자체 관리형 Active Directory 설정

도메인 관리자로 AD 도메인에 연결합니다.

Active Directory 사용자 및 컴퓨터를 열고 OU를 생성할 도메인을 선택합니다.

도메인의 컨텍스트 메뉴를 열고 새로 만들기를 선택한 다음 조직 단위를 선택합니다.

OU 이름을 입력합니다.

컨테이너가 실수로 삭제되지 않도록 보호 확인란을 선택한 상태로 유지합니다.

확인을 선택합니다. 새 OU는 도메인 아래에 표시됩니다.

Active Directory 사용자 및 컴퓨터를 열고 사용자를 생성할 도메인과 OU를 선택합니다.

사용자의 컨텍스트 메뉴를 열고 새로 만들기를 선택한 다음, 사용자를 선택합니다.

사용자의 이름, 성 및 로그온 이름을 입력합니다. 다음을 선택합니다.

사용자의 암호를 입력합니다. 다음 로그인 시 사용자가 암호를 변경해야 함을 선택하지 마세요. 계정이 비활성화됨을 선택하지 마세요. 다음을 선택합니다.

확인을 선택합니다. 새 사용자는 도메인 아래에 표시됩니다.

Active Directory 사용자 및 컴퓨터 Microsoft Management Console(MMC) 스냅인을 열고 사용자를 생성할 도메인을 선택합니다.

이전에 생성한 OU의 컨텍스트 메뉴를 열고 제어 위임을 선택합니다.

제어 위임 마법사에서 다음을 선택합니다.

사용자 또는 그룹 섹션에서 추가를 선택합니다.

사용자, 컴퓨터 또는 그룹 선택 섹션에서 생성한 AD 도메인 서비스 계정을 입력하고 이름 확인을 선택합니다. AD 도메인 서비스 계정 확인이 성공하면 확인을 선택합니다.

사용자 또는 그룹 섹션에서 AD 도메인 서비스 계정이 추가되었는지 확인하고 다음을 선택합니다.

위임할 작업 섹션에서 위임할 사용자 지정 작업 생성을 선택하고 다음을 선택합니다.

Active Directory 객체 유형 섹션에서:

1. 폴더의 다음 객체만을 선택합니다.

2. 사용자 객체를 선택합니다.

3. 이 폴더에서 선택한 객체 생성을 선택합니다.

4. 이 폴더에서 선택한 객체 삭제를 선택하고 다음을 선택합니다.

권한 섹션에서:

1. 일반을 선택한 상태로 유지합니다.

2. 속성별을 선택합니다.

3. 특정 하위 객체 생성/삭제를 선택합니다.

4. 암호 재설정을 선택합니다.

5. msDS-SupportedEncryptionTypes 읽기를 선택합니다.

6. msDS-SupportedEncryptionTypes 쓰기를 선택합니다.

제어 위임 마법사 완료에서 설정을 검토 및 확인한 다음 마침을 선택합니다.

AWS KMS 콘솔(https://console.aws.amazon.com/kms/)을 엽니다. 키 생성을 선택합니다.

키 유형에 대해 대칭을 선택합니다.

키 사용에서 암호화 및 암호 해독을 선택합니다.

고급 옵션에서 다음을 수행합니다.

1. 키 구성 요소 오리진에서 KMS를 선택합니다.

2. 리전 구분에서 단일 리전 키를 선택하고 다음을 선택합니다.

별칭의 경우 KMS 키의 이름을 입력합니다.

(선택 사항) 설명에 KMS 키에 대한 설명을 입력합니다.

(선택 사항) 태그의 경우 KMS 키에 태그를 지정하고 다음을 선택합니다.

키 관리자의 경우 IAM 사용자의 이름을 입력하고 선택합니다.

키 삭제의 경우 키 관리자가 이 키를 삭제하도록 허용 확인란을 선택한 상태로 유지하고 다음을 선택합니다.

키 사용자의 경우 이전 단계와 동일한 IAM 사용자를 입력하고 해당 사용자를 선택합니다. 다음을 선택합니다.

구성을 검토합니다.

주요 정책의 경우 정책 문에 다음을 포함하세요.

{
    "Sid": "Allow use of the KMS key on behalf of RDS",
    "Effect": "Allow",
    "Principal": {
        "Service": [
            "rds.amazonaws.com"
        ]
    },
    "Action": "kms:Decrypt",
    "Resource": "*"
}

마침을 클릭합니다.

https://console.aws.amazon.com/secretsmanager/에서 AWS Secrets Manager 콘솔을 엽니다. 새 보안 암호 저장(Store a new secret)을 선택합니다.

보안 암호 유형에서 다른 유형의 보안 암호를 선택합니다.

키/값 쌍의 경우 2개의 키를 추가합니다.

1. 첫 번째 키에는 SELF_MANAGED_ACTIVE_DIRECTORY_USERNAME를 입력합니다.

2. 첫 번째 키 값에는 AD 사용자의 사용자 이름(도메인 접두사 제외)만 입력합니다. 도메인 이름을 포함하면 인스턴스 생성이 실패하므로 포함하지 마세요.

3. 두 번째 키에는 SELF_MANAGED_ACTIVE_DIRECTORY_PASSWORD를 입력합니다.

4. 두 번째 키의 값으로 도메인의 AD 사용자에 대해 생성한 암호를 입력합니다.

암호화 키에는 이전 단계에서 생성한 KMS 키를 입력하고 다음을 선택합니다.

보안 암호 이름에는 나중에 암호를 찾는 데 도움이 되는 설명이 포함된 이름을 입력합니다.

(선택 사항) 설명에 보안 암호 이름에 대한 설명을 입력합니다.

리소스 권한의 경우 편집을 선택합니다.

권한 정책에 다음 정책을 추가합니다.

{
    "Version":"2012-10-17",
    "Statement":
    [
        {
            "Effect": "Allow",
            "Principal":
            {
                "Service": "rds.amazonaws.com"
            },
            "Action": "secretsmanager:GetSecretValue",
            "Resource": "*",
            "Condition":
            {
                "StringEquals":
                {
                    "aws:sourceAccount": "123456789012"
                },
                "ArnLike":
                {
                    "aws:sourceArn": "arn:aws:rds:us-west-2:123456789012:db:*"
                }
            }
        }
    ]
}

저장을 선택하고 다음을 선택합니다.

교체 설정 구성에서 기본값을 유지하고 다음을 선택합니다.

보안 암호 설정을 검토하고 저장을 선택합니다.

생성한 보안 암호를 선택하고 보안 암호 ARN의 값을 복사합니다. 이 값은 다음 단계에서 자체 관리형 Active Directory를 설정하는 데 사용합니다.