사전 조건

https://portal.aws.amazon.com/billing/signup을 엽니다.

온라인 지시 사항을 따릅니다.

등록 절차 중 전화 또는 텍스트 메시지를 받고 전화 키패드로 확인 코드를 입력하는 과정이 있습니다.

에 가입하면 AWS 계정AWS 계정 루트 사용자이 생성됩니다. 루트 사용자에게는 계정의 모든 AWS 서비스 및 리소스에 액세스할 권한이 있습니다. 보안 모범 사례는 사용자에게 관리 액세스 권한을 할당하고, 루트 사용자만 사용하여 루트 사용자 액세스 권한이 필요한 작업을 수행하는 것입니다.

지침에 따라 Route53에 도메인을 등록합니다. 확인 이메일을 받게 됩니다.

도메인의 호스팅 영역을 검색합니다. 이는 Route53에서 자동으로 생성됩니다.

1. Route53 콘솔을 엽니다.

2. 왼쪽 탐색 창에서 호스팅 영역을 선택합니다.

3. 도메인 이름에 대해 생성된 호스팅 영역을 열고 호스팅 영역 ID를 복사합니다.

를 AWS Certificate Manager 열고 다음 단계에 따라 도메인 인증서를 요청합니다. 솔루션을 배포하려는 리전에 있는지 확인합니다.

탐색에서 인증서 나열을 선택하고 인증서 요청을 찾습니다. 요청은 보류 중이어야 합니다.

인증서 ID를 선택하여 요청을 엽니다.

도메인 섹션에서 Route53에서 레코드 생성을 선택합니다. 요청을 처리하는 데 약 10분이 걸립니다.

인증서가 발급되면 인증서 상태 섹션에서 ARN을 복사합니다.

퍼블릭 호스팅 도메인이 생성된 상용 파티션 AWS 계정에 인증서 AWS CloudFormation 스택을 배포합니다.

인증서 CloudFormation 출력에서 및 CertificateARN를 찾아 기록해 둡니다PrivateKeySecretARN.

GovCloud 파티션 계정에서 CertificateARN 출력 값을 사용하여 보안 암호를 생성합니다. 가 보안 암호 값에 액세스할 vdc-gateway 수 있도록 새 보안 암호 ARN을 기록하고 보안 암호에 두 개의 태그를 추가합니다.

1. res:ModuleName = virtual-desktop-controller

2. res:EnvironmentName = [환경 이름](res-demo일 수 있음)

GovCloud 파티션 계정에서 PrivateKeySecretArn 출력 값을 사용하여 보안 암호를 생성합니다. 가 보안 암호 값에 액세스할 vdc-gateway 수 있도록 새 보안 암호 ARN을 기록하고 보안 암호에 두 개의 태그를 추가합니다.

1. res:ModuleName = virtual-desktop-controller

2. res:EnvironmentName = [환경 이름](res-demo일 수 있음)

에 대해 서버 측 LDAPS를 활성화하는 방법에 AWS Managed Microsoft AD 제공된 단계를 따릅니다. LDAPS를 이미 활성화한 경우이 단계를 건너뛸 수 있습니다.

AD에 LDAPS가 구성되어 있는지 확인한 후 AD 인증서를 내보냅니다.

1. Active Directory 서버로 이동합니다.

2. 관리자로 PowerShell을 엽니다.

3. 를 실행certmgr.msc하여 인증서 목록을 엽니다.

4. 먼저 신뢰할 수 있는 루트 인증 기관을 연 다음 인증서를 열어 인증서 목록을 엽니다.

5. AD 서버와 동일한 이름의 인증서를 선택하고 유지(또는 마우스 오른쪽 버튼 클릭)한 다음 모든 작업을 선택한 다음 내보내기를 선택합니다.

6. Base-64 인코딩 X.509(.CER)를 선택하고 다음을 선택합니다.

7. 디렉터리를 선택한 후 다음을 선택합니다.

AWS Secrets Manager다음에서 보안 암호를 생성합니다.

Secrets Manager에서 보안 암호를 생성할 때, 보안 암호 유형에서 다른 유형의 보안 암호를 선택하고 PEM으로 인코딩된 인증서를 일반 텍스트 필드에 붙여넣습니다.

생성된 ARN을 기록하고에 DomainTLSCertificateSecretARN 파라미터로 입력합니다1단계: 제품 시작.

