Amazon EC2 Linux インスタンスを AWSManaged Microsoft AD Active Directory にシームレスに結合する

ドメインサービスアカウントの情報を保存するシークレットを作成するには

1. にサインインAWS マネジメントコンソールし、https://console.aws.amazon.com/secretsmanager/ でAWS Secrets Managerコンソールを開きます。

2. [Store a new secret] (新しいシークレットの保存) を選択します。

3. [Store a new secret] (新しいシークレットを保存する) のページで、次の操作を行います：

   1. [シークレットのタイプ] で、[その他のシークレットのタイプ] を選択します。

   2. [Key/value pairs] (キー/値ペア) で、次のように実行します。

      1. 最初のボックスに awsSeamlessDomainUsername と入力します。同じ行の次のボックスに、サービスアカウントのユーザー名を入力します。例えば、以前に PowerShell コマンドを使用した場合、サービスアカウント名は awsSeamlessDomain になります。

         注記

         awsSeamlessDomainUsername を正確に入力する必要があります。先頭または末尾にスペースがないことを確認します。スペースがあると、ドメイン結合が失敗します。

         

      2. [Add row] (行の追加) を選択します。

      3. 新しい行で、最初のボックスに awsSeamlessDomainPassword と入力します。同じ行の次のボックスに、サービスアカウントのパスワードを入力します。

         注記

         awsSeamlessDomainPassword を正確に入力する必要があります。先頭または末尾にスペースがないことを確認します。スペースがあると、ドメイン結合が失敗します。

      4. 暗号化キーの下で、デフォルト値aws/secretsmanagerのままにしておきます。 このオプションを選択すると、AWS Secrets Manager は常に秘密を暗号化します。自身で作成したキーを選択することもできます。

      5. [次へ] を選択します。

4. [Secret name]の下に、d-xxxxxxxxxxをディレクトリIDに置き換えて、以下のフォーマットでディレクトリIDを含むsecret nameを入力します：

   aws/directory-services/d-xxxxxxxxx/seamless-domain-join

   これは、アプリケーション内のシークレットを取得するために使用されます。

   注記

   aws/directory-services/d-xxxxxxxxx/seamless-domain-join は正確に入力する必要がありますが、d-xxxxxxxxxx はディレクトリ ID に置き換えてください。先頭または末尾にスペースがないことを確認します。スペースがあると、ドメイン結合が失敗します。

   

5. それ以外はすべてデフォルトのままにして、[Next] (次へ) をクリックします。

6. [Configure automatic rotation] (自動ローテーションを設定) で [Disable automatic rotation] (自動ローテーションを無効にする) を選択し、[Next] (次へ) をクリックします。

   このシークレットの保存後にローテーションを有効にすることができます。

7. 設定を確認し、[Store] (保存) をクリックして変更を保存します。Secrets Manager コンソールがアカウントのシークレットリストに戻ります。リストには、新しいシークレットが追加されています。

8. 新しく作成したシークレット名をリストから選択し、[Secret ARN] (シークレット ARN) 値をメモします。これは次のセクションで必要になります。

ドメインサービスアカウントシークレットのローテーションを有効にするには

• 「 ユーザーガイド」の「シーAWS Secrets Managerクレットの自動ローテーションを設定する」の手順に従います。 AWS Secrets Manager

  ステップ 5 では、「AWS Secrets Manager ユーザーガイド」のローテーションテンプレート「Microsoft Active Directory 認証情報」を使用します。

  ヘルプについては、「 AWS Secrets Managerユーザーガイド」の「ローAWS Secrets Managerテーションのトラブルシューティング」を参照してください。

