共有 AWS License Manager を使用してクロスアカウントの使用を開始する AWS Managed Microsoft AD - AWS License Manager
用語前提条件制限ネットワークアーキテクチャクロスアカウント License Manager 機能を設定する方法トラブルシューティングその他のリソース

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

共有 AWS License Manager を使用してクロスアカウントの使用を開始する AWS Managed Microsoft AD

AWS License Manager は、共有 を使用したクロスアカウント機能をサポートしているため AWS Managed Microsoft AD、組織は複数のアカウントにインスタンスをデプロイしながら、ディレクトリ所有者アカウントからのユーザーサブスクリプションを一元管理できます。

用語

  • ディレクトリ所有者アカウント - マネージド AD が存在し、サブスクリプションの管理も担当するライセンス管理者アカウント。

  • ディレクトリコンシューマーアカウント - 共有 AD を使用してユーザーサブスクリプションインスタンスを起動する AWS アカウント。

前提条件

開始する前に、以下を確認してください。

制限

  • ユーザーサブスクリプションの管理は、ディレクトリ所有者アカウントに制限されています。

  • クロスリージョン共有はサポートされていません。

  • ディレクトリ所有者アカウントによる一括請求 - すべてのサブスクリプションコストはディレクトリ所有者アカウントに請求されますが、サブスクリプションは複数のアカウントに存在できます。

  • アカウント間のネットワーク接続が必要です。

ネットワークアーキテクチャ

クロスアカウント License Manager 機能を設定する方法

クロスアカウント License Manager 機能を設定するには:

  1. ディレクトリ所有者アカウント/ライセンス管理者アカウントを設定します。

  2. ディレクトリコンシューマーアカウントを設定します。

  3. ネットワーク接続を確立します。

  4. インスタンスをデプロイし、ユーザーの関連付けを管理します。

ステップ 1: ディレクトリ所有者/ライセンス管理者アカウントを設定する

を作成して共有する AWS Managed Microsoft AD

  1. 存在しない場合は、VPC AWS Managed Microsoft AD に を作成します。

  2. ディレクトリの共有で説明されているように、ディレクトリをディレクトリコンシューマーアカウントと共有します。

  3. ディレクトリが必要なユーザーとグループで正しく設定されていることを確認します。

製品をサブスクライブする

  1. に移動します AWS Marketplace。

  2. 必要な製品、Visual Studio または Office と RDS SAL を見つけてサブスクライブします。

  3. License Manager Create Grants を使用して、Visual Studio または Office サブスクリプションをディレクトリコンシューマーアカウントと共有します。または、請求には影響しないため、これらのアカウントの AWS Marketplace 製品をサブスクライブすることもできます。「付与されたライセンス」を参照してください。

  4. サブスクリプションステータスがアクティブであることを確認します。

License Manager に登録する

  1. License Manager コンソールを開きます。

  2. ユーザーベースのサブスクリプション設定に移動します。

  3. ID プロバイダーの登録を選択します。

  4. を選択します AWS Managed Microsoft AD。

  5. 登録プロセスを完了します。

ステップ 2: ディレクトリコンシューマーアカウントを設定する - 共有 AD を持つアカウント

共有ディレクトリを受け入れる

  1. AWS Directory Service コンソールを開きます。

  2. 共有ディレクトリに移動します。

  3. 共有ディレクトリの招待を見つけて受け入れます。

  4. アカウントに割り当てられた新しいディレクトリ ID を書き留めます。

MP サブスクリプションを受け入れる

License Manager Grants では、 AWS Marketplace 製品の許可を受け入れます。または、製品をサブスクライブします AWS Marketplace 。詳細については、CreateGrant API」を参照してください）。

License Manager に登録する

  1. License Manager コンソールを開きます。

  2. ユーザーベースのサブスクリプションに移動し、製品を選択します。

  3. 共有ディレクトリ ID と製品を使用して登録します。

  4. 登録ステータスを確認します。

ステップ 3: VPCs間のネットワーク接続を確立する

Amazon EC2 インスタンスをディレクトリにドメイン結合するには、VPCs 間のネットワーク接続を確立する必要があります。2 つの VPCs 間のネットワーク接続を確立するには、いくつかのオプションがあります。このセクションでは、Amazon VPC ピアリングの使用方法について説明します。

VPC ピアリング接続のセットアップ

  1. ディレクトリ所有者 VPC-0 とディレクトリコンシューマー VPC-1 の間に 1 つの VPC ピアリング接続を作成し、ディレクトリ所有者 VPC-0 とディレクトリコンシューマー VPC-2 の間に別の接続を作成します。 VPC-0 VPC-1