종속성을 다운로드합니다. 격리된 VPC에 배포하려면 RES 인프라에 퍼블릭 인터넷 액세스 없이 종속성을 사용할 수 있어야 합니다.

Amazon S3 읽기 전용 액세스 권한과 신뢰할 수 있는 자격 증명을 Amazon EC2로 사용하여 IAM 역할을 생성합니다.

1. https://console.aws.amazon.com/iam/에서 IAM 콘솔을 엽니다.

2. 역할에서 역할 생성을 선택합니다.

3. 신뢰할 수 있는 엔터티 선택 페이지에서 다음을 수행합니다.

   • 신뢰할 수 있는 엔터티 유형에서를 선택합니다 AWS 서비스.

   • 서비스 또는 사용 사례의 사용 사례에서 EC2를 선택하고 다음을 선택합니다.

4. 권한 추가에서 다음 권한 정책을 선택한 후 다음을 선택합니다.

   • AmazonS3ReadOnlyAccess

   • AmazonSSMManagedInstanceCore

   • EC2InstanceProfileForImageBuilder

5. 역할 이름 및 설명을 추가한 다음 역할 생성을 선택합니다.

EC2 이미지 빌더 구성 요소를 생성합니다.

1. 에서 EC2 Image Builder 콘솔을 엽니다https://console.aws.amazon.com/imagebuilder.

2. 저장된 리소스에서 구성 요소를 선택하고 구성 요소 생성을 선택합니다.

3. 구성 요소 생성 페이지에서 다음 세부 정보를 입력합니다.

   • 구성 요소 유형에서 빌드를 선택합니다.

   • 구성 요소 세부 정보에서 다음을 선택합니다.

     파라미터	사용자 항목
     Image operating system (OS)	Linux
     Compatible OS Versions	Amazon Linux 2
     Component name	Choose a name such as: <research-and-engineering-studio-infrastructure>
     Component version	We recommend starting with 1.0.0.
     Description	Optional user entry.

4. 구성 요소 생성 페이지에서 문서 콘텐츠 정의를 선택합니다.

   1. 정의 문서 콘텐츠를 입력하기 전에 tar.gz 파일에 대한 파일 URI가 필요합니다. RES에서 제공하는 tar.gz 파일을 Amazon S3 버킷에 업로드하고 버킷 속성에서 파일의 URI를 복사합니다.

   2. 다음을 입력합니다.

      참고

      AddEnvironmentVariables는 선택 사항이며 인프라 호스트에 사용자 지정 환경 변수가 필요하지 않은 경우 제거할 수 있습니다.

      http_proxy 및 https_proxy 환경 변수를 설정하는 경우 인스턴스가 프록시를 사용하여 localhost, 인스턴스 메타데이터 IP 주소 및 VPC 엔드포인트를 지원하는 서비스를 쿼리하지 못하도록 하려면 no_proxy 파라미터가 필요합니다.

      #  Copyright Amazon.com, Inc. or its affiliates. All Rights Reserved.
      #
      #  Licensed under the Apache License, Version 2.0 (the "License"). You may not use this file except in compliance
      #  with the License. A copy of the License is located at
      #
      #      http://www.apache.org/licenses/LICENSE-2.0
      #
      #  or in the 'license' file accompanying this file. This file is distributed on an 'AS IS' BASIS, WITHOUT WARRANTIES
      #  OR CONDITIONS OF ANY KIND, express or implied. See the License for the specific language governing permissions
      #  and limitations under the License.
      name: research-and-engineering-studio-infrastructure
      description: An RES EC2 Image Builder component to install required RES software dependencies for infrastructure hosts.
      schemaVersion: 1.0
      
