View a markdown version of this page

AWSSupport-TroubleshootActiveDirectoryReplication - AWS Systems Manager Runbook-Referenz für Automation

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

AWSSupport-TroubleshootActiveDirectoryReplication

Beschreibung

Das AWSSupport-TroubleshootActiveDirectoryReplication Runbook hilft bei der Behebung von Replikationsfehlern von Microsoft Active Directory (AD) -Domänencontrollern, indem allgemeine Einstellungen auf einer Zieldomänencontroller-Instance überprüft werden. Dieses Runbook führt eine Reihe von PowerShell Befehlen für die bereitgestellte Domänencontroller-Instanz aus, um den aktuellen Replikationsstatus zu überprüfen und Fehler zu melden, die möglicherweise zu Problemen bei der Domänenreplikation führen können. Das Runbook kann optional replikationskritische Dienste (Netlogon,, undKDC) starten RPCSSW32Time, wenn sie gestoppt wurden, und die Systemzeit synchronisieren, indem es w32tm /resync /force auf der Zielinstanz ausgeführt wird.

Wichtig

AWS Managed Microsoft AD fällt nicht in den Geltungsbereich dieses Runbooks.

Wichtig

Während die Automatisierung Befehle auf der Zielinstanz ausführt, werden Änderungen am Dateisystem der Zielinstanz vorgenommen. Zu diesen Änderungen gehören die Erstellung des Protokollverzeichnisses ($env:ProgramData\TroubleshootActiveDirectoryReplication) und der Berichtsdateien.

Wie funktioniert es?

Das Runbook führt die folgenden Prüfungen und Aktionen durch:

  • Überprüft, ob auf der Zielinstanz Windows ausgeführt wird und sie vom Systems Manager verwaltet wird.

  • Führt PowerShell Skripts aus, um die Konfiguration und den Status der Active Directory-Replikation zu überprüfen.

  • Überprüft die Sicherheitsgruppen- und Netzwerk-ACL-Einstellungen auf Konnektivität zwischen Replikationspartnern.

  • Behebt Fehler bei der Zeitsynchronisierung und beim Status kritischer Dienste.

  • Lädt Protokolldateien zur Analyse in den angegebenen Amazon S3-Bucket hoch.

Führen Sie diese Automatisierung aus (Konsole)

Art des Dokuments

Automatisierung

Eigentümer

Amazon

Plattformen

Windows

Parameter

Erforderliche IAM-Berechtigungen

Der AutomationAssumeRole Parameter erfordert die folgenden Aktionen, um das Runbook erfolgreich zu verwenden.

  • ec2:DescribeInstances

  • secretsmanager:GetSecretValue

  • ssm:DescribeInstanceInformation

  • ssm:SendCommand

  • ssm:GetCommandInvocation

  • s3:GetBucketAcl

  • s3:GetBucketPolicy

  • s3:GetBucketPolicyStatus

  • s3:GetBucketPublicAccessBlock

  • s3:PutObject

Beispiel für eine Richtlinie:


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeInstances",
                "secretsmanager:GetSecretValue"
                "ssm:DescribeInstanceInformation",
                "ssm:SendCommand",
                "ssm:GetCommandInvocation",
                "s3:GetBucketAcl",
                "s3:GetBucketPolicy",
                "s3:GetBucketPolicyStatus",
                "s3:GetBucketPublicAccessBlock",
                "s3:PutObject"
            ],
            "Resource": "*"
        }
    ]
}

AWS Secrets Manager einrichten

Das Check Replication PowerShell Script stellt eine Verbindung zum Microsoft Active Directory-Zieldomänencontroller her, indem es den Benutzernamen und das Passwort mit einem Runtime-Aufruf von abruft. AWS Secrets Manager Folgen Sie den Schritten unter Ein AWS Secrets Manager Geheimnis erstellen, um ein neues AWS Secrets Manager Geheimnis zu erstellen. Vergewissern Sie sich, dass der Benutzername und das Passwort in einem key/value Paar im Format gespeichert werden{"username":"EXAMPLE-USER","password":"EXAMPLE-PASSWORD"}. Stellen Sie nach dem Erstellen des AWS Secrets Manager Geheimnisses sicher, dass Sie Ihrer IAM-Instanzprofilrolle für den Zieldomänencontroller die secretsmanager:GetSecretValue Berechtigung für den geheimen ARN gewähren.

Anweisungen

Folgen Sie diesen Schritten, um die Automatisierung zu konfigurieren:

  1. Navigieren Sie AWSSupport-TroubleshootActiveDirectoryReplication im Systems Manager unter Dokumente zu.

  2. Wählen Sie Execute automation (Automatisierung ausführen).

  3. Geben Sie für die Eingabeparameter Folgendes ein:

    • AutomationAssumeRole (Fakultativ):

      • Beschreibung: (Optional) Der Amazon-Ressourcenname (ARN) der AWS Identity and Access Management (IAM) -Rolle, die es Systems Manager Automation ermöglicht, die Aktionen in Ihrem Namen durchzuführen. Wenn keine Rolle angegeben ist, verwendet Systems Manager Automation die Berechtigungen des Benutzers, der dieses Runbook startet.

