View a markdown version of this page

Inizia con Cross-Account AWS License Manager usando Shared AWS Managed Microsoft AD - AWS License Manager
TerminologiaPrerequisitiLimitazioniArchitettura di reteCome configurare la funzionalità di License Manager per più accountRisoluzione dei problemiRisorse aggiuntive

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Inizia con Cross-Account AWS License Manager usando Shared AWS Managed Microsoft AD

AWS License Manager supporta la funzionalità per più account utilizzando una soluzione AWS Managed Microsoft AD condivisa che consente alle organizzazioni di gestire centralmente gli abbonamenti degli utenti da un account proprietario della directory durante la distribuzione delle istanze su più account.

Terminologia

  • Account proprietario della directory: account amministratore della licenza in cui esiste l'AD gestito e che è anche responsabile della gestione degli abbonamenti.

  • Account utente di Directory: AWS account in cui si desidera avviare istanze di sottoscrizioni utente utilizzando AD condiviso.

Prerequisiti

Prima di iniziare, assicurati di disporre dei seguenti elementi:

Limitazioni

  • La gestione delle sottoscrizioni degli utenti è limitata all'account del proprietario della directory.

  • Cross-region la condivisione non è supportata.

  • Fatturazione consolidata tramite l'account del proprietario della directory: tutti i costi di abbonamento vengono fatturati all'account del proprietario della directory, sebbene gli abbonamenti possano esistere in più account.

  • È richiesta la connettività di rete tra gli account.

Architettura di rete

Diagramma dell'architettura che mostra AWS Managed Microsoft AD la condivisione tra account del proprietario e del consumatore.

Come configurare la funzionalità di License Manager per più account

Per configurare la funzionalità di License Manager per più account:

  1. Configura l'account account/license amministratore del proprietario della directory.

  2. Configura gli account utente della directory.

  3. Stabilisci la connettività di rete.

  4. Implementa le istanze e gestisci le associazioni di utenti.

Passaggio 1: configura l'account amministratore di Directory Owner/license

Crea e condividi AWS Managed Microsoft AD

  1. Creane uno AWS Managed Microsoft AD nel tuo VPC se non esiste.

  2. Condividi la directory con gli account utente della directory, come descritto in Condivisione della directory.

  3. Assicuratevi che la directory sia configurata correttamente con gli utenti e i gruppi richiesti.

Abbonati ai prodotti

  1. Naviga verso Marketplace AWS.

  2. Individua e sottoscrivi i prodotti necessari, Visual Studio o Office e RDS SAL.

  3. Condividi l'abbonamento a Visual Studio o Office con gli account consumer della directory utilizzando License Manager Create Grants. In alternativa, puoi abbonarti ai Marketplace AWS prodotti di questi account poiché ciò non influisce sulla fatturazione. Vedi Licenze https://docs.aws.amazon.com/license-manager/latest/userguide/granted-licenses.html concesse.

  4. Verifica che lo stato dell'abbonamento sia attivo.

Registrati con License Manager

  1. Aprire la console di License Manager.

  2. Vai alle impostazioni User-based degli abbonamenti.

  3. Seleziona Register Identity Provider.

  4. Scegli il tuo AWS Managed Microsoft AD.

  5. Completa il processo di registrazione.

Fase 2: Configurazione degli account utente della directory: account con AD condiviso

Accetta la directory condivisa

  1. Aprire la console di AWS Directory Service.

  2. Accedere alle directory condivise.

  3. Individua e accetta l'invito alla directory condivisa.

  4. Annota il nuovo ID di directory assegnato nel tuo account.

Accetta l'abbonamento MP

In License Manager Grants accetta la concessione per Marketplace AWS i prodotti. In alternativa, abbonati ai Marketplace AWS prodotti. Per saperne di più, consulta CreateGrant l'API).

Registrati con License Manager

  1. Aprire la console di License Manager.

  2. Accedi agli User-based abbonamenti e scegli il prodotto.

  3. Registrati utilizzando l'ID e il prodotto della directory condivisa.

  4. Verificare lo stato di registrazione.

Fase 3: Stabilire la connettività di rete tra i VPC

Per aggiungere un dominio alle tue istanze Amazon EC2 alla tua directory, devi stabilire la connettività di rete tra i VPC. Esistono diverse opzioni per stabilire la connettività di rete tra due VPC. Questa sezione mostra come utilizzare il peering di Amazon VPC.

