Hinzufügen einer Amazon EC2 Windows-Instance zu Ihrem AWS Managed Microsoft AD Active Directory - AWS Directory Service

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Hinzufügen einer Amazon EC2 Windows-Instance zu Ihrem AWS Managed Microsoft AD Active Directory

Sie können eine EC2 Windows Amazon-Instance starten und mit einem AWS Managed Microsoft AD verbinden. Alternativ können Sie eine vorhandene EC2 Windows Instanz manuell mit einem AWS verwalteten Microsoft AD verbinden.

Seamlessly join EC2 Windows instance

Dieses Verfahren verbindet eine EC2 Windows Amazon-Instance nahtlos mit Ihrem AWS Managed Microsoft AD. Wenn Sie einen nahtlosen Domänenbeitritt über mehrere Domänen hinweg durchführen müssen AWS-Konten, finden Sie weitere Informationen unterTutorial: Freigeben Ihres Verzeichnisses in AWS Managed Microsoft AD für eine nahtlose EC2 Domainverbindung. Weitere Informationen zu Amazon EC2 finden Sie unter Was ist Amazon EC2? .

Voraussetzungen

Um einer EC2 Instanz nahtlos einer Domain beizutreten, müssen Sie die folgenden Schritte ausführen:

  • Haben Sie ein AWS verwaltetes Microsoft AD. Weitere Informationen hierzu finden Sie unter Ihr AWS verwaltetes Microsoft AD erstellen.

  • Sie benötigen die folgenden IAM-Berechtigungen, um einer EC2 Windows Instanz problemlos beitreten zu können:

    • IAM-Instanzprofil mit den folgenden IAM-Berechtigungen:

      • AmazonSSMManagedInstanceCore

      • AmazonSSMDirectoryServiceAccess

    • Die Benutzerdomäne, die dem EC2 AWS Managed Microsoft AD nahtlos beitritt, benötigt die folgenden IAM-Berechtigungen:

      • AWS Directory Service Berechtigungen:

        • "ds:DescribeDirectories"

        • "ds:CreateComputer"

      • Amazon VPC-Berechtigungen:

        • "ec2:DescribeVpcs"

        • "ec2:DescribeSubnets"

        • "ec2:DescribeNetworkInterfaces"

        • "ec2:CreateNetworkInterface"

        • "ec2:AttachNetworkInterface"

      • EC2 Berechtigungen:

        • "ec2:DescribeInstances"

        • "ec2:DescribeImages"

        • "ec2:DescribeInstanceTypes"

        • "ec2:RunInstances"

        • "ec2:CreateTags"

      • AWS Systems Manager Berechtigungen:

        • "ssm:DescribeInstanceInformation"

        • "ssm:SendCommand"

        • "ssm:GetCommandInvocation"

        • "ssm:CreateBatchAssociation"

Wenn Ihr AWS verwaltetes Microsoft AD erstellt wird, wird eine Sicherheitsgruppe mit Regeln für eingehenden und ausgehenden Datenverkehr erstellt. Weitere Informationen zu diesen Regeln und Ports finden Sie unter. Was wird mit Ihrem AWS Managed Microsoft AD erstellt Für einen nahtlosen Domänenbeitritt zu einer EC2 Windows Instance sollte Ihre VPC, in der Sie Ihre Instance starten, dieselben Ports zulassen, die in den eingehenden und ausgehenden Regeln Ihrer AWS Managed Microsoft AD-Sicherheitsgruppe zulässig sind.

  • Abhängig von Ihren Netzwerksicherheits- und Firewalleinstellungen müssen Sie möglicherweise zusätzlichen ausgehenden Datenverkehr zulassen. Dieser Datenverkehr würde über HTTPS (Port 443) zu den folgenden Endpunkten erfolgen:

    Endpunkt Rolle

    ec2messages.region.amazonaws.com

    Erstellt und löscht Sitzungskanäle mit dem Session Manager-Dienst. Weitere Informationen finden Sie unter AWS Systems Manager -Endpunkte und -Kontingente.

    ssm.region.amazonaws.com

    Endpunkt für AWS Systems Manager Session Manager. Weitere Informationen finden Sie unter AWS Systems Manager -Endpunkte und -Kontingente.

    ssmmessages.region.amazonaws.com

    Erstellt und löscht Sitzungskanäle mit dem Session Manager-Dienst. Weitere Informationen finden Sie unter AWS Systems Manager -Endpunkte und -Kontingente.

    ds.region.amazonaws.com

    Endpunkt für AWS Directory Service. Weitere Informationen finden Sie unter Verfügbarkeit in der Region für AWS Directory Service.