      • Typ: AWS::IAM::Role::Arn

    • InstanceId (Erforderlich):

      • Beschreibung: (Erforderlich) Die ID der Amazon EC2-Domain-Controller-Instance, mit der Sie Probleme mit der Active Directory-Replikation beheben möchten. Beachten Sie, dass die bereitgestellte Instance ein Domänencontroller sein muss.

      • Typ: AWS::EC2::Instance::Id

    • SecretsManagerArn (Erforderlich):

      • Beschreibung: (Erforderlich) Der ARN Ihres AWS Secrets Manager Secrets, der einen Active Directory-Benutzernamen und ein Kennwort mit Enterprise Admin-Berechtigungen oder gleichwertigen Berechtigungen für den Zugriff auf Ihre Active Directory-Domänen- und Gesamtstrukturkonfiguration enthält. Stellen Sie sicher, dass der Benutzername und das Passwort in einem key/value Paar im Format gespeichert werden{"username":"EXAMPLE-USER","password":"EXAMPLE-PASSWORD"}. Stellen Sie sicher, dass Sie die secretsmanager:GetSecretValue Berechtigung für den geheimen ARN an die IAM-Instance-Profilrolle Ihres Zieldomänencontrollers anhängen.

      • Typ: String

      • Zulässiges Muster: ^arn:(aws|aws-cn|aws-us-gov|aws-iso|aws-iso-b):secretsmanager:[a-z0-9-]{2,20}:[0-9]{12}:secret:[a-zA-Z0-9]{1}[a-zA-Z0-9\\/_+=.@-]{1,256}$

    • TimeSync (Fakultativ):

      • Beschreibung: (Optional) Wählen Sie Check oderSync. Wenn Sie diese Option auswählenCheck, druckt das Runbook den aktuellen Synchronisierungsstatus der Systemzeit aus. Wenn diese Option ausgewählt Sync ist, versucht das Runbook, die Zeitsynchronisierung zu erzwingen, indem es w32tm /resync /force auf der Zielinstanz ausgeführt wird.

      • Typ: String

      • Zulässige Werte: [Check, Sync]

      • Standard: Check

    • ServiceAction (Fakultativ):

      • Beschreibung: (Optional) Wählen Sie Check oderFix. Wenn Sie diese Option auswählenCheck, druckt das Runbook den aktuellen Status der Key Distribution Center (KDC) DiensteNetlogon, Windows Time service (W32Time)Remote Procedure Call (RPC) Service, und aus. Wenn diese Option ausgewählt Fix ist, versucht das Runbook, diese Dienste zu starten, falls einige gestoppt wurden.

      • Typ: String

      • Zulässige Werte: [Check, Fix]

      • Standard: Check

    • LogDestination (Erforderlich):

      • Beschreibung: (Erforderlich) Der Amazon Amazon S3-Bucket in Ihrem AWS Konto zum Hochladen der Befehlsausgaben.

      • Typ: String

  4. Wählen Sie Ausführen aus.

  5. Die Automatisierung wird eingeleitet.

  6. Das Dokument führt die folgenden Schritte aus:

    • behaupten IfOperatingSystemIsWindows:

      Prüft, ob das Betriebssystem der bereitgestellten Amazon EC2-Zielinstanz Windows ist.

    • bestätigen InstanceIsSsmManaged, wenn:

      Stellt sicher, dass die Amazon EC2-Instance von Systems Manager verwaltet wird, andernfalls endet die Automatisierung.

    • Überprüfen Sie die Replikation:

      Führt ein PowerShell Skript auf der angegebenen Domänencontroller-Instanz aus, um die Konfiguration und den Status der Active Directory-Domänenreplikation abzurufen.

    • überprüfen Sie InstanceSgAndNacl:

      Überprüft, ob der Datenverkehr zu den Replikationspartnern von der Sicherheitsgruppe und der Netzwerk-ACL, die der Ziel-Domänencontroller-Instance zugeordnet sind, zugelassen wird.

    • Problembehandlung bei der Replikation:

      Führt ein PowerShell Skript aus, um Probleme bei der Zeitsynchronisierung und beim Status kritischer Dienste zu beheben.

    • verifizieren Sie S3BucketPublicStatus:

      Prüft, ob der in angegebene Amazon S3-Bucket anonyme oder öffentliche Lese- oder Schreibzugriffsberechtigungen LogDestination zulässt.

    • runUploadScript:

      Führt ein PowerShell Skript aus, um das Protokollarchiv in den im LogDestination Parameter angegebenen Amazon S3-Bucket hochzuladen, und löscht die archivierte Protokolldatei aus dem Betriebssystem. Die Protokolldateien können zur Fehlerbehebung verwendet oder bei der Behebung von Replikationsproblemen an den AWS Support weitergegeben werden.

  7. Nach Abschluss des Vorgangs finden Sie im Abschnitt Ausgaben die detaillierten Ergebnisse der Ausführung.

Referenzen

Systems Manager Automation