設定自我管理 Active Directory

以網域管理員身分連線至您的 AD 網域。

開啟 Active Directory 使用者和電腦，然後選取您要在其中建立 OU 的網域。

開啟網域的內容選單，選擇新增，然後選擇組織單位。

輸入 OU 的名稱。

保持選取保護容器免遭意外刪除的方塊。

選擇確定。您的新 OU 會出現在您的網域下方。

開啟 Active Directory 使用者和電腦，然後選取您要在其中建立使用者的網域。

開啟使用者的內容選單，選擇新增，然後選擇使用者。

輸入使用者的名字、姓氏和登入名稱。選擇下一步。

輸入使用者的密碼。不要選取 使用者必須在下次登入時變更密碼。不選取帳戶已停用。選擇下一步。

選擇確定。您的新使用者會出現在您的網域下。

開啟 Active Directory 使用者和電腦 Microsoft 管理主控台 (MMC) Snap-in，然後選取您要建立使用者的網域。

開啟您先前建立之 OU 的內容選單，然後選擇委派控制。

在控制委派精靈上，選擇下一步。

在使用者或群組區段中，選擇新增。

在選取使用者、電腦或群組區段中，輸入您建立的 AD 網域服務帳戶，然後選擇檢查名稱。如果您的 AD 網域服務帳戶檢查成功，請選擇確定。

在使用者或群組區段中，確認您的 AD 網域服務帳戶已新增，然後選擇下一步。

在要委派的任務區段中，選擇建立要委派的自訂任務，然後選擇下一步。

在 Active Directory 物件類型區段上：

1. 選擇僅限資料夾中的下列物件。

2. 選取使用者物件。

3. 選取在此資料夾中建立選取的物件。

4. 選取刪除此資料夾中選取的物件，然後選擇下一步。

在許可區段上：

1. 保持選取一般。

2. 選取屬性特定。

3. 選取建立/刪除特定子物件。

4. 選取重設密碼。

5. 選取讀取 msDS-SupportedEncryptionTypes。

6. 選取寫入 msDS-SupportedEncryptionTypes。

若要完成控制委派精靈，請檢閱並確認您的設定，然後選擇完成。

在 https：//https://console.aws.amazon.com/kms/ 開啟 AWS KMS 主控台。選擇建立金鑰。

對於金鑰類型，選擇對稱。

對於金鑰用途，選擇加密和解密。

針對 Advanced options (進階選項)：

1. 對於金鑰材料來源，選擇 KMS。

2. 針對區域性，選擇單一區域金鑰，然後選擇下一步。

對於別名，提供 KMS 金鑰的名稱。

(選用) 對於描述，提供 KMS 金鑰的描述。

（選用） 對於標籤，提供 KMS 金鑰的標籤，然後選擇下一步。

對於金鑰管理員，提供 IAM 使用者的名稱，然後選取該名稱。

針對金鑰刪除，請保留選取允許金鑰管理員刪除此金鑰的方塊，然後選擇下一步。

對於金鑰使用者，提供上一個步驟中相同的 IAM 使用者，然後選取該使用者。選擇下一步。

檢閱組態。

對於金鑰政策，在政策聲明中包含下列內容：

{
    "Sid": "Allow use of the KMS key on behalf of RDS",
    "Effect": "Allow",
    "Principal": {
        "Service": [
            "rds.amazonaws.com"
        ]
    },
    "Action": "kms:Decrypt",
    "Resource": "*"
}

選擇完成。

在 https：//https://console.aws.amazon.com/secretsmanager/ 開啟 AWS Secrets Manager 主控台。選擇存放新的機密。

針對機密類型，選擇其他類型的機密。

對於金鑰/值對，新增兩個金鑰：

1. 對於第一個金鑰，輸入 SELF_MANAGED_ACTIVE_DIRECTORY_USERNAME。

2. 對於第一個金鑰的值，僅輸入 AD 使用者的使用者名稱 (不含網域字首)。請勿包含網域名稱，因為這會導致執行個體建立失敗。

3. 對於第二個金鑰，輸入 SELF_MANAGED_ACTIVE_DIRECTORY_PASSWORD。

4. 對於第二個金鑰的值，輸入您在網域上為 AD 使用者建立的密碼。

針對加密金鑰，輸入您在上一個步驟中建立的 KMS 金鑰，然後選擇下一步。

對於秘密名稱，輸入可協助您稍後尋找密碼的描述性名稱。

(選用) 對於描述，輸入秘密名稱的描述。

針對資源許可，選擇編輯。

請將下列政策新增至許可政策：

{
    "Version":"2012-10-17",
    "Statement":
    [
        {
            "Effect": "Allow",
            "Principal":
            {
                "Service": "rds.amazonaws.com"
            },
            "Action": "secretsmanager:GetSecretValue",
            "Resource": "*",
            "Condition":
            {
                "StringEquals":
                {
                    "aws:sourceAccount": "123456789012"
                },
                "ArnLike":
                {
                    "aws:sourceArn": "arn:aws:rds:us-west-2:123456789012:db:*"
                }
            }
        }
    ]
}

選擇儲存，然後選擇下一步。

對於設定輪換設定，保留預設值並選擇下一步。

檢閱秘密的設定，然後選擇儲存。

選擇您建立的秘密，然後複製秘密 ARN 的值。在下一個步驟中使用此值來設定自我管理 Active Directory。