Requisitos previos

Abra https://portal.aws.amazon.com/billing/signup.

Siga las instrucciones que se le indiquen.

Parte del procedimiento de registro consiste en recibir una llamada telefónica o mensaje de texto e indicar un código de verificación en el teclado del teléfono.

Cuando te registras en un Cuenta de AWS, Usuario raíz de la cuenta de AWS se crea un. El usuario raíz tendrá acceso a todos los Servicios de AWS y recursos de esa cuenta. Como práctica recomendada de seguridad, asigne acceso administrativo a un usuario y utilice únicamente el usuario raíz para realizar Tareas que requieren acceso de usuario raíz.

Siga las instrucciones para registrar un dominio en Route53. Deberías recibir un correo electrónico de confirmación.

Recupera la zona alojada de tu dominio. Route53 la crea automáticamente.

1. Abre la consola de Route53.

2. Elige Zonas alojadas en el menú de navegación de la izquierda.

3. Abre la zona alojada creada para tu nombre de dominio y copia el ID de la zona alojada.

Abre AWS Gestor de certificados y sigue estos pasos para solicitar un certificado de dominio. Asegúrese de estar en la región en la que planea implementar la solución.

Seleccione Listar certificados en la barra de navegación y busque su solicitud de certificado. La solicitud debe estar pendiente.

Elige tu ID de certificado para abrir la solicitud.

En la sección Dominios, elige Crear registros en Route53. La solicitud tardará aproximadamente diez minutos en procesarse.

Una vez emitido el certificado, copia el ARN de la sección de estado del certificado.

Implemente la CloudFormation pila de certificados en la AWS cuenta de la partición comercial en la que se creó el dominio hospedado público.

En los CloudFormation resultados del certificado, busque y anote el CertificateARN signo y. PrivateKeySecretARN

En la cuenta de GovCloud partición, cree un secreto con el valor de la CertificateARN salida. Anote el nuevo ARN secreto y añada dos etiquetas al secreto para vdc-gateway poder acceder al valor secreto:

1. res: ModuleName = controlador de escritorio virtual

2. res: EnvironmentName = [nombre del entorno] (podría ser res-demo.)

En la cuenta de GovCloud partición, cree un secreto con el valor de la PrivateKeySecretArn salida. Anote el nuevo ARN secreto y añada dos etiquetas al secreto para vdc-gateway poder acceder al valor secreto:

1. res: ModuleName = controlador de escritorio virtual

2. res: EnvironmentName = [nombre del entorno] (podría ser res-demo.)

Siga los pasos que se indican en Cómo habilitar el LDAPS del lado del servidor para su. AWS Managed Microsoft AD Puede omitir este paso si ya ha activado LDAPS.

Tras confirmar que el LDAPS está configurado en el AD, exporte el certificado del AD:

1. Vaya a su servidor de Active Directory.

2. Abra PowerShell como administrador.

3. Ejecute certmgr.msc para abrir la lista de certificados.

4. Abra la lista de certificados; para ello, abra primero las entidades de certificación raíz de confianza y, a continuación, los certificados.

5. Seleccione y mantenga pulsado (o haga clic con el botón derecho) en el certificado con el mismo nombre que su servidor de AD, seleccione Todas las tareas y, a continuación, Exportar.

6. Seleccione Base-64 codificado X.509 (.CER) y elija Siguiente.

7. Seleccione un directorio y, a continuación, elija Siguiente.

Crea un secreto en AWS Secrets Manager:

Al crear su secreto en Secrets Manager, seleccione Otro tipo de secretos en Tipo de secreto y pegue su certificado cifrado en PEM en el campo Texto no cifrado.

Anote el ARN creado e introdúzcalo como DomainTLSCertificateSecretARN parámetro enPaso 1: lanzar el producto.

Descargue las dependencias en https://research-engineering-studio-us-east-1.s3.amazonaws.com/releases/latest/res-installation-scripts.tar.gz. Para implementarla en una VPC aislada, la infraestructura RES requiere la disponibilidad de dependencias sin tener acceso público a Internet.

Cree un rol de IAM con acceso de solo lectura e identidad confiable de Amazon S3 como Amazon EC2.