Secrets Manager の IAM 読み取りポリシーを作成するには

1. IAM ポリシーを作成する権限を持つユーザーAWS マネジメントコンソールとして にサインインします。次に、IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

2. ナビゲーションペインの [アクセス管理] で、[ポリシー] を選択します。

3. [Create policy] (ポリシーの作成) を選択します。

4. [JSON] タブを選択し、以下の JSON ポリシードキュメントからテキストをコピーします。これを、[JSON] テキストボックスに貼り付けます。

   注記

   リージョンとリソース ARN を、先ほど作成したシークレットの実際の リージョンとARN に置き換えていることを確認してください。

   {
       "Version": "2012-10-17",		 	 	 
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "secretsmanager:GetSecretValue",
                   "secretsmanager:DescribeSecret"
               ],
               "Resource": [
                   "arn:aws:secretsmanager:us-east-1:xxxxxxxxx:secret:aws/directory-services/d-xxxxxxxxx/seamless-domain-join"
               ]
           }
       ]
   }

5. 完了したら、[Next] を選択します。構文エラーがある場合は、Policy Validator によってレポートされます。詳細については、「IAM ポリシーの検証」を参照してください。

6. [Review policy] (ポリシーの確認) ページで、ポリシー名を入力します (SM-Secret-Linux-DJ-d-xxxxxxxxxx-Read など)。[Summary] (概要) セクションで、ポリシーで付与されているアクセス許可を確認します。[Create Policy] (ポリシーの作成) をクリックし、変更を保存します。新しいポリシーが管理ポリシーのリストに表示されます。これで ID にアタッチする準備は完了です。

LinuxEC2DomainJoin ロールを作成するには

1. IAM ポリシーを作成する権限を持つユーザーAWS マネジメントコンソールとして にサインインします。次に、IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

2. ナビゲーションペインの [Access Management] (アクセス管理) で、[Roles] (ロール) を選択します。

3. コンテンツペインで、[Create role] (ロールの作成) を選択します。

4. [Select type of trusted entity] (信頼されたエンティティの種類を選択) の下で、[AWS Service] を選択します。

5. [Use case] (ユースケース) で EC2 を選択し、[Next] (次へ) を選択します。

   

6. [Filter policies] (フィルターポリシー) で、以下を実行します。

   1. AmazonSSMManagedInstanceCore と入力します。次に、リスト内のその項目のチェックボックスをオンにします。

   2. AmazonSSMDirectoryServiceAccess と入力します。次に、リスト内のその項目のチェックボックスをオンにします。

   3. SM-Secret-Linux-DJ-d-xxxxxxxxxx-Read (または前の手順で作成したポリシーの名前) を入力します。次に、リスト内のその項目のチェックボックスをオンにします。

   4. 上記の 3 つのポリシーを追加したら、[ロールを作成] を選択します。

   注記

   [AmazonSSMDirectoryServiceAccess] により、Directory Service で管理されている Active Directory にインスタンスを結合するためのアクセス許可が付与されます。AmazonSSMManagedInstanceCore は、 AWS Systems Managerサービスを使用するために必要な最小限のアクセス許可を提供します。これらのアクセス許可を使用してロールを作成する方法、および IAM ロールに割り当てることができるその他のアクセス許可とポリシーの詳細については、「AWS Systems Manager ユーザーガイド」の「Systems Manager の IAM インスタンスプロファイルを作成する」を参照してください。

7. LinuxEC2DomainJoin[Role name] (ロール名)欄 に、 適宜の別の名前など 新しいロールの名前を入力します。

8. (オプション) [Role description] (ロールの説明) に、説明を入力します。

9. (オプション) [ステップ 3: タグの追加] で [新しいタグの追加] を選択してタグを追加します。タグのキーと値のペアは、このロールのアクセスを整理、追跡、または制御するために使用されます。

10. [ロールの作成] を選択してください。

Linux インスタンスをシームレスに結合するには

1. にサインインAWS マネジメントコンソールし、https://console.aws.amazon.com/ec2/ で Amazon EC2 コンソールを開きます。

2. ナビゲーションバーのリージョンセレクターから、既存のディレクトリAWS リージョンと同じ を選択します。

3. [EC2 ダッシュボード] の [インスタンスを起動する] セクションで、[インスタンスを起動する] を選択します。

4. [インスタンスを起動する] ページの [名前とタグ] セクションで、Linux EC2 インスタンスに使用する名前を入力します。

5. (選択可能) [補足タグを追加] で、タグとキーの値のペアを 1 つまたは複数追加して、この EC2 インスタンスのアクセスを整理、追跡、またはコントロールします。

