セルフマネージド Active Directory の設定

ドメイン管理者として AD ドメインに接続します。

[Active Directory ユーザーとコンピューター] を開き、OU を作成するドメインを選択します。

ドメインのコンテキストメニューを開き、[新規] を選択し、[組織単位] を選択します。

OU の名前を入力します。

[コンテナを誤って削除しないように保護する] ボックスはオンのままにしてください。

[OK] を選択してください。新しい OU がドメインの下に表示されます。

[Active Directory ユーザーとコンピューター] を開き、ユーザーを作成するドメインと OU を選択します。

[ユーザー] のコンテキストメニューを開き、[新規]、[ユーザー] の順に選択します。

ユーザーの名、姓、およびログオン名を入力します。[次へ] を選択します。

ユーザーのパスワードを入力します。[ユーザーは次回のログイン時にパスワードを変更する必要がある] を選択しないでください。[アカウントは無効です] を選択しないでください。[次へ] を選択します。

[OK] を選択してください。新しいユーザーがドメインの下に表示されます。

[Active Directory ユーザーとコンピュータ] Microsoft 管理コンソール (MMC) スナップインを開き、ユーザーを作成するドメインを選択します。

前に作成した OU のコンテキストメニューを開き、[コントロールの委任] を選択します。

[コントロールの委任ウィザード] で、[次へ] を選択します。

[ユーザーまたはグループ] セクションで、[追加] を選択します。

[ユーザー、コンピュータ、またはグループの選択] セクションで、作成した AD ドメインサービスアカウントを入力し、[名前を確認] を選択します。AD ドメインサービスアカウントのチェックが成功したら、[OK] を選択します。

[ユーザーまたはグループ] セクションで、AD ドメインサービスアカウントが追加されたことを確認し、[次へ] を選択します。

[委任するタスク] セクションで、[委任するカスタムタスクを作成] を選択し、[次へ] を選択します。

[Active Directory オブジェクトタイプ] セクションで:

1. [フォルダ内の次のオブジェクトのみ] を選択します。

2. [ユーザーオブジェクト] を選択します。

3. [このフォルダに選択したオブジェクトを作成] を選択します。

4. [このフォルダ内の選択したオブジェクトを削除] を選択し、[次へ] を選択します。

[アクセス許可] セクションで:

1. [全般] を選択したままにします。

2. [プロパティ固有] を選択します。

3. [特定の子オブジェクトの作成/削除] を選択します。

4. [パスワードのリセット] を選択します。

5. [msDS-SupportedEncryptionTypes の読み取り] を選択します。

6. [msDS-SupportedEncryptionTypes の書き込み] を選択します。

[コントロールの委任ウィザードの完了] で設定を確認し、[完了] を選択します。

https://console.aws.amazon.com/kms/ で AWS KMS コンソールを開きます。[Create key] (キーの作成) を選択します。

[キーの種類] として、[対称] を選択します。

[キーの使用方法] として、[暗号化と復号化] を選択します。

[Advanced options (詳細オプション)] の場合:

1. [キーマテリアルのオリジン] として、[KMS] を選択します。

2. [リージョナリティ] では、[単一リージョンキー] を選択し、[次へ] を選択します。

[エイリアス] に、KMS キーの名前を指定します。

(オプション) [説明] に、KMS キーの説明を入力します。

(オプション) タグで、KMS キーのタグを指定し、次へを選択します。

[キー管理者] として、IAM ユーザーの名前を入力して選択します。

[キーの削除] で、[キー管理者にこのキーの削除を許可する] のボックスをオンのままにして、[次へ] を選択します。

[キーユーザー] として、前のステップと同じ IAM ユーザーを指定して選択します。[次へ] を選択します。

設定を確認します。

[キーポリシー] で、以下をポリシー [ステートメント] に含めます。

{
    "Sid": "Allow use of the KMS key on behalf of RDS",
    "Effect": "Allow",
    "Principal": {
        "Service": [
            "rds.amazonaws.com"
        ]
    },
    "Action": "kms:Decrypt",
    "Resource": "*"
}

[Finish] を選択してください。

https://console.aws.amazon.com/secretsmanager/ から AWS Secrets Manager コンソールを開きます。新しいシークレットを保存 を選択します。

[Secret type] (シークレットタイプ) で、[Other type of secret] (他の種類のシークレット) を選択します。

[キーと値のペア] として、次の 2 つのキーを追加します。

1. 最初のキーには、SELF_MANAGED_ACTIVE_DIRECTORY_USERNAME と入力します。

2. 最初のキーの値には、AD ユーザーのユーザー名 (ドメインプレフィックスなし) のみを入力します。ドメイン名を含めないでください。含めると、インスタンスの作成が失敗します。

3. 2 番目のキーとして、SELF_MANAGED_ACTIVE_DIRECTORY_PASSWORD と入力します。

4. 2 番目のキーの値には、ドメインの AD ユーザー用に作成したパスワードを入力します。

[暗号化キー] で、前のステップで作成した KMS キーを入力し、[次へ] を選択します。

[シークレット名] として、後でシークレットを見つけやすい、わかりやすい名前を入力します。

(オプション) [説明] として、シークレット名の説明を入力します。

リソース権限については、編集を選択します。

以下のポリシーをアクセス許可ポリシーに追加します。

{
    "Version":"2012-10-17",
    "Statement":
    [
        {
            "Effect": "Allow",
            "Principal":
            {
                "Service": "rds.amazonaws.com"
            },
            "Action": "secretsmanager:GetSecretValue",
            "Resource": "*",
            "Condition":
            {
                "StringEquals":
                {
                    "aws:sourceAccount": "123456789012"
                },
                "ArnLike":
                {
                    "aws:sourceArn": "arn:aws:rds:us-west-2:123456789012:db:*"
                }
            }
        }
    ]
}

[保存]、[次へ] の順に選択します。

[ローテーションの設定] は、デフォルト値のままにして、[次へ] を選択します。

シークレットの設定を確認し、[保存] を選択します。

作成したシークレットを選択し、[シークレット ARN] の値をコピーします。この値を次のステップで使用して、セルフマネージド Active Directory をセットアップします。