翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
# AD インフラストラクチャを作成する
*自動*タブを選択して、 CloudFormation クイック作成テンプレートを使用して Active Directory (AD) インフラストラクチャを作成します。
[手動]** タブを選択し、AD インフラストラクチャを手動で作成します。
## 自動
1. AWS マネジメントコンソールにサインインします。
1. [CloudFormation クイック作成 (リージョン us-east-1)](https://us-east-1.console.aws.amazon.com/cloudformation/home?region=us-east-1#/stacks/create/review?stackName=pcluster-ad&templateURL=https://us-east-1-aws-parallelcluster.s3.amazonaws.com/templates/1-click/ad-integration.yaml) を開いて CloudFormation コンソールに以下のリソースを作成します。
+ 2 つのサブネットとパブリックアクセス用のルーティングを持つ VPC (VPC が指定されていない場合)。
+ AWS Managed Microsoft AD。
+ ディレクトリの管理に使用できる、AD に参加している Amazon EC2 インスタンス。
1. **[スタックのクイック作成]** ページの **[パラメータ]** セクションで、以下のパラメータのパスワードを入力します。
+ **AdminPassword**
+ **ReadOnlyPassword**
+ **UserPassword**
パスワードを書き留めます。これらは、このチュートリアルで後ほど使用します。
1. **[DomainName]** に「**corp.example.com**」と入力します。
1. **[Keypair]** に、Amazon EC2 キーペアの名前を入力します。
1. ページの下部で、チェックボックスを選択し、各アクセス機能を確認します。
1. **[スタックの作成]** を選択してください。
1. CloudFormation スタックが `CREATE_COMPLETE` 状態になったら、スタックの**[出力]** タブを選択します。出力リソース名と ID は後のステップで使用する必要があるため、書き留めます。出力には、クラスターの作成に必要な情報が用意されています。
![\[AWS マネジメントコンソールで作成されたスタック出力を示す図。\]](http://docs.aws.amazon.com/ja_jp/parallelcluster/latest/ug/images/ad-cfn.png)
1. [(オプション) AD のユーザーおよびグループの管理](tutorials_05_multi-user-ad-step2.md) の演習を完了するには、ディレクトリ ID が必要です。**[リソース]** を選択し、下にスクロールして、ディレクトリ ID を書き留めます。
1. [(オプション) AD のユーザーおよびグループの管理](tutorials_05_multi-user-ad-step2.md) または [クラスターを作成する](tutorials_05_multi-user-ad-step3.md) に進みます。
## 手動
異なるアベイラビリティゾーンにある 2 つのサブネットと、 AWS Managed Microsoft ADを使用して、ディレクトリサービス用の VPC を作成します。
### AD の作成
**注記**
ディレクトリとドメイン名は `corp.example.com` です。省略名は `CORP` です。
スクリプト内の `Admin` パスワードを変更します。
Active Directory (AD) の作成には少なくとも 15 分かかります。
次の Python スクリプトを使用して、ローカルに VPC、サブネット、AD リソースを作成します AWS リージョン。このファイルを `ad.py` として保存し、実行します。
```
import boto3
import time
from pprint import pprint
vpc_name = "PclusterVPC"
ad_domain = "corp.example.com"
admin_password = "asdfASDF1234"
ec2 = boto3.client("ec2")
ds = boto3.client("ds")
region = boto3.Session().region_name
# Create the VPC, Subnets, IGW, Routes
vpc = ec2.create_vpc(CidrBlock="10.0.0.0/16")["Vpc"]
vpc_id = vpc["VpcId"]
time.sleep(30)
ec2.create_tags(Resources=[vpc_id], Tags=[{"Key": "Name", "Value": vpc_name}])
subnet1 = ec2.create_subnet(VpcId=vpc_id, CidrBlock="10.0.0.0/17", AvailabilityZone=f"{region}a")["Subnet"]
subnet1_id = subnet1["SubnetId"]
time.sleep(30)
ec2.create_tags(Resources=[subnet1_id], Tags=[{"Key": "Name", "Value": f"{vpc_name}/subnet1"}])
ec2.modify_subnet_attribute(SubnetId=subnet1_id, MapPublicIpOnLaunch={"Value": True})
subnet2 = ec2.create_subnet(VpcId=vpc_id, CidrBlock="10.0.128.0/17", AvailabilityZone=f"{region}b")["Subnet"]
subnet2_id = subnet2["SubnetId"]
time.sleep(30)
