Einrichten eines selbstverwalteten Active Directory

Stellen Sie als Domain-Administrator eine Verbindung zu Ihrer AD-Domain her.

Öffnen Sie Active Directory-Benutzer und -Computer und wählen Sie die Domain aus, in der Sie Ihre Organisationseinheit erstellen möchten.

Öffnen Sie das Kontextmenü für die Domäne, wählen Sie Neu und dann Organisationseinheit aus.

Geben Sie einen Namen für die Organisationseinheit ein.

Lassen Sie das Kontrollkästchen für Container vor versehentlichem Löschen schützen aktiviert.

Wählen Sie OK aus. Ihre neue Organisationseinheit wird unter Ihrer Domain angezeigt.

Öffnen Sie Active-Directory-Benutzer und -Computer und wählen Sie die Domain und die Organisationseinheit aus, in der Sie Ihren Benutzer erstellen möchten.

Öffnen Sie das Kontextmenü für Benutzer, wählen Sie Neu und dann Benutzer.

Geben Sie einen Vornamen, Nachnamen und Anmeldenamen für den Benutzer ein. Wählen Sie Weiter aus.

Geben Sie ein Passwort für den Benutzer ein. Wählen Sie nicht Die Option Benutzer muss das Passwort bei der nächsten Anmeldung ändern. Wählen Sie nicht Konto ist deaktiviert. Wählen Sie Weiter aus.

Wählen Sie OK aus. Ihr neuer Benutzer erscheint unter Ihrer Domain.

Öffnen Sie das Microsoft Management Console (MMC) -Snap-In für Active Directory-Benutzer und -Computer und wählen Sie die Domäne aus, in der Sie Ihren Benutzer erstellen möchten.

Öffnen Sie das Kontextmenü für die Organisationseinheit, die Sie zuvor erstellt haben, und wählen Sie Delegate Control aus.

Wählen Sie im Assistenten zur Delegierung der Steuerung die Option Weiter aus.

Wählen Sie im Abschnitt Benutzer oder Gruppen die Option Hinzufügen aus.

Geben Sie im Abschnitt Benutzer, Computer oder Gruppen auswählen das AD-Domänendienstkonto ein, das Sie erstellt haben, und wählen Sie Namen überprüfen aus. Wenn die Überprüfung Ihres AD-Domänendienstkontos erfolgreich ist, wählen Sie OK.

Vergewissern Sie sich im Abschnitt Benutzer oder Gruppen, dass Ihr AD-Domänendienstkonto hinzugefügt wurde, und wählen Sie Weiter aus.

Wählen Sie im Abschnitt Zu delegierende Aufgaben die Option Benutzerdefinierte Aufgabe zum Delegieren erstellen und dann Weiter aus.

Gehen Sie im Abschnitt Active-Directory-Objekttyp wie folgt vor:

1. Wählen Sie Nur die folgenden Objekte in dem Ordner aus.

2. Wählen Sie Benutzerobjekte aus.

3. Wählen Sie Ausgewählte Objekte in diesem Ordner erstellen aus.

4. Wählen Sie Ausgewählte Objekte in diesem Ordner löschen und dann Weiter.

Gehen Sie im Abschnitt Berechtigungen wie folgt vor:

1. Behalten Sie die Auswahl von Allgemein bei.

2. Wählen Sie Property-specific.

3. Wählen Sie Creation/deletion bestimmte untergeordnete Objekte aus.

4. Wählen Sie Passwort zurücksetzen aus.

5. Wählen Sie Read ms ausDS-SupportedEncryptionTypes.

6. Wählen Sie Schreiben Sie mir ausDS-SupportedEncryptionTypes.

Überprüfen und bestätigen Sie Ihre Einstellungen, um den Assistenten zum Delegieren der Kontrolle abzuschließen, und klicken Sie auf Fertig stellen.

Öffnen Sie die AWS KMS-Konsole unter https://console.aws.amazon.com/kms/. Klicken Sie auf Create key.

Wählen Sie für Schlüsseltyp Symmetrisch aus.

Wählen Sie für Schlüsselnutzung die Option Verschlüsseln und Entschlüsseln aus.