  2. VPCs ピアリング接続を指す VPC ルートテーブルにルートを追加して、ピアリング接続内の他の VPC にトラフィックをルーティングすることで、ピア接続された VPC 間のトラフィックルーティングを有効にします。

  3. ディレクトリ所有者 VPC-0 とのピアリング接続を追加して、各ディレクトリコンシューマー VPC ルートテーブルを設定します。必要に応じて、インターネットゲートウェイを作成してディレクトリコンシューマー VPCs にアタッチすることもできます。これにより、ディレクトリコンシューマー VPCsのインスタンスは、ドメイン結合を実行する Amazon EC2 Systems Manager エージェントと通信できるようになります。

セキュリティグループの設定

アウトバウンドルールテーブルにAWS Managed Microsoft AD プロトコルとポートを追加して、アウトバウンドトラフィックを有効にするようにディレクトリコンシューマー VPCs のセキュリティグループを設定します。また、ディレクトリドメインコントローラー VPCs のセキュリティグループを設定して、インバウンドルールテーブルに AWS Managed Microsoft AD プロトコルとポートを追加してインバウンドトラフィックを有効にし、ディレクトリコンシューマーアカウントからのトラフィックを許可します。

セキュリティグループの要件

コンシューマーアカウント VPCs:

  • ディレクトリ所有者 VPC へのアウトバウンドトラフィックを有効にする

  • 必要な AD ポートでの通信を許可する

ディレクトリ所有者 VPC:

  • コンシューマー VPCs からのインバウンドトラフィックを設定する

  • 以下を含む必要な AWS Managed Microsoft AD プロトコルとポートを追加します。

    • TCP 53 (DNS)

    • UDP 53 (DNS)

    • TCP 88 (Kerberos)

    • UDP 88 (Kerberos)

    • TCP 135 (RPC)

    • TCP 389 (LDAP)

    • UDP 389 (LDAP)

    • TCP 445 (SMB)

    • TCP 464 (Kerberos パスワード)

    • UDP 464 (Kerberos パスワード)

    • TCP 636 (LDAPS)

    • TCP 3268-3269 (グローバルカタログ)

    • TCP 1024-65535 (動的 RPC)

ステップ 4: インスタンスをデプロイし、ユーザー関連付けを管理する

ユーザーをサブスクライブする (ディレクトリ所有者アカウントのみ)

  1. License Manager コンソールを開きます。

  2. ユーザーベースのサブスクリプションに移動します。

  3. ユーザーをサブスクライブするを選択する

  4. AWS Managed Microsoft AD ユーザー識別子を入力する

  5. 製品を選択し、サブスクリプションを確認します。

インスタンスの起動

任意のアカウントでこのステップを実行します。

  1. Amazon EC2 コンソールに移動します。

  2. [インスタンスの作成] を選択してください。

  3. 適切な License Manager AMI を選択します。

  4. ネットワーク設定を構成します。

  5. を確認して起動します。

ユーザーをインスタンスに関連付ける

インスタンスが存在する任意のアカウントでこのステップを実行します。

  1. License Manager コンソールを開きます。

  2. ユーザー関連付けに移動します。

  3. ターゲットインスタンスを選択します。

  4. ユーザーの関連付けを選択します。

  5. AWS Managed Microsoft AD ユーザー名を入力します。

  6. 関連付けを確認します。

トラブルシューティング

一般的な問題と解決策:

ドメイン結合の失敗

  1. アカウント間のネットワーク接続を確認します。

  2. セキュリティグループの設定を確認します。

  3. DNS 解決が機能していることを確認します。

  4. ルートテーブルエントリを検証します。

ユーザーサブスクリプションの問題

  1. ユーザーが存在することを確認します AWS Managed Microsoft AD。

  2. ディレクトリ所有者アカウントのサブスクリプションステータスを確認します。

  3. ネットワーク接続を確認します。

  4. エラーログを確認します。

ネットワーク接続の問題

  1. VPC ピアリング接続ステータスをテストします。

  2. ルートテーブルの設定を確認します。

  3. セキュリティグループのルールを確認します。

  4. DNS 解決を確認します。

DNS 解決の問題

  1. DHCP オプションセットを確認します。

  2. DNS サーバー設定を確認します。

  3. コンシューマーインスタンスから名前解決をテストします。

その他のリソース