ec2.create_tags(Resources=[subnet2_id], Tags=[{"Key": "Name", "Value": f"{vpc_name}/subnet2"}])
ec2.modify_subnet_attribute(SubnetId=subnet2_id, MapPublicIpOnLaunch={"Value": True})
igw = ec2.create_internet_gateway()["InternetGateway"]
ec2.attach_internet_gateway(InternetGatewayId=igw["InternetGatewayId"], VpcId=vpc_id)
route_table = ec2.describe_route_tables(Filters=[{"Name": "vpc-id", "Values": [vpc_id]}])["RouteTables"][0]
ec2.create_route(RouteTableId=route_table["RouteTableId"], DestinationCidrBlock="0.0.0.0/0", GatewayId=igw["InternetGatewayId"])
ec2.modify_vpc_attribute(VpcId=vpc_id, EnableDnsSupport={"Value": True})
ec2.modify_vpc_attribute(VpcId=vpc_id, EnableDnsHostnames={"Value": True})
# Create the Active Directory
ad = ds.create_microsoft_ad(
Name=ad_domain,
Password=admin_password,
Description="ParallelCluster AD",
VpcSettings={"VpcId": vpc_id, "SubnetIds": [subnet1_id, subnet2_id]},
Edition="Standard",
)
directory_id = ad["DirectoryId"]
# Wait for completion
print("Waiting for the directory to be created...")
directories = ds.describe_directories(DirectoryIds=[directory_id])["DirectoryDescriptions"]
directory = directories[0]
while directory["Stage"] in {"Requested", "Creating"}:
time.sleep(3)
directories = ds.describe_directories(DirectoryIds=[directory_id])["DirectoryDescriptions"]
directory = directories[0]
dns_ip_addrs = directory["DnsIpAddrs"]
pprint({"directory_id": directory_id,
"vpc_id": vpc_id,
"subnet1_id": subnet1_id,
"subnet2_id": subnet2_id,
"dns_ip_addrs": dns_ip_addrs})
```
Python スクリプトからの出力例を次に示します。
```
{
"directory_id": "d-abcdef01234567890",
"dns_ip_addrs": ["192.0.2.254", "203.0.113.237"],
"subnet1_id": "subnet-021345abcdef6789",
"subnet2_id": "subnet-1234567890abcdef0",
"vpc_id": "vpc-021345abcdef6789"
}
```
出力リソース名と ID を書き留めます。これらは、後のステップで使用します。
スクリプトが完了したら、次のステップに進みます。
### Amazon EC2 インスタンスを作成する
------
#### [ New Amazon EC2 console ]
1. AWS マネジメントコンソールにサインインします。
1. ステップ 4 で記載されたポリシーがアタッチされているロールがない場合は、[https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/) で IAM コンソールを開きます。それ以外の場合は、ステップ 5 に進みます。
1. `ResetUserPassword` ポリシーを作成し、赤で強調表示されたコンテンツを、AD を作成するために実行したスクリプトの出力の AWS リージョン ID、アカウント ID、ディレクトリ ID に置き換えます。
ResetUserPassword
```
{
"Statement": [
{
"Action": [
"ds:ResetUserPassword"
],
"Resource": "arn:aws:ds:region-id:123456789012:directory/d-abcdef01234567890",
"Effect": "Allow"
}
]
}
```
1. 以下のポリシーがアタッチされた IAM ロールを作成します。
+ AWS マネージドポリシー [AmazonSSMManagedInstanceCore](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/AmazonSSMManagedInstanceCore)
+ AWS マネージドポリシー [AmazonSSMDirectoryServiceAccess](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/AmazonSSMDirectoryServiceAccess)
+ ResetUserPassword ポリシー
1. Amazon EC2 コンソールの [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/) を開いてください。
1. **[Amazon EC2 ダッシュボード]** で、**[インスタンスを起動]** を選択します。
