本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
# 將 Amazon EC2 執行個體加入 Simple AD 的方法
您可以在執行個體啟動時，將 Amazon EC2 執行個體無縫加入 Active Directory 網域。如需詳細資訊，請參閱[將 Amazon EC2 Windows 執行個體加入 AWS Managed Microsoft AD Active Directory](launching_instance.md)。您也可以啟動 EC2 執行個體，並透過[AWS Systems Manager 自動化](https://docs.aws.amazon.com/systems-manager/latest/userguide/systems-manager-automation.html)直接從 Directory Service 主控台加入 Active Directory 網域。
如果您需要手動將 EC2 執行個體加入 Active Directory 網域，您必須在適當的區域和安全群組或子網路中啟動執行個體，然後將執行個體加入網域。
若要從遠端連線到這些執行個體，您必須具備從來源網路連線到執行個體的 IP 連線能力。在大多數情況下，這需要將網際網路閘道連接到您的 VPC，而且執行個體必須具備公有 IP 地址。
**Topics**
+ [將 Amazon EC2 Windows 執行個體加入您的 Simple AD Active Directory](simple_ad_launching_instance.md)
+ [將 Amazon EC2 Linux 執行個體加入您的 Simple AD Active Directory](simple_ad_linux_domain_join.md)
+ [委派 Simple AD 的目錄聯結權限](simple_ad_directory_join_privileges.md)
+ [為 Simple AD 建立 DHCP 選項集](simple_ad_dhcp_options_set.md)
# 將 Amazon EC2 Windows 執行個體加入您的 Simple AD Active Directory
您可以啟動 Amazon EC2 Windows執行個體並將其加入 Simple AD。或者，您可以手動將現有的 EC2 Windows執行個體加入 Simple AD
------
#### [ Seamlessly join an EC2 Windows ]
若要無縫加入 EC2 執行個體的網域，您需要完成下列操作：
**先決條件**
+ 擁有 Simple AD 若要進一步了解，請參閱 [建立您的 Simple AD](simple_ad_getting_started.md#how_to_create_simple_ad)。
+ 您需要下列 IAM 許可才能無縫加入 EC2 Windows執行個體：
+ 具有下列 IAM 許可的 IAM 執行個體設定檔：
+ `AmazonSSMManagedInstanceCore`
+ `AmazonSSMDirectoryServiceAccess`
+ 將 EC2 加入 Simple AD 的使用者無縫網域需要下列 IAM 許可：
+ Directory Service 許可：
+ `"ds:DescribeDirectories"`
+ `"ds:CreateComputer"`
+ Amazon VPC 許可：
+ `"ec2:DescribeVpcs"`
+ `"ec2:DescribeSubnets"`
+ `"ec2:DescribeNetworkInterfaces"`
+ `"ec2:CreateNetworkInterface"`
+ `"ec2:AttachNetworkInterface"`
+ EC2 許可：
+ `"ec2:DescribeInstances"`
+ `"ec2:DescribeImages"`
+ `"ec2:DescribeInstanceTypes"`
+ `"ec2:RunInstances"`
+ `"ec2:CreateTags"`
+ AWS Systems Manager 許可：
+ `"ssm:DescribeInstanceInformation"`
+ `"ssm:SendCommand"`
+ `"ssm:GetCommandInvocation"`
+ `"ssm:CreateBatchAssociation"`
建立 Simple AD 時，會使用傳入和傳出規則建立安全群組。若要進一步了解這些規則和連接埠，請參閱 [使用 Simple AD 建立的內容](simple_ad_what_gets_created.md)。若要無縫加入 EC2 Windows執行個體，您要啟動執行個體的 VPC 應允許 Simple AD 安全群組傳入和傳出規則中允許的相同連接埠。
+ 根據您的網路安全和防火牆設定，您可能需要允許額外的傳出流量。此流量適用於 HTTPS （連接埠 443) 到下列端點：
****
[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/directoryservice/latest/admin-guide/simple_ad_launching_instance.html)
+ 我們建議您使用 DNS 伺服器來解析 Simple AD 網域名稱。若要這樣做，您可以建立 DHCP 選項集。如需詳細資訊，請參閱[為 Simple AD 建立 DHCP 選項集](simple_ad_dhcp_options_set.md)。
+ 如果您選擇不建立 DHCP 選項集，則 DNS 伺服器將是靜態的，並由 Simple AD 設定為 。
1. 登入 AWS 管理主控台 並開啟位於 https：//[https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/) 的 Amazon EC2 主控台。
1. 在導覽列中，選擇 AWS 區域 與現有目錄相同的 。
1. 在 **EC2 儀表板**的**啟動執行個體**區段中，選擇**啟動執行個體**。
1. 在**啟動執行個體**頁面上的**名稱和標籤**區段下，輸入您想要用於 Windows EC2 執行個體的名稱。
1. (選用) 針對**新增標籤**，新增一個或多個標籤鍵值對來組織、追蹤或控制對此 EC2 執行個體的存取。
1. 在**應用程式和作業系統映像 (Amazon Machine Image)** 區段中，選擇**快速啟動**窗格中的 **Windows**。您可以從 **Amazon Machine Image (AMI)**下拉式清單中變更 Windows Amazon Machine Image (AMI)。
1. 在**執行個體類型**區段中，從**執行個體類型**下拉式清單中選擇您要使用的執行個體類型。
1. 在**金鑰對 (登入)** 區段中，您可以選擇建立新金鑰對或從現有金鑰對中進行選擇。
1. 若要建立新的金鑰對，請選擇**建立新金鑰對**。
1. 輸入金鑰對的名稱，然後選取**金鑰對類型**和**私有金鑰檔案格式**的選項。
1. 若要將私有金鑰儲存為可與 OpenSSH 搭配使用的格式，請選擇 **.pem**。若要將私有金鑰儲存為可與 PuTTY 搭配使用的格式，請選擇 **.ppk**。
1. 選擇**建立金鑰對**。
1. 您的瀏覽器會自動下載私有金鑰檔案。將私有金鑰檔案存放在安全的地方。
**重要**
這是您儲存私有金鑰檔案的唯一機會。
1. 在**啟動執行個體**頁面上的**網路設定**區段下，選擇**編輯**。從 **VPC – *required*** 下拉式清單中選擇在其中建立目錄的 **VPC**。
1. 從**子網路**下拉式清單中選擇 VPC 中的公有子網路之一。您所選取的子網路必須將所有外部流量路由到網際網路閘道。如果沒有，則將無法從遠端連線到執行個體。
如需有關連線至網際網路閘道的詳細資訊，請參閱《Amazon VPC 使用者指南》**中的[使用網際網路閘道連線至網際網路](https://docs.aws.amazon.com//vpc/latest/userguide/VPC_Internet_Gateway.html)一節。
1. 在**自動指派公有 IP** 下，選擇**啟用**。
