Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

# Configurazione di Active Directory autogestito
<a name="db2-self-managed-active-directory.SettingUp"></a>

Per configurare AD autogestito, si procede nel modo descritto di seguito.

**Topics**
+ [Fase 1: creazione di un'unità organizzativa in AD](#db2-self-managed-active-directory.SettingUp.CreateOU)
+ [Fase 2: creazione un account del servizio di dominio AD in AD](#db2-self-managed-active-directory.SettingUp.CreateADuser)
+ [Fase 3: delega del controllo all’account del servizio di dominio AD](#db2-self-managed-active-directory.SettingUp.DelegateControl)
+ [Fase 4: Creare un AWS Chiave KMS](#db2-self-managed-active-directory.SettingUp.CreateKMSkey)
+ [Fase 5: Creare un AWS Secret](#db2-self-managed-active-directory.SettingUp.CreateSecret)
+ [Passaggio 6: Creare o modificare un'istanza DB Db2](#db2-self-managed-active-directory.SettingUp.CreateModify)

## Fase 1: creazione di un'unità organizzativa in AD
<a name="db2-self-managed-active-directory.SettingUp.CreateOU"></a>

**Importante**  
Ti consigliamo di creare un'unità organizzativa dedicata e una credenziale di servizio con ambito a tale unità organizzativa per qualsiasi AWS account che possiede un'istanza DB RDS for Db2 aggiunta al tuo dominio AD autogestito. Dedicando un'unità organizzativa e una credenziale di servizio, è possibile evitare conflitti tra le autorizzazioni e rispettare il principio del privilegio minimo.

**Creazione di un'unità organizzativa in AD**

1. Stabilisci una connessione al dominio AD come amministratore del dominio.

1. Apri **Utenti e computer di Active Directory** e seleziona il dominio in cui desideri creare l'unità organizzativa.

1. **Apri il menu contestuale del dominio, scegli **Nuovo, quindi scegli Unità** organizzativa.**

1. Inserisci un nome per l'unità operativa.

1. Mantieni selezionata la casella **Proteggi il container dall'eliminazione accidentale**.

1. Scegli **OK**. La nuova unità organizzativa apparirà sotto il dominio.

## Fase 2: creazione un account del servizio di dominio AD in AD
<a name="db2-self-managed-active-directory.SettingUp.CreateADuser"></a>

Utilizza le credenziali dell'account del servizio di dominio come segreto in AWS Secrets Manager.

**Per creare un account del servizio di dominio AD in AD**

1. Apri **Utenti e computer di Active Directory** e seleziona il dominio e l'unità organizzativa in cui desideri creare l'utente.

1. Apri il menu contestuale per **Utenti**, scegli **Nuovo**, quindi scegli **Utente**.

1. Immetti il nome, il cognome e il nome di accesso per l'utente. Scegli **Next (Successivo)**.

1. Immetti una password per l’utente. Non selezionare **L'utente deve cambiare la password al prossimo accesso**. Non selezionare L'**account è disabilitato**. Scegli **Next (Successivo)**.

1. Scegli **OK**. Il tuo nuovo utente viene visualizzato nel tuo dominio.

## Fase 3: delega del controllo all’account del servizio di dominio AD
<a name="db2-self-managed-active-directory.SettingUp.DelegateControl"></a>

### Parte A: Delega le autorizzazioni utilizzando la procedura guidata di delega del controllo
<a name="db2-self-managed-active-directory.SettingUp.DelegateControl.Wizard"></a>

**Per delegare il controllo all’account del servizio di dominio AD nel dominio**

1. Apri lo snap-in Microsoft Management Console (MMC) di **Active Directory Users and Computers** e seleziona il dominio in cui desideri creare l'utente.

1. Apri il menu contestuale dell'unità organizzativa creata in precedenza e scegli Controllo **delegato**.

1. **Nella **procedura guidata per la delega del controllo**, scegli Avanti.**

1. Nella sezione **Utenti o gruppi**, scegli **Aggiungi**.

1. Nella sezione **Seleziona utenti, computer o gruppi,** inserisci l'account del servizio di dominio AD che hai creato e scegli **Controlla nomi**. Se il controllo dell'account del servizio di dominio AD ha esito positivo, scegli **OK**.

