Voraussetzungen

Öffnen Sie https://portal.aws.amazon.com/billing/signup.

Folgen Sie den Online-Anweisungen.

Während der Anmeldung erhalten Sie einen Telefonanruf oder eine Textnachricht und müssen einen Verifizierungscode über die Telefontasten eingeben.

Wenn Sie sich für eine registrieren AWS-Konto, Root-Benutzer des AWS-Kontos wird eine erstellt. Der Root-Benutzer hat Zugriff auf alle AWS-Services und Ressourcen des Kontos. Als bewährte Sicherheitsmethode weisen Sie einem Benutzer Administratorzugriff zu und verwenden Sie nur den Root-Benutzer, um Aufgaben auszuführen, die Root-Benutzerzugriff erfordern.

Folgen Sie den Anweisungen, um eine Domain bei Route53 zu registrieren. Sie sollten eine Bestätigungs-E-Mail erhalten.

Rufen Sie die gehostete Zone für Ihre Domain ab. Dies wird automatisch von Route53 erstellt.

1. Öffnen Sie die Route53-Konsole.

2. Wählen Sie im linken Navigationsbereich die Option Gehostete Zonen aus.

3. Öffnen Sie die für Ihren Domainnamen erstellte gehostete Zone und kopieren Sie die ID der gehosteten Zone.

Öffnen Sie AWS Certificate Manager und folgen Sie diesen Schritten, um ein Domänenzertifikat anzufordern. Stellen Sie sicher, dass Sie sich in der Region befinden, in der Sie die Lösung bereitstellen möchten.

Wählen Sie in der Navigation die Option Zertifikate auflisten aus und suchen Sie nach Ihrer Zertifikatsanfrage. Die Anfrage sollte noch ausstehend sein.

Wählen Sie Ihre Zertifikats-ID, um die Anfrage zu öffnen.

Wählen Sie im Abschnitt Domains die Option Create records in Route53 aus. Die Bearbeitung der Anfrage dauert ungefähr zehn Minuten.

Sobald das Zertifikat ausgestellt wurde, kopieren Sie den ARN aus dem Abschnitt Zertifikatsstatus.

Stellen Sie den CloudFormation Zertifikatsstapel in dem AWS Konto mit kommerzieller Partition bereit, in dem die öffentlich gehostete Domain erstellt wurde.

Suchen und notieren Sie sich in den CloudFormation Zertifikatsausgaben das CertificateARN Zeichen und. PrivateKeySecretARN

Erstellen Sie im GovCloud Partitionskonto ein Geheimnis mit dem Wert der CertificateARN Ausgabe. Notieren Sie sich den neuen geheimen ARN und fügen Sie dem Geheimnis zwei Tags hinzu, damit vdc-gateway Sie auf den geheimen Wert zugreifen können:

1. res: ModuleName = virtueller Desktop-Controller

2. res: EnvironmentName = [Umgebungsname] (Das könnte res-demo sein.)

Erstellen Sie im GovCloud Partitionskonto ein Geheimnis mit dem Wert der PrivateKeySecretArn Ausgabe. Notieren Sie sich den neuen geheimen ARN und fügen Sie dem Geheimnis zwei Tags hinzu, damit vdc-gateway Sie auf den geheimen Wert zugreifen können:

1. res: ModuleName = virtueller Desktop-Controller

2. res: EnvironmentName = [Umgebungsname] (Das könnte res-demo sein.)

Folgen Sie den Schritten unter So aktivieren Sie serverseitiges LDAPS für Ihr. AWS Managed Microsoft AD Sie können diesen Schritt überspringen, wenn Sie LDAPS bereits aktiviert haben.

Nachdem Sie bestätigt haben, dass LDAPS auf dem AD konfiguriert ist, exportieren Sie das AD-Zertifikat:

1. Gehen Sie zu Ihrem Active Directory-Server.

2. Öffnen Sie PowerShell als Administrator.

3. Ausführencertmgr.msc, um die Zertifikatsliste zu öffnen.

4. Öffnen Sie die Zertifikatsliste, indem Sie zuerst die vertrauenswürdigen Stammzertifizierungsstellen und dann Zertifikate öffnen.

