Einrichten eines selbstverwalteten Active Directory

Stellen Sie als Domain-Administrator eine Verbindung zu Ihrer AD-Domain her.

Öffnen Sie Active Directory-Benutzer und -Computer und wählen Sie die Domain aus, in der Sie Ihre Organisationseinheit erstellen möchten.

Klicken Sie mit der rechten Maustaste auf die Domain und wählen Sie Neu und dann Organisationseinheit aus.

Geben Sie einen Namen für die Organisationseinheit ein.

Lassen Sie das Kontrollkästchen für Container vor versehentlichem Löschen schützen aktiviert.

Klicken Sie auf OK. Ihre neue Organisationseinheit wird unter Ihrer Domain angezeigt.

Öffnen Sie Active-Directory-Benutzer und -Computer und wählen Sie die Domain und die Organisationseinheit aus, in der Sie Ihren Benutzer erstellen möchten.

Klicken Sie mit der rechten Maustaste auf das Objekt Benutzer und wählen Sie Neu und dann Benutzer aus.

Geben Sie einen Vornamen, Nachnamen und Anmeldenamen für den Benutzer ein. Klicken Sie auf Weiter.

Geben Sie ein Passwort für den Benutzer ein. Wählen Sie nicht Benutzer muss das Passwort bei der nächsten Anmeldung ändern aus. Wählen Sie nicht Konto ist deaktiviert aus. Klicken Sie auf Weiter.

Klicken Sie auf OK. Ihr neuer Benutzer wird unter Ihrer Domain angezeigt.

Öffnen Sie das MMC-Snap-In Active-Directory-Benutzer und -Computer und wählen Sie die Domain aus, in der Sie Ihren Benutzer erstellen möchten.

Klicken Sie mit der rechten Maustaste auf die Organisationseinheit, die Sie zuvor erstellt haben, und wählen Sie Kontrolle delegieren aus.

Klicken Sie im Assistenten für die Delegation der Kontrolle auf Weiter.

Klicken Sie im Abschnitt Benutzer oder Gruppen auf Hinzufügen.

Geben Sie im Abschnitt Benutzer, Computer oder Gruppen auswählen den von Ihnen erstellten AD-Benutzer ein und klicken Sie auf Namen überprüfen. Wenn Ihre AD-Benutzerprüfung erfolgreich ist, klicken Sie auf OK.

Bestätigen Sie im Abschnitt Benutzer oder Gruppen, dass Ihr AD-Benutzer hinzugefügt wurde, und klicken Sie auf Weiter.

Wählen Sie im Abschnitt Zu delegierende Aufgaben die Option Eine zu delegierende benutzerdefinierte Aufgabe erstellen aus und klicken Sie auf Weiter.

Gehen Sie im Abschnitt Active-Directory-Objekttyp wie folgt vor:

1. Wählen Sie Nur die folgenden Objekte in dem Ordner aus.

2. Wählen Sie Computerobjekte aus.

3. Wählen Sie Ausgewählte Objekte in diesem Ordner erstellen aus.

4. Wählen Sie Ausgewählte Objekte in diesem Ordner löschen aus und klicken Sie auf Weiter.

Gehen Sie im Abschnitt Berechtigungen wie folgt vor:

1. Behalten Sie die Auswahl von Allgemein bei.

2. Wählen Sie Überprüfter Schreibvorgang in den DNS-Hostnamen aus.

3. Wählen Sie Überprüfter Schreibvorgang in den Service-Prinzipalnamen aus und klicken Sie auf Weiter.

Überprüfen und bestätigen Sie Ihre Einstellungen unter Den Assistenten für die Delegation der Kontrolle abschließen und klicken Sie auf Fertig stellen.

Wählen Sie in der AWS KMS Konsole Create Key aus.

Wählen Sie für Schlüsseltyp Symmetrisch aus.

Wählen Sie für Schlüsselnutzung die Option Verschlüsseln und Entschlüsseln aus.