1. **[アプリケーションイメージと OS イメージ]** で、最近の Amazon Linux 2 AMI を選択します。
1. **[インスタンスタイプ]** で [t2.micro] を選択します。
1. **[キーペア]** で、キーペアを選択します。
1. **[ネットワーク設定]** で、**[編集]** を選択してください。
1. **[VPC]** で、ディレクトリ VPC を選択します。
1. 下にスクロールして **[高度な詳細]** を選択します。
1. **[高度な詳細]** の **[ドメイン結合ディレクトリ]** で、**corp.example.com** を選択します。
1. **[IAM インスタンスプロファイル]** で、ステップ 1 で作成したロール、またはステップ 4 でリストしたポリシーがアタッチされたロールを選択します。
1. **[概要]** で **[インスタンスを起動]** を選択します。
1. インスタンス ID (例:i-1234567890abcdef0) を書き留め、インスタンスの起動が完了するまで待ちます。
1. インスタンスが起動したら、次のステップに進みます。
------
#### [ Old Amazon EC2 console ]
1. AWS マネジメントコンソールにサインインします。
1. ステップ 4 で記載されたポリシーがアタッチされているロールがない場合は、[https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/) で IAM コンソールを開きます。それ以外の場合は、ステップ 5 に進みます。
1. `ResetUserPassword` ポリシーを作成します。赤色で強調表示されたコンテンツを、Active Directory (AD) を作成するために実行したスクリプトの出力の AWS リージョン ID、 AWS アカウント ID、ディレクトリ ID に置き換えます。
ResetUserPassword
```
{
"Statement": [
{
"Action": [
"ds:ResetUserPassword"
],
"Resource": "arn:aws:ds:region-id:123456789012:directory/d-abcdef01234567890",
"Effect": "Allow"
}
]
}
```
1. 以下のポリシーがアタッチされた IAM ロールを作成します。
+ AWS マネージドポリシー [AmazonSSMManagedInstanceCore](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/AmazonSSMManagedInstanceCore)
+ AWS マネージドポリシー [AmazonSSMDirectoryServiceAccess](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/AmazonSSMDirectoryServiceAccess)
+ ResetUserPassword ポリシー
1. Amazon EC2 コンソールの [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/) を開いてください。
1. **[Amazon EC2 ダッシュボード]** で、**[インスタンスを起動]** を選択します。
1. **[アプリケーションイメージと OS イメージ]** で、最近の Amazon Linux 2 AMI を選択します。
1. [**Instance type (インスタンスタイプ)**] として [t2.micro] を選択します。
1. **[キーペア]** で、キーペアを選択します。
1. **[ネットワーク設定]** で、**[編集]** を選択します。
1. **[ネットワーク設定]** の **[VPC]** で、ディレクトリ VPC を選択します。
1. 下にスクロールして **[高度な詳細]** を選択します。
1. **[高度な詳細]** の **[ドメイン結合ディレクトリ]** で、**corp.example.com** を選択します。
1. **[高度な詳細]** の **[インスタンスプロファイル]** で、ステップ 1 で作成したロール、またはステップ 4 で記載されたポリシーがアタッチされているロールを選択します。
1. **[概要]** で **[インスタンスを起動]** を選択します。
1. インスタンス ID (例: i-1234567890abcdef0) を書き留め、インスタンスの起動が完了するまで待ちます。
1. インスタンスが起動したら、次のステップに進みます。
------
### インスタンスを AD に結合
1.
**インスタンスに接続し、`admin` として AD 領域に結合します。**
次のコマンドを実行して、インスタンスに接続します。
```
$ INSTANCE_ID="i-1234567890abcdef0"
```
```
$ PUBLIC_IP=$(aws ec2 describe-instances \
--instance-ids $INSTANCE_ID \
--query "Reservations[0].Instances[0].PublicIpAddress" \
--output text)
```
```
$ ssh -i ~/.ssh/keys/keypair.pem ec2-user@$PUBLIC_IP
```
1.
**必要なソフトウェアをインストールし、領域に結合します。**
```
$ sudo yum -y install sssd realmd oddjob oddjob-mkhomedir adcli samba-common samba-common-tools krb5-workstation openldap-clients policycoreutils-python
```
1.
**管理者パスワードを `admin` パスワードに置き換えます。**
```
$ ADMIN_PW="asdfASDF1234"
```
```
$ echo $ADMIN_PW | sudo realm join -U Admin corp.example.com
Password for Admin:
```
上記が成功した場合は、領域に結合したので、次のステップに進むことができます。
### アカウントにユーザーを追加
1.