  • Wir empfehlen, einen DNS-Server zu verwenden, der Ihren AWS verwalteten Microsoft AD-Domainnamen auflöst. Zu diesem Zweck können Sie einen DHCP-Optionssatz erstellen. Weitere Informationen finden Sie unter Einen DHCP-Optionssatz für AWS Managed Microsoft AD erstellen oder ändern.

    • Wenn Sie sich dafür entscheiden, keinen DHCP-Optionssatz zu erstellen, sind Ihre DNS-Server statisch und werden von Ihrem AWS verwalteten Microsoft AD entsprechend konfiguriert.

Um einer EC2 Windows Amazon-Instance nahtlos beizutreten

  1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die EC2 Amazon-Konsole unter https://console.aws.amazon.com/ec2/.

  2. Wählen Sie in der Navigationsleiste dasselbe Verzeichnis AWS-Region wie das bestehende Verzeichnis aus.

  3. Wählen Sie auf dem EC2 Dashboard im Abschnitt Launch instance die Option Launch instance aus.

  4. Geben Sie auf der Seite Launch a instance im Abschnitt Name und Tags den Namen ein, den Sie für Ihre EC2 Windows-Instance verwenden möchten.

  5. (Optional) Wählen Sie Zusätzliche Tags hinzufügen, um ein oder mehrere Tag-Schlüssel-Wert-Paare hinzuzufügen, um den Zugriff für diese EC2 Instance zu organisieren, zu verfolgen oder zu kontrollieren.

  6. Wählen Sie im Abschnitt Anwendungs- und Betriebssystem-Image (Amazon Machine Image) Windows im Schnellstartbereich aus. Sie können das Windows Amazon Machine Image (AMI) in der Dropdown-Liste Amazon Machine Image (AMI) ändern.

  7. Wählen Sie im Abschnitt Instance-Typ den Instance-Typ, den Sie verwenden möchten, aus der Dropdown-Liste Instance-Typ aus.

  8. Im Abschnitt key pair (Anmeldung) können Sie entweder ein neues key pair erstellen, ein vorhandenes key pair verwenden oder ohne Schlüsselpaar fortfahren.

  9. Wählen Sie auf der Seite Eine Instance starten im Abschnitt Netzwerkeinstellungen die Option Bearbeiten aus. Wählen Sie die VPC, in der Ihr Verzeichnis erstellt wurde, aus der Dropdown-Liste VPC – erforderlich aus.

  10. Wählen Sie eines der öffentlichen Subnetze in Ihrer VPC aus der Dropdown-Liste Subnetz aus. Das von Ihnen gewählte Subnetz muss den gesamten externen Datenverkehr an ein Internet-Gateway weiterleiten. Ist dies nicht der Fall, können Sie keine Remote-Verbindung zur Instance einrichten.

    Weitere Informationen zur Verbindung mit einem Internet-Gateway finden Sie unter Verbinden mit dem Internet über ein Internet-Gateway im Amazon-VPC-Benutzerhandbuch.

  11. Wählen Sie unter Öffentliche IP automatisch zuweisen die Option Aktivieren.

    Weitere Informationen zur öffentlichen und privaten IP-Adressierung finden Sie unter EC2 Amazon-Instance-IP-Adressierung im EC2 Amazon-Benutzerhandbuch.

  12. Für die Einstellungen zu Firewall (Sicherheitsgruppen) können Sie die Standardeinstellungen verwenden oder an Ihre Bedürfnisse angepasste Änderungen vornehmen.

  13. Für Speichereinstellungen konfigurieren können Sie die Standardeinstellungen verwenden oder an Ihre Bedürfnisse angepasste Änderungen vornehmen.

  14. Wählen Sie den Abschnitt Erweiterte Details aus und wählen Sie Ihre Domain aus der Dropdown-Liste für das Domainverbindungs-Verzeichnis aus.