1. Nella sezione **Utenti o Gruppi**, conferma che l'account del servizio di dominio AD è stato aggiunto e scegli **Avanti**.

1. **Nella sezione **Attività da delegare**, scegli **Crea un'attività personalizzata da delegare** e scegli Avanti.**

1. Nella sezione **Tipo di oggetto Active Directory**:

   1. Seleziona **Solo i seguenti oggetti contenuti nella cartella**.

   1. Seleziona Oggetti **utente**.

   1. Seleziona **Crea oggetti selezionati in questa cartella**.

   1. Seleziona **Elimina gli oggetti selezionati in questa cartella** e scegli **Avanti**.

1. Nella sezione **Autorizzazioni**:

   1. Mantieni selezionata l'opzione **Generale**.

   1. Seleziona **Property-specific**.

   1. Selezione **Creation/deletion di oggetti secondari specifici**.

   1. Seleziona **Reimposta password**.

   1. Seleziona **Read ms DS-SupportedEncryptionTypes**.

   1. Seleziona **Write ms DS-SupportedEncryptionTypes**.

1. Per **completare la procedura guidata di delega del controllo**, rivedi e conferma le impostazioni e scegli **Fine.**

### Parte B: Delega le autorizzazioni di servizio utilizzando PrincipalName PowerShell
<a name="db2-self-managed-active-directory.SettingUp.DelegateControl.PowerShell"></a>

La procedura guidata Delegation of Control non espone la `servicePrincipalName` proprietà degli oggetti utente. Esegui lo PowerShell script seguente sul controller di dominio per concedere all'account del servizio di dominio AD l'accesso in lettura e scrittura agli `servicePrincipalName` oggetti utente nell'unità organizzativa.

Sostituirlo {{service-account}} con il nome dell'account del servizio di dominio AD creato nel passaggio 2 e aggiornare il nome distinto dell'unità organizzativa in modo che corrisponda all'unità organizzativa creata nel passaggio 1.

```
$ou = "OU={{my-AD-test-OU}},DC={{my-AD-test}},DC={{my-AD}},DC={{my-domain}}"
$user = Get-ADUser "{{service-account}}"
$acl = Get-Acl "AD:\$ou"

$schemaPath = (Get-ADRootDSE).schemaNamingContext
$spnSchema = Get-ADObject -SearchBase $schemaPath -Filter {lDAPDisplayName -eq "servicePrincipalName"} -Properties schemaIDGUID
$spnGuid = New-Object Guid (,$spnSchema.schemaIDGUID)
$userGuid = New-Object Guid "bf967aba-0de6-11d0-a285-00aa003049e2"

$ace = New-Object System.DirectoryServices.ActiveDirectoryAccessRule(
   $user.SID,
   "ReadProperty,WriteProperty",
   "Allow",
   $spnGuid,
   "Descendents",
   $userGuid
)

$acl.AddAccessRule($ace)
Set-Acl "AD:\$ou" $acl
```

Per verificare che le autorizzazioni siano state applicate correttamente, esegui lo PowerShell script seguente:

```
$acl = Get-Acl "AD:\$ou"
$acl.Access | Where-Object { $_.IdentityReference -like "*{{service-account}}*" } | Format-List
```

## Fase 4: Creare un AWS Chiave KMS
<a name="db2-self-managed-active-directory.SettingUp.CreateKMSkey"></a>

La chiave KMS crittografa il tuo segreto. AWS 

**Nota**  
Per la **chiave di crittografia**, non utilizzare la chiave AWS KMS predefinita. Assicurati di creare la chiave AWS KMS nello stesso AWS account che contiene l'istanza DB RDS for Db2 che desideri aggiungere al tuo AD autogestito.

**Per creare un AWS Chiave KMS**

1. Apri la console AWS KMS all'indirizzo [https://console.aws.amazon.com/kms/](https://console.aws.amazon.com/kms/). Scegli **Crea chiave**.

