Cómo vincular de manera fluida una instancia de Amazon EC2 en Linux a un AWS Managed Microsoft AD Active Directory

Creación de secretos y almacenamiento de la información de la cuenta de servicio de dominio

1. Inicie sesión en la Consola de administración de AWS y abra la consola de AWS Secrets Manager en https://console.aws.amazon.com/secretsmanager/.

2. Elija Almacenar un secreto nuevo.

3. En la página Store a new secret (Almacenar un nuevo secreto), haga lo siguiente:

   1. En Tipo de secreto, seleccione Otro tipo de secretos.

   2. En Pares clave/valor, haga lo siguiente:

      1. En el cuadro de filtro, escriba awsSeamlessDomainUsername. En la misma fila, en el cuadro siguiente, ingrese el nombre de usuario de su cuenta de servicio. Por ejemplo, si utilizó el comando de PowerShell anteriormente, el nombre de la cuenta de servicio será awsSeamlessDomain.

         nota

         Debe ingresar awsSeamlessDomainUsername exactamente como está. Asegúrese de que no haya espacios al principio ni al final. De lo contrario, la unión de dominio fallará.

         

      2. Seleccione Agregar regla.

      3. En la nueva fila, en el primer cuadro, ingrese awsSeamlessDomainPassword. En la misma fila, en el cuadro siguiente, ingrese la contraseña de su cuenta de servicio.

         nota

         Debe ingresar awsSeamlessDomainPassword exactamente como está. Asegúrese de que no haya espacios al principio ni al final. De lo contrario, la unión de dominio fallará.

      4. En Clave de cifrado, deje el valor predeterminado aws/secretsmanager. AWS Secrets Manager siempre cifra el secreto al elegir esta opción. También puede elegir una clave que haya creado.

      5. Elija Siguiente.

4. En Nombre del secreto, ingrese un nombre de secreto que incluya su ID de directorio con el siguiente formato y reemplace d-xxxxxxxxx con su ID de directorio:

   aws/directory-services/d-xxxxxxxxx/seamless-domain-join

   Se usará para recuperar los secretos de la aplicación.

   nota

   Debe escribir aws/directory-services/d-xxxxxxxxx/seamless-domain-join exactamente como está, pero sustituya d-xxxxxxxxxx por su ID de directorio. Asegúrese de que no haya espacios al principio ni al final. De lo contrario, la unión de dominio fallará.

   

5. Deje todo lo demás con los valores predeterminados y, a continuación, elija Siguiente.

6. En Configurar rotación automática, elija Deshabilitar rotación automática y, a continuación, Siguiente.

   Puede activar la rotación de este secreto después de almacenarlo.

7. Revise la configuración y, a continuación, elija Almacenar para guardar los cambios. La consola de Secrets Manager vuelve a la lista de secretos de su cuenta con el nuevo secreto ahora incluido en la lista.

8. Elija el nombre del secreto recién creado de la lista y tome nota del valor del ARN del secreto. Lo necesitará en la sección siguiente.

Activación de la rotación para el secreto de la cuenta de servicio de dominio

• Siga las instrucciones en Configuración de la rotación automática para los secretos de AWS Secrets Manager en la Guía del usuario de AWS Secrets Manager.

  Para el paso 5, utilice la plantilla de rotación Credenciales de Microsoft Active Directory en la Guía del usuario de AWS Secrets Manager.

  Para obtener ayuda, consulte Solución de problemas de rotación de AWS Secrets Manager en la Guía del usuario de AWS Secrets Manager.

Creación de la política de lectura de IAM de Secrets Manager

1. Inicie sesión en la Consola de administración de AWS como usuario que tenga permiso para crear políticas de IAM. A continuación, abra la consola de IAM en https://console.aws.amazon.com/iam/.

2. En el panel de navegación, en Administración de acceso, seleccione Políticas.

3. Seleccione Crear política.

4. Seleccione la pestaña JSON y copie el texto del siguiente documento de política JSON. A continuación, péguelo en el cuadro de texto JSON.

   nota

   Asegúrese de reemplazar la región y el ARN del recurso con la región real y el ARN del secreto que creó con anterioridad.