如需公有和私有 IP 定址的詳細資訊，請參閱《[Amazon EC2 使用者指南》中的 Amazon EC2 執行個體 IP 定址](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/using-instance-addressing.html)。 *Amazon EC2 *
1. 對於**防火牆 (安全群組)**設定，您可以使用預設設定或根據需要進行變更。
1. 對於**設定儲存**設定，您可以使用預設設定或根據需要進行變更。
1. 選取**進階詳細資訊**區段，從**域加入目錄**下拉式清單中選取域。
**注意**
選擇網域加入目錄後，您可能會看到：
![\[選取網域聯結目錄時的錯誤訊息。您現有的 SSM 文件發生錯誤。\]](http://docs.aws.amazon.com/zh_tw/directoryservice/latest/admin-guide/images/SSM-Error-Message.png)
如果 EC2 啟動精靈識別具有非預期屬性的現有 SSM 文件，就會發生此錯誤。您可以執行下列任一作業：
如果您先前已編輯 SSM 文件，且預期屬性，請選擇關閉並繼續啟動 EC2 執行個體，而不進行任何變更。
選取此處的刪除現有 SSM 文件連結，以刪除 SSM 文件。這將允許建立具有正確屬性的 SSM 文件。當您啟動 EC2 執行個體時，系統會自動建立 SSM 文件。
1. 對於 **IAM 執行個體設定檔**，您可以選取現有的 IAM 執行個體設定檔或建立新的設定檔。從 IAM 執行個體設定檔下拉式清單中選取具有 AWS **AmazonSSMManagedInstanceCore** 和 **AmazonSSMDirectoryServiceAccess** 受管政策的 **IAM 執行個體設定檔**。若要建立新的 IAM 設定檔，請選擇**建立新的 IAM 設定檔**連結，然後執行下列動作：
1. 選擇建**立角色**。
1. 在**選取信任的實體**下，選取 **AWS 服務**。
1. 在 **Use case** (使用案例) 下，選擇 **EC2**。
1. 在**新增許可**下的政策清單中，選取 **AmazonSSMManagedInstanceCore** 和 **AmazonSSMDirectoryServiceAccess** 政策。在搜尋方塊中，輸入 **SSM** 以篩選政策。選擇**下一步**。
**注意**
**AmazonSSMDirectoryServiceAccess** 提供將執行個體加入由 Directory Service管理的 Active Directory 的許可。**AmazonSSMManagedInstanceCore** 提供使用 AWS Systems Manager 服務所需的最低許可。有關建立具有這些許可的角色的更多資訊，以及有關可以指派給 IAM 角色的其他許可和政策的資訊，請參閱《AWS Systems Manager 使用者指南》**中的[為 Systems Manager 建立 IAM 執行個體設定檔](https://docs.aws.amazon.com/systems-manager/latest/userguide/setup-instance-profile.html)一節。
1. 在**命名、檢閱和建立**頁面上，針對**角色名稱**輸入角色名稱。您將需要此角色名稱來連接到 EC2 執行個體。
1. (選用) 您可以在**描述**欄位中提供 IAM 執行個體設定檔的描述。
1. 選擇建**立角色**。
1. 返回**啟動執行個體**頁面，然後選擇 **IAM 執行個體設定檔**旁的重新整理圖示。剛剛建立的 IAM 執行個體設定檔應顯示在 **IAM 執行個體設定檔**下拉式清單中。選擇這個新的設定檔並將其餘設定保留為預設值。
1. 選擇**啟動執行個體**。
------
#### [ Manually join an EC2 Windows ]
若要手動將現有的 Amazon EC2 Windows 執行個體加入 Simple AD Active Directory，必須使用 中指定的參數啟動執行個體[將 Amazon EC2 Windows 執行個體加入您的 Simple AD Active Directory](#simple_ad_launching_instance)。
您需要 Simple AD DNS 伺服器的 IP 地址。此資訊可在**目錄服務** > **目錄** > 目錄的**目錄 ID** 連結 > **目錄詳細資料**和**網路與安全**部分下找到。
![\[在 Directory Service 主控台的目錄詳細資訊頁面上， Directory Service 提供的 DNS 伺服器的 IP 地址會反白顯示。\]](http://docs.aws.amazon.com/zh_tw/directoryservice/latest/admin-guide/images/directory_details_highlighted.png)
**將 Windows 執行個體加入 Simple AD Active Directory**
1. 使用任何遠端桌面協定用戶端連線到執行個體。
1. 在執行個體上開啟 TCP/IPv4 屬性內容對話方塊。
1. 開啟 **Network Connections** (網路連線)。
**提示**
您可以在執行個體上，透過從命令提示執行下列命令，來直接開啟 **Network Connections** (網路連線)。
```
%SystemRoot%\system32\control.exe ncpa.cpl
```
1. 開啟任何已啟用網路連線的內容 (右鍵) 選單，然後選擇 **Properties** (內容)。
1. 在連線內容對話方塊中，開啟 (按兩下) **Internet Protocol Version 4** (網際網路協定第 4 版)。
1. 選取**使用下列 DNS 伺服器地址**，將**偏好的 DNS 伺服器**和**備用 DNS 伺服器**地址變更為 Simple AD 提供的 DNS 伺服器的 IP 地址，然後選擇**確定**。
![\[網際網路通訊協定第 4 版 (TCP/IPv4) 屬性對話方塊，其中反白顯示偏好的 DNS 伺服器和替代 DNS 伺服器欄位。\]](http://docs.aws.amazon.com/zh_tw/directoryservice/latest/admin-guide/images/dns_server_addresses.png)
1. 開啟執行個體的 **System Properties** (系統內容) 對話方塊，選取 **Computer Name** (電腦名稱) 標籤，然後選擇 **Change** (變更)。
**提示**
您可以在執行個體上，透過從命令提示執行下列命令，來直接開啟 **System Properties** (系統內容對話方塊)。
```
%SystemRoot%\system32\control.exe sysdm.cpl
```
1. 在**成員**欄位中，選取**網域**，輸入 Simple AD Active Directory 的完整名稱，然後選擇**確定**。
1. 當系統提示您輸入網域管理員的名稱和密碼時，請輸入具有網域加入權限的帳戶使用者名稱和密碼。如需委派這些權限的詳細資訊，請參閱「[委派 Simple AD 的目錄聯結權限](simple_ad_directory_join_privileges.md)」。
**注意**
您可以輸入網域的完整名稱或 NetBIOS 名稱，後面接著反斜線 (\$1)，然後輸入使用者名稱。使用者名稱為**管理員**。例如 **corp.example.com\$1administrator** 或 **corp\$1administrator**。
1. 收到歡迎您加入網域的訊息之後，請重新啟動執行個體，讓變更生效。
現在您的執行個體已加入 Simple AD Active Directory 網域，您可以遠端登入該執行個體，並安裝公用程式來管理目錄，例如新增使用者和群組。Active Directory 管理工具可用來建立使用者和群組。如需詳細資訊，請參閱[安裝 Simple AD 的 Active Directory 管理工具](simple_ad_install_ad_tools.md)。