      parameters:
        - AWSAccountID:
            type: string
            description: RES Environment AWS Account ID
        - AWSRegion:
            type: string
            description: RES Environment AWS Region
      phases:
        - name: build
          steps:
             - name: DownloadRESInstallScripts
               action: S3Download
               onFailure: Abort
               maxAttempts: 3
               inputs:
                  - source: '<s3 tar.gz file uri>'
                    destination: '/root/bootstrap/res_dependencies/res_dependencies.tar.gz'
                    expectedBucketOwner: '{{ AWSAccountID }}'
             - name: RunInstallScript
               action: ExecuteBash
               onFailure: Abort
               maxAttempts: 3
               inputs:
                  commands:
                      - 'cd /root/bootstrap/res_dependencies'
                      - 'tar -xf res_dependencies.tar.gz'
                      - 'cd all_dependencies'
                      - '/bin/bash install.sh'
             - name: AddEnvironmentVariables
               action: ExecuteBash
               onFailure: Abort
               maxAttempts: 3
               inputs:
                  commands:
                      - |
                        echo -e "
                        http_proxy=http://<ip>:<port>
                        https_proxy=http://<ip>:<port>
                        no_proxy=127.0.0.1,169.254.169.254,169.254.170.2,localhost,{{ AWSRegion }}.res,{{ AWSRegion }}.vpce.amazonaws.com,{{ AWSRegion }}.elb.amazonaws.com,s3.{{ AWSRegion }}.amazonaws.com,s3.dualstack.{{ AWSRegion }}.amazonaws.com,ec2.{{ AWSRegion }}.amazonaws.com,ec2.{{ AWSRegion }}.api.aws,ec2messages.{{ AWSRegion }}.amazonaws.com,ssm.{{ AWSRegion }}.amazonaws.com,ssmmessages.{{ AWSRegion }}.amazonaws.com,kms.{{ AWSRegion }}.amazonaws.com,secretsmanager.{{ AWSRegion }}.amazonaws.com,sqs.{{ AWSRegion }}.amazonaws.com,elasticloadbalancing.{{ AWSRegion }}.amazonaws.com,sns.{{ AWSRegion }}.amazonaws.com,logs.{{ AWSRegion }}.amazonaws.com,logs.{{ AWSRegion }}.api.aws,elasticfilesystem.{{ AWSRegion }}.amazonaws.com,fsx.{{ AWSRegion }}.amazonaws.com,dynamodb.{{ AWSRegion }}.amazonaws.com,api.ecr.{{ AWSRegion }}.amazonaws.com,.dkr.ecr.{{ AWSRegion }}.amazonaws.com,kinesis.{{ AWSRegion }}.amazonaws.com,.data-kinesis.{{ AWSRegion }}.amazonaws.com,.control-kinesis.{{ AWSRegion }}.amazonaws.com,events.{{ AWSRegion }}.amazonaws.com,cloudformation.{{ AWSRegion }}.amazonaws.com,sts.{{ AWSRegion }}.amazonaws.com,application-autoscaling.{{ AWSRegion }}.amazonaws.com,monitoring.{{ AWSRegion }}.amazonaws.com
                        " > /etc/environment  
                      
                      

5. 구성 요소 생성을 선택합니다.

Image Builder 이미지 레시피를 생성합니다.

1. 레시피 생성 페이지에서 다음을 입력합니다.

   Section	파라미터	사용자 항목
   레시피 세부 정보	명칭	Enter an appropriate name such as res-recipe-linux-x86.
   	버전	Enter a version, typically starting with 1.0.0.
   	설명	Add an optional description.
   기본 이미지	이미지 선택	Select managed images.
   	OS	Amazon Linux
   	이미지 오리진	Quick start (Amazon-managed)
   	이미지 이름	Amazon Linux 2 x86
   	자동 버전 지정 옵션	Use latest available OS version.
   인스턴스 구성	–	Keep everything in the default settings, and make sure Remove SSM agent after pipeline execution is not selected.
   작업 디렉터리	작업 디렉터리 경로	/root/bootstrap/res_dependencies
   Components	빌드 구성 요소	다음을 검색하고 선택합니다. Amazon 관리형: aws-cli-version-2-linux Amazon 관리형: amazon-cloudwatch-agent-linux 사용자가 소유: Amazon EC2 구성 요소가 이전에 생성되었습니다. 필드에 AWS 계정 ID와 현재 AWS 리전 를 입력합니다.
   	구성 요소 테스트	Search for and select: Amazon 관리형: simple-boot-test-linux

2. 레시피 생성을 선택합니다.

Image Builder 인프라 구성을 생성합니다.

1. 저장된 리소스에서 인프라 구성을 선택합니다.

2. 인프라 구성 생성을 선택합니다.

3. 인프라 구성 생성 페이지에서 다음을 입력합니다.