5. Wählen Sie das Zertifikat mit dem gleichen Namen wie Ihr AD-Server aus, halten Sie es gedrückt (oder klicken Sie mit der rechten Maustaste darauf) und wählen Sie Alle Aufgaben und dann Exportieren aus.

6. Wählen Sie Base-64 Encoded X.509 (.CER) aus und wählen Sie Weiter.

7. Wählen Sie ein Verzeichnis aus und klicken Sie dann auf Weiter.

Erstellen Sie ein Geheimnis in AWS Secrets Manager:

Wenn Sie Ihr Geheimnis im Secrets Manager erstellen, wählen Sie Andere Art von Geheimnissen unter Geheimnistyp und fügen Sie Ihr PEM-codiertes Zertifikat in das Klartext-Feld ein.

Notieren Sie sich den erstellten ARN und geben Sie ihn als DomainTLSCertificateSecretARN Parameter in einSchritt 1: Starten Sie das Produkt.

Laden Sie die Abhängigkeiten unter herunter https://research-engineering-studio-us-east-1.s3.amazonaws.com/releases/latest/res-installation-scripts.tar.gz. Für die Bereitstellung in einer isolierten VPC erfordert die RES-Infrastruktur die Verfügbarkeit von Abhängigkeiten, ohne dass ein öffentlicher Internetzugang erforderlich ist.

Erstellen Sie eine IAM-Rolle mit Amazon S3-Lesezugriff und vertrauenswürdiger Identität als Amazon EC2.

1. Öffnen Sie unter https://console.aws.amazon.com/iam/ die IAM-Konsole.

2. Wählen Sie unter Rollen die Option Rolle erstellen aus.

3. Gehen Sie auf der Seite Vertrauenswürdige Entität auswählen wie folgt vor:

   • Wählen Sie unter Vertrauenswürdiger Entitätstyp die Option aus AWS-Service.

   • Wählen Sie für Use Case unter Service oder Use Case die Option EC2 und dann Next aus.

4. Wählen Sie unter Berechtigungen hinzufügen die folgenden Berechtigungsrichtlinien aus und klicken Sie dann auf Weiter:

   • AmazonS3ReadOnlyAccess

   • AmazonSSMManagedInstanceCore

   • EC2InstanceProfileForImageBuilder

5. Fügen Sie einen Rollennamen und eine Beschreibung hinzu und wählen Sie dann Rolle erstellen aus.

Erstellen Sie die EC2 Image Builder-Komponente:

1. Öffnen Sie die EC2 Image Builder-Konsole unter. https://console.aws.amazon.com/imagebuilder

2. Wählen Sie unter Gespeicherte Ressourcen die Option Komponenten und dann Komponente erstellen aus.

3. Geben Sie auf der Seite „Komponente erstellen“ die folgenden Details ein:

   • Wählen Sie als Komponententyp die Option Build aus.

   • Für Komponentendetails wählen Sie:

     Parameter	Benutzereingabe
     Image-Betriebssystem (OS)	Linux
     Kompatible Betriebssystemversionen	Amazon Linux 2, Amazon Linux 2023, RHEL8, RHEL 9 oder Windows 10 und 11
     Name der Komponente	Geben Sie einen Namen wie den folgenden ein: <research-and-engineering-studio-infrastructure>
     Version der Komponente	Wir empfehlen, mit 1.0.0 zu beginnen.
     Description	Optionale Benutzereingabe.

4. Wählen Sie auf der Seite Komponente erstellen die Option Dokumentinhalt definieren aus.

   1. Bevor Sie den Inhalt des Definitionsdokuments eingeben, benötigen Sie eine Datei-URI für die Datei tar.gz. Laden Sie die von RES bereitgestellte Datei tar.gz in einen Amazon S3-Bucket hoch und kopieren Sie den URI der Datei aus den Bucket-Eigenschaften.

   2. Geben Sie Folgendes ein:

      Anmerkung

      AddEnvironmentVariablesist optional, und Sie können sie entfernen, wenn Sie keine benutzerdefinierten Umgebungsvariablen in Ihren Infrastruktur-Hosts benötigen.