------
# 將 Amazon EC2 Linux 執行個體加入您的 Simple AD Active Directory
您可以在 中啟動 Amazon EC2 Linux 執行個體並將其加入您的 Simple AD AWS 管理主控台。您也可以手動將 EC2 Linux 執行個體加入您的 Simple AD。
系統支援下列 Linux 執行個體分佈和版本：
+ Amazon Linux AMI 2018.03.0
+ Amazon Linux 2 (64 位元 x86)
+ Red Hat Enterprise Linux 8 (HVM) (64 位元 x86)
+ Ubuntu Server 18.04 LTS 及 Ubuntu Server 16.04 LTS
+ CentOS 7 x86-64
+ SUSE Linux Enterprise Server 15 SP1
**注意**
Ubuntu 14 和 Red Hat Enterprise Linux 7 和 8 之前的分佈不支援無縫網域聯結功能。
**Topics**
+ [將 Amazon EC2 Linux 執行個體無縫加入您的 Simple AD Active Directory](simple_ad_seamlessly_join_linux_instance.md)
+ [手動將 Amazon EC2 Linux 執行個體加入您的 Simple AD Active Directory](simple_ad_join_linux_instance.md)
# 將 Amazon EC2 Linux 執行個體無縫加入您的 Simple AD Active Directory
此程序會將 Amazon EC2 Linux 執行個體無縫加入您的 Simple AD Active Directory。
系統支援下列 Linux 執行個體分佈和版本：
+ Amazon Linux AMI 2018.03.0
+ Amazon Linux 2 (64 位元 x86)
+ Red Hat Enterprise Linux 8 (HVM) (64 位元 x86)
+ Ubuntu Server 18.04 LTS 及 Ubuntu Server 16.04 LTS
+ CentOS 7 x86-64
+ SUSE Linux Enterprise Server 15 SP1
**注意**
Ubuntu 14 和 Red Hat Enterprise Linux 7 和 8 之前的分佈不支援無縫網域聯結功能。
## 先決條件
您必須先完成本節中的程序，才能設定無縫網域加入 Linux 執行個體。
### 選取無縫域加入服務帳戶
您可以將 Linux 電腦無縫加入 Simple AD 域。為此，您必須建立一個具有建立電腦帳戶許可的使用者帳戶，才能將電腦加入域。儘管 *Domain Admins* 或其他群組的成員可能有足夠的權限將電腦加入域，但我們不建議這樣做。我們建議您使用具有將電腦加入域所需的最低權限的服務帳戶，這才是最佳做法。
如需如何處理並向服務帳戶委派許可以建立電腦帳戶的資訊，請參閱 [委派權限給您的服務帳戶](ad_connector_getting_started.md#connect_delegate_privileges)。
### 建立儲存域服務帳戶的機密
您可以使用 AWS Secrets Manager 來存放網域服務帳戶。如需詳細資訊，請參閱[建立 AWS Secrets Manager 秘密](https://docs.aws.amazon.com//secretsmanager/latest/userguide/create_secret.html)。
**注意**
Secrets Manager 需支付相關費用。如需詳細資訊，請參閱*AWS Secrets Manager 《 使用者指南*》中的 [定價](https://docs.aws.amazon.com//secretsmanager/latest/userguide/intro.html#asm_pricing)。
**建立機密並儲存域服務帳戶資訊**
1. 登入 AWS 管理主控台 ，並在 https：//[https://console.aws.amazon.com/secretsmanager/](https://console.aws.amazon.com/secretsmanager/) 開啟 AWS Secrets Manager 主控台。
1. 選擇 **Store a new secret** (存放新機密)。
1. 在 **Store a new secret** (儲存新機密) 頁面中，執行下列動作：
1. 在**秘密類型**下，選擇**其他類型的秘密**。
1. 在**鍵/值對**下，執行下列動作：
1. 在第一個方塊中，輸入 **awsSeamlessDomainUsername**。在相同資料列的下一個方塊中，輸入服務帳戶的使用者名稱。例如，如果您之前使用的是 PowerShell 命令，則服務帳戶名稱將為 **awsSeamlessDomain**。
**注意**
您必須輸入完全正確的 **awsSeamlessDomainUsername**。確認頭尾沒有任何空格。否則域加入將會失敗。
![\[在 AWS Secrets Manager 主控台的 中，選擇秘密類型頁面。其他類型的秘密是在秘密類型下選取awsSeamlessDomainUsername，並輸入 做為索引鍵值。\]](http://docs.aws.amazon.com/zh_tw/directoryservice/latest/admin-guide/images/secrets_manager_1.png)
1. 選擇**新增列**。
1. 在新的一列的第一個方塊中，輸入 **awsSeamlessDomainPassword**。在同一列的下一個方塊中，輸入服務帳戶的密碼。
**注意**
您必須輸入完全正確的 **awsSeamlessDomainPassword**。確認頭尾沒有任何空格。否則域加入將會失敗。
1. 在**加密金鑰下，**保留預設值 `aws/secretsmanager`。 選擇此選項時， AWS Secrets Manager 一律會加密秘密。您也可以選擇您建立的金鑰。
1. 選擇**下一步**。
1. 在**秘密名稱**下，使用下列格式輸入包含目錄 ID 的秘密名稱，將 *d-xxxxxxxxx* 取代為您的目錄 ID：
```
aws/directory-services/d-xxxxxxxxx/seamless-domain-join
```
這在應用程式中將用於擷取機密。
**注意**
您必須輸入完全正確的 **aws/directory-services/*d-xxxxxxxxx*/seamless-domain-join**，但需要將 *d–xxxxxxxxxx* 替換為目錄 ID。確認頭尾沒有任何空格。否則域加入將會失敗。
![\[在 AWS Secrets Manager 主控台的設定秘密頁面上。已輸入秘密名稱並反白顯示。\]](http://docs.aws.amazon.com/zh_tw/directoryservice/latest/admin-guide/images/secrets_manager_2.png)
1. 將其他所有設定保留為預設值，然後選擇**下一步**。
1. 針對**設定自動輪換**，選擇**停用自動輪換**，然後選擇**下一步**。
您可以在存放後開啟此秘密的輪換。
1. 檢查設定，然後選擇**儲存**以儲存變更。Secrets Manager 主控台會傳回帳戶中的秘密清單，清單中包含現在的新秘密。
1. 從清單中選擇您新建立的機密名稱，並記下 **Secret ARN** 值。您會在下一節中用到它。
### 開啟網域服務帳戶秘密的輪換
我們建議您定期輪換秘密，以改善您的安全狀態。
**開啟網域服務帳戶秘密的輪換**
+ 請遵循*AWS Secrets Manager 《 使用者指南*》中[設定 AWS Secrets Manager 秘密的自動輪換](https://docs.aws.amazon.com/secretsmanager/latest/userguide/rotate-secrets_turn-on-for-other.html)中的指示。
