¿Qué se crea con AWS Managed Microsoft AD?

Crea y asocia automáticamente una interfaz de red elástica (ENI) a cada uno de sus controladores de dominio. Cada uno de ENIs ellos es esencial para la conectividad entre la VPC y los controladores de Directory Service dominio y nunca debe eliminarse. Puede identificar todas las interfaces de red reservadas para su uso Directory Service mediante la descripción: «interfaz de red AWS creada para el identificador del directorio». Para obtener más información, consulte Elastic Network Interfaces en la Guía del EC2 usuario de Amazon. El servidor DNS predeterminado del Active Directory AWS administrado de Microsoft AD es el servidor DNS de la VPC en el enrutamiento entre dominios sin clase (CIDR) +2. Para obtener más información, consulte Servidor DNS de Amazon en la Guía del usuario de Amazon VPC.

Aprovisiona Active Directory dentro de la VPC mediante dos controladores de dominio para tolerancia a errores y alta disponibilidad. Se pueden aprovisionar más controladores de dominio para mayor resiliencia y rendimiento después de que el directorio se haya creado correctamente y esté activo. Para obtener más información, consulte Implementación de controladores de dominio adicionales para el AWS Managed Microsoft AD.

Crea un grupo AWS de seguridad sg-1234567890abcdef0 que establece las reglas de red para el tráfico que entra y sale de los controladores de dominio. La regla de salida predeterminada permite que todo el tráfico llegue a todas las IPv4 direcciones. Las reglas de entrada predeterminadas solo permiten el tráfico a través de los puertos que Active Directory requiere desde el bloque IPv4 CIDR principal asociado al alojamiento de VPC para su Microsoft AD administradoAWS. Para mayor seguridad, las ENIs que se crean no tienen Elastic IPs adjunto y usted no tiene permiso para adjuntar una IP elástica a ellas. ENIs Por lo tanto, de forma predeterminada, el único tráfico entrante que puede comunicarse con su Microsoft AD AWS administrado es la VPC local. Puede cambiar las reglas del grupo de seguridad para permitir fuentes de tráfico adicionales, por ejemplo, desde otras que estén conectadas entre sí VPCs o CIDRs a las que se pueda acceder a través de una VPN. Tenga mucho cuidado al intentar cambiar estas reglas, ya que podría perder la capacidad de comunicarse con los controladores de dominio. Para obtener más información, consulte AWSMejores prácticas administradas de Microsoft AD y Mejora de la configuración de seguridad de red del AWS Managed Microsoft AD.

Puede usar listas de prefijos para administrar sus bloques de CIDR dentro de las reglas del grupo de seguridad. Las listas de prefijos facilitan la configuración y administración de los grupos de seguridad y las tablas de enrutamiento. Puede consolidar varios bloques de CIDR con el mismo puerto y protocolos para escalar el tráfico de la red.

De forma predeterminada, se crean las siguientes reglas de grupo de AWS seguridad:

Reglas entrantes

Reglas salientes

Para obtener más información acerca de los puertos y protocolos que utiliza Active Directory, consulte Service overview and network port requirements for Windows en la documentación de Microsoft.

Crea una cuenta de administrador para el directorio con el nombre de usuario Admin y la contraseña especificada. Esta cuenta se encuentra en la Users OU (por ejemplo, Corp > Usuarios). Esta cuenta se utiliza para administrar su directorio en la nube de Nube de AWS. Para obtener más información, consulte Permisos de grupo y de cuenta de administrador de AWS Managed Microsoft AD.

Crea las tres unidades organizativas siguientes (OUs) en la raíz del dominio:

Crea los siguientes grupos en la AWSDelegated Groups OU:

Crea y aplica los siguientes objetos de política de grupo (GPOs):

Si desea ver la configuración de cada GPO, puede hacerlo desde una instancia de Windows unida a un dominio con la Consola de administración de políticas de grupo (GPMC) habilitada.

Crea lo siguiente default local accounts para la administración AWS administrada de Microsoft AD: