Active Directory 작업의 모범 사례

1단계: KMS 키 생성

KMS 키를 생성하여 Secrets Manager에서 Active Directory 자격 증명을 암호화하고 해독합니다.

2단계: AWS Secrets Manager 보안 암호 생성

1단계: KMS 키 생성

KMS 키를 생성하여 Secrets Manager에서 Active Directory 자격 증명을 암호화하고 해독합니다.

KMS 키를 생성하기 위해 AWS CLI 명령 create-key를 사용합니다.

이 명령에서 --policy 파라미터를 설정하여 KMS 키에 대한 권한을 정의하는 키 정책을 지정합니다. 정책이 다음을 포함해야 합니다.

다음 예제에서는 Amazon FSx가 복호화 및 키 설명 작업에 키를 사용하도록 허용하는 정책을 사용하여 대칭 암호화 KMS 키를 생성합니다. 명령은 AWS 계정 ID와 리전을 자동으로 검색한 다음 이러한 값으로 키 정책을 구성하여 Amazon FSx, Secrets Manager 및 KMS 키 간의 적절한 액세스 제어를 보장합니다. AWS CLI 환경이 Active Directory에 조인할 SVM과 동일한 리전에 있는지 확인합니다.

# Set region and get Account ID
REGION=${AWS_REGION:-$(aws configure get region)}
ACCOUNT_ID=$(aws sts get-caller-identity --query 'Account' --output text)

# Create Key
KMS_KEY_ARN=$(aws kms create-key --policy "{
  \"Version\": \"2012-10-17\", 		 	 	 
  \"Statement\": [
    {
      \"Sid\": \"Enable IAM User Permissions\",
      \"Effect\": \"Allow\",
      \"Principal\": {
        \"AWS\": \"arn:aws:iam::$ACCOUNT_ID:root\"
      },
      \"Action\": \"kms:*\",
      \"Resource\": \"*\"
    },
    {
      \"Sid\": \"Allow FSx to use the KMS key\",
      \"Effect\": \"Allow\",
      \"Principal\": {
        \"Service\": \"fsx.amazonaws.com\"
      },
      \"Action\": [
        \"kms:Decrypt\",
        \"kms:DescribeKey\"
      ],
      \"Resource\": \"*\",
      \"Condition\": {
        \"StringEquals\": {
          \"kms:ViaService\": \"secretsmanager.$REGION.amazonaws.com\",
          \"aws:SourceAccount\": \"$ACCOUNT_ID\"
        },
        \"ArnLike\": {
          \"aws:SourceArn\": \"arn:aws:fsx:$REGION:$ACCOUNT_ID:file-system/*\"
        }
      }
    }
  ]
}" --query 'KeyMetadata.Arn' --output text)

echo "KMS Key ARN: $KMS_KEY_ARN"

2단계: AWS Secrets Manager 보안 암호 생성

Amazon FSx가 Active Directory에 액세스할 수 있는 보안 암호를 생성하려면 AWS CLI 명령 create-secret을 사용하고 다음 파라미터를 설정합니다.

보안 암호를 생성한 후 put-resource-policy 명령을 사용하여 리소스 정책을 연결하고 다음 파라미터를 설정합니다.

다음 예제에서는 필수 형식으로 보안 암호를 생성하고 Amazon FSx가 보안 암호를 사용하도록 허용하는 리소스 정책을 연결합니다. 이 예제에서는 AWS 계정 ID와 리전을 자동으로 검색한 다음 Amazon FSx와 보안 암호 간에 적절한 액세스 제어를 보장하기 위해 이러한 값으로 리소스 정책을 구성합니다.

KMS_KEY_ARN을 1단계에서 생성한 키의 ARN으로 바꾸고 CUSTOMER_MANAGED_ACTIVE_DIRECTORY_USERNAME 및 CUSTOMER_MANAGED_ACTIVE_DIRECTORY_PASSWORD를 Active Directory 서비스 계정 자격 증명으로 바꿔야 합니다. 또한 Active Directory에 조인할 SVM과 동일한 리전에 대해 AWS CLI 환경이 구성되어 있는지 확인합니다.

# Set region and get account ID
REGION=${AWS_REGION:-$(aws configure get region)}
ACCOUNT_ID=$(aws sts get-caller-identity --query 'Account' --output text)

# Replace with your KMS key ARN from Step 1
KMS_KEY_ARN="arn:aws:kms:us-east-2:123456789012:key/1234542f-d114-555b-9ade-fec3c9200d8e"

# Replace with your Active Directory credentials
AD_USERNAME="Your_Username"  
AD_PASSWORD="Your_Password"

# Create the secret
SECRET_ARN=$(aws secretsmanager create-secret \
  --name "FSxSecret" \
  --description "Secret for FSx access" \
  --kms-key-id "$KMS_KEY_ARN" \
  --secret-string "{\"CUSTOMER_MANAGED_ACTIVE_DIRECTORY_USERNAME\":\"$AD_USERNAME\",\"CUSTOMER_MANAGED_ACTIVE_DIRECTORY_PASSWORD\":\"$AD_PASSWORD\"}" \
  --region "$REGION" \
  --query 'ARN' \
  --output text)

echo "Secret created with ARN: $SECRET_ARN"

# Attach the resource policy with proper formatting
aws secretsmanager put-resource-policy \
  --secret-id "FSxSecret" \
  --region "$REGION" \
  --resource-policy "{
    \"Version\": \"2012-10-17\", 		 	 	 
    \"Statement\": [
      {
        \"Effect\": \"Allow\",
        \"Principal\": {
          \"Service\": \"fsx.amazonaws.com\"
        },
        \"Action\": [
          \"secretsmanager:GetSecretValue\",
          \"secretsmanager:DescribeSecret\"
        ],
        \"Resource\": \"$SECRET_ARN\",
        \"Condition\": {
          \"StringEquals\": {
            \"aws:SourceAccount\": \"$ACCOUNT_ID\"
          },
          \"ArnLike\": {
            \"aws:SourceArn\": \"arn:aws:fsx:$REGION:$ACCOUNT_ID:file-system/*\"
          }
        }
      }
    ]
  }"

echo "Resource policy attached successfully"