1. In **Tipo di chiave**, scegli **Simmetrica**.

1. In **Utilizzo delle chiavi**, scegli **Crittografa e decrittografa**.

1. In **Advanced options (Opzioni avanzate)**:

   1. In **Origine materiale chiave**, scegli **KMS**.

   1. **Per **Regionalità**, scegli la **Single-Regionchiave e scegli Avanti**.**

1. In **Alias**, fornisci un nome per la chiave KMS.

1. (Facoltativo) In **Descrizione**, immetti una descrizione per la chiave KMS.

1. **(Facoltativo) Per i **tag**, fornisci un tag per la chiave KMS e scegli Avanti.**

1. In **Amministratori delle chiavi**, fornisci il nome di un utente IAM e selezionalo.

1. **Per l'**eliminazione della chiave**, mantieni selezionata la casella **Consenti agli amministratori delle chiavi di eliminare questa chiave** e scegli Avanti.**

1. In **Utenti delle chiavi**, fornisci lo stesso utente IAM della fase precedente e selezionalo. Scegli **Next (Successivo)**.

1. Riesamina la configurazione.

1. In **Policy delle chiavi**, includi quanto segue nel campo **Dichiarazione** associato alla policy:

   ```
   {
       "Sid": "Allow use of the KMS key on behalf of RDS",
       "Effect": "Allow",
       "Principal": {
           "Service": [
               "rds.amazonaws.com"
           ]
       },
       "Action": "kms:Decrypt",
       "Resource": "*"
   }
   ```

1. Scegli **Fine**.

## Fase 5: Creare un AWS Secret
<a name="db2-self-managed-active-directory.SettingUp.CreateSecret"></a>

**Nota**  
Assicurati di creare il segreto nello stesso AWS account che contiene l'istanza DB RDS for Db2 a cui desideri aggiungere al tuo AD autogestito.

**Per creare un segreto**

1. Apri la console all' AWS Secrets Manager indirizzo. [https://console.aws.amazon.com/secretsmanager/](https://console.aws.amazon.com/secretsmanager/) Scegli **Archivia un nuovo segreto**.

1. Per **Secret type** (Tipo di segreto), scegli **Other type of secret** (Altro tipo di segreto).

1. Per **Key/value le coppie**, aggiungi le tue due chiavi:

   1. Per la prima chiave, immetti `SELF_MANAGED_ACTIVE_DIRECTORY_USERNAME`.

   1. Per il valore della prima chiave, immetti solo il nome utente (senza il prefisso di dominio) dell’utente AD. Non includere il nome di dominio in quanto impedisce la creazione dell’istanza.

   1. Per la seconda chiave, immetti `SELF_MANAGED_ACTIVE_DIRECTORY_PASSWORD`.

   1. Per il valore della seconda chiave, immetti la password creata per l'utente AD nel dominio.

1. Per la **chiave di crittografia**, inserisci la chiave KMS che hai creato in un passaggio precedente e scegli **Avanti**.

1. In **Nome del segreto**, inserisci un nome descrittivo che semplifichi l'individuazione del segreto in un secondo momento.

1. (Facoltativo) In **Descrizione**, inserisci una descrizione per il nome del segreto.

1. Per l'**autorizzazione delle risorse**, scegli **Modifica**.

1. Aggiungi la seguente policy alla policy dell'autorizzazione:
**Nota**  
Si consiglia di utilizzare le condizione `aws:sourceAccount` e `aws:sourceArn` nella policy per evitare problemi di tipo *confused deputy*. Usa il tuo AWS account per `aws:sourceAccount` l'ARN dell'istanza DB RDS for Db2. `aws:sourceArn` Per ulteriori informazioni, consulta [Prevenzione del problema "confused deputy" tra servizi](cross-service-confused-deputy-prevention.md).

   ```
   {
       "Version":"2012-10-17",
       "Statement":
       [
           {
               "Effect": "Allow",
               "Principal":
               {
                   "Service": "rds.amazonaws.com"
               },
               "Action": "secretsmanager:GetSecretValue",
               "Resource": "*",
               "Condition":
               {
                   "StringEquals":
                   {
                       "aws:sourceAccount": "123456789012"
                   },
                   "ArnLike":
                   {
                       "aws:sourceArn": "arn:aws:rds:us-west-2:123456789012:db:*"
                   }
               }
           }
       ]
   }
   ```

1. **Scegli **Salva**, quindi scegli Avanti.**

1. In **Configura impostazioni di rotazione**, non modificare i valori predefiniti e scegli **Avanti**.

1. Controlla le impostazioni relative al segreto e scegli **Store**.

1. Scegli il segreto creato e copia il valore in **ARN secreto**. Usa questo valore nel passaggio successivo per configurare Active Directory autogestito.