      Wenn Sie https_proxy Umgebungsvariablen einrichtenhttp_proxy, sind die no_proxy Parameter erforderlich, um zu verhindern, dass die Instance den Proxy verwendet, um den Localhost, die IP-Adressen der Instance-Metadaten und die Dienste, die VPC-Endpunkte unterstützen, abzufragen.

      #  Copyright Amazon.com, Inc. or its affiliates. All Rights Reserved.
      #
      #  Licensed under the Apache License, Version 2.0 (the "License"). You may not use this file except in compliance
      #  with the License. A copy of the License is located at
      #
      #      http://www.apache.org/licenses/LICENSE-2.0
      #
      #  or in the 'license' file accompanying this file. This file is distributed on an 'AS IS' BASIS, WITHOUT WARRANTIES
      #  OR CONDITIONS OF ANY KIND, express or implied. See the License for the specific language governing permissions
      #  and limitations under the License.
      name: research-and-engineering-studio-infrastructure
      description: An RES EC2 Image Builder component to install required RES software dependencies for infrastructure hosts.
      schemaVersion: 1.0
      
      parameters:
        - AWSRegion:
            type: string
            description: RES Environment AWS Region
      phases:
        - name: build
          steps:
             - name: DownloadRESInstallScripts
               action: S3Download
               onFailure: Abort
               maxAttempts: 3
               inputs:
                  - source: '<s3 tar.gz file uri>'
                    destination: '/root/bootstrap/res-installation-scripts/res-installation-scripts.tar.gz'
             - name: RunInstallScript
               action: ExecuteBash
               onFailure: Abort
               maxAttempts: 3
               inputs:
                  commands:
                      - 'cd /root/bootstrap/res-installation-scripts'
                      - 'tar -xf res-installation-scripts.tar.gz'
                      - 'cd scripts/infrastructure-host'
                      - '/bin/bash install.sh'
             - name: AddEnvironmentVariables
               action: ExecuteBash
               onFailure: Abort
               maxAttempts: 3
               inputs:
                  commands:
                      - |
                        echo -e "
                        http_proxy=http://<ip>:<port>
                        https_proxy=http://<ip>:<port>
                        no_proxy=127.0.0.1,169.254.169.254,169.254.170.2,localhost,{{ AWSRegion }}.res,{{ AWSRegion }}.vpce.amazonaws.com,{{ AWSRegion }}.elb.amazonaws.com,s3.{{ AWSRegion }}.amazonaws.com,s3.dualstack.{{ AWSRegion }}.amazonaws.com,ec2.{{ AWSRegion }}.amazonaws.com,ec2.{{ AWSRegion }}.api.aws,ec2messages.{{ AWSRegion }}.amazonaws.com,ssm.{{ AWSRegion }}.amazonaws.com,ssmmessages.{{ AWSRegion }}.amazonaws.com,kms.{{ AWSRegion }}.amazonaws.com,secretsmanager.{{ AWSRegion }}.amazonaws.com,sqs.{{ AWSRegion }}.amazonaws.com,elasticloadbalancing.{{ AWSRegion }}.amazonaws.com,sns.{{ AWSRegion }}.amazonaws.com,logs.{{ AWSRegion }}.amazonaws.com,logs.{{ AWSRegion }}.api.aws,elasticfilesystem.{{ AWSRegion }}.amazonaws.com,fsx.{{ AWSRegion }}.amazonaws.com,dynamodb.{{ AWSRegion }}.amazonaws.com,api.ecr.{{ AWSRegion }}.amazonaws.com,.dkr.ecr.{{ AWSRegion }}.amazonaws.com,kinesis.{{ AWSRegion }}.amazonaws.com,.data-kinesis.{{ AWSRegion }}.amazonaws.com,.control-kinesis.{{ AWSRegion }}.amazonaws.com,events.{{ AWSRegion }}.amazonaws.com,cloudformation.{{ AWSRegion }}.amazonaws.com,sts.{{ AWSRegion }}.amazonaws.com,application-autoscaling.{{ AWSRegion }}.amazonaws.com,monitoring.{{ AWSRegion }}.amazonaws.com,ecs.{{ AWSRegion }}.amazonaws.com,.execute-api.{{ AWSRegion }}.amazonaws.com
                         " >> /etc/environment launch template  

5. Wählen Sie Komponente erstellen.

Erstellen Sie ein Image Builder-Bildrezept.