**ReadOnlyUser と追加のユーザーを作成します。**
このステップでは、前のステップでインストールした [adcli](https://www.mankier.com/package/adcli) ツールと [openldap-clients](https://www.mankier.com/package/openldap-clients) ツールを使用します。
```
$ echo $ADMIN_PW | adcli create-user -x -U Admin --domain=corp.example.com --display-name=ReadOnlyUser ReadOnlyUser
```
```
$ echo $ADMIN_PW | adcli create-user -x -U Admin --domain=corp.example.com --display-name=user000 user000
```
1. **ユーザーが作成されていることを確認します。**
ディレクトリの DNS IP アドレスは Python スクリプトの出力です。
```
$ DIRECTORY_IP="192.0.2.254"
```
```
$ ldapsearch -x -h $DIRECTORY_IP -D Admin -w $ADMIN_PW -b "cn=ReadOnlyUser,ou=Users,ou=CORP,dc=corp,dc=example,dc=com"
```
```
$ ldapsearch -x -h $DIRECTORY_IP -D Admin -w $ADMIN_PW -b "cn=user000,ou=Users,ou=CORP,dc=corp,dc=example,dc=com"
```
デフォルトでは、`ad-cli` を使用してユーザーを作成すると、そのユーザーは無効になります。
1.
****ローカルマシンからユーザーパスワードをリセットおよび有効化します。****
Amazon EC2 インスタンスからログアウトします。
**注記**
`ro-p@ssw0rd` は`ReadOnlyUser`、 から取得した のパスワードです AWS Secrets Manager。
`user-p@ssw0rd` はクラスターに接続 (`ssh`) するときに指定されるクラスターユーザーのパスワードです。
`directory-id` は Python スクリプトの出力です。
```
$ DIRECTORY_ID="d-abcdef01234567890"
```
```
$ aws ds reset-user-password \
--directory-id $DIRECTORY_ID \
--user-name "ReadOnlyUser" \
--new-password "ro-p@ssw0rd" \
--region "region-id"
```
```
$ aws ds reset-user-password \
--directory-id $DIRECTORY_ID \
--user-name "user000" \
--new-password "user-p@ssw0rd" \
--region "region-id"
```
1. **Secrets Manager シークレットにパスワードを追加します。**
を作成してパスワード`ReadOnlyUser`を設定したら、 がログインの検証 AWS ParallelCluster に使用するシークレットに保存します。
Secrets Manager を使用して、`ReadOnlyUser` のパスワードを値として保持する新しいシークレットを作成します。シークレット値の形式はプレーンテキストのみである必要があります (JSON 形式ではない)。今後のステップに備えて、シークレットの ARN を書き留めておきます。
```
$ aws secretsmanager create-secret --name "ADSecretPassword" \
--region region_id \
--secret-string "ro-p@ssw0rd" \
--query ARN \
--output text
arn:aws:secretsmanager:region-id:123456789012:secret:ADSecretPassword-1234
```
### 証明書の検証付き LDAPS (推奨) の設定
リソース ID を書き留めます。これらは、後のステップで使用します。
1.
**ドメイン証明書をローカルで生成します。**
```
$ PRIVATE_KEY="corp-example-com.key"
CERTIFICATE="corp-example-com.crt"
printf ".\n.\n.\n.\n.\ncorp.example.com\n.\n" | openssl req -x509 -sha256 -nodes -newkey rsa:2048 -keyout $PRIVATE_KEY -days 365 -out $CERTIFICATE
```
1.
**証明書を Secrets Manager に保存して、後でクラスター内から取得できるようにします。**
```
$ aws secretsmanager create-secret --name example-cert \
--secret-string file://$CERTIFICATE \
--region region-id
{
"ARN": "arn:aws:secretsmanager:region-id:123456789012:secret:example-cert-123abc",
"Name": "example-cert",
"VersionId": "14866070-092a-4d5a-bcdd-9219d0566b9c"
}
```
1. Amazon EC2 インスタンスを AD ドメインに結合するために作成した IAM ロールに、次のポリシーを追加します。
`PutDomainCertificateSecrets`
```
{
"Statement": [
{
"Action": [
"secretsmanager:PutSecretValue"
],
"Resource": [
"arn:aws:secretsmanager:region-id:123456789012:secret:example-cert-123abc"
],
"Effect": "Allow"
}
]
}
```
1.