6. Application and OS Image (Amazon Machine Image)セクションで、起動したいLinux AMIを選択します。

   注記

   使用する AMI にはAWS Systems Manager、(SSM Agent) バージョン 2.3.1644.0 以降が必要です。その AMI からインスタンスを起動して AMI にインストールされている SSM Agent のバージョンを確認するには、「現在インストールされている SSM Agent バージョンを取得するには」を参照してください。SSM Agent をアップグレードする必要がある場合は、「Linux の EC2 インスタンスで SSM Agent をインストールして設定する」を参照してください。

   SSM は Linux インスタンスを Active Directory aws:domainJoin ドメインに参加させる際にプラグインを使用します。プラグインは、Linux インスタンスのホスト名を EC2AMAZ-XXXXXXX の形式に変更します。aws:domainJoin の詳細については、「AWS Systems Manager ユーザーガイド」の「AWS Systems Manager コマンドドキュメントプラグインリファレンス」を参照してください。

7. [インスタンスタイプ] セクションで、[インスタンスタイプ] ドロップダウンリストから使用するインスタンスタイプを選択します。

8. [キーペア (ログイン)] セクションで、新しいキーペアを作成するか、既存のキーペアから選択します。新しいキーペアを作成するには、[新しいキーペアの作成] を選択します。キーペアの名前を入力し、[キーペアタイプ] と [プライベートキーファイル形式] のオプションを選択します。OpenSSH で使用できる形式でプライベートキーを保存するには、[.pem] を選択します。プライベートキーを PuTTY で使用できる形式で保存するには、[.ppk] を選択します。[キーペアの作成] を選択します。ブラウザによって秘密キーファイルが自動的にダウンロードされます。ダウンロードしたプライベートキーのファイルを安全な場所に保存します。

   重要

   プライベートキーのファイルを保存できるのはこのタイミングだけです。

9. [インスタンスを起動する] ページの [ネットワーク設定] セクションで、[編集] を選択します。[VPC - 必須] ドロップダウンリストから、ディレクトリが作成された [VPC] を選択します。

10. [サブネット] ドロップダウンリストから VPC 内のパブリックサブネットの 1 つを選択します。選択するサブネットで、すべての外部トラフィックがインターネットゲートウェイにルーティングされるように選択する必要があります。そうでない場合は、インスタンスにリモート接続できません。

    インターネットゲートウェイへの接続方法の詳細については、「Amazon VPC User Guide」の「Connect to the internet using an internet gateway」を参照してください。

11. [自動割り当てパブリック IP] で、[有効化] を選択します。

    公開 IP アドレス指定とプライベート IP アドレス指定の詳細については、「Amazon EC2 インスタンスユーザーガイド」の「Amazon EC2 インスタンスの IP アドレス指定」を参照してください。

12. [ファイアウォール (セキュリティグループ)] 設定にはデフォルト設定を使用するか、必要に応じて変更を加えることができます。

13. [ストレージの設定] 設定にはデフォルト設定を使用するか、必要に応じて変更を加えることができます。

14. [高度な詳細] セクションを選択し、[ドメイン結合ディレクトリ] ドロップダウンリストからドメインを選択します。

    注記

    ドメイン結合ディレクトリを選択すると、次のようになります:

    

    このエラーは、EC2 起動ウィザードが予期しないプロパティを持つ既存の SSM ドキュメントを識別した場合に発生します。次のいずれかを試すことができます。

    • 以前に SSM ドキュメントを編集し、プロパティの存在が予想される場合は、[閉じる] を選択して EC2 インスタンスを変更せずに起動します。

    • ここで既存の SSM ドキュメントを削除するリンクを選択して、SSM ドキュメントを削除します。これにより、正しいプロパティを使用する SSM ドキュメントを作成できます。EC2 インスタンスを起動すると、SSM ドキュメントが自動的に作成されます。

15. [IAMインスタンスプロファイル]には、前提条件のセクションで以前に作成したIAMロールを選択します [ステップ2：LinuxEC2DomainJoinロールを作成します]

16. [インスタンスを起動] を選択します。