名称和标签部分下，输入您要用于 Linux EC2 实例的名称。

  5. （可选）选择 “添加其他标签” 以添加一个或多个标签键值对，以组织、跟踪或控制此EC2实例的访问权限。

  6. 在 “应用程序和操作系统映像（Amazon 系统映像）” 部分，选择AMI要启动的 Linux。

    注意

    用户必须AMI有 AWS Systems Manager （SSM代理）版本 2.3.1644.0 或更高版本。要AMI通过从中启动实例来检查已安装的SSM代理版本AMI，请参阅获取当前安装的SSM代理版本。如果您需要升级SSM代理，请参阅在 Linux EC2 实例上安装和配置SSM代理。

    SSM将 Linux 实例加入时使用该aws:domainJoin插件 Active Directory 域。该插件将 Linux 实例的主机名更改为 EC2AMAZ-XXXXXXX。 有关的更多信息aws:domainJoin，请参阅《AWS Systems Manager 用户指南》中的AWS Systems Manager 命令文档插件参考。

  7. 在实例类型部分，从实例类型下拉列表中选择要使用的实例类型。

  8. 在密钥对（登录）部分，您可以选择创建新密钥对，或从现有密钥对中进行选择。要创建新的密钥对，请选择新建新密钥对。输入密钥对的名称，然后为密钥对类型和私钥文件格式选择一个选项。要以可与 Open 一起使用的格式保存私钥SSH，请选择 .pem。要以可用于 Pu 的格式保存私钥TTY，请选择 .ppk。选择创建密钥对。您的浏览器会自动下载私有密钥文件。将私有密钥文件保存在安全位置。

    重要

    这是您保存私有密钥文件的唯一机会。

  9. 在启动实例页面的网络设置部分下，选择编辑。从 VPC-必填下拉列表中选择创建目录的。VPC

  10. 从 “子网” 下拉列表VPC中选择您的一个公有子网。选择的子网必须将所有外部流量都路由到互联网网关。否则将无法远程连接到实例。

    有关如何连接互联网网关的更多信息，请参阅《亚马逊VPC用户指南》中的使用互联网网关连接互联网。

  11. 在自动分配公有 IP 下，选择启用。

    有关公有和私有 IP 地址的更多信息，请参阅亚马逊EC2用户指南中的亚马逊EC2实例 IP 地址。

  12. 对于防火墙（安全组）设置，您可以使用默认设置或进行更改以满足您的需求。

  13. 对于配置存储设置，您可以使用默认设置或进行更改以满足您的需求。

  14. 选择高级详细信息部分，从域加入目录下拉列表中选择您的域。

    注意

    选择域加入目录后，您可能会看到：

    选择您的域加入目录时出现错误消息。您的现有SSM文档存在错误。

    如果EC2启动向导识别出具有意外属性的现有SSM文档，则会出现此错误。您可以执行以下操作之一：

    • 如果您之前编辑了SSM文档并且属性符合预期，请选择关闭并继续启动EC2实例，而不做任何更改。

    • 选择 “在此处删除现有SSM文档” 链接以删除该SSM文档。这将允许创建具有正确属性的SSM文档。该SSM文档将在您启动EC2实例时自动创建。

  15. 对于配置IAM文件，请选择您之前在 “先决条件” 部分 “步骤 2：创建 Linux EC2DomainJoin 角色” 中创建的角色。IAM

  16. 选择启动实例。

注意

如果您要使用 SUSE Linux 进行无缝域加入，则需要重新启动才能进行身份验证。要SUSE从 Linux 终端重新启动，请键入 sudo reboot。