1. Geben Sie auf der Seite „Rezept erstellen“ Folgendes ein:

   Abschnitt	Parameter	Benutzereingabe
   Einzelheiten zum Rezept	Name	Geben Sie einen entsprechenden Namen ein, z. B. res-recipe-linux-x86.
   	Version	Geben Sie eine Version ein, die normalerweise mit 1.0.0 beginnt.
   	Beschreibung	Fügen Sie eine optionale Beschreibung hinzu.
   Basisbild	Wählen Sie ein Bild	Wählen Sie verwaltete Bilder aus.
   	OS	Amazon Linux oder Red Hat Enterprise Linux (RHEL)
   	Herkunft des Bildes	Schnellstart (Amazon-managed)
   	Name des Bilds	Amazon Linux 2 x86, Amazon Linux 2023 x86, Red Hat Enterprise Linux 8 x86 oder Red Hat Enterprise Linux 9 x86
   	Auto-versioning options	Verwenden Sie die neueste verfügbare Betriebssystemversion.
   Konfiguration der Instanz	–	Behalten Sie die Standardeinstellungen bei und stellen Sie sicher, dass die Option SSM-Agent nach Ausführung der Pipeline entfernen nicht ausgewählt ist.
   Arbeitsverzeichnis	Pfad zum Arbeitsverzeichnis	/root/bootstrap/res-installationsskripte
   Komponenten	Komponenten erstellen	Suchen Sie nach den folgenden Elementen und wählen Sie sie aus: Amazon-managed: aws-cli-version-2-linux Amazon-managed: amazon-cloudwatch-agent-linux Gehört Ihnen: Die zuvor erstellte Amazon EC2-Komponente. Geben Sie Ihre aktuelle AWS Region in das Feld ein.
   	Testen Sie die Komponenten	Suchen Sie nach und wählen Sie aus: Amazon-managed: simple-boot-test-linux

2. Wählen Sie Create Recipe (Rezept erstellen) aus.

Erstellen Sie die Image Builder-Infrastrukturkonfiguration.

1. Wählen Sie unter Gespeicherte Ressourcen die Option Infrastrukturkonfigurationen aus.

2. Wählen Sie Infrastrukturkonfiguration erstellen aus.

3. Geben Sie auf der Seite „Infrastrukturkonfiguration erstellen“ Folgendes ein:

   Abschnitt	Parameter	Benutzereingabe
   General	Name	Geben Sie einen entsprechenden Namen ein, z. B. res-infra-linux-x86.
   	Beschreibung	Fügen Sie eine optionale Beschreibung hinzu.
   	IAM role (IAM-Rolle)	Wählen Sie die zuvor erstellte IAM-Rolle aus.
   AWS Infrastruktur	Instance-Typ	Wählen Sie t3.medium.
   	VPC, Subnetz und Sicherheitsgruppen	Wählen Sie eine Option, die den Internetzugang und den Zugriff auf den Amazon S3-Bucket zulässt. Wenn Sie eine Sicherheitsgruppe erstellen müssen, können Sie eine von der Amazon EC2-Konsole aus mit den folgenden Eingaben erstellen: VPC: Wählen Sie dieselbe VPC aus, die für die Infrastrukturkonfiguration verwendet wird. Diese VPC muss über einen Internetzugang verfügen. Regel für eingehenden Verkehr: Typ: SSH Quelle: Benutzerdefiniert CIDR-Block: 0.0.0. 0/0

4. Wählen Sie Infrastrukturkonfiguration erstellen aus.

Erstellen Sie eine neue EC2 Image Builder-Pipeline:

1. Gehen Sie zu Image-Pipelines und wählen Sie Image-Pipeline erstellen.

2. Geben Sie auf der Seite „Pipeline-Details angeben“ Folgendes ein und wählen Sie Weiter:

   • Name der Pipeline und optionale Beschreibung

   • Legen Sie für den Build-Zeitplan einen Zeitplan fest oder wählen Sie Manuell, wenn Sie den AMI-Backvorgang manuell starten möchten.