    Anmerkung

    Nachdem Sie das Domain-Join-Verzeichnis ausgewählt haben, sehen Sie möglicherweise:

    Eine Fehlermeldung bei der Auswahl Ihres Domain-Join-Verzeichnisses. In Ihrem vorhandenen SSM-Dokument ist ein Fehler aufgetreten.

    Dieser Fehler tritt auf, wenn der EC2 Startassistent ein vorhandenes SSM-Dokument mit unerwarteten Eigenschaften identifiziert. Sie können einen der folgenden Schritte ausführen:

    • Wenn Sie das SSM-Dokument zuvor bearbeitet haben und die Eigenschaften erwartet werden, wählen Sie Schließen und fahren Sie fort, um die EC2 Instanz ohne Änderungen zu starten.

    • Wählen Sie den Link „Bestehendes SSM-Dokument hier löschen“, um das SSM-Dokument zu löschen. Dies ermöglicht die Erstellung eines SSM-Dokuments mit den richtigen Eigenschaften. Das SSM-Dokument wird automatisch erstellt, wenn Sie die EC2 Instanz starten.

  15. Für das IAM-Instance-Profil können Sie ein vorhandenes IAM-Instance-Profil auswählen oder ein neues erstellen. Wählen Sie aus der Dropdownliste für das IAM-Instance-Profil ein IAM-Instance-Profil aus, dem die AWS verwalteten Richtlinien Amazon SSMManaged InstanceCore und Amazon SSMDirectory ServiceAccess zugeordnet sind. Um ein neues zu erstellen, wählen Sie den Link Neues IAM-Profil erstellen und gehen Sie dann wie folgt vor:

    1. Wählen Sie Rolle erstellen aus.

    2. Wählen Sie unter Vertrauenswürdige Entität auswählen die Option AWS -Service aus.

    3. Wählen Sie unter Use case (Anwendungsfall) EC2 aus.

    4. Wählen Sie unter Berechtigungen hinzufügen in der Liste der Richtlinien die SSMDirectory ServiceAccess Richtlinien von Amazon SSMManaged InstanceCore und Amazon aus. Geben Sie im Suchfeld SSM ein, um die Liste zu filtern. Wählen Sie Weiter aus.

      Anmerkung

      Amazon SSMDirectory ServiceAccess stellt die Berechtigungen zum Verbinden von Instances mit einem Active Directory verwalteten System bereit AWS Directory Service. Amazon SSMManaged InstanceCore stellt die Mindestberechtigungen bereit, die für die Nutzung des AWS Systems Manager Dienstes erforderlich sind. Weitere Informationen zum Erstellen einer Rolle mit diesen Berechtigungen und zu anderen Berechtigungen und Richtlinien, die Sie Ihrer IAM-Rolle zuweisen können, finden Sie unter Ein IAM-Instance-Profil für Systems Manager erstellen im AWS Systems Manager -Benutzerhandbuch.

    5. Geben Sie auf der Seite Benennen, überprüfen und erstellen einen Rollennamen ein. Sie benötigen diesen Rollennamen, um ihn an die EC2 Instance anzuhängen.

    6. (Optional) Sie können im Feld Beschreibung eine Beschreibung des IAM-Instance-Profils angeben.

    7. Wählen Sie Rolle erstellen aus.

    8. Kehren Sie zur Seite Eine Instance starten zurück und wählen Sie das Aktualisierungssymbol neben dem IAM-Instance-Profil. Ihr neues IAM-Instance-Profil sollte in der Dropdown-Liste IAM-Instance-Profil sichtbar sein. Wählen Sie das neue Profil und belassen Sie die restlichen Einstellungen auf den Standardwerten.

  16. Wählen Sie Launch Instance (Instance starten) aus.

Manually join EC2 Windows instance

Um eine bestehende EC2 Windows Amazon-Instance manuell mit einem AWS Managed Microsoft AD zu verbindenActive Directory, muss die Instance mit den unter angegebenen Parametern gestartet werdenHinzufügen einer Amazon EC2 Windows-Instance zu Ihrem AWS Managed Microsoft AD Active Directory.

Sie benötigen die IP-Adressen der AWS verwalteten Microsoft AD DNS-Server. Diese Informationen finden Sie in den Abschnitten Verzeichnisservices > Verzeichnisse > dem Verzeichnis-ID-Link für Ihr Verzeichnis > Verzeichnisdetails und Netzwerk und Sicherheit.