對於步驟 5，請使用*AWS Secrets Manager 《 使用者指南*》中的輪換範本 [Microsoft Active Directory 登入](https://docs.aws.amazon.com/secretsmanager/latest/userguide/reference_available-rotation-templates.html#template-AD-password)資料。
如需協助，請參閱*AWS Secrets Manager 《 使用者指南*》中的[疑難排解 AWS Secrets Manager 輪換](https://docs.aws.amazon.com/secretsmanager/latest/userguide/troubleshoot_rotation.html)。
### 建立必要的 IAM 政策和角色
透過下列步驟建立自訂政策，以允許對 Secrets Manager 無縫域加入機密 (您先前建立的) 進行唯讀存取，以及建立新的 LinuxEC2DomainJoin IAM 角色。
#### 建立 Secrets Manager IAM 讀取政策
您需要使用 IAM 主控台建立一個政策，授予對 Secrets Manager 機密的唯讀存取權。
**建立 Secrets Manager IAM 讀取政策**
1. 以具有建立 IAM 政策許可的使用者 AWS 管理主控台 身分登入 。前往網址 [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/) 開啟 IAM 主控台。
1. 在導覽窗格中，**存取管理**，選擇**政策**。
1. 選擇**建立政策**。
1. 選擇 **JSON** 標籤並從下列 JSON 政策文件複製文字。然後將其貼到 **JSON** 文字方塊中。
**注意**
請務必將區域和資源 ARN 取代為您先前建立之秘密的實際區域和 ARN。
```
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"secretsmanager:GetSecretValue",
"secretsmanager:DescribeSecret"
],
"Resource": [
"arn:aws:secretsmanager:us-east-1:xxxxxxxxx:secret:aws/directory-services/d-xxxxxxxxx/seamless-domain-join"
]
}
]
}
```
1. 完成時，選擇 **Next (下一步)**。政策驗證程式會回報任何語法錯誤。如需詳細資訊，請參閱[驗證 IAM 政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_policy-validator.html)。
1. 在**檢閱政策**頁面上，輸入政策的名稱，例如 **SM-Secret-Linux-DJ-*d-xxxxxxxxxx*-Read**。檢閱**摘要**區段來查看您的政策所授予的許可。然後選擇**建立政策**來儲存變更。新的政策會出現在受管政策清單中，並且已準備好連接至身分。
**注意**
我們建議您為每個機密建立一個政策。這樣做可以確保執行個體只能存取適當的機密，並在執行個體受到入侵時將影響降至最低。
#### 建立 LinuxEC2DomainJoin 角色
您可以使用 IAM 主控台建立將用於域加入 Linux EC2 執行個體的角色。
**建立 LinuxEC2DomainJoin 角色**
1. 以具有建立 IAM 政策許可的使用者 AWS 管理主控台 身分登入 。前往網址 [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/) 開啟 IAM 主控台。
1. 在導覽窗格的**存取管理**下，選擇**角色**。
1. 在內容窗格中，選擇**建立角色**。
1. 在 **Select type of trusted entity** (選擇可信任執行個體類型) 下，選擇 **AWS service** ( 服務)。
1. 在**使用案例中**，選擇 **EC2**，然後選擇**下一步**。
![\[在 IAM 主控台中，選取信任的實體 page. AWS service 和 EC2。\]](http://docs.aws.amazon.com/zh_tw/directoryservice/latest/admin-guide/images/iam-console-trusted-entity.png)
1. 對於**篩選政策**，請執行下列操作：
1. 輸入 **AmazonSSMManagedInstanceCore**。然後選取清單中相應項目的核取方塊。
1. 輸入 **AmazonSSMDirectoryServiceAccess**。然後選取清單中相應項目的核取方塊。
1. 輸入 **SM-Secret-Linux-DJ-*d-xxxxxxxxxx*-Read** 或您在上一個程序中建立的 IAM 政策名稱。然後選取清單中相應項目的核取方塊。
1. 新增上述三個政策後，選取**建立角色**。
**注意**
AmazonSSMDirectoryServiceAccess 提供將執行個體加入由 Directory Service管理的 Active Directory 的許可。AmazonSSMManagedInstanceCore 提供使用 AWS Systems Manager 服務所需的最低許可。有關建立具有這些許可的角色的更多資訊，以及有關可以指派給 IAM 角色的其他許可和政策的資訊，請參閱《AWS Systems Manager 使用者指南》**中的[為 Systems Manager 建立 IAM 執行個體設定檔](https://docs.aws.amazon.com/systems-manager/latest/userguide/setup-instance-profile.html)一節。
1. 在角色名稱欄位中輸入新角色的名稱，例如 **LinuxEC2DomainJoin**或您偏好的另一個**名稱**。
1. (選用) 針對 **Role description (角色描述)**，輸入描述。
1. （選用） 選擇**步驟 3：新增標籤**以新增標籤下的**新增**標籤。標籤鍵值對用於組織、追蹤或控制此角色的存取。
1. 選擇建**立角色**。
## 將 Linux 執行個體無縫加入您的 Simple AD Active Directory
**無縫加入您的 Linux 執行個體**
1. 登入 AWS 管理主控台 ，並在 [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/)：// 開啟 Amazon EC2 主控台。
1. 從導覽列的區域選擇器中，選擇 AWS 區域 與現有目錄相同的 。
1. 在 **EC2 儀表板**的**啟動執行個體**區段中，選擇**啟動執行個體**。
1. 在**啟動執行個體**頁面**的名稱和標籤**區段下，輸入您要用於 Linux EC2 執行個體的名稱。
1. *（選用）* 選擇**新增其他標籤**以新增一或多個標籤鍵值對，以組織、追蹤或控制此 EC2 執行個體的存取。
1. 在**應用程式和作業系統映像 (Amazon Machine Image)** 區段中，選擇您要啟動的 Linux AMI。
**注意**
使用的 AMI 必須具有 AWS Systems Manager (SSM Agent) 2.3.1644.0 版或更新版本。若要透過從 AMI 啟動執行個體來檢查 AMI 中已安裝的 SSM 代理程式版本，請參閱[取得目前安裝的 SSM 代理程式版本](https://docs.aws.amazon.com/systems-manager/latest/userguide/ssm-agent-get-version.html)。如需升級 SSM 代理程式，請參閱[在適用於 Linux 的 EC2 執行個體上安裝和設定 SSM 代理程式](https://docs.aws.amazon.com/systems-manager/latest/userguide/sysman-install-ssm-agent.html)。