1. Abra la consola de IAM en https://console.aws.amazon.com/iam/.

2. En Roles, elija Crear rol.

3. En la página Seleccionar entidad de confianza:

   • En Tipo de entidad de confianza, elija Servicio de AWS.

   • Para Caso de uso en Servicio o caso de uso, elija EC2 y elija Siguiente.

4. En Agregar permisos, seleccione las siguientes políticas de permisos y, a continuación, elija Siguiente:

   • AmazonS3ReadOnlyAccess

   • AmazonSSMManagedInstanceCore

   • EC2InstanceProfileForImageBuilder

5. Agregue un nombre y una descripción del rol y, a continuación, elija Crear rol.

Cree el componente generador de imágenes de EC2:

1. Abra la consola de EC2 Image Builder en. https://console.aws.amazon.com/imagebuilder

2. En Recursos guardados, elija Componentes y elija Crear componente.

3. En la página Crear componente, introduzca los siguientes detalles:

   • En Tipo de componente, elija Construir.

   • Para ver los detalles del componente, elija:

     Parámetro	Entrada de usuario
     Sistema operativo (OS) de imagen	Linux
     Versiones de sistema operativo compatibles	Amazon Linux 2, Amazon Linux 2023, RHEL8, RHEL 9 o Windows 10 y 11
     Nombre del componente	Introduzca un nombre como: <research-and-engineering-studio-infrastructure>
     Versión del componente	Se recomienda empezar por 1.0.0.
     Description (Descripción)	Entrada de usuario opcional.

4. En la página Crear componente, elija Definir el contenido del documento.

   1. Antes de introducir el contenido del documento de definición, necesitará un URI de archivo para el archivo tar.gz. Suba el archivo tar.gz proporcionado por RES a un bucket de Amazon S3 y copie el URI del archivo de las propiedades del bucket.

   2. Introduzca lo siguiente:

      nota

      AddEnvironmentVariableses opcional y puede eliminarlo si no necesita variables de entorno personalizadas en los hosts de su infraestructura.

      Si estás configurando variables de https_proxy entorno, no_proxy los parámetros son necesarios para evitar que la instancia utilice el proxy para consultar el host local, las direcciones IP de los metadatos de la instancia y los servicios que admiten los puntos de enlace de la VPC. http_proxy

      #  Copyright Amazon.com, Inc. or its affiliates. All Rights Reserved.
      #
      #  Licensed under the Apache License, Version 2.0 (the "License"). You may not use this file except in compliance
      #  with the License. A copy of the License is located at
      #
      #      http://www.apache.org/licenses/LICENSE-2.0
      #
      #  or in the 'license' file accompanying this file. This file is distributed on an 'AS IS' BASIS, WITHOUT WARRANTIES
      #  OR CONDITIONS OF ANY KIND, express or implied. See the License for the specific language governing permissions
      #  and limitations under the License.
      name: research-and-engineering-studio-infrastructure
      description: An RES EC2 Image Builder component to install required RES software dependencies for infrastructure hosts.
      schemaVersion: 1.0
      