   {
       "Version": "2012-10-17",		 	 	 
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "secretsmanager:GetSecretValue",
                   "secretsmanager:DescribeSecret"
               ],
               "Resource": [
                   "arn:aws:secretsmanager:us-east-1:xxxxxxxxx:secret:aws/directory-services/d-xxxxxxxxx/seamless-domain-join"
               ]
           }
       ]
   }

5. Cuando haya terminado, elija Next. El validador de políticas notifica los errores de sintaxis. Para obtener más información, consulte Validación de políticas de IAM.

6. En la página Revisar política, ingrese un nombre para la política, como SM-Secret-Linux-DJ-d-xxxxxxxxxx-Read. Revise el Resumen de la política para ver los permisos concedidos por su política. Seleccione Crear política para guardar los cambios. La nueva política aparece en la lista de las políticas administradas y está lista para asociar a una identidad.

Creación del rol LinuxEC2DomainJoin

1. Inicie sesión en la Consola de administración de AWS como usuario que tenga permiso para crear políticas de IAM. A continuación, abra la consola de IAM en https://console.aws.amazon.com/iam/.

2. En el panel de navegación, en Administración del acceso, elija Roles.

3. En el panel de contenido, elija Crear rol.

4. En Seleccionar tipo de entidad de confianza, seleccione Servicio de AWS.

5. En Caso de uso, seleccione EC2 y luego elija Siguiente.

   

6. En Políticas de filtro, haga lo siguiente:

   1. Escriba AmazonSSMManagedInstanceCore. A continuación, seleccione la casilla de verificación de ese elemento de la lista.

   2. Escriba AmazonSSMDirectoryServiceAccess. A continuación, seleccione la casilla de verificación de ese elemento de la lista.

   3. Ingrese SM-Secret-Linux-DJ-d-xxxxxxxxxx-Read (o el nombre de la política creada en el procedimiento anterior). A continuación, seleccione la casilla de verificación de ese elemento de la lista.

   4. Tras añadir las tres políticas enumeradas anteriormente, seleccione Crear rol.

   nota

   AmazonSSMDirectoryServiceAccess proporciona los permisos para unir instancias a una instancia de Active Directory administrada por Directory Service. AmazonSSMManagedInstanceCore proporciona los permisos mínimos necesarios para usar el servicio de AWS Systems Manager. Para obtener más información sobre la creación de un rol con estos permisos y para obtener información sobre otros permisos y políticas que puede asignar a su rol de IAM, consulte Creación de un perfil de instancia de IAM para Systems Manager en la Guía del usuario de AWS Systems Manager.

7. Ingrese un nombre para su nuevo rol, como LinuxEC2DomainJoin o cualquier otro nombre de su preferencia en el campo Nombre del rol.

8. (Opcional) En Role description (Descripción del rol), escriba una descripción.

9. (Opcional) Para añadir etiquetas, elija Agregar nueva etiqueta en el Paso 3: agregar etiquetas. Los pares clave-valor con etiqueta se utilizan para organizar, realizar un seguimiento o controlar el acceso a este rol.

10. Seleccione Crear rol.

Cómo vincular de manera fluida una instancia de Linux

1. Inicie sesión en la Consola de administración de AWS y abra la consola de Amazon EC2 en https://console.aws.amazon.com/ec2/.

2. En el selector de región de la barra de navegación, elija la misma Región de AWS que el directorio existente.

3. En el panel de control de EC2, en la sección Lanzar instancia, elija Lanzar instancia.

4. En la página Iniciar una instancia, en la sección Nombre y etiquetas, ingrese el nombre que desee utilizar para la instancia de EC2 en Linux.

5. (Opcional) Seleccione Agregar etiquetas adicionales para añadir uno o más pares clave-valor con etiquetas y así organizar, hacer un seguimiento o controlar el acceso a esta instancia de EC2.