SSM 在將 Linux 執行個體加入 Active Directory 網域時使用 `aws:domainJoin` 外掛程式。外掛程式會將 Linux 執行個體的主機名稱變更為 EC2AMAZ-*XXXXXXX* 格式。如需 的詳細資訊`aws:domainJoin`，請參閱*AWS Systems Manager 《 使用者指南*》中的[AWS Systems Manager 命令文件外掛程式參考](https://docs.aws.amazon.com//systems-manager/latest/userguide/documents-command-ssm-plugin-reference.html#aws-domainJoin)。
1. 在**執行個體類型**區段中，從**執行個體類型**下拉式清單中選擇您要使用的執行個體類型。
1. 在**金鑰對 (登入)** 區段中，您可以選擇建立新金鑰對或從現有金鑰對中進行選擇。若要建立新的金鑰對，請選擇**建立新金鑰對**。輸入金鑰對的名稱，然後選取**金鑰對類型**和**私有金鑰檔案格式**的選項。若要將私有金鑰儲存為可與 OpenSSH 搭配使用的格式，請選擇 **.pem**。若要將私有金鑰儲存為可與 PuTTY 搭配使用的格式，請選擇 **.ppk**。選擇**建立金鑰對**。您的瀏覽器會自動下載私有金鑰檔案。將私有金鑰檔案存放在安全的地方。
**重要**
這是您儲存私有金鑰檔案的唯一機會。
1. 在**啟動執行個體**頁面上的**網路設定**區段下，選擇**編輯**。從 **VPC – *required*** 下拉式清單中選擇在其中建立目錄的 **VPC**。
1. 從**子網路**下拉式清單中選擇 VPC 中的公有子網路之一。您所選取的子網路必須將所有外部流量路由到網際網路閘道。如果沒有，則將無法從遠端連線到執行個體。
如需有關連線至網際網路閘道的詳細資訊，請參閱《Amazon VPC 使用者指南》**中的[使用網際網路閘道連線至網際網路](https://docs.aws.amazon.com//vpc/latest/userguide/VPC_Internet_Gateway.html)一節。
1. 在**自動指派公有 IP** 下，選擇**啟用**。
如需公有和私有 IP 定址的詳細資訊，請參閱《[Amazon EC2 使用者指南》中的 Amazon EC2 執行個體 IP 定址](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/using-instance-addressing.html)。 *Amazon EC2 *
1. 對於**防火牆 (安全群組)**設定，您可以使用預設設定或根據需要進行變更。
1. 對於**設定儲存**設定，您可以使用預設設定或根據需要進行變更。
1. 選取**進階詳細資訊**區段，從**域加入目錄**下拉式清單中選取域。
**注意**
選擇網域加入目錄後，您可能會看到：
![\[選取網域聯結目錄時的錯誤訊息。您現有的 SSM 文件發生錯誤。\]](http://docs.aws.amazon.com/zh_tw/directoryservice/latest/admin-guide/images/SSM-Error-Message.png)
如果 EC2 啟動精靈識別具有非預期屬性的現有 SSM 文件，就會發生此錯誤。您可以執行下列任一作業：
如果您先前已編輯 SSM 文件，且預期屬性，請選擇關閉並繼續啟動 EC2 執行個體，而不進行任何變更。
選取此處的刪除現有 SSM 文件連結，以刪除 SSM 文件。這將允許建立具有正確屬性的 SSM 文件。當您啟動 EC2 執行個體時，系統會自動建立 SSM 文件。
1. 針對 **IAM 執行個體描述檔**，選擇您先前在先決條件區段 **步驟 2：建立 LinuxEC2DomainJoin 角色中建立的 IAM 角色**。
1. 選擇**啟動執行個體**。
**注意**
如果您使用 SUSE Linux 執行無縫域加入，則需要重新啟動才能進行身分驗證。若要從 Linux 終端重新啟動 SUSE，請鍵入 **sudo reboot**。
# 手動將 Amazon EC2 Linux 執行個體加入您的 Simple AD Active Directory
除了 Amazon EC2 Windows 執行個體之外，您也可以將特定 Amazon EC2 Linux 執行個體加入 Simple AD Active Directory。系統支援下列 Linux 執行個體分佈和版本：
+ Amazon Linux AMI 2018.03.0
+ Amazon Linux 2 (64 位元 x86)
+ Amazon Linux 2023 AMI
+ Red Hat Enterprise Linux 8 (HVM) (64 位元 x86)
+ Ubuntu Server 18.04 LTS 及 Ubuntu Server 16.04 LTS
+ CentOS 7 x86-64
+ SUSE Linux Enterprise Server 15 SP1
**注意**
其他 Linux 分佈和版本也許能正常運作，但尚未經過測試。
## 先決條件
在將 Amazon Linux、CentOS、Red Hat 或 Ubuntu 執行個體加入目錄之前，必須先依照 [將 Amazon EC2 Linux 執行個體無縫加入您的 Simple AD Active Directory](simple_ad_seamlessly_join_linux_instance.md) 中的指定啟動執行個體。
**重要**
以下某些程序若未正確執行，可能會導致您的執行個體無法連線或無法使用。因此，我們強烈建議您在執行這些程序之前，對您的執行個體進行備份或擷取快照。
**將 Linux 執行個體加入您的目錄**
使用以下其中一個標籤，依照您的特定 Linux 執行個體的步驟：
------
#### [ Amazon Linux ]
1. 使用任何 SSH 用戶端連線到執行個體。
1. 設定 Linux 執行個體以使用 Directory Service所提供 DNS 伺服器的 DNS 伺服器 IP 地址。欲執行此作業，您可以在連接到 VPC 的 DHCP 選項集中進行設定，或在執行個體上手動設定。如果您想要手動進行設定，請參閱 AWS 知識中心的[如何將靜態 DNS 伺服器指派給私有 Amazon EC2 執行個體](https://aws.amazon.com/premiumsupport/knowledge-center/ec2-static-dns-ubuntu-debian/)，了解為特定 Linux 分佈和版本設定持久性 DNS 伺服器的方式。
1. 請確定您的 Amazon Linux - 64 位元執行個體處於最新狀態。
```
sudo yum -y update
```
1. 在您的 Linux 執行個體上安裝所需的 Amazon Linux 套件。
**注意**
系統可能已安裝其中一些套裝服務。
在安裝套件時，可能會出現好幾個跳出式設定畫面。您通常可以將這些畫面中的欄位留白。
Amazon Linux
```
sudo yum install samba-common-tools realmd oddjob oddjob-mkhomedir sssd adcli krb5-workstation
```
**注意**
如需協助確定您所使用的 Amazon Linux 版本，請參閱 《Amazon EC2 Linux 執行個體使用者指南》**中的[識別 Amazon Linux 映像](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/amazon-linux-ami-basics.html#amazon-linux-image-id)。
1. 使用下列命令將執行個體加入目錄。
```
sudo realm join -U join_account@EXAMPLE.COM example.com --verbose
```
*join\$1account@EXAMPLE.COM*
*example.com* 域中具備域加入權限的帳戶。請在系統提示時，輸入該帳戶的密碼。如需委派這些權限的詳細資訊，請參閱「[委派 AWS Managed Microsoft AD 的目錄聯結權限](directory_join_privileges.md)」。
*example.com*
目錄的完整 DNS 名稱。
```
...