**証明書を AWS Certificate Manager (ACM) にインポートします。**
```
$ aws acm import-certificate --certificate fileb://$CERTIFICATE \
--private-key fileb://$PRIVATE_KEY \
--region region-id
{
"CertificateArn": "arn:aws:acm:region-id:123456789012:certificate/343db133-490f-4077-b8d4-3da5bfd89e72"
}
```
1.
**Active Directory エンドポイントの前に配置するロードバランサーを作成します。**
```
$ aws elbv2 create-load-balancer --name CorpExampleCom-NLB \
--type network \
--scheme internal \
--subnets subnet-1234567890abcdef0 subnet-021345abcdef6789 \
--region region-id
{
"LoadBalancers": [
{
"LoadBalancerArn": "arn:aws:elasticloadbalancing:region-id:123456789012:loadbalancer/net/CorpExampleCom-NLB/3afe296bf4ba80d4",
"DNSName": "CorpExampleCom-NLB-3afe296bf4ba80d4.elb.region-id.amazonaws.com",
"CanonicalHostedZoneId": "Z2IFOLAFXWLO4F",
"CreatedTime": "2022-05-05T12:56:55.988000+00:00",
"LoadBalancerName": "CorpExampleCom-NLB",
"Scheme": "internal",
"VpcId": "vpc-021345abcdef6789",
"State": {
"Code": "provisioning"
},
"Type": "network",
"AvailabilityZones": [
{
"ZoneName": "region-idb",
"SubnetId": "subnet-021345abcdef6789",
"LoadBalancerAddresses": []
},
{
"ZoneName": "region-ida",
"SubnetId": "subnet-1234567890abcdef0",
"LoadBalancerAddresses": []
}
],
"IpAddressType": "ipv4"
}
]
}
```
1.
**Active Directory エンドポイントをターゲットとするターゲットグループを作成します。**
```
$ aws elbv2 create-target-group --name CorpExampleCom-Targets --protocol TCP \
--port 389 \
--target-type ip \
--vpc-id vpc-021345abcdef6789 \
--region region-id
{
"TargetGroups": [
{
"TargetGroupArn": "arn:aws:elasticloadbalancing:region-id:123456789012:targetgroup/CorpExampleCom-Targets/44577c583b695e81",
"TargetGroupName": "CorpExampleCom-Targets",
"Protocol": "TCP",
"Port": 389,
"VpcId": "vpc-021345abcdef6789",
"HealthCheckProtocol": "TCP",
"HealthCheckPort": "traffic-port",
"HealthCheckEnabled": true,
"HealthCheckIntervalSeconds": 30,
"HealthCheckTimeoutSeconds": 10,
"HealthyThresholdCount": 3,
"UnhealthyThresholdCount": 3,
"TargetType": "ip",
"IpAddressType": "ipv4"
}
]
}
```
1.
**Active Directory (AD) エンドポイントをターゲットグループに登録します。**
```
$ aws elbv2 register-targets --target-group-arn arn:aws:elasticloadbalancing:region-id:123456789012:targetgroup/CorpExampleCom-Targets/44577c583b695e81 \
--targets Id=192.0.2.254,Port=389 Id=203.0.113.237,Port=389 \
--region region-id
```
1.
**証明書を使用して LB リスナーを作成します。**
```
$ aws elbv2 create-listener --load-balancer-arn arn:aws:elasticloadbalancing:region-id:123456789012:loadbalancer/net/CorpExampleCom-NLB/3afe296bf4ba80d4 \
--protocol TLS \
--port 636 \
--default-actions Type=forward,TargetGroupArn=arn:aws:elasticloadbalancing:region-id:123456789012:targetgroup/CorpExampleCom-Targets/44577c583b695e81 \
--ssl-policy ELBSecurityPolicy-TLS-1-2-2017-01 \
--certificates CertificateArn=arn:aws:acm:region-id:123456789012:certificate/343db133-490f-4077-b8d4-3da5bfd89e72 \
--region region-id
"Listeners": [
{
"ListenerArn": "arn:aws:elasticloadbalancing:region-id:123456789012:listener/net/CorpExampleCom-NLB/3afe296bf4ba80d4/a8f9d97318743d4b",
"LoadBalancerArn": "arn:aws:elasticloadbalancing:region-id:123456789012:loadbalancer/net/CorpExampleCom-NLB/3afe296bf4ba80d4",
"Port": 636,
"Protocol": "TLS",
"Certificates": [
{
"CertificateArn": "arn:aws:acm:region-id:123456789012:certificate/343db133-490f-4077-b8d4-3da5bfd89e72"
}
],
"SslPolicy": "ELBSecurityPolicy-TLS-1-2-2017-01",
"DefaultActions": [
{
"Type": "forward",
"TargetGroupArn": "arn:aws:elasticloadbalancing:region-id:123456789012:targetgroup/CorpExampleCom-Targets/44577c583b695e81",
"ForwardConfig": {
"TargetGroups": [
{
"TargetGroupArn": "arn:aws:elasticloadbalancing:region-id:123456789012:targetgroup/CorpExampleCom-Targets/44577c583b695e81"
}
]
}
}
]
}
]
}
```
1.
**ホストゾーンを作成して、クラスター VPC 内でドメインを検出できるようにします。**
```
$ aws route53 create-hosted-zone --name corp.example.com \
--vpc VPCRegion=region-id,VPCId=vpc-021345abcdef6789 \
--caller-reference "ParallelCluster AD Tutorial"
{
"Location": "https://route53.amazonaws.com/2013-04-01/hostedzone/Z09020002B5MZQNXMSJUB",
"HostedZone": {
"Id": "/hostedzone/Z09020002B5MZQNXMSJUB",
"Name": "corp.example.com.",
"CallerReference": "ParallelCluster AD Tutorial",
"Config": {
"PrivateZone": true
},
"ResourceRecordSetCount": 2
},
"ChangeInfo": {
"Id": "/change/C05533343BF3IKSORW1TQ",
"Status": "PENDING",
"SubmittedAt": "2022-05-05T13:21:53.863000+00:00"
},
"VPC": {
"VPCRegion": "region-id",
"VPCId": "vpc-021345abcdef6789"
}
}
```
1.
**次のコンテンツを使用して、`recordset-change.json` という名前のファイルを作成します。`HostedZoneId` はロードバランサーの正規のホストゾーン ID です。**
```
{
"Changes": [
{
"Action": "CREATE",
"ResourceRecordSet": {
"Name": "corp.example.com",
"Type": "A",
"Region": "region-id",
"SetIdentifier": "example-active-directory",
"AliasTarget": {
"HostedZoneId": "Z2IFOLAFXWLO4F",
"DNSName": "CorpExampleCom-NLB-3afe296bf4ba80d4.elb.region-id.amazonaws.com",
"EvaluateTargetHealth": true
}
}
}
]
}
```
1.
**今度はホストゾーン ID を使用して、レコードセットの変更をホストゾーンに送信します。**
```
$ aws route53 change-resource-record-sets --hosted-zone-id Z09020002B5MZQNXMSJUB \
--change-batch file://recordset-change.json
{
"ChangeInfo": {
"Id": "/change/C0137926I56R3GC7XW2Y",
"Status": "PENDING",
"SubmittedAt": "2022-05-05T13:40:36.553000+00:00"
}
}
```
1.
**次の内容でポリシードキュメント `policy.json` を作成します。**
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"secretsmanager:GetSecretValue"
],
"Resource": [
"arn:aws:secretsmanager:us-east-1:123456789012:secret:example-cert-abc123"
],
"Effect": "Allow"
}
]
}
```
------
1.
**次の内容で `policy.json` という名前のポリシードキュメントを作成します。**
```
$ aws iam create-policy --policy-name ReadCertExample \
--policy-document file://policy.json
{
"Policy": {
"PolicyName": "ReadCertExample",
"PolicyId": "ANPAUUXUVBC42VZSI4LDY",
"Arn": "arn:aws:iam::123456789012:policy/ReadCertExample-efg456",
"Path": "/",
"DefaultVersionId": "v1",
"AttachmentCount": 0,
"PermissionsBoundaryUsageCount": 0,
"IsAttachable": true,
"CreateDate": "2022-05-05T13:42:18+00:00",
"UpdateDate": "2022-05-05T13:42:18+00:00"
}
}
```
1. 引き続き、[(オプション) AD のユーザーおよびグループの管理](tutorials_05_multi-user-ad-step2.md) または [クラスターを作成する](tutorials_05_multi-user-ad-step3.md) のステップを実行します。