Für Advanced options (Erweiterte Optionen):

1. Wählen Sie unter Schlüsselmaterialursprung KMS aus.

2. Wählen Sie unter Regionalität die Option Single-RegionSchlüssel und dann Weiter aus.

Geben Sie für Alias einen Namen für den KMS-Schlüssel an.

(Optional) Geben Sie unter Beschreibung eine Beschreibung des KMS-Schlüssels an.

(Optional) Geben Sie für Tags ein Tag für den KMS-Schlüssel ein und wählen Sie Weiter.

Geben Sie für Schlüsseladministratoren den Namen eines IAM-Benutzers an und wählen Sie ihn aus.

Lassen Sie für das Löschen von Schlüsseln das Kästchen für Schlüsseladministratoren das Löschen dieses Schlüssels zulassen aktiviert und wählen Sie Weiter aus.

Geben Sie für Schlüsselbenutzer den IAM-Benutzer aus dem vorherigen Schritt an und wählen Sie ihn aus. Wählen Sie Weiter aus.

Prüfen Sie die Konfiguration.

Fügen Sie für Schlüsselrichtlinie Folgendes zur Richtlinien-Anweisung hinzu:

{
    "Sid": "Allow use of the KMS key on behalf of RDS",
    "Effect": "Allow",
    "Principal": {
        "Service": [
            "rds.amazonaws.com"
        ]
    },
    "Action": "kms:Decrypt",
    "Resource": "*"
}

Wählen Sie Finish (Abschließen).

Öffnen Sie die AWS Secrets Manager Konsole unter. https://console.aws.amazon.com/secretsmanager/ Wählen Sie Store a new secret (Ein neues Secret speichern).

Als Secret-Typ wählen Sie Anderer Secret-Typ aus.

Fügen Sie bei Key/value Paaren Ihre beiden Schlüssel hinzu:

1. Geben Sie als ersten Schlüssel SELF_MANAGED_ACTIVE_DIRECTORY_USERNAME ein.

2. Geben Sie als Wert für den ersten Schlüssel nur den Benutzernamen (ohne das Domain-Präfix) des AD-Benutzers ein. Geben Sie den Domain-Namen nicht an, da dies dazu führt, dass die Instance-Erstellung fehlschlägt.

3. Geben Sie als zweiten Schlüssel SELF_MANAGED_ACTIVE_DIRECTORY_PASSWORD ein.

4. Geben Sie als Wert des zweiten Schlüssels das Passwort ein, das Sie für den AD-Benutzer in Ihrer Domain erstellt haben.

Geben Sie als Verschlüsselungsschlüssel den KMS-Schlüssel ein, den Sie in einem vorherigen Schritt erstellt haben, und wählen Sie Weiter.

Geben Sie als Secret-Name einen aussagekräftigen Namen ein, anhand dessen Sie das Secret später leichter finden können.

(Optional) Geben Sie im Feld Beschreibung eine Beschreibung für den Secret-Namen ein.

Wählen Sie für die Ressourcenberechtigung die Option Bearbeiten aus.

Fügen Sie der Berechtigungsrichtlinie folgende Richtlinie hinzu:

{
    "Version":"2012-10-17",
    "Statement":
    [
        {
            "Effect": "Allow",
            "Principal":
            {
                "Service": "rds.amazonaws.com"
            },
            "Action": "secretsmanager:GetSecretValue",
            "Resource": "*",
            "Condition":
            {
                "StringEquals":
                {
                    "aws:sourceAccount": "123456789012"
                },
                "ArnLike":
                {
                    "aws:sourceArn": "arn:aws:rds:us-west-2:123456789012:db:*"
                }
            }
        }
    ]
}

Wählen Sie Speichern und dann Weiter.

Behalten Sie für Rotationseinstellungen konfigurieren die Standardwerte bei und wählen Sie Weiter aus.

Überprüfe die Einstellungen für den geheimen Schlüssel und wähle „Speichern“.

Wählen Sie das von Ihnen erstellte Secret aus und kopieren Sie den Wert für den Secret-ARN. Verwenden Sie diesen Wert im nächsten Schritt, um selbstverwaltetes Active Directory einzurichten.