* Successfully enrolled machine in realm
```
1. 設定 SSH 服務以允許密碼身分驗證。
1. 在文字編輯器中開啟 `/etc/ssh/sshd_config` 檔案。
```
sudo vi /etc/ssh/sshd_config
```
1. 將 `PasswordAuthentication` 設定設為 `yes`。
```
PasswordAuthentication yes
```
1. 重新啟動 SSH 服務。
```
sudo systemctl restart sshd.service
```
或使用：
```
sudo service sshd restart
```
1. 重新啟動執行個體之後，請執行下列步驟，以使用任何 SSH 用戶端連線到該執行個體，並將 Domain Admins 群組新增至 sudoers 清單：
1. 使用下列命令開啟 `sudoers` 檔案：
```
sudo visudo
```
1. 在 `sudoers` 檔案的底部加入下列程式碼，然後儲存檔案。
```
## Add the "Domain Admins" group from the example.com domain.
%Domain\ Admins@example.com ALL=(ALL:ALL) ALL
```
(上述範例使用 "\$1" 來建立 Linux 空白字元。)
------
#### [ CentOS ]
1. 使用任何 SSH 用戶端連線到執行個體。
1. 設定 Linux 執行個體以使用 Directory Service所提供 DNS 伺服器的 DNS 伺服器 IP 地址。欲執行此作業，您可以在連接到 VPC 的 DHCP 選項集中進行設定，或在執行個體上手動設定。如果您想要手動進行設定，請參閱 AWS 知識中心的[如何將靜態 DNS 伺服器指派給私有 Amazon EC2 執行個體](https://aws.amazon.com/premiumsupport/knowledge-center/ec2-static-dns-ubuntu-debian/)，了解為特定 Linux 分佈和版本設定持久性 DNS 伺服器的方式。
1. 請確定您的 CentOS 7 執行個體處於最新狀態。
```
sudo yum -y update
```
1. 在您的 CentOS 7 執行個體上安裝必要的套裝服務。
**注意**
系統可能已安裝其中一些套裝服務。
在安裝套件時，可能會出現好幾個跳出式設定畫面。您通常可以將這些畫面中的欄位留白。
```
sudo yum -y install sssd realmd krb5-workstation samba-common-tools
```
1. 使用下列命令將執行個體加入目錄。
```
sudo realm join -U join_account@example.com example.com --verbose
```
*join\$1account@example.com*
*example.com* 域中具備域加入權限的帳戶。請在系統提示時，輸入該帳戶的密碼。如需委派這些權限的詳細資訊，請參閱「[委派 AWS Managed Microsoft AD 的目錄聯結權限](directory_join_privileges.md)」。
*example.com*
目錄的完整 DNS 名稱。
```
...
* Successfully enrolled machine in realm
```
1. 設定 SSH 服務以允許密碼身分驗證。
1. 在文字編輯器中開啟 `/etc/ssh/sshd_config` 檔案。
```
sudo vi /etc/ssh/sshd_config
```
1. 將 `PasswordAuthentication` 設定設為 `yes`。
```
PasswordAuthentication yes
```
1. 重新啟動 SSH 服務。
```
sudo systemctl restart sshd.service
```
或使用：
```
sudo service sshd restart
```
1. 重新啟動執行個體之後，請執行下列步驟，以使用任何 SSH 用戶端連線到該執行個體，並將 Domain Admins 群組新增至 sudoers 清單：
1. 使用下列命令開啟 `sudoers` 檔案：
```
sudo visudo
```
1. 在 `sudoers` 檔案的底部加入下列程式碼，然後儲存檔案。
```
## Add the "Domain Admins" group from the example.com domain.
%Domain\ Admins@example.com ALL=(ALL:ALL) ALL
```
(上述範例使用 "\$1" 來建立 Linux 空白字元。)
------
#### [ Red hat ]
1. 使用任何 SSH 用戶端連線到執行個體。
1. 設定 Linux 執行個體以使用 Directory Service所提供 DNS 伺服器的 DNS 伺服器 IP 地址。欲執行此作業，您可以在連接到 VPC 的 DHCP 選項集中進行設定，或在執行個體上手動設定。如果您想要手動進行設定，請參閱 AWS 知識中心的[如何將靜態 DNS 伺服器指派給私有 Amazon EC2 執行個體](https://aws.amazon.com/premiumsupport/knowledge-center/ec2-static-dns-ubuntu-debian/)，了解為特定 Linux 分佈和版本設定持久性 DNS 伺服器的方式。
1. 確定 Red Hat 64 位元執行個體是最新版本。
```
sudo yum -y update
```
1. 在您的 Linux 執行個體上，安裝必要的 Red Hat 套件。
**注意**
系統可能已安裝其中一些套裝服務。
在安裝套件時，可能會出現好幾個跳出式設定畫面。您通常可以將這些畫面中的欄位留白。
```
sudo yum -y install sssd realmd krb5-workstation samba-common-tools
```
1. 使用下列命令將執行個體加入目錄。
```
sudo realm join -v -U join_account example.com --install=/
```
*join\$1account*
在 *example.com* 域中帳戶的 **sAMAccountName** 具備域加入權限。請在系統提示時，輸入該帳戶的密碼。如需委派這些權限的詳細資訊，請參閱「[委派 AWS Managed Microsoft AD 的目錄聯結權限](directory_join_privileges.md)」。
*example.com*
目錄的完整 DNS 名稱。
```
...
* Successfully enrolled machine in realm
```
1. 設定 SSH 服務以允許密碼身分驗證。
1. 在文字編輯器中開啟 `/etc/ssh/sshd_config` 檔案。
```
sudo vi /etc/ssh/sshd_config
```
1. 將 `PasswordAuthentication` 設定設為 `yes`。
```
PasswordAuthentication yes
```
1. 重新啟動 SSH 服務。
```
sudo systemctl restart sshd.service
```
或使用：
```
sudo service sshd restart
```
1. 重新啟動執行個體之後，請執行下列步驟，以使用任何 SSH 用戶端連線到該執行個體，並將 Domain Admins 群組新增至 sudoers 清單：
1. 使用下列命令開啟 `sudoers` 檔案：
```
sudo visudo
```
1. 在 `sudoers` 檔案的底部加入下列程式碼，然後儲存檔案。
```
## Add the "Domain Admins" group from the example.com domain.
%Domain\ Admins@example.com ALL=(ALL:ALL) ALL
```
(上述範例使用 "\$1" 來建立 Linux 空白字元。)
------
#### [ Ubuntu ]
1. 使用任何 SSH 用戶端連線到執行個體。
1. 設定 Linux 執行個體以使用 Directory Service所提供 DNS 伺服器的 DNS 伺服器 IP 地址。欲執行此作業，您可以在連接到 VPC 的 DHCP 選項集中進行設定，或在執行個體上手動設定。如果您想要手動進行設定，請參閱 AWS 知識中心的[如何將靜態 DNS 伺服器指派給私有 Amazon EC2 執行個體](https://aws.amazon.com/premiumsupport/knowledge-center/ec2-static-dns-ubuntu-debian/)，了解為特定 Linux 分佈和版本設定持久性 DNS 伺服器的方式。
1. 確定 Ubuntu 64 位元執行個體是最新版本。
```
sudo apt-get update
sudo apt-get -y upgrade
```
1. 在您的 Linux 執行個體上，安裝必要的 Ubuntu 套件。
**注意**
系統可能已安裝其中一些套裝服務。
在安裝套件時，可能會出現好幾個跳出式設定畫面。您通常可以將這些畫面中的欄位留白。
```
sudo apt-get -y install sssd realmd krb5-user samba-common packagekit adcli
```
1. 停用反向 DNS 解析，並將預設領域設定為網域的 FQDN。Ubuntu 執行個體在 DNS 中**必須**能夠反向解析，領域才能使用。否則，您必須依照下列步驟，停用在 /etc/krb5.conf 中的反向 DNS：
```
sudo vi /etc/krb5.conf
```
```
[libdefaults]
default_realm = EXAMPLE.COM
rdns = false
```
1. 使用下列命令將執行個體加入目錄。
```
sudo realm join -U join_account example.com --verbose
```
*join\$1account@example.com*
在 *example.com* 域中帳戶的 **sAMAccountName** 具備域加入權限。請在系統提示時，輸入該帳戶的密碼。如需委派這些權限的詳細資訊，請參閱「[委派 AWS Managed Microsoft AD 的目錄聯結權限](directory_join_privileges.md)」。
*example.com*
目錄的完整 DNS 名稱。
```
...