## Passaggio 6: Creare o modificare un'istanza DB Db2
<a name="db2-self-managed-active-directory.SettingUp.CreateModify"></a>

È possibile utilizzarlo AWS CLI per associare un'istanza DB RDS for Db2 a un dominio AD autogestito. Questa operazione può essere eseguita in uno dei seguenti modi:
+ Crea una nuova istanza DB Db2 utilizzando il comando [https://docs.aws.amazon.com/cli/latest/reference/rds/create-db-instance.html](https://docs.aws.amazon.com/cli/latest/reference/rds/create-db-instance.html)CLI. Per istruzioni, consulta [Creazione di un'istanza database Amazon RDS](USER_CreateDBInstance.md).
+ Modifica un'istanza DB Db2 esistente utilizzando il comando [https://docs.aws.amazon.com/cli/latest/reference/rds/modify-db-instance.html](https://docs.aws.amazon.com/cli/latest/reference/rds/modify-db-instance.html)CLI. Per istruzioni, consulta [Modifica di un'istanza database Amazon RDS](Overview.DBInstance.Modifying.md).

Quando utilizzi la AWS CLI, sono necessari i seguenti parametri affinché l'istanza DB possa utilizzare il dominio AD autogestito che hai creato:
+ Per il parametro `--domain-fqdn`, utilizza il nome di dominio completo (FQDN) del dominio AD autogestito.
+ Per il parametro `--domain-ou`, utilizza l'unità organizzativa creata nel dominio AD gestito dal cliente.
+ Per il `--domain-auth-secret-arn` parametro, utilizzate il valore dell'ARN segreto creato in un passaggio precedente.
+ Per il parametro `--domain-dns-ips`, utilizza gli indirizzi IPv4 primari e secondari dei server DNS per il dominio AD gestito dal cliente. Se non disponi di un indirizzo IP secondario del server DNS, inserisci l'indirizzo IP primario due volte.

Il seguente comando CLI crea una nuova istanza DB RDS for Db2 e la aggiunge a un dominio AD autogestito.

Per Linux, macOS o Unix:

```
aws rds create-db-instance \
    --db-instance-identifier {{my-DB-instance}} \
    --db-instance-class db.m6i.large \
    --allocated-storage 50 \
    --engine db2-se \
    --engine-version 11.5 \
    --master-username {{my-master-username}} \
    --master-user-password {{my-master-password}} \
    --domain-fqdn {{my_AD_domain.my_AD.my_domain}} \
    --domain-ou {{OU=my-AD-test-OU,DC=my-AD-test,DC=my-AD,DC=my-domain}} \
    --domain-auth-secret-arn "arn:aws:secretsmanager:{{region}}:{{account-number}}:secret:{{my-AD-test-secret-123456}}" \
    --domain-dns-ips "{{10.11.12.13}}" "{{10.11.12.14}}"
```

Per Windows:

```
aws rds create-db-instance ^
    --db-instance-identifier {{my-DB-instance}} ^
    --db-instance-class db.m6i.large ^
    --allocated-storage 50 ^
    --engine db2-se ^
    --engine-version 11.5 ^
    --master-username {{my-master-username}} ^
    --master-user-password {{my-master-password}} ^
    --domain-fqdn {{my_AD_domain.my_AD.my_domain}} ^
    --domain-ou {{OU=my-AD-test-OU,DC=my-AD-test,DC=my-AD,DC=my-domain}} ^
    --domain-auth-secret-arn "arn:aws:secretsmanager:{{region}}:{{account-number}}:secret:{{my-AD-test-secret-123456}}" ^
    --domain-dns-ips "{{10.11.12.13}}" "{{10.11.12.14}}"
```