Prerequisiti

Aprire https://portal.aws.amazon.com/billing/signup.

Segui le istruzioni online.

Nel corso della procedura di registrazione riceverai una telefonata o un messaggio di testo e ti verrà chiesto di inserire un codice di verifica attraverso la tastiera del telefono.

Quando ti iscrivi a un Account AWS, Utente root dell’account AWS viene creato un. L’utente root dispone dell’accesso a tutte le risorse e tutti i Servizi AWS nell’account. Come best practice di sicurezza, assegna l’accesso amministrativo a un utente e utilizza solo l’utente root per eseguire attività che richiedono l’accesso di un utente root.

Segui le istruzioni per registrare un dominio con Route53. Dovresti ricevere un'email di conferma.

Recupera la zona ospitata per il tuo dominio. Questa viene creata automaticamente da Route53.

1. Apri la console Route53.

2. Scegli le zone ospitate dal menu di navigazione a sinistra.

3. Apri la zona ospitata creata per il tuo nome di dominio e copia l'ID della zona ospitata.

Apri AWS Certificate Manager e segui questi passaggi per richiedere un certificato di dominio. Assicurati di trovarti nella regione in cui intendi implementare la soluzione.

Scegli Elenca certificati dalla navigazione e trova la tua richiesta di certificato. La richiesta deve essere in sospeso.

Scegli il tuo ID certificato per aprire la richiesta.

Dalla sezione Domini, scegli Crea record in Route53. L'elaborazione della richiesta richiederà circa dieci minuti.

Una volta emesso il certificato, copia l'ARN dalla sezione sullo stato del certificato.

Distribuisci lo CloudFormation stack di certificati nell' AWS account della partizione commerciale in cui è stato creato il dominio pubblico ospitato.

Dagli CloudFormation output dei certificati, trova e annota e. CertificateARN PrivateKeySecretARN

Nell'account di GovCloud partizione, crea un segreto con il valore dell'CertificateARNoutput. Annota il nuovo ARN segreto e aggiungi due tag al segreto in modo da vdc-gateway poter accedere al valore segreto:

1. res: ModuleName = virtual-desktop-controller

2. res: EnvironmentName = [nome dell'ambiente] (potrebbe essere res-demo.)

Nell'account di GovCloud partizione, crea un segreto con il valore dell'output. PrivateKeySecretArn Annota il nuovo ARN segreto e aggiungi due tag al segreto in modo da vdc-gateway poter accedere al valore segreto:

1. res: ModuleName = virtual-desktop-controller

2. res: EnvironmentName = [nome dell'ambiente] (potrebbe essere res-demo.)

Segui i passaggi forniti in Come abilitare LDAPS lato server per il tuo. AWS Managed Microsoft AD Puoi saltare questo passaggio se hai già abilitato LDAPS.

Dopo aver verificato che LDAPS è configurato sull'AD, esporta il certificato AD:

1. Vai al tuo server Active Directory.

2. Apri PowerShell come amministratore.

3. Esegui certmgr.msc per aprire l'elenco dei certificati.

4. Apri l'elenco dei certificati aprendo prima le Trusted Root Certification Authorities e poi Certificates.

5. Seleziona e tieni premuto (o fai clic con il pulsante destro del mouse) il certificato con lo stesso nome del server AD e scegli Tutte le attività, quindi Esporta.

6. Seleziona Base-64 codificato X.509 (.CER) e scegli Avanti.

7. Selezionate una cartella, quindi scegliete Avanti.

Crea un segreto in AWS Secrets Manager:

Quando crei il tuo segreto nel Secrets Manager, seleziona Other type of secrets (Altro tipo di segreti) in secret type (Tipo di segreto) e incolla il certificato codificato PEM nel campo Plaintext (Testo normale).

Annota l'ARN creato e inseriscilo come DomainTLSCertificateSecretARN parametro inFase 1: Avviare il prodotto.

Scarica le dipendenze all'indirizzo. https://research-engineering-studio-us-east-1.s3.amazonaws.com/releases/latest/res-installation-scripts.tar.gz Per l'implementazione in un VPC isolato, l'infrastruttura RES richiede la disponibilità di dipendenze senza accesso pubblico a Internet.

Crea un ruolo IAM con accesso di sola lettura di Amazon S3 e identità affidabile come Amazon EC2.