3. Wählen Sie auf der Seite „Rezept auswählen“ die Option „Vorhandenes Rezept verwenden“ und geben Sie den zuvor erstellten Rezeptnamen ein. Wählen Sie Weiter aus.

4. Wählen Sie auf der Seite „Image-Prozess definieren“ die Standard-Workflows aus und klicken Sie auf Weiter.

5. Wählen Sie auf der Seite „Infrastrukturkonfiguration definieren“ die Option Bestehende Infrastrukturkonfiguration verwenden aus und geben Sie den Namen der zuvor erstellten Infrastrukturkonfiguration ein. Wählen Sie Weiter aus.

6. Beachten Sie auf der Seite „Verteilungseinstellungen definieren“ bei Ihrer Auswahl Folgendes:

   • Das Ausgabe-Image muss sich in derselben Region wie die bereitgestellte RES-Umgebung befinden, damit RES Infrastruktur-Host-Instances von dort aus ordnungsgemäß starten kann. Unter Verwendung der Dienststandards wird das Ausgabe-Image in der Region erstellt, in der der EC2 Image Builder-Dienst verwendet wird.

   • Wenn Sie RES in mehreren Regionen bereitstellen möchten, können Sie Neue Verteilungseinstellungen erstellen wählen und dort weitere Regionen hinzufügen.

7. Überprüfen Sie Ihre Auswahl und wählen Sie „Pipeline erstellen“.

Führen Sie die EC2 Image Builder-Pipeline aus:

1. Suchen Sie unter Image-Pipelines die Pipeline, die Sie erstellt haben, und wählen Sie sie aus.

2. Wählen Sie Aktionen und dann Pipeline ausführen aus.

   Es kann ungefähr 45 Minuten bis eine Stunde dauern, bis die Pipeline ein AMI-Image erstellt hat.

Notieren Sie sich die AMI-ID für das generierte AMI und verwenden Sie sie als Eingabe für den InfrastructureHost AMI-Parameter inSchritt 1: Starten Sie das Produkt.

Wenn Endpoints noch nicht konfiguriert wurden, folgen Sie den Anweisungen unter Zugriff und AWS-Service Verwendung eines Schnittstellen-VPC-Endpunkts.

Wählen Sie in jeder der beiden Verfügbarkeitszonen ein privates Subnetz aus.

Starten Sie eine Linux-Instance im öffentlichen Subnetz der VPC, die Sie für Ihre RES-Bereitstellung verwenden werden.

Stellen Sie eine Verbindung zur Instanz her, um einen Proxyserver einzurichten.

1. Öffnen Sie die HTTP-Verbindung.

2. Erlauben Sie die Verbindung zu den folgenden Domänen von allen relevanten Subnetzen aus:

   • .amazonaws.com (für allgemeine Dienste) AWS

   • .amazoncognito.com (für Amazon Cognito)

   • .awsapps.com (für Identity Center)

   • .signin.aws (für Identity Center)

   • .amazonaws-us-gov.com (für Gov Cloud)

3. Verweigert alle anderen Verbindungen.

4. Aktivieren und starten Sie den Proxyserver.

5. Notieren Sie sich den PORT, auf dem der Proxyserver lauscht.

Konfigurieren Sie Ihre Routing-Tabelle, um den Zugriff auf den Proxyserver zu ermöglichen.

1. Gehen Sie zu Ihrer VPC-Konsole und identifizieren Sie die Routing-Tabellen für die Subnetze, die Sie für Infrastruktur-Hosts und VDI-Hosts verwenden werden.

2. Bearbeiten Sie die Routing-Tabelle, damit alle eingehenden Verbindungen zu der in den vorherigen Schritten erstellten Proxy-Server-Instanz geleitet werden können.

3. Tun Sie dies für Routing-Tabellen für alle Subnetze (ohne Internetzugang), für Infrastructure/VDIs die Sie sie verwenden möchten.

Ändern Sie die Sicherheitsgruppe der EC2-Instance des Proxyservers und stellen Sie sicher, dass sie eingehende TCP-Verbindungen auf dem PORT zulässt, auf dem der Proxyserver lauscht.