Voraussetzungen für Hybrid-Verzeichnisse

Um einen AWS KMS-Schlüssel zu erstellen

1. Wählen Sie in der AWS KMS Konsole Create Key aus.

2. Wählen Sie für Schlüsseltyp Symmetrisch aus.

3. Wählen Sie für Schlüsselnutzung die Option Verschlüsseln und Entschlüsseln aus.

4. Für Advanced options (Erweiterte Optionen):

   1. Wählen Sie unter Schlüsselmaterialursprung KMS aus.

   2. Wählen Sie für Regionality die Option Single Region Key und dann Next aus.

5. Geben Sie für Alias einen Namen für den KMS-Schlüssel an.

6. (Optional) Geben Sie unter Beschreibung eine Beschreibung des KMS-Schlüssels an.

7. (Optional) Fügen Sie für Tags Tags für den KMS-Schlüssel hinzu und wählen Sie Weiter.

8. Wählen Sie für Schlüsseladministratoren einen IAM-Benutzer aus.

9. Behalten Sie für das Löschen von Schlüsseln die Standardauswahl für Schlüsseladministratoren das Löschen dieses Schlüssels zulassen bei und wählen Sie Weiter.

10. Wählen Sie für Key-Benutzer denselben IAM-Benutzer aus dem vorherigen Schritt aus und klicken Sie auf Weiter.

11. Prüfen Sie die Konfiguration.

12. Fügen Sie unter Schlüsselrichtlinie die folgende Erklärung zur Richtlinie hinzu:

    {
      "Version": "2012-10-17",
      "Statement": [
        {
          "Sid": "Enable IAM User Permissions",
          "Effect": "Allow",
          "Principal": {
            "AWS": "arn:aws:iam::caller-account:role/role_used_to_create_directory"
          },
          "Action": "kms:*",
          "Resource": "*"
        },
        { 
           "Sid": "Allow use of the KMS key on behalf of Directory Service", 
           "Effect": "Allow", 
           "Principal": {
             "Service": "ds.amazonaws.com"
           }, 
           "Action": "kms:Decrypt", 
           "Resource": "*"
        }
      ]
    }

13. Wählen Sie Finish (Abschließen).

1. Fügen Sie den Benutzernamenschlüssel hinzu

   1. Geben Sie als ersten Schlüssel customerAdAdminDomainUsername ein.

   2. Geben Sie für den Wert des ersten Schlüssels nur den Benutzernamen (ohne das Domainpräfix) des AD-Benutzers ein. Geben Sie den Domainnamen nicht an, da dies dazu führt, dass die Instanzerstellung fehlschlägt.

2. Fügen Sie den Passwortschlüssel hinzu

   1. Geben Sie als zweiten Schlüssel customerAdAdminDomainPassword ein.

   2. Geben Sie als Wert des zweiten Schlüssels das Passwort ein, das Sie für den AD-Benutzer in Ihrer Domain erstellt haben.

1. Wählen Sie unter Verschlüsselungsschlüssel den KMS-Schlüssel aus, den Sie in erstellt haben, Erstellen Sie einen KMS-Schlüssel und klicken Sie auf Weiter.

2. Geben Sie unter Geheimer Name eine Beschreibung für das Geheimnis ein.

3. (Optional) Geben Sie unter Beschreibung eine Beschreibung für das Geheimnis ein.

4. Wählen Sie Weiter aus.

5. Behalten Sie für Rotationseinstellungen konfigurieren die Standardwerte bei und wählen Sie Weiter aus.

6. Überprüfen Sie die Einstellungen für das Geheimnis und wählen Sie Speichern aus.

7. Wählen Sie das von Ihnen erstellte Secret aus und kopieren Sie den Wert für den Secret-ARN. Sie werden diesen ARN im nächsten Schritt verwenden, um Ihr selbstverwaltetes Active Directory einzurichten.