   Section	파라미터	사용자 항목
   일반	명칭	Enter an appropriate name such as res-infra-linux-x86.
   	설명	Add an optional description.
   	IAM 역할	Select the IAM role created previously.
   AWS 인프라	인스턴스 유형	Choose t3.medium.
   	VPC, 서브넷 및 보안 그룹	Select an option that permits internet access and access to the Amazon S3 bucket. If you need to create a security group, you can create one from the Amazon EC2 console with the following inputs: VPC: 인프라 구성에 사용되는 것과 동일한 VPC를 선택합니다. 이 VPC에는 인터넷 액세스 권한이 있어야 합니다. 인바운드 규칙: 유형: SSH 소스: 사용자 지정 CIDR 블록: 0.0.0.0/0

4. 인프라 구성 생성을 선택합니다.

새 EC2 Image Builder 파이프라인을 생성합니다.

1. 이미지 파이프라인으로 이동하여 이미지 파이프라인 생성을 선택합니다.

2. 파이프라인 세부 정보 지정 페이지에서 다음을 입력하고 다음을 선택합니다.

   • 파이프라인 이름 및 선택적 설명

   • 빌드 일정에서 일정을 설정하거나 AMI 베이킹 프로세스를 수동으로 시작하려면 수동을 선택합니다.

3. 레시피 선택 페이지에서 기존 레시피 사용을 선택하고 이전에 생성한 레시피 이름을 입력합니다. 다음을 선택합니다.

4. 이미지 프로세스 정의 페이지에서 기본 워크플로를 선택하고 다음을 선택합니다.

5. 인프라 구성 정의 페이지에서 기존 인프라 구성 사용을 선택하고 이전에 생성한 인프라 구성의 이름을 입력합니다. 다음을 선택합니다.

6. 배포 설정 정의 페이지에서 다음을 선택하여 선택합니다.

   • RES가 인프라 호스트 인스턴스를 제대로 시작할 수 있도록 출력 이미지는 배포된 RES 환경과 동일한 리전에 있어야 합니다. 서비스 기본값을 사용하면 EC2 Image Builder 서비스가 사용되는 리전에서 출력 이미지가 생성됩니다.

   • 여러 리전에 RES를 배포하려면 새 배포 설정 생성을 선택하고 여기에 리전을 더 추가할 수 있습니다.

7. 선택 사항을 검토하고 파이프라인 생성을 선택합니다.

EC2 Image Builder 파이프라인을 실행합니다.

1. 이미지 파이프라인에서 생성한 파이프라인을 찾아 선택합니다.

2. 작업을 선택하고 파이프라인 실행을 선택합니다.

   파이프라인에서 AMI 이미지를 생성하는 데 약 45분에서 1시간이 걸릴 수 있습니다.

생성된 AMI의 AMI ID를 기록하고에서 InfrastructureHostAMI 파라미터의 입력으로 사용합니다1단계: 제품 시작.

엔드포인트가 이전에 구성되지 않은 경우 인터페이스 VPC 엔드포인트를 AWS 서비스 사용하여 액세스에 제공된 지침을 따릅니다.

두 가용 영역 각각에서 프라이빗 서브넷 하나를 선택합니다.

RES 배포에 사용할 VPC의 퍼블릭 서브넷에서 Linux 인스턴스를 시작합니다.

인스턴스에 연결하여 프록시 서버를 설정합니다.

1. http 연결을 엽니다.

2. 모든 관련 서브넷에서 다음 도메인에 대한 연결을 허용합니다.

   • .amazonaws.com(일반 AWS 서비스의 경우)

   • .amazoncognito.com(Amazon Cognito용)

   • .awsapps.com(Identity Center용)

   • .signin.aws(Identity Center용)

   • .amazonaws-us-gov.com(Gv Cloud용)

3. 다른 모든 연결을 거부합니다.

4. 프록시 서버를 활성화하고 시작합니다.

5. 프록시 서버가 수신 대기하는 PORT를 기록해 둡니다.

프록시 서버에 대한 액세스를 허용하도록 라우팅 테이블을 구성합니다.

1. VPC 콘솔로 이동하여 인프라 호스트 및 VDI 호스트에 사용할 서브넷의 라우팅 테이블을 식별합니다.

2. 모든 수신 연결이 이전 단계에서 생성된 프록시 서버 인스턴스로 이동하도록 라우팅 테이블을 편집합니다.

3. 인프라/VDIs에 사용할 모든 서브넷(인터넷 액세스 없음)의 라우팅 테이블에 대해이 작업을 수행합니다.

프록시 서버 EC2 인스턴스의 보안 그룹을 수정하고 프록시 서버가 수신 대기하는 PORT에서 인바운드 TCP 연결을 허용하는지 확인합니다.