Unir sin problemas una instancia de Amazon EC2 Linux a un Microsoft AD AWS gestionado compartido

Abra la consola de IAM en https://console.aws.amazon.com/iam/.

En el panel de navegación, en Administración del acceso, elija Roles.

En la página Roles, elija Crear rol.

En Seleccionar tipo de entidad de confianza, seleccione Servicio de AWS .

En Caso de uso, elija y EC2, a continuación, elija Siguiente

En Políticas de filtro, haga lo siguiente:

1. Escriba AmazonSSMManagedInstanceCore. A continuación, seleccione la casilla de verificación de ese elemento de la lista.

2. Escriba AmazonSSMDirectoryServiceAccess. A continuación, seleccione la casilla de verificación de ese elemento de la lista.

3. Después de agregar estas políticas, seleccione Crear rol.

   nota

   AmazonSSMDirectoryServiceAccessproporciona los permisos para unir instancias a una instancia Active Directory gestionada por AWS Directory Service. AmazonSSMManagedInstanceCoreproporciona los permisos mínimos necesarios para su uso AWS Systems Manager. Para obtener más información sobre cómo crear un rol con estos permisos y sobre otros permisos y políticas que puede asignar a su rol de IAM, consulte Configuración de permisos de instancia requeridos para Systems Manager en la Guía del usuario de AWS Systems Manager .

Ingrese un nombre para su nuevo rol, como LinuxEC2DomainJoin o cualquier otro nombre de su preferencia en el campo Nombre del rol.

(Opcional) En Descripción del rol, escriba una descripción.

(Opcional) Para agregar etiquetas, elija Agregar nueva etiqueta en el Paso 3: Agregar etiquetas. Los pares clave-valor con etiqueta se utilizan para organizar, realizar un seguimiento o controlar el acceso a este rol.

Seleccione Crear rol.

Abra la consola de Secrets Manager en https://console.aws.amazon.com/secretsmanager/.

En la lista de secretos, elija el Secreto que creó durante Requisitos previos.

En la página Detalles del secreto, en la pestaña Descripción general, desplácese hacia abajo hasta Permisos de recursos.

Seleccione Editar permisos.

1. En el campo de políticas, escriba la siguiente política. La siguiente política permite a Linux EC2 DomainJoin in acceder Account 2 a la entrada secretaAccount 1. Sustituya el valor del ARN por el valor del ARN de su Account 2 y el rol LinuxEC2DomainJoin que creó en el paso 1. Para usar esta política, consulte Adjuntar una política de permisos a un AWS Secrets Manager secreto.

   {
   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::Account2:role/LinuxEC2DomainJoin"
         },
         "Action": "secretsmanager:GetSecretValue",
         "Resource": "*"
       }
     ]
   }
   

Abra la consola de Secrets Manager en https://console.aws.amazon.com/secretsmanager/.

En el panel de navegación izquierdo, elija Claves administradas por el cliente.

En la página Claves administradas por el cliente, seleccione la clave que ha creado.

En la página Detalles de claves, navegue hasta Política de claves y seleccione Editar.

La siguiente instrucción de política de claves permite que ApplicationRole en Account 2 use la clave de KMS en Account 1 para descifrar el secreto en Account 1. Para utilizar esta instrucción, agréguela a la política de claves de la clave de KMS. Para obtener más información, consulte Cambiar una política de claves.

{
{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::Account2:role/ApplicationRole"
  },
  "Action": [
    "kms:Decrypt",
    "kms:DescribeKey"
  ],
  "Resource": "*"
}

Abra la consola de IAM en https://console.aws.amazon.com/iam/.

En el panel de navegación izquierdo, en Administración de acceso, seleccione Políticas.

Seleccione Create Policy (Crear política). Elija JSON en el Editor de políticas.

La siguiente política permite que ApplicationRole en Account 2 acceda al secreto de Account 1 y descifre el valor secreto mediante la clave de cifrado que también está en Account 1. Puede encontrar el ARN para el secreto en la consola de Secrets Manager en la página Detalles secretos en ARN del secreto. Como alternativa, puedes llamar a describe-secret para identificar el ARN del secreto. Sustituya el ARN del recurso por el ARN del recurso del ARN secreto y la Account 1. Para usar esta política, consulta Adjuntar una política de permisos a un secreto. AWS Secrets Manager

{
{
  "Version" : "2012-10-17",
  "Statement" : [
    {
      "Effect": "Allow",
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "SecretARN"
    },
    {
      "Effect": "Allow",
      "Action": [
"kms:Decrypt",
"kms:Describekey"
],
      "Resource": "arn:aws:kms:Region:Account1:key/Your_Encryption_Key"
    }
  ]
}

Seleccione Siguiente y, a continuación, Guardar cambios.