1. Aprire la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

2. Da Ruoli, scegli Crea ruolo.

3. Nella pagina Seleziona un’entità attendibile:

   • In Tipo di entità attendibile, scegli Servizio AWS.

   • Per Caso d'uso in Servizio o caso d'uso, scegli EC2 e scegli Avanti.

4. In Aggiungi autorizzazioni, seleziona le seguenti politiche di autorizzazione, quindi scegli Avanti:

   • AmazonS3ReadOnlyAccess

   • AmazonSSMManagedInstanceCore

   • EC2InstanceProfileForImageBuilder

5. Aggiungi il nome e la descrizione del ruolo, quindi scegli Crea ruolo.

Crea il componente per il generatore di immagini EC2:

1. Apri la console EC2 Image Builder all'indirizzo. https://console.aws.amazon.com/imagebuilder

2. In Risorse salvate, scegli Componenti e scegli Crea componente.

3. Nella pagina Crea componente, inserisci i seguenti dettagli:

   • Per Tipo di componente, scegli Crea.

   • Per i dettagli del componente, scegli:

     Parametro	Inserimento utente
     Sistema operativo (OS) dell'immagine	Linux
     Versioni del sistema operativo compatibili	Amazon Linux 2, Amazon Linux 2023, RHEL8, RHEL 9 o Windows 10 e 11
     Nome componente	Inserisci un nome come: <research-and-engineering-studio-infrastructure>
     Versione del componente	Si consiglia di iniziare con la versione 1.0.0.
     Description	Inserimento utente opzionale.

4. Nella pagina Crea componente, scegli Definisci il contenuto del documento.

   1. Prima di inserire il contenuto del documento di definizione, è necessario un URI per il file tar.gz. Carica il file tar.gz fornito da RES in un bucket Amazon S3 e copia l'URI del file dalle proprietà del bucket.

   2. Immetti i seguenti dati:

      Nota

      AddEnvironmentVariablesè facoltativo e puoi rimuoverlo se non hai bisogno di variabili di ambiente personalizzate negli host dell'infrastruttura.

      Se state http_proxy impostando delle variabili di https_proxy ambiente, i no_proxy parametri sono necessari per impedire all'istanza di utilizzare il proxy per interrogare localhost, gli indirizzi IP dei metadati delle istanze e i servizi che supportano gli endpoint VPC.

      #  Copyright Amazon.com, Inc. or its affiliates. All Rights Reserved.
      #
      #  Licensed under the Apache License, Version 2.0 (the "License"). You may not use this file except in compliance
      #  with the License. A copy of the License is located at
      #
      #      http://www.apache.org/licenses/LICENSE-2.0
      #
      #  or in the 'license' file accompanying this file. This file is distributed on an 'AS IS' BASIS, WITHOUT WARRANTIES
      #  OR CONDITIONS OF ANY KIND, express or implied. See the License for the specific language governing permissions
      #  and limitations under the License.
      name: research-and-engineering-studio-infrastructure
      description: An RES EC2 Image Builder component to install required RES software dependencies for infrastructure hosts.
      schemaVersion: 1.0
      