6. En la sección Imagen de aplicación y sistema operativo (Imagen de máquina de Amazon), elija la AMI de Linux que desee iniciar.

   nota

   La AMI utilizada debe tener la versión 2.3.1644.0 o posterior de AWS Systems Manager (SSM Agent). Para comprobar la versión de SSM Agent instalada en la AMI mediante el lanzamiento de una instancia desde esa AMI, consulte Obtener la versión de SSM Agent instalada actualmente. Si necesita actualizar SSM Agent, consulte Instalación y configuración de SSM Agent en instancias de EC2 para Linux.

   SSM usa el complemento aws:domainJoin al vincular una instancia de Linux a un dominio de Active Directory. El complemento cambia el nombre de host de las instancias de Linux al formato EC2AMAZ-XXXXXXX. Para obtener más información sobre aws:domainJoin, consulte Referencia de complementos del documento de comandos de AWS Systems Manager en la Guía del usuario de AWS Systems Manager.

7. En la sección Tipo de instancia, elija el tipo de instancia que desee usar en la lista desplegable Tipo de instancia.

8. En la sección Par de claves (inicio de sesión), puede elegir entre crear un nuevo par de claves o elegir un par de claves existente. Para crear un nuevo par de claves, elija Crear nuevo par de claves. Ingrese un nombre para el par de claves y seleccione una opción en Tipo de par de claves y Formato de archivo de clave privada. Para guardar la clave privada en un formato que se pueda utilizar con OpenSSH, elija .pem. Para guardar la clave privada en un formato que se pueda utilizar con PuTTY, elija .ppk. Elija Crear par de claves. Su navegador descargará el archivo de clave privada automáticamente. Guarde el archivo de clave privada en un lugar seguro.

   importante

   Esta es la única oportunidad para guardar el archivo de clave privada.

9. En la página Lanzar una instancia, en la sección Configuración de red, elija Editar. Elija la VPC en la que se creó el directorio en la lista desplegable VPC: obligatoria.

10. Elija una de las subredes públicas de su VPC en la lista desplegable Subred. La subred que elija debe tener todo el tráfico externo dirigido a una puerta de enlace de Internet. De lo contrario, no podrá conectarse a la instancia de forma remota.

    Para obtener más información sobre cómo conectar una puerta de enlace de Internet, consulte Conexión a Internet mediante una puerta de enlace de Internet en la Guía del usuario de Amazon VPC.

11. En Autoasignar IP pública, elija Habilitar.

    Para obtener más información sobre direcciones IP públicas y privadas, consulte Direccionamiento IP de instancias Amazon EC2 en la Guía del usuario de Amazon EC2.

12. En la configuración Firewall (grupos de seguridad), puede usar la configuración predeterminada o hacer cambios para adaptarla a sus necesidades.

13. En la configuración Configurar almacenamiento, puede utilizar los ajustes predeterminados o hacer los cambios necesarios para adaptarlos a sus necesidades.

14. Seleccione la sección Detalles avanzados y elija su dominio en el menú desplegable Directorio de vinculación de dominios.

    nota

    Tras elegir el directorio de vinculación de dominios, es posible que vea lo siguiente:

    

    Este error se produce si el asistente de inicialización de EC2 identifica un documento SSM existente con propiedades inesperadas. Puede elegir una de las opciones siguientes:

    • Si ya ha editado el documento SSM y las propiedades son las esperadas, seleccione cerrar y proceda a inicializar la instancia de EC2 sin cambios.

    • Seleccione el enlace a continuación para eliminar el documento SSM existente. Esto permitirá crear un documento SSM con las propiedades correctas. El documento SSM se creará de forma automática cuando inicie la instancia de EC2.

15. En Perfil de instancia de IAM, seleccione el rol de IAM que creó con anterioridad en la sección de requisitos previos Paso 2: creación del rol LinuxEC2DomainJoin.

16. Seleccione Iniciar instancia.