Für Advanced options (Erweiterte Optionen):

1. Wählen Sie unter Schlüsselmaterialursprung KMS aus.

2. Wählen Sie für Regionalität Single-Region-Schlüssel aus und klicken Sie auf Weiter.

Geben Sie für Alias einen Namen für den KMS-Schlüssel an.

(Optional) Geben Sie unter Beschreibung eine Beschreibung des KMS-Schlüssels an.

(Optional) Geben Sie für Tags ein Tag für den KMS-Schlüssel an und klicken Sie auf Weiter.

Geben Sie für Schlüsseladministratoren den Namen eines IAM-Benutzers an und wählen Sie ihn aus.

Lassen Sie für Schlüssellöschung das Kontrollkästchen für Ermöglicht Schlüsseladministratoren das Löschen dieses Schlüssels aktiviert und klicken Sie auf Weiter.

Geben Sie für Schlüsselbenutzer den IAM-Benutzer aus dem vorherigen Schritt an und wählen Sie ihn aus. Klicken Sie auf Weiter.

Prüfen Sie die Konfiguration.

Fügen Sie für Schlüsselrichtlinie Folgendes zur Richtlinien-Anweisung hinzu:

{
    "Sid": "Allow use of the KMS key on behalf of RDS",
    "Effect": "Allow",
    "Principal": {
        "Service": [
            "rds.amazonaws.com"
        ]
    },
    "Action": "kms:Decrypt",
    "Resource": "*"
}

Klicken Sie auf Beenden.

Wählen Sie im AWS Secrets Manager die Option Neues Geheimnis speichern aus.

Als Secret-Typ wählen Sie Anderer Secret-Typ aus.

Fügen Sie für Schlüssel/Wert-Paare Ihre beiden Schlüssel hinzu:

1. Geben Sie als ersten Schlüssel CUSTOMER_MANAGED_ACTIVE_DIRECTORY_USERNAME ein.

2. Geben Sie für den Wert des ersten Schlüssels nur den Benutzernamen (ohne das Domainpräfix) des AD-Benutzers ein. Geben Sie den Domainnamen nicht an, da dies dazu führt, dass die Instanzerstellung fehlschlägt.

3. Geben Sie als zweiten Schlüssel CUSTOMER_MANAGED_ACTIVE_DIRECTORY_PASSWORD ein.

4. Geben Sie als Wert des zweiten Schlüssels das Passwort ein, das Sie für den AD-Benutzer in Ihrer Domain erstellt haben.

Geben Sie als Verschlüsselungsschlüssel den KMS-Schlüssel ein, den Sie in einem vorherigen Schritt erstellt haben, und klicken Sie auf Weiter.

Geben Sie als Secret-Name einen aussagekräftigen Namen ein, anhand dessen Sie das Secret später leichter finden können.

(Optional) Geben Sie im Feld Beschreibung eine Beschreibung für den Secret-Namen ein.

Klicken Sie unter Ressourcenberechtigung auf Bearbeiten.

Fügen Sie der Berechtigungsrichtlinie folgende Richtlinie hinzu:

{
    "Version": "2012-10-17",
    "Statement":
    [
        {
            "Effect": "Allow",
            "Principal":
            {
                "Service": "rds.amazonaws.com"
            },
            "Action": "secretsmanager:GetSecretValue",
            "Resource": "*",
            "Condition":
            {
                "StringEquals":
                {
                    "aws:sourceAccount": "123456789012"
                },
                "ArnLike":
                {
                    "aws:sourceArn": "arn:aws:rds:us-west-2:123456789012:db:*"
                }
            }
        }
    ]
}

Klicken Sie auf Speichern und dann auf Weiter.

Behalten Sie für Rotationseinstellungen konfigurieren die Standardwerte bei und wählen Sie Weiter aus.

Überprüfen Sie die Einstellungen für das Secret und klicken Sie auf Speichern.

Wählen Sie das von Ihnen erstellte Secret aus und kopieren Sie den Wert für den Secret-ARN. Dieser wird im nächsten Schritt bei der Einrichtung des selbstverwalteten Active Directory verwendet.