      parameters:
        - AWSRegion:
            type: string
            description: RES Environment AWS Region
      phases:
        - name: build
          steps:
             - name: DownloadRESInstallScripts
               action: S3Download
               onFailure: Abort
               maxAttempts: 3
               inputs:
                  - source: '<s3 tar.gz file uri>'
                    destination: '/root/bootstrap/res-installation-scripts/res-installation-scripts.tar.gz'
             - name: RunInstallScript
               action: ExecuteBash
               onFailure: Abort
               maxAttempts: 3
               inputs:
                  commands:
                      - 'cd /root/bootstrap/res-installation-scripts'
                      - 'tar -xf res-installation-scripts.tar.gz'
                      - 'cd scripts/infrastructure-host'
                      - '/bin/bash install.sh'
             - name: AddEnvironmentVariables
               action: ExecuteBash
               onFailure: Abort
               maxAttempts: 3
               inputs:
                  commands:
                      - |
                        echo -e "
                        http_proxy=http://<ip>:<port>
                        https_proxy=http://<ip>:<port>
                        no_proxy=127.0.0.1,169.254.169.254,169.254.170.2,localhost,{{ AWSRegion }}.res,{{ AWSRegion }}.vpce.amazonaws.com,{{ AWSRegion }}.elb.amazonaws.com,s3.{{ AWSRegion }}.amazonaws.com,s3.dualstack.{{ AWSRegion }}.amazonaws.com,ec2.{{ AWSRegion }}.amazonaws.com,ec2.{{ AWSRegion }}.api.aws,ec2messages.{{ AWSRegion }}.amazonaws.com,ssm.{{ AWSRegion }}.amazonaws.com,ssmmessages.{{ AWSRegion }}.amazonaws.com,kms.{{ AWSRegion }}.amazonaws.com,secretsmanager.{{ AWSRegion }}.amazonaws.com,sqs.{{ AWSRegion }}.amazonaws.com,elasticloadbalancing.{{ AWSRegion }}.amazonaws.com,sns.{{ AWSRegion }}.amazonaws.com,logs.{{ AWSRegion }}.amazonaws.com,logs.{{ AWSRegion }}.api.aws,elasticfilesystem.{{ AWSRegion }}.amazonaws.com,fsx.{{ AWSRegion }}.amazonaws.com,dynamodb.{{ AWSRegion }}.amazonaws.com,api.ecr.{{ AWSRegion }}.amazonaws.com,.dkr.ecr.{{ AWSRegion }}.amazonaws.com,kinesis.{{ AWSRegion }}.amazonaws.com,.data-kinesis.{{ AWSRegion }}.amazonaws.com,.control-kinesis.{{ AWSRegion }}.amazonaws.com,events.{{ AWSRegion }}.amazonaws.com,cloudformation.{{ AWSRegion }}.amazonaws.com,sts.{{ AWSRegion }}.amazonaws.com,application-autoscaling.{{ AWSRegion }}.amazonaws.com,monitoring.{{ AWSRegion }}.amazonaws.com,ecs.{{ AWSRegion }}.amazonaws.com,.execute-api.{{ AWSRegion }}.amazonaws.com
                         " > /etc/environment   

5. Scegli Crea componente.

Crea una ricetta per immagini di Image Builder.

1. Nella pagina Crea ricetta, inserisci quanto segue:

   Sezione	Parametro	Inserimento utente
   Dettagli della ricetta	Nome	Inserite un nome appropriato, ad esempio res-recipe-linux-x86.
   	Versione	Inserisci una versione, in genere a partire dalla 1.0.0.
   	Descrizione	Aggiungi una descrizione opzionale.
   Immagine base	Seleziona immagine	Seleziona immagini gestite.
   	SISTEMA OPERATIVO	Amazon Linux o Red Hat Enterprise Linux (RHEL)
   	Origine dell'immagine	Avvio rapido (Amazon-managed)
   	Nome dell'immagine	Amazon Linux 2 x86, Amazon Linux 2023 x86, Red Hat Enterprise Linux 8 x86 o Red Hat Enterprise Linux 9 x86
   	Auto-versioning options	Usa l'ultima versione del sistema operativo disponibile.
   Configurazione dell'istanza	–	Mantieni tutto nelle impostazioni predefinite e assicurati che l'opzione Rimuovi agente SSM dopo l'esecuzione della pipeline non sia selezionata.
   Directory di lavoro	Percorso della directory di lavoro	/root/bootstrap/res-installation-scripts
   Componenti	Componenti di costruzione	Cerca e seleziona quanto segue: Amazon-managed: aws-cli-version-2-linux Amazon-managed: amazon-cloudwatch-agent-linux Di tua proprietà: componente Amazon EC2 creato in precedenza. Inserisci la tua AWS regione attuale nel campo.
   	Componenti di test	Cerca e seleziona: Amazon-managed: simple-boot-test-linux

2. Scegli Crea ricetta.

Crea la configurazione dell'infrastruttura di Image Builder.