In der AWS Directory Service Konsole auf der Seite mit den Verzeichnisdetails sind die IP-Adressen der AWS Directory Service bereitgestellten DNS-Server hervorgehoben.
So verbinden Sie eine Windows-Instanz mit einem AWS verwalteten Microsoft AD Active Directory
  1. Verbinden Sie die Instance mithilfe eines beliebigen Remote Desktop Protocol-Clients.

  2. Öffnen Sie das IPv4 TCP/Eigenschaften-Dialogfeld auf der Instanz.

    1. Öffnen Sie Network Connections.

      Tipp

      Öffnen Sie Network Connections direkt, indem Sie folgenden Befehl über die Befehlszeile der Instance ausführen.

      %SystemRoot%\system32\control.exe ncpa.cpl
    2. Öffnen Sie für eine beliebige aktivierte Netzwerkverbindung per Rechtsklick das Kontextmenü und wählen Sie dann Properties aus.

    3. Öffnen Sie im Dialogfeld für die Verbindungseigenschaften (per Doppelklick) Internet Protocol Version 4.

  3. Wählen Sie Folgende DNS-Serveradressen verwenden aus, ändern Sie die bevorzugten DNS-Server - und alternativen DNS-Serveradressen in die IP-Adressen Ihrer von AWS Managed Microsoft AD bereitgestellten DNS-Server und wählen Sie OK.

    Das Dialogfeld mit den Eigenschaften von Internet Protocol Version 4 (TCP/IPv4), in dem die Felder für den bevorzugten DNS-Server und den alternativen DNS-Server hervorgehoben sind.
  4. Öffnen Sie das Dialogfeld System Properties für die Instance, wählen Sie die Registerkarte Computer Name und wählen Sie Change.

    Tipp

    Öffnen Sie das Dialogfeld System Properties direkt, indem Sie folgenden Befehl über die Befehlszeile der Instance ausführen.

    %SystemRoot%\system32\control.exe sysdm.cpl
  5. Wählen Sie im Feld Mitglied von die Option Domäne aus, geben Sie den vollqualifizierten Namen Ihres AWS verwalteten Microsoft AD Active Directory ein, und klicken Sie auf OK.

  6. Wenn Sie zur Eingabe des Namens und des Kennworts für den Domänenadministrator aufgefordert werden, geben Sie den Benutzernamen und das Kennwort eines Kontos ein, das über Domänenbeitrittsrechte verfügt. Weitere Informationen zum Erteilen dieser Berechtigungen finden Sie unter Delegieren von Verzeichnisbeitrittsberechtigungen für AWS Managed Microsoft AD.

    Anmerkung

    Sie können entweder den vollqualifizierten Namen Ihrer Domäne oder den NetBIOS-Namen, gefolgt von einem umgekehrten Schrägstrich (\) und dann den Benutzernamen eingeben. Der Benutzername wäre Admin. Zum Beispiel corp.example.com\admin oder corp\admin.

  7. Nachdem Sie in der Domain willkommen geheißen wurden, starten Sie die Instance neu, damit die Änderungen übernommen werden.

Nachdem Ihre Instanz der AWS verwalteten Microsoft AD Active Directory-Domäne hinzugefügt wurde, können Sie sich remote bei dieser Instanz anmelden und Dienstprogramme zur Verwaltung des Verzeichnisses installieren, z. B. zum Hinzufügen von Benutzern und Gruppen. Die Active Directory-Verwaltungstools können verwendet werden, um Benutzer und Gruppen zu erstellen. Weitere Informationen finden Sie unter Installation der Active Directory-Verwaltungstools für AWS verwaltetes Microsoft AD.

Anmerkung

Sie können Amazon Route 53 auch verwenden, um DNS-Abfragen zu verarbeiten, anstatt die DNS-Adressen auf Ihren EC2 Amazon-Instances manuell zu ändern. Weitere Informationen finden Sie unter Integrieren der DNS-Auflösung Ihres Verzeichnisdienstes in Ihr Netzwerk Amazon Route 53 Resolver und Weiterleiten ausgehender DNS-Anfragen an Ihr Netzwerk.