Configurazione di Active Directory autogestito

Stabilisci una connessione al dominio AD come amministratore del dominio.

Apri Utenti e computer di Active Directory e seleziona il dominio in cui desideri creare l'unità organizzativa.

Apri il menu contestuale del dominio, scegli Nuovo, quindi scegli Unità organizzativa.

Inserisci un nome per l'unità operativa.

Mantieni selezionata la casella Proteggi il container dall'eliminazione accidentale.

Scegli OK. La nuova unità organizzativa apparirà sotto il dominio.

Apri Utenti e computer di Active Directory e seleziona il dominio e l'unità organizzativa in cui desideri creare l'utente.

Apri il menu contestuale per Utenti, scegli Nuovo, quindi scegli Utente.

Immetti il nome, il cognome e il nome di accesso per l'utente. Scegli Next (Successivo).

Immetti una password per l’utente. Non selezionare L'utente deve cambiare la password al prossimo accesso. Non selezionare L'account è disabilitato. Scegli Next (Successivo).

Scegli OK. Il tuo nuovo utente viene visualizzato nel tuo dominio.

Apri lo snap-in Microsoft Management Console (MMC) di Active Directory Users and Computers e seleziona il dominio in cui desideri creare l'utente.

Apri il menu contestuale dell'unità organizzativa creata in precedenza e scegli Controllo delegato.

Nella procedura guidata per la delega del controllo, scegli Avanti.

Nella sezione Utenti o gruppi, scegli Aggiungi.

Nella sezione Seleziona utenti, computer o gruppi, inserisci l'account del servizio di dominio AD che hai creato e scegli Controlla nomi. Se il controllo dell'account del servizio di dominio AD ha esito positivo, scegli OK.

Nella sezione Utenti o Gruppi, conferma che l'account del servizio di dominio AD è stato aggiunto e scegli Avanti.

Nella sezione Attività da delegare, scegli Crea un'attività personalizzata da delegare e scegli Avanti.

Nella sezione Tipo di oggetto Active Directory:

1. Seleziona Solo i seguenti oggetti contenuti nella cartella.

2. Seleziona Oggetti utente.

3. Seleziona Crea oggetti selezionati in questa cartella.

4. Seleziona Elimina gli oggetti selezionati in questa cartella e scegli Avanti.

Nella sezione Autorizzazioni:

1. Mantieni selezionata l'opzione Generale.

2. Seleziona Property-specific.

3. Selezione Creation/deletion di oggetti secondari specifici.

4. Seleziona Reimposta password.

5. Seleziona Read ms DS-SupportedEncryptionTypes.

6. Seleziona Write ms DS-SupportedEncryptionTypes.

Per completare la procedura guidata di delega del controllo, rivedi e conferma le impostazioni e scegli Fine.

Apri la console AWS KMS all'indirizzo https://console.aws.amazon.com/kms/. Scegli Crea chiave.

In Tipo di chiave, scegli Simmetrica.

In Utilizzo delle chiavi, scegli Crittografa e decrittografa.

In Advanced options (Opzioni avanzate):

1. In Origine materiale chiave, scegli KMS.

2. Per Regionalità, scegli la Single-Regionchiave e scegli Avanti.

In Alias, fornisci un nome per la chiave KMS.

(Facoltativo) In Descrizione, immetti una descrizione per la chiave KMS.

(Facoltativo) Per i tag, fornisci un tag per la chiave KMS e scegli Avanti.

In Amministratori delle chiavi, fornisci il nome di un utente IAM e selezionalo.

Per l'eliminazione della chiave, mantieni selezionata la casella Consenti agli amministratori delle chiavi di eliminare questa chiave e scegli Avanti.

In Utenti delle chiavi, fornisci lo stesso utente IAM della fase precedente e selezionalo. Scegli Next (Successivo).

Riesamina la configurazione.

In Policy delle chiavi, includi quanto segue nel campo Dichiarazione associato alla policy:

{
    "Sid": "Allow use of the KMS key on behalf of RDS",
    "Effect": "Allow",
    "Principal": {
        "Service": [
            "rds.amazonaws.com"
        ]
    },
    "Action": "kms:Decrypt",
    "Resource": "*"
}

Scegli Fine.

Apri la console all' AWS Secrets Manager indirizzo. https://console.aws.amazon.com/secretsmanager/ Scegli Archivia un nuovo segreto.

Per Secret type (Tipo di segreto), scegli Other type of secret (Altro tipo di segreto).

Per Key/value le coppie, aggiungi le tue due chiavi:

1. Per la prima chiave, immetti SELF_MANAGED_ACTIVE_DIRECTORY_USERNAME.

2. Per il valore della prima chiave, immetti solo il nome utente (senza il prefisso di dominio) dell’utente AD. Non includere il nome di dominio in quanto impedisce la creazione dell’istanza.

3. Per la seconda chiave, immetti SELF_MANAGED_ACTIVE_DIRECTORY_PASSWORD.

4. Per il valore della seconda chiave, immetti la password creata per l'utente AD nel dominio.

Per la chiave di crittografia, inserisci la chiave KMS che hai creato in un passaggio precedente e scegli Avanti.

In Nome del segreto, inserisci un nome descrittivo che semplifichi l'individuazione del segreto in un secondo momento.

(Facoltativo) In Descrizione, inserisci una descrizione per il nome del segreto.

Per l'autorizzazione delle risorse, scegli Modifica.

Aggiungi la seguente policy alla policy dell'autorizzazione:

{
    "Version":"2012-10-17",
    "Statement":
    [
        {
            "Effect": "Allow",
            "Principal":
            {
                "Service": "rds.amazonaws.com"
            },
            "Action": "secretsmanager:GetSecretValue",
            "Resource": "*",
            "Condition":
            {
                "StringEquals":
                {
                    "aws:sourceAccount": "123456789012"
                },
                "ArnLike":
                {
                    "aws:sourceArn": "arn:aws:rds:us-west-2:123456789012:db:*"
                }
            }
        }
    ]
}

Scegli Salva, quindi scegli Avanti.

In Configura impostazioni di rotazione, non modificare i valori predefiniti e scegli Avanti.

Controlla le impostazioni relative al segreto e scegli Store.

Scegli il segreto creato e copia il valore in ARN secreto. Usa questo valore nel passaggio successivo per configurare Active Directory autogestito.