1. In Risorse salvate, scegli Configurazioni dell'infrastruttura.

2. Scegli Crea configurazione dell'infrastruttura.

3. Nella pagina Crea configurazione dell'infrastruttura, inserisci quanto segue:

   Sezione	Parametro	Inserimento utente
   Ambito generale	Nome	Immettete un nome appropriato, ad esempio res-infra-linux-x86.
   	Descrizione	Aggiungete una descrizione opzionale.
   	Ruolo IAM	Seleziona il ruolo IAM creato in precedenza.
   AWS infrastruttura	Tipo di istanza	Scegli t3.medium.
   	VPC, sottorete e gruppi di sicurezza	Seleziona un'opzione che consenta l'accesso a Internet e l'accesso al bucket Amazon S3. Se devi creare un gruppo di sicurezza, puoi crearne uno dalla console Amazon EC2 con i seguenti input: VPC: seleziona lo stesso VPC utilizzato per la configurazione dell'infrastruttura. Questo VPC deve avere accesso a Internet. Regola in entrata: Tipo: SSH Source (Origine): personalizzata Blocco CIDR: 0.0.0. 0/0

4. Scegli Crea configurazione dell'infrastruttura.

Crea una nuova pipeline EC2 Image Builder:

1. Vai a Image pipelines e scegli Create image pipeline.

2. Nella pagina Specifica i dettagli della pipeline, inserite quanto segue e scegliete Avanti:

   • Nome della pipeline e descrizione opzionale

   • Per la pianificazione della compilazione, imposta una pianificazione o scegli Manuale se desideri avviare manualmente il processo di creazione dell'AMI.

3. Nella pagina Scegli la ricetta, scegli Usa ricetta esistente e inserisci il nome della ricetta creata in precedenza. Scegli Avanti.

4. Nella pagina Definisci il processo delle immagini, seleziona i flussi di lavoro predefiniti e scegli Avanti.

5. Nella pagina Definisci la configurazione dell'infrastruttura, scegli Usa la configurazione dell'infrastruttura esistente e inserisci il nome della configurazione dell'infrastruttura creata in precedenza. Scegli Avanti.

6. Nella pagina Definisci le impostazioni di distribuzione, considera quanto segue per le tue selezioni:

   • L'immagine di output deve risiedere nella stessa regione dell'ambiente RES distribuito, in modo che RES possa avviare correttamente le istanze host dell'infrastruttura da tale ambiente. Utilizzando le impostazioni predefinite del servizio, l'immagine di output verrà creata nella regione in cui viene utilizzato il servizio EC2 Image Builder.

   • Se desideri distribuire RES in più regioni, puoi scegliere Crea nuove impostazioni di distribuzione e aggiungere altre regioni.

7. Rivedi le tue selezioni e scegli Crea pipeline.

Esegui la pipeline EC2 Image Builder:

1. Dalle pipeline di immagini, trova e seleziona la pipeline che hai creato.

2. Scegli Azioni e seleziona Esegui pipeline.

   La pipeline può impiegare da circa 45 minuti a un'ora per creare un'immagine AMI.

Annota l'ID AMI per l'AMI generato e utilizzalo come input per il parametro InfrastructureHost AMI inFase 1: Avviare il prodotto.

Se gli endpoint non sono stati configurati in precedenza, segui le istruzioni fornite in Access an Servizio AWS using an interface VPC endpoint.

Seleziona una sottorete privata in ciascuna delle due zone di disponibilità.

Avvia un'istanza Linux nella sottorete pubblica del VPC che utilizzerai per la distribuzione RES.

Connettiti all'istanza per configurare un server proxy.

1. Apri la connessione http.

2. Consenti la connessione ai seguenti domini da tutte le sottoreti pertinenti:

   • .amazonaws.com (per servizi generici) AWS

   • .amazoncognito.com (per Amazon Cognito)

   • .awsapps.com (per Identity Center)

   • .signin.aws (per Identity Center)

   • .amazonaws-us-gov.com (per Gov Cloud)

3. Nega tutte le altre connessioni.

4. Attiva e avvia il server proxy.

5. Annota la PORTA su cui il server proxy è in ascolto.

Configura la tabella di routing per consentire l'accesso al server proxy.

1. Accedi alla tua console VPC e identifica le tabelle di routing per le sottoreti che utilizzerai per gli host di infrastruttura e gli host VDI.

2. Modifica la tabella di routing per consentire a tutte le connessioni in entrata di accedere all'istanza del server proxy creata nei passaggi precedenti.

3. Esegui questa operazione per le tabelle di routing per tutte le sottoreti (senza accesso a Internet) per le quali intendi utilizzare. Infrastructure/VDIs

Modifica il gruppo di sicurezza dell'istanza EC2 del server proxy e assicurati che consenta le connessioni TCP in entrata sulla PORTA su cui il server proxy è in ascolto.