Configurazione di Active Directory autogestito

Stabilisci una connessione al dominio AD come amministratore del dominio.

Apri Utenti e computer di Active Directory e seleziona il dominio in cui desideri creare l'unità organizzativa.

Fai clic con il pulsante destro del mouse sul dominio e scegli Nuovo, quindi Unità organizzativa.

Inserisci un nome per l'unità operativa.

Mantieni selezionata la casella Proteggi il container dall'eliminazione accidentale.

Fai clic su OK. La nuova unità organizzativa apparirà sotto il dominio.

Apri Utenti e computer di Active Directory e seleziona il dominio e l'unità organizzativa in cui desideri creare l'utente.

Fai clic con il pulsante destro del mouse sull'oggetto Utenti, scegli Nuovo, quindi Utente.

Immetti il nome, il cognome e il nome di accesso per l'utente. Fare clic su Avanti.

Immetti una password per l'utente. Non selezionare "L'utente deve cambiare la password al prossimo accesso". Non selezionare "L'account è disabilitato". Fare clic su Avanti.

Fai clic su OK. Il nuovo utente apparirà sotto il dominio.

Apri lo snap-in MMC Utenti e computer di Active Directory e seleziona il dominio e l'unità organizzativa in cui desideri creare l'utente.

Fai clic con il pulsante destro del mouse sull'unità organizzativa creata in precedenza e scegli Controllo delegato.

Nella pagina Delega guidata del controllo, fai clic su Avanti.

Nella sezione Utenti o gruppi, fai clic su Aggiungi.

Nella sezione Seleziona utenti, computer o gruppi, inserisci l’account del servizio di dominio AD creato in precedenza e fai clic su Controlla nomi. Se il controllo dell’account del servizio di dominio AD ha esito positivo, fai clic su OK.

Nella sezione Utenti o gruppi, verifica che l’account del servizio di dominio AD sia stato aggiunto e fai clic su Avanti.

Nella pagina Operazioni da delegare, seleziona Crea un'operazione personalizzata da delegare, quindi scegli Avanti.

Nella sezione Tipo di oggetto Active Directory:

1. Seleziona Solo i seguenti oggetti contenuti nella cartella.

2. Seleziona Oggetti computer.

3. Seleziona Crea oggetti selezionati in questa cartella.

4. Seleziona Elimina gli oggetti selezionati in questa cartella e fai clic su Avanti.

Nella sezione Autorizzazioni:

1. Mantieni selezionata l'opzione Generale.

2. Seleziona Scrittura convalidata in nome host DNS.

3. Seleziona Scrittura convalidata in nome principale servizio e fai clic su Avanti.

4. Per abilitare l'autenticazione Kerberos, mantieni selezionata la proprietà specifica e seleziona Scrivi dall'elenco. servicePrincipalName

Per completare la procedura guidata di delega del controllo, rivedi e conferma le impostazioni e fai clic su Fine.

Per l’autenticazione Kerberos, apri la gestione DNS e le proprietà del server.

1. Nella finestra di dialogo Windows, digita dnsmgmt.msc.

2. Aggiungi l’account del servizio di dominio AD nella scheda Sicurezza.

3. Seleziona l’autorizzazione di lettura e applica le modifiche.

Nella AWS KMS console, scegli Crea chiave.

In Tipo di chiave, scegli Simmetrica.

In Utilizzo delle chiavi, scegli Crittografa e decrittografa.

In Advanced options (Opzioni avanzate):

1. In Origine materiale chiave, scegli KMS.

2. In Regionalità, scegli Chiave a regione singola e fai clic su Avanti.

In Alias, fornisci un nome per la chiave KMS.

(Facoltativo) In Descrizione, immetti una descrizione per la chiave KMS.

(Facoltativo) In Tag, inserisci un tag come chiave KMS e fai clic su Avanti.

In Amministratori delle chiavi, fornisci il nome di un utente IAM e selezionalo.

In Eliminazione chiave, mantieni selezionata la casella Consenti agli amministratori delle chiavi di eliminare questa chiave e fai clic su Avanti.

In Utenti delle chiavi, fornisci lo stesso utente IAM della fase precedente e selezionalo. Fare clic su Avanti.

Riesamina la configurazione.

In Policy delle chiavi, includi quanto segue nel campo Dichiarazione associato alla policy:

{
    "Sid": "Allow use of the KMS key on behalf of RDS",
    "Effect": "Allow",
    "Principal": {
        "Service": [
            "rds.amazonaws.com"
        ]
    },
    "Action": "kms:Decrypt",
    "Resource": "*"
}

Fare clic su Fine.

In AWS Secrets Manager, scegli Memorizza un nuovo segreto.

Per Secret type (Tipo di segreto), scegli Other type of secret (Altro tipo di segreto).

In Coppie chiave/valore, aggiungi le due chiavi:

1. Per la prima chiave, immetti SELF_MANAGED_ACTIVE_DIRECTORY_USERNAME.

2. Per il valore della prima chiave, immetti solo il nome utente (senza il prefisso di dominio) dell’utente AD. Non includere il nome di dominio in quanto impedisce la creazione dell’istanza.

3. Per la seconda chiave, immetti SELF_MANAGED_ACTIVE_DIRECTORY_PASSWORD.

4. Per il valore della seconda chiave, immetti la password creata per l'utente AD nel dominio.

In Chiave di crittografia, inserisci la chiave KMS creata in una delle fasi precedenti e fai clic su Avanti.

In Nome del segreto, inserisci un nome descrittivo che semplifichi l'individuazione del segreto in un secondo momento.

(Facoltativo) In Descrizione, inserisci una descrizione per il nome del segreto.

In Autorizzazioni a livello di risorsa, fai clic su Modifica.

Aggiungi la seguente policy alla policy dell'autorizzazione:

Fai clic su Salva, quindi su Avanti.

In Configura impostazioni di rotazione, non modificare i valori predefiniti e scegli Avanti.

Controlla le impostazioni relative al segreto e fai clic su Archivio.

Scegli il segreto creato e copia il valore in ARN secreto. Questa informazione verrà utilizzata nella fase successiva per configurare Active Directory gestito dal cliente.