Configurazione del peering VPC

  1. Crea una connessione peering VPC tra il proprietario della directory VPC-0 e il consumatore della directory VPC-1, quindi crea un'altra connessione tra il proprietario VPC-0 della directory e il consumatore della directory. VPC-2

  2. Abilita il routing del traffico tra i VPC peered aggiungendo una route alla tabella di routing del VPC che punti alla connessione peering VPC per indirizzare il traffico verso l'altro VPC nella connessione peering.

  3. Configura ciascuna delle tabelle di routing VPC dei consumatori di directory aggiungendo la connessione peering con il proprietario della directory. VPC-0 Se lo desideri, puoi anche creare e collegare un Internet Gateway ai VPC consumer della tua directory. Ciò consente alle istanze presenti nei VPC consumer delle directory di comunicare con l'agente Amazon EC2 Systems Manager che esegue l'aggiunta al dominio.

Configurazione dei gruppi di sicurezza

Configura il gruppo di sicurezza dei tuoi VPC consumer di directory per abilitare il traffico in uscita aggiungendo i AWS Managed Microsoft AD protocolli e le porte alla tabella delle regole in uscita. Inoltre, configura il gruppo di sicurezza dei VPC dei controller di dominio di directory per abilitare il traffico in entrata aggiungendo i AWS Managed Microsoft AD protocolli e le porte alla tabella delle regole in entrata, per consentire il traffico dagli account consumer delle directory.

Requisiti relativi al gruppo di sicurezza

VPC per account di consumo:

  • Abilita il traffico in uscita verso il VPC proprietario della directory

  • Consenti la comunicazione sulle porte AD richieste

Proprietario della directory VPC:

  • Configura il traffico in entrata dai VPC consumer

  • Aggiungi i AWS Managed Microsoft AD protocolli e le porte necessari, tra cui:

    • TCP 53 (DNS)

    • UDP 53 (DNS)

    • TCP 88 (Kerberos)

    • UDP 88 (Kerberos)

    • TCP 135 (RPC)

    • TCP 389 (LDAP)

    • UDP 389 (LDAP)

    • TCP 445 (SMB)

    • TCP 464 (password Kerberos)

    • UDP 464 (password Kerberos)

    • TCP 636 (LDAPS)

    • TCP 9389 (servizi Web Active Directory)

    • TCP 3268-3269 (catalogo globale)

    • TCP 1024-65535 (RPC dinamico)

La porta 9389 è necessaria per Active Directory Web Services (ADWS), utilizzata dal PowerShell modulo Active Directory e da altri strumenti di gestione per comunicare con i controller di dominio.

Fase 4: distribuzione delle istanze e gestione delle associazioni di utenti

Sottoscrivi gli utenti (solo account proprietario della directory)

  1. Aprire la console di License Manager.

  2. Passa agli User-based abbonamenti.

  3. Seleziona Sottoscrivi utenti

  4. Inserisci gli identificativi AWS Managed Microsoft AD utente

  5. Scegli il prodotto e conferma l'abbonamento.

Avvio di istanze

Esegui questo passaggio in qualsiasi account.

  1. Accedi alla console Amazon EC2.

  2. Scegliere Launch Instance (Avvia istanza).

  3. Seleziona l'AMI di License Manager appropriata.

  4. Configurare le impostazioni di rete.

  5. Rivedi e avvia.

Associa gli utenti alle istanze

Esegui questo passaggio in qualsiasi account in cui esiste l'istanza.

  1. Apri la console di License Manager.

  2. Passa a Associazioni utente.

  3. Seleziona l'istanza di destinazione.

  4. Scegli Associa utenti.

  5. Inserisci i AWS Managed Microsoft AD nomi utente.

  6. Conferma l'associazione.

Risoluzione dei problemi

Problemi e soluzioni comuni:

Errori di aggiunta al dominio

  1. Verifica la connettività di rete tra gli account.

  2. Controlla le configurazioni dei gruppi di sicurezza.

  3. Verifica che la risoluzione DNS funzioni.

  4. Convalida le voci della tabella di routing.

Problemi relativi all'abbonamento degli utenti

  1. Conferma l'esistenza dell'utente in AWS Managed Microsoft AD.

  2. Verifica lo stato dell'abbonamento nell'account del proprietario della directory.

  3. Verifica la connettività di rete.

  4. Rivedi i log degli errori.

Eventi di connettività di rete

  1. Verifica lo stato della connessione peering VPC.

  2. Verifica le configurazioni della tabella di routing.

  3. Controlla le regole del gruppo di sicurezza.

  4. Conferma la risoluzione DNS.

Problemi di risoluzione DNS

  1. Verifica i set di opzioni DHCP.

  2. Controlla le configurazioni del server DNS.

  3. Verifica la risoluzione dei nomi a partire da istanze consumer.

Risorse aggiuntive