Configuration d’Active Directory autogéré

Connectez-vous à votre domaine AD en tant qu'administrateur de domaine.

Ouvrez Utilisateurs et ordinateurs Active Directory et sélectionnez le domaine où vous souhaitez créer votre unité organisationnelle.

Ouvrez le menu contextuel du domaine, choisissez Nouveau, puis Unité organisationnelle.

Saisissez un nom pour l’unité organisationnelle.

Laissez la case cochée pour Protéger le conteneur contre la suppression accidentelle.

Choisissez OK. Votre nouvelle unité organisationnelle apparaît sous votre domaine.

Ouvrez Utilisateurs et ordinateurs Active Directory et sélectionnez le domaine et l’unité organisationnelle où vous souhaitez créer votre utilisateur.

Ouvrez le menu contextuel pour Utilisateurs, choisissez Nouveau, puis sélectionnez Utilisateur.

Saisissez le prénom, le nom de famille et le nom de connexion de l'utilisateur. Choisissez Suivant.

Saisissez un mot de passe pour l’utilisateur. Ne sélectionnez pas L'utilisateur doit changer de mot de passe à sa prochaine connexion. Ne sélectionnez pas Le compte est désactivé. Choisissez Suivant.

Choisissez OK. Votre nouvel utilisateur apparaît sous votre domaine.

Ouvrez le composant logiciel enfichable Microsoft Management Console (MMC) Active Directory Users and Computers et sélectionnez le domaine dans lequel vous souhaitez créer votre utilisateur.

Ouvrez le menu contextuel de l'unité d'organisation que vous avez créée précédemment, puis choisissez Delegate Control.

Dans l'assistant de délégation de contrôle, choisissez Next.

Dans la section Utilisateurs ou groupes, choisissez Ajouter.

Dans la section Sélectionner les utilisateurs, les ordinateurs ou les groupes, entrez le compte de service de domaine AD que vous avez créé et choisissez Vérifier les noms. Si la vérification de votre compte de service de domaine AD est réussie, cliquez sur OK.

Dans la section Utilisateurs ou groupes, confirmez que votre compte de service de domaine AD a été ajouté et choisissez Suivant.

Dans la section Tâches à déléguer, choisissez Créer une tâche personnalisée à déléguer, puis cliquez sur Suivant.

Dans la section Type d'objet Active Directory :

1. Choisissez Seulement les objets suivants dans le dossier.

2. Sélectionnez User Objects.

3. Sélectionnez Créer les objets sélectionnés dans ce dossier.

4. Sélectionnez Supprimer les objets sélectionnés dans ce dossier, puis cliquez sur Suivant.

Dans la section Autorisations :

1. Gardez l'option Général sélectionnée.

2. Sélectionnez Property-specific.

3. Sélection Creation/deletion d'objets spécifiques pour enfants.

4. Sélectionnez Réinitialiser le mot de passe.

5. Sélectionnez Read ms DS-SupportedEncryptionTypes.

6. Sélectionnez Write ms DS-SupportedEncryptionTypes.

Pour terminer l'assistant de délégation de contrôle, vérifiez et confirmez vos paramètres, puis choisissez Terminer.

Ouvrez la console AWS KMS à l'adresse https://console.aws.amazon.com/kms/. Choisissez Create key.

Pour Type de clé, choisissez Symétrique.

Pour Utilisation de la clé, choisissez Chiffrer et déchiffrer.

Pour Options avancées :

1. Pour Origine des clés, choisissez KMS.

2. Pour Régionalité, choisissez Single-RegionKey, puis Next.

Pour Alias, attribuez un nom à la clé KMS.

(Facultatif) Pour Description, fournissez une description de la clé KMS.

(Facultatif) Pour les balises, fournissez une balise pour la clé KMS et choisissez Next.

Pour Administrateurs de clé, spécifiez le nom d'un utilisateur IAM et sélectionnez-le.

Pour la suppression de la clé, maintenez la case Autoriser les administrateurs clés à supprimer cette clé cochée et choisissez Suivant.

Pour Utilisateurs de clé, spécifiez le même utilisateur IAM que celui de l'étape précédente et sélectionnez-le. Choisissez Suivant.

Passez en revue la configuration.

Pour Stratégie de clé, ajoutez ce qui suit à la déclaration de stratégie :

{
    "Sid": "Allow use of the KMS key on behalf of RDS",
    "Effect": "Allow",
    "Principal": {
        "Service": [
            "rds.amazonaws.com"
        ]
    },
    "Action": "kms:Decrypt",
    "Resource": "*"
}

Choisissez Finish (Terminer).

Ouvrez la AWS Secrets Manager console à l'adresse https://console.aws.amazon.com/secretsmanager/. Choisissez Store a new secret (Stocker un nouveau secret).

Pour Secret type (Type de secret), choisissez Other type of secret (Autre type de secret).

Pour les Key/value paires, ajoutez vos deux clés :

1. Pour la première clé, entrez SELF_MANAGED_ACTIVE_DIRECTORY_USERNAME.

2. Pour la valeur de la première clé, saisissez uniquement le nom utilisateur (sans le préfixe de domaine) de l’utilisateur AD. N’incluez pas le nom de domaine, car cela entraîne l’échec de la création de l’instance.

3. Pour la deuxième clé, entrez SELF_MANAGED_ACTIVE_DIRECTORY_PASSWORD.

4. Pour la valeur de la deuxième clé, saisissez le mot de passe que vous avez créé pour l'utilisateur AD sur votre domaine.

Pour Clé de chiffrement, entrez la clé KMS que vous avez créée à l'étape précédente et choisissez Next.

Dans Nom du secret, saisissez un nom descriptif qui vous aidera à rechercher votre secret ultérieurement.

(Facultatif) Pour Description, saisissez une description du nom du secret.

Pour l'autorisation des ressources, choisissez Modifier.

Ajoutez la politique suivante à la politique d'autorisation :

{
    "Version":"2012-10-17",
    "Statement":
    [
        {
            "Effect": "Allow",
            "Principal":
            {
                "Service": "rds.amazonaws.com"
            },
            "Action": "secretsmanager:GetSecretValue",
            "Resource": "*",
            "Condition":
            {
                "StringEquals":
                {
                    "aws:sourceAccount": "123456789012"
                },
                "ArnLike":
                {
                    "aws:sourceArn": "arn:aws:rds:us-west-2:123456789012:db:*"
                }
            }
        }
    ]
}

Choisissez Enregistrer, puis Suivant.

Pour Configurer les paramètres de rotation, conservez les valeurs par défaut et choisissez Suivant.

Vérifiez les paramètres du secret et choisissez Store.

Choisissez le secret que vous avez créé et copiez la valeur de l'ARN du secret. Utilisez cette valeur à l'étape suivante pour configurer Active Directory autogéré.