      parameters:
        - AWSRegion:
            type: string
            description: RES Environment AWS Region
      phases:
        - name: build
          steps:
             - name: DownloadRESInstallScripts
               action: S3Download
               onFailure: Abort
               maxAttempts: 3
               inputs:
                  - source: '<s3 tar.gz file uri>'
                    destination: '/root/bootstrap/res-installation-scripts/res-installation-scripts.tar.gz'
             - name: RunInstallScript
               action: ExecuteBash
               onFailure: Abort
               maxAttempts: 3
               inputs:
                  commands:
                      - 'cd /root/bootstrap/res-installation-scripts'
                      - 'tar -xf res-installation-scripts.tar.gz'
                      - 'cd scripts/infrastructure-host'
                      - '/bin/bash install.sh'
             - name: AddEnvironmentVariables
               action: ExecuteBash
               onFailure: Abort
               maxAttempts: 3
               inputs:
                  commands:
                      - |
                        echo -e "
                        http_proxy=http://<ip>:<port>
                        https_proxy=http://<ip>:<port>
                        no_proxy=127.0.0.1,169.254.169.254,169.254.170.2,localhost,{{ AWSRegion }}.res,{{ AWSRegion }}.vpce.amazonaws.com,{{ AWSRegion }}.elb.amazonaws.com,s3.{{ AWSRegion }}.amazonaws.com,s3.dualstack.{{ AWSRegion }}.amazonaws.com,ec2.{{ AWSRegion }}.amazonaws.com,ec2.{{ AWSRegion }}.api.aws,ec2messages.{{ AWSRegion }}.amazonaws.com,ssm.{{ AWSRegion }}.amazonaws.com,ssmmessages.{{ AWSRegion }}.amazonaws.com,kms.{{ AWSRegion }}.amazonaws.com,secretsmanager.{{ AWSRegion }}.amazonaws.com,sqs.{{ AWSRegion }}.amazonaws.com,elasticloadbalancing.{{ AWSRegion }}.amazonaws.com,sns.{{ AWSRegion }}.amazonaws.com,logs.{{ AWSRegion }}.amazonaws.com,logs.{{ AWSRegion }}.api.aws,elasticfilesystem.{{ AWSRegion }}.amazonaws.com,fsx.{{ AWSRegion }}.amazonaws.com,dynamodb.{{ AWSRegion }}.amazonaws.com,api.ecr.{{ AWSRegion }}.amazonaws.com,.dkr.ecr.{{ AWSRegion }}.amazonaws.com,kinesis.{{ AWSRegion }}.amazonaws.com,.data-kinesis.{{ AWSRegion }}.amazonaws.com,.control-kinesis.{{ AWSRegion }}.amazonaws.com,events.{{ AWSRegion }}.amazonaws.com,cloudformation.{{ AWSRegion }}.amazonaws.com,sts.{{ AWSRegion }}.amazonaws.com,application-autoscaling.{{ AWSRegion }}.amazonaws.com,monitoring.{{ AWSRegion }}.amazonaws.com,ecs.{{ AWSRegion }}.amazonaws.com,.execute-api.{{ AWSRegion }}.amazonaws.com
                         " >> /etc/environment launch template  

5. Seleccione Crear componente.

Crea una receta de imágenes de Image Builder.

1. En la página Crear receta, introduce lo siguiente:

   Sección	Parámetro	Entrada de usuario
   Detalles de la receta	Nombre	Introduzca un nombre apropiado, como res-recipe-linux-x86.
   	Versión	Introduzca una versión, normalmente a partir de la 1.0.0.
   	Descripción	Añada una descripción opcional.
   Imagen base	Selecciona la imagen	Selecciona imágenes administradas.
   	SO	Amazon Linux o Red Hat Enterprise Linux (RHEL)
   	Origen de la imagen	Inicio rápido (Amazon-managed)
   	Nombre de la imagen	Amazon Linux 2 x86, Amazon Linux 2023 x86, Red Hat Enterprise Linux 8 x86 o Red Hat Enterprise Linux 9 x86
   	Auto-versioning options	Utilice la última versión del sistema operativo disponible.
   Configuración de la instancia	–	Mantén todo en la configuración predeterminada y asegúrate de que no esté seleccionada la opción Eliminar el agente SSM tras la ejecución del canalización.
   Directorio de trabajo	Ruta del directorio de trabajo	/root/bootstrap/res-installation-scripts
   Componentes	Construya componentes	Busque y seleccione lo siguiente: Amazon-managed: aws-cli-version-2-linux Amazon-managed: amazon-cloudwatch-agent-linux De su propiedad: componente de Amazon EC2 creado anteriormente. Indique su AWS región actual en el campo.
   	Componentes de prueba	Busque y seleccione: Amazon-managed: simple-boot-test-linux

2. Elija Crear receta.

Cree la configuración de infraestructura de Image Builder.