* Successfully enrolled machine in realm
```
1. 設定 SSH 服務以允許密碼身分驗證。
1. 在文字編輯器中開啟 `/etc/ssh/sshd_config` 檔案。
```
sudo vi /etc/ssh/sshd_config
```
1. 將 `PasswordAuthentication` 設定設為 `yes`。
```
PasswordAuthentication yes
```
1. 重新啟動 SSH 服務。
```
sudo systemctl restart sshd.service
```
或使用：
```
sudo service sshd restart
```
1. 重新啟動執行個體之後，請執行下列步驟，以使用任何 SSH 用戶端連線到該執行個體，並將 Domain Admins 群組新增至 sudoers 清單：
1. 使用下列命令開啟 `sudoers` 檔案：
```
sudo visudo
```
1. 在 `sudoers` 檔案的底部加入下列程式碼，然後儲存檔案。
```
## Add the "Domain Admins" group from the example.com domain.
%Domain\ Admins@example.com ALL=(ALL:ALL) ALL
```
(上述範例使用 "\$1" 來建立 Linux 空白字元。)
------
**注意**
使用 Simple AD 時，若您在 Linux 執行個體上，以「強制使用者在第一次登入時變更密碼」選項建立使用者帳戶，則該使用者最初便無法使用 **kpasswd** 變更其密碼。為了能夠在第一次登入時變更密碼，網域管理員必須使用 Active Directory 管理工具更新使用者密碼。
## 從 Linux 執行個體管理帳戶
若要從 Linux 執行個體在 Simple AD 中管理帳戶，您必須更新 Linux 執行個體上的特定組態檔案，如下所示：
1. 在 **/etc/sssd/sssd.conf** 檔案中將 **krb5\$1use\$1kdcinfo** 設為 **False**。例如：
```
[domain/example.com]
krb5_use_kdcinfo = False
```
1. 您需要重新啟動 sssd 服務，才能使設定生效：
```
$ sudo systemctl restart sssd.service
```
或者，您可以使用：
```
$ sudo service sssd start
```
1. 如果您將從 CentOS Linux 執行個體管理使用者，您還必須編輯 **/etc/smb.conf** 檔案以包含：
```
[global]
workgroup = EXAMPLE.COM
realm = EXAMPLE.COM
netbios name = EXAMPLE
security = ads
```
## 限制帳戶登入存取
由於在 Active Directory 中定義了所有帳戶，因此目錄中的所有使用者預設可登入該執行個體。您可以在 **sssd.conf** 中使用 **ad\$1access\$1filter** 只允許特定使用者登入執行個體。例如：
```
ad_access_filter = (memberOf=cn=admins,ou=Testou,dc=example,dc=com)
```
*memberOf*
表示唯有使用者是特定群組的成員時，才可以存取執行個體。
*cn*
應該具備存取權的群組通用名稱。在此範例中，群組名稱為 *admins*。
*ou*
這代表上述群組所在的組織單位。在此範例中，OU 為 *Testou*。
*dc*
這代表網域的網域元件。在此範例中為 *example*。
*dc*
這代表額外的網域元件。在此範例中為 *com*。
您必須將 **ad\$1access\$1filter** 手動新增至 **/etc/sssd/sssd.conf**。
在文字編輯器中開啟 **/etc/sssd/sssd.conf** 檔案。
```
sudo vi /etc/sssd/sssd.conf
```
執行此動作後，您的 **sssd.conf** 可能如下所示：
```
[sssd]
domains = example.com
config_file_version = 2
services = nss, pam
[domain/example.com]
ad_domain = example.com
krb5_realm = EXAMPLE.COM
realmd_tags = manages-system joined-with-samba
cache_credentials = True
id_provider = ad
krb5_store_password_if_offline = True
default_shell = /bin/bash
ldap_id_mapping = True
use_fully_qualified_names = True
fallback_homedir = /home/%u@%d
access_provider = ad
ad_access_filter = (memberOf=cn=admins,ou=Testou,dc=example,dc=com)
```
您需要重新啟動 sssd 服務，才能使設定生效：
```
sudo systemctl restart sssd.service
```
或者，您可以使用：
```
sudo service sssd restart
```
## ID 映射
ID 映射可以透過兩種方法執行，以維護 UNIX/Linux 使用者識別符 (UID) 和群組識別符 (GID) 以及 Windows 和 Active Directory 安全識別符 (SID) 身分之間的統一體驗。這些方法是：
1. 集中
1. 分散式
**注意**
Active Directory 中的集中式使用者身分映射需要可攜式作業系統界面或 POSIX。
**集中式使用者身分映射**
Active Directory 或其他輕量型目錄存取通訊協定 (LDAP) 服務為 Linux 使用者提供 UID 和 GID。在 Active Directory 中，如果已設定 POSIX 延伸，這些識別符會存放在使用者的屬性中：
+ UID - Linux 使用者名稱 （字串）
+ UID 號碼 - Linux 使用者 ID 號碼 （整數）
+ GID 號碼 - Linux 群組 ID 號碼 （整數）
若要將 Linux 執行個體設定為使用 Active Directory 中的 UID 和 GID，`ldap_id_mapping = False`請在 sssd.conf 檔案中設定 。在設定此值之前，請確認您已將 UID、UID 號碼和 GID 號碼新增至 Active Directory 中的使用者和群組。
**分散式使用者身分映射**
如果 Active Directory 沒有 POSIX 延伸模組，或者如果您選擇不集中管理身分映射，Linux 可以計算 UID 和 GID 值。Linux 使用使用者的唯一安全識別符 (SID) 來維持一致性。
若要設定分散式使用者 ID 映射，`ldap_id_mapping = True`請在 sssd.conf 檔案中設定 。
**常見問題**
如果您設定 `ldap_id_mapping = False`，有時啟動 SSSD 服務將會失敗。此失敗的原因是因為不支援變更 UIDs。當您從 ID 映射變更為 POSIX 屬性，或從 POSIX 屬性變更為 ID 映射時，我們建議您刪除 SSSD 快取。如需 ID 映射和 ldap\$1id\$1mapping 參數的更多詳細資訊，請參閱 Linux 命令列中的 sssd-ldap(8) man 頁面。
## 連線至 Linux 執行個體
當使用者使用 SSH 用戶端連線到執行個體時，系統會提示其輸入使用者名稱。如果使用者想輸入使用者名稱，可以善用 `username@example.com` 或 `EXAMPLE\username` 格式。視您使用的 Linux 發行版本而定，回應會如下所示：
**Amazon Linux、Red Hat Enterprise Linux 及 CentOS Linux**
```
login as: johndoe@example.com
johndoe@example.com's password:
Last login: Thu Jun 25 16:26:28 2015 from XX.XX.XX.XX
```
**SUSE Linux**
```
SUSE Linux Enterprise Server 15 SP1 x86_64 (64-bit)
As "root" (sudo or sudo -i) use the:
- zypper command for package management
- yast command for configuration management
Management and Config: https://www.suse.com/suse-in-the-cloud-basics
Documentation: https://www.suse.com/documentation/sles-15/
Forum: https://forums.suse.com/forumdisplay.php?93-SUSE-Public-Cloud
Have a lot of fun...