Busque y seleccione el rol que creó en Account 2 en Attach a resource policy to the secret in Account 1.

En Agregar permisos, elija Asociar políticas.

En la barra de búsqueda, busque la política que creó en Add a statement to the key policy for the KMS key in Account 1 y seleccione la casilla para agregar la política al rol. Luego, seleccione Agregar permisos.

Inicia sesión en la EC2 consola de Amazon AWS Management Console y ábrela en https://console.aws.amazon.com/ec2/.

En el selector de regiones de la barra de navegación, elige el Región de AWS mismo directorio que el existente.

En el EC2 panel de control, en la sección Lanzar instancia, elija Launch instance.

En la página Lanzar una instancia, en la sección Nombre y etiquetas, introduce el nombre que te gustaría usar para tu EC2 instancia de Linux.

(Opcional) Selecciona Añadir etiquetas adicionales para añadir uno o más pares de etiquetas y valores para organizar, realizar un seguimiento o controlar el acceso a esta EC2 instancia.

En la sección Imagen de aplicación y sistema operativo (Imagen de máquina de Amazon), elija la AMI de Linux que desee iniciar.

En la sección Tipo de instancia, elija el tipo de instancia que desee usar en la lista desplegable Tipo de instancia.

En la sección Par de claves (inicio de sesión), puede elegir entre crear un nuevo par de claves o elegir un par de claves existente. Para crear un nuevo par de claves, elija Crear nuevo par de claves. Ingrese un nombre para el par de claves y seleccione una opción en Tipo de par de claves y Formato de archivo de clave privada. Para guardar la clave privada en un formato que se pueda utilizar con OpenSSH, elija .pem. Para guardar la clave privada en un formato que se pueda utilizar con PuTTY, elija .ppk. Elija Crear par de claves. Su navegador descargará el archivo de clave privada automáticamente. Guarde el archivo de clave privada en un lugar seguro.

En la página Lanzar una instancia, en la sección Configuración de red, elija Editar. Elija la VPC en la que se creó el directorio en la lista desplegable VPC: obligatoria.

Elija una de las subredes públicas de su VPC en la lista desplegable Subred. La subred que elija debe tener todo el tráfico externo dirigido a una puerta de enlace de Internet. De lo contrario, no podrá conectarse a la instancia de forma remota.

Para obtener más información sobre cómo conectar una puerta de enlace de Internet, consulte Conexión a Internet mediante una puerta de enlace de Internet en la Guía del usuario de Amazon VPC.

En Autoasignar IP pública, elija Habilitar.

Para obtener más información sobre las direcciones IP públicas y privadas, consulte Direcciones IP de EC2 instancias de Amazon en la Guía del EC2 usuario de Amazon.

En la configuración Firewall (grupos de seguridad), puede usar la configuración predeterminada o hacer cambios para adaptarla a sus necesidades.

En la configuración Configurar almacenamiento, puede utilizar los ajustes predeterminados o hacer los cambios necesarios para adaptarlos a sus necesidades.

Seleccione la sección Detalles avanzados y elija su dominio en el menú desplegable Directorio de vinculación de dominios.

nota

Tras elegir el directorio de vinculación de dominios, es posible que vea lo siguiente:

Este error se produce si el asistente de EC2 lanzamiento identifica un documento SSM existente con propiedades inesperadas. Puede elegir una de las opciones siguientes:

• Si ya ha editado el documento SSM y las propiedades son las esperadas, seleccione cerrar y proceda a lanzar la EC2 instancia sin cambios.

• Seleccione el enlace a continuación para eliminar el documento SSM existente. Esto permitirá crear un documento SSM con las propiedades correctas. El documento SSM se creará automáticamente al lanzar la EC2 instancia.

Para el perfil de instancia de IAM, elija el rol de IAM que creó anteriormente en la sección de requisitos previos. Paso 2: Crear el rol de Linux. EC2 DomainJoin

Seleccione Iniciar instancia.