1. En Recursos guardados, elija Configuraciones de infraestructura.

2. Elija Crear configuración de infraestructura.

3. En la página Crear configuración de infraestructura, introduzca lo siguiente:

   Sección	Parámetro	Entrada de usuario
   General	Nombre	Introduzca un nombre apropiado, como res-infra-linux-x86.
   	Descripción	Añada una descripción opcional.
   	Rol de IAM	Seleccione el rol de IAM creado anteriormente.
   AWS infraestructura	Tipo de instancia	Elija t3.medium.
   	VPC, subred y grupos de seguridad	Seleccione una opción que permita el acceso a Internet y al bucket de Amazon S3. Si necesita crear un grupo de seguridad, puede crear uno desde la consola de Amazon EC2 con las siguientes entradas: VPC: seleccione la misma VPC que se está utilizando para la configuración de la infraestructura. Esta VPC debe tener acceso a Internet. Regla de entrada: Tipo: SSH Origen: personalizado Bloque CIDR: 0.0.0. 0/0

4. Elija Crear configuración de infraestructura.

Cree una nueva canalización de EC2 Image Builder:

1. Vaya a Image Pipelines y seleccione Crear canalización de imágenes.

2. En la página Especificar detalles de la canalización, introduce lo siguiente y selecciona Siguiente:

   • Nombre de la canalización y descripción opcional

   • En Construir el cronograma, defina un cronograma o elija Manual si desea iniciar el proceso de horneado de la AMI de forma manual.

3. En la página Elegir receta, seleccione Usar receta existente e introduzca el nombre de la receta creada anteriormente. Elija Siguiente.

4. En la página Definir el proceso de imágenes, seleccione los flujos de trabajo predeterminados y elija Siguiente.

5. En la página Definir la configuración de la infraestructura, elija Usar la configuración de infraestructura existente e introduzca el nombre de la configuración de infraestructura creada anteriormente. Elija Siguiente.

6. En la página Definir la configuración de distribución, tenga en cuenta lo siguiente para sus selecciones:

   • La imagen de salida debe residir en la misma región que el entorno RES implementado, de modo que RES pueda lanzar correctamente las instancias de alojamiento de la infraestructura desde allí. Si se utilizan los valores predeterminados del servicio, la imagen de salida se creará en la región en la que se utiliza el servicio EC2 Image Builder.

   • Si desea implementar RES en varias regiones, puede elegir Crear una nueva configuración de distribución y agregar más regiones allí.

7. Revisa tus selecciones y elige Crear canalización.

Ejecute la canalización de EC2 Image Builder:

1. En Image pipelines, busque y seleccione la canalización que ha creado.

2. Selecciona Acciones y selecciona Ejecutar canalización.

   La canalización puede tardar entre 45 minutos y una hora en crear una imagen de AMI.

Anote el ID de AMI de la AMI generada y utilícelo como entrada para el parámetro InfrastructureHost AMI enPaso 1: lanzar el producto.

Si los puntos de conexión no se han configurado anteriormente, siga las instrucciones que se proporcionan en Acceder a un punto de enlace de la Servicio de AWS VPC mediante una interfaz.

Seleccione una subred privada en cada una de las dos zonas de disponibilidad.

Lanza una instancia de Linux en la subred pública de la VPC que utilizarás para la implementación de RES.

Conéctese a la instancia para configurar un servidor proxy.

1. Abre la conexión http.

2. Permita la conexión a los siguientes dominios desde todas las subredes relevantes:

   • .amazonaws.com (para servicios genéricos) AWS

   • .amazoncognito.com (para Amazon Cognito)

   • .awsapps.com (para Identity Center)

   • .signin.aws (para Identity Center)

   • .amazonaws-us-gov.com (para Gov Cloud)

3. Rechaza todas las demás conexiones.

4. Active e inicie el servidor proxy.

5. Anote el PUERTO en el que escucha el servidor proxy.

Configure la tabla de rutas para permitir el acceso al servidor proxy.

1. Vaya a la consola de la VPC e identifique las tablas de rutas de las subredes que utilizará para los hosts de infraestructura y los hosts de VDI.

2. Edite la tabla de rutas para permitir que todas las conexiones entrantes vayan a la instancia del servidor proxy creada en los pasos anteriores.

3. Haga esto para las tablas de enrutamiento de todas las subredes (sin acceso a Internet) que vaya a utilizar. Infrastructure/VDIs

Modifique el grupo de seguridad de la instancia EC2 del servidor proxy y asegúrese de que permite las conexiones TCP entrantes en el PUERTO en el que el servidor proxy escucha.