```
**Ubuntu Linux**
```
login as: admin@example.com
admin@example.com@10.24.34.0's password:
Welcome to Ubuntu 18.04.4 LTS (GNU/Linux 4.15.0-1057-aws x86_64)
* Documentation: https://help.ubuntu.com
* Management: https://landscape.canonical.com
* Support: https://ubuntu.com/advantage
System information as of Sat Apr 18 22:03:35 UTC 2020
System load: 0.01 Processes: 102
Usage of /: 18.6% of 7.69GB Users logged in: 2
Memory usage: 16% IP address for eth0: 10.24.34.1
Swap usage: 0%
```
# 委派 Simple AD 的目錄聯結權限
若要將電腦加入到您的目錄，您需要有將電腦加入目錄權限的帳戶。
使用 Simple AD，**Domain Admins** 群組的成員就有足夠的權限，可將電腦加入目錄。
不過，最佳實務是您應該使用只有所需最低權限的帳戶。下列程序示範如何建立稱為 `Joiners` 的新群組，並將權限委派給需要將電腦加入目錄的這個群組。
您必須在已加入您的目錄，並已安裝 **Active Directory User and Computers** (Active Directory 使用者和電腦) MMC 嵌入的電腦上執行此程序。您也必須以網域管理員的身分登入。
**委派 Simple AD 目錄加入權限**
1. 開啟 **Active Directory User and Computers** (Active Directory 使用者和電腦)，並在導覽樹狀目錄中選取您的根網域。
1. 在左側的導覽樹狀目錄中，開啟 **Users** (使用者) 內容選單 (按一下滑鼠右鍵)，然後選擇 **New** (新增)，然後選擇 **Group** (群組)。
1. 在 **New Object - Group** (新增物件 - 群組) 對話方塊中輸入如下內容，並選擇 **OK** (確定)。
+ 在 **Group Name (群組名稱)** 中，輸入 **Joiners**。
+ 針對 **Group scope** (群組範圍) 選擇 **Global** (全域)。
+ 針對 **Group type** (群組類型)，選擇 **Security** (安全性)。
1. 在導覽樹狀目錄中，選取您的根網域。從 **Action** (動作) 選單，選擇 **Delegate Control** (委派控制)。
1. 在 **Delegation of Control Wizard** (委派控制精靈) 頁面，選擇 **Next** (下一步)，然後選擇 **Add** (新增)。
1. 在 **Select Users, Computers, or Groups** (選取使用者、電腦或群組) 對話方塊中輸入 `Joiners`，並選擇 **OK** (確定)。如果找到多個物件，請選取在上述步驟中建立的 `Joiners` 群組。選擇**下一步**。
1. 在 **Tasks to Delegate** (要委派的任務) 頁面上，選取 **Create a custom task to delegate** (建立要委派的自訂任務)，然後選擇 **Next** (下一步)。
1. 選取 **Only the following objects in the folder** (僅限資料夾中的下列物件)，然後選取 **Computer objects** (電腦物件)。
1. 選取 **Create selected objects in this folder** (在此資料夾中建立選取的物件) 和 **Delete selected objects in this folder** (在此資料夾中刪除選取的物件)。然後選擇**下一步**。
![\[委派 Control Wizard Active Directory 物件類型對話方塊，其中只有下列物件位於選取的使用者物件資料夾中、在此資料夾中建立選取的物件，以及刪除此資料夾中選取的物件。\]](http://docs.aws.amazon.com/zh_tw/directoryservice/latest/admin-guide/images/aduc_delegate_join_linux.png)
1. 選取 **Read** (讀取) 和 **Write** (寫入)，然後選擇 **Next** (下一步)。
![\[委派 Control Wizard 許可對話方塊，其中已選取下列一般、屬性特定和讀取許可。\]](http://docs.aws.amazon.com/zh_tw/directoryservice/latest/admin-guide/images/aduc_delegate_join_permissions.png)
1. 驗證 **Completing the Delegation of Control Wizard** (完成委派控制精靈) 頁面中的資訊，然後選擇 **Finish** (完成)。
1. 建立使用高強度密碼的使用者，並將此使用者新增至 `Joiners` 群組。然後，使用者將有足夠的權限 Directory Service 連接到 目錄。
# 為 Simple AD 建立 DHCP 選項集
AWS 建議您為 Directory Service 目錄建立 DHCP 選項集，並將 DHCP 選項集指派給目錄所在的 VPC。這可讓該 VPC 中的任何執行個體指向指定的網域和 DNS 伺服器，以解析其網域名稱。
如需 DHCP 選項集的詳細資訊，請參閱《Amazon VPC 使用者指南》[https://docs.aws.amazon.com/vpc/latest/userguide/VPC_DHCP_Options.html](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_DHCP_Options.html)中的 *DHCP 選項集*。
**為目錄建立 DHCP 選項集**
1. 在 [https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/) 開啟 Amazon VPC 主控台。
1. 在導覽窗格中，選擇 **DHCP Options Sets (DHCP 選項集)**，然後選擇 **Create DHCP options set (建立 DHCP 選項集)**。
1. 在 **Create DHCP options set (建立 DHCP 選項集)** 頁面上，輸入您目錄的下列值：
**名稱**
選項集的選用標籤。
**網域名稱**
您目錄的完整名稱，例如 `corp.example.com`。
**Domain name servers** (網域名稱伺服器)
您 AWS提供的目錄 DNS 伺服器的 IP 地址。
您可以前往 [AWS Directory Service 主控台](https://console.aws.amazon.com/directoryservicev2/)導覽窗格，選取**目錄**，然後選擇正確的目錄 ID，來找到這些地址。
**NTP servers** (NTP 伺服器)
將此欄位留白。
**NetBIOS name servers** (NetBIOS 名稱伺服器)
將此欄位留白。
**NetBIOS node type** (NetBIOS 節點類型)
將此欄位留白。
1. 選擇 **Create DHCP options set (建立 DHCP 選項集)**。DHCP 選項清單會隨即顯示新的 DHCP 選項集。
1. 記下新 DHCP 選項集的 ID (dopt-*xxxxxxxx*)。您可以使用它建立新選項集與 VPC 的關聯。
**變更與 VPC 相關的 DHCP 選項集**
建立 DHCP 選項集之後，便無法再進行修改。如果您希望 VPC 使用不同的 DHCP 選項集，則必須建立新選項集，並與 VPC 建立關聯。您也可以將 VPC 設定為完全不使用 DHCP 選項。
1. 在 [https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/) 開啟 Amazon VPC 主控台。
1. 在導覽窗格中，選擇 **Your VPCs** (您的 VPC)。
1. 選取 VPC，然後選擇**動作**、**編輯 VPC 設定**。
1. 對於 **DHCP 選項集**，選取選項集或選取**無 DHCP 選項集**，然後選取**儲存**。
若要使用命令列變更與 VPC 相關聯的 DHCP 選項集，請參閱以下內容：
+ **AWS CLI**：[associate-dhcp-options](https://docs.aws.amazon.com/cli/latest/reference/ec2/associate-dhcp-options.html)
+ **AWS Tools for Windows PowerShell**：[Register-EC2DhcpOption](https://docs.aws.amazon.com/powershell/latest/reference/items/Register-EC2DhcpOption.html)