Associar diretamente uma instância do Amazon EC2 para Linux a um AWS Managed Microsoft AD compartilhado

Abra o console do IAM em https://console.aws.amazon.com/iam/.

No painel de navegação esquerdo, em Gerenciamento de acesso, escolha Perfis.

Na página Perfis, selecione Criar perfil.

Em Select type of trusted entity (Selecionar o tipo de entidade confiável), escolha AWS service (serviço).

Em Caso de uso, escolha EC2 e Próximo

Em Políticas de filtro, faça o seguinte:

1. Insira AmazonSSMManagedInstanceCore. Em seguida, marque a caixa de seleção para esse item na lista.

2. Insira AmazonSSMDirectoryServiceAccess. Em seguida, marque a caixa de seleção para esse item na lista.

3. Depois de adicionar essas políticas, selecione Criar perfil.

   nota

   O AmazonSSMDirectoryServiceAccess fornece as permissões para associar instâncias a um Active Directory gerenciado pelo Directory Service. O AmazonSSMManagedInstanceCore fornece as permissões mínimas necessárias para usar o AWS Systems Manager. Para obter mais informações sobre a criação de um perfil com essas permissões e sobre outras permissões e políticas que você pode atribuir ao perfil do IAM, consulte Configurar permissões de instância obrigatórias para o Systems Manager no Guia do usuário do AWS Systems Manager.

Insira um nome para o novo perfil, como LinuxEC2DomainJoin ou outro nome que você preferir, no campo Nome do perfil.

(Opcional) Em Descrição do perfil, insira uma descrição.

(Opcional) Escolha Adicionar nova tag na Etapa 3: Adicionar tags para adicionar tags. Os pares de chave-valor de tag são usados para organizar, rastrear ou controlar o acesso a esse perfil.

Selecione Criar perfil.

Abra o console do Secrets Manager em https://console.aws.amazon.com/secretsmanager/.

Na lista de segredos, escolha o seu Segredo que foi criado durante o Pré-requisitos.

Na página de detalhes do segredo, na guia Visão geral, role para baixo até Permissões de recursos.

Selecione Editar permissões.

1. No campo da política, insira a política a seguir. A política a seguir permite que o LinuxEC2DomainJoin na Account 2 acesse o segredo em Account 1. Substitua o valor do ARN pelo valor do ARN da sua Account 2, o perfil LinuxEC2DomainJoin que você criou na Etapa 1. Para usar essa política, consulte Attach a permissions policy to an AWS Secrets Manager secret.

   JSON

   {
     "Version":"2012-10-17",		 	 	 
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::123456789012:role/LinuxEC2DomainJoin"
         },
         "Action": "secretsmanager:GetSecretValue",
         "Resource": "*"
       }
     ]
   }
   
   

Abra o console do Secrets Manager em https://console.aws.amazon.com/secretsmanager/.

No painel de navegação à esquerda, selecione Chaves gerenciadas pelo cliente.

Na página Chaves gerenciadas pelo cliente, selecione a chave que você criou.

Na página Detalhes da chave, navegue até Política de chave e selecione Editar.

A instrução de política de chave a seguir permite que o ApplicationRole na Account 2 use a chave do KMS na Account 1 para descriptografar o segredo na Account 1. Para usar essa declaração, adicione-a à política de chaves para sua chave do KMS. Para obter mais informações, consulte Alterar uma política de chaves.

{
{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::Account2:role/ApplicationRole"
  },
  "Action": [
    "kms:Decrypt",
    "kms:DescribeKey"
  ],
  "Resource": "*"
}

Abra o console do IAM em https://console.aws.amazon.com/iam/.

No painel de navegação esquerdo, em Gerenciamento de acesso, escolha Políticas.

Selecione Create Policy (Criar política). Escolha JSON no Editor de políticas.

A política a seguir permite que o ApplicationRole na Account 2 acesse o segredo na Account 1 e descriptografe o valor do segredo usando a chave de criptografia, que também está na Account 1. Você pode encontrar o ARN do seu segredo no console do Secrets Manager na página Detalhes do segredo em ARN do segredo. Como alternativa, você pode chamar describe-secret para identificar o ARN do segredo. Substitua o ARN do recurso pelo ARN do recurso no ARN do segredo e Account 1. Para usar essa política, consulte Attach a permissions policy to an AWS Secrets Manager secret.

Selecione Próximo e, em seguida, Salvar alterações.

Encontre e selecione o perfil criado em Account 2 em Attach a resource policy to the secret in Account 1.

Em Adicionar permissões, selecione Anexar políticas.

Na barra de pesquisa, encontre a política criada em Add a statement to the key policy for the KMS key in Account 1 e marque a caixa para adicionar a política ao perfil. Em seguida selecione Adicionar permissões.

Faça login no Console de gerenciamento da AWS e abra o console do Amazon EC2 em https://console.aws.amazon.com/ec2/.

No seletor de região na barra de navegação, escolha a mesma Região da AWS do diretório existente.

No Painel do EC2, na seção Iniciar instância, escolha Iniciar instância.

Na página Iniciar uma instância, na seção Nome e tags, insira o nome que você gostaria de usar na instância do EC2 para Linux.

(Opcional) Escolha Adicionar tags extras para adicionar um ou mais pares de chave-valor de tag para organizar, monitorar ou controlar o acesso a essa instância do EC2.

Na seção Imagem da aplicação e do sistema operacional (imagem de máquina da Amazon), escolha uma AMI do Linux que você deseja iniciar.

Na seção Tipo de instância, escolha o tipo de instância que você gostaria de usar na lista suspensa Tipo de instância.

Na seção Par de chaves: login, é possível optar por criar um novo par de chaves ou escolher um par de chaves existente. Para criar um novo par de chaves, escolha Criar par de chaves. Insira um nome para o par de chaves e selecione uma opção para Tipo de par de chaves e Formato do arquivo de chave privada. Para salvar a chave privada em um formato que possa ser usado com o OpenSSH, escolha .pem. Para salvar a chave privada em um formato que possa ser usado com o PuTTY, escolha .ppk. Escolha Criar par de chaves. O arquivo de chave privada é baixado automaticamente pelo navegador. Salve o arquivo de chave privada em um lugar seguro.

Na página Iniciar uma instância, na seção Configurações de rede, escolha Editar. Escolha a VPC na qual seu diretório foi criado na lista suspensa VPC: obrigatório.

Escolha uma das sub-redes públicas em sua VPC na lista suspensa Sub-rede. A sub-rede escolhida deve ter todo o tráfego externo ser roteado para um gateway da Internet. Caso contrário, não será possível conectar-se à instância de maneira remota.

Para obter mais informações sobre como conectar a um gateway da Internet, consulte Conectar à Internet usando um gateway da Internet no Guia do usuário da Amazon VPC.

Em Atribuir IP público automaticamente, escolha Habilitar.

Para obter mais informações sobre endereçamento IP público e privado, consulte Endereçamento IP de instâncias do Amazon EC2 no Guia do usuário do Amazon EC2.

Para configurações de Firewall (grupos de segurança), é possível usar as configurações padrão ou fazer alterações para atender às suas necessidades.

Para opções de Configurar armazenamento, é possível usar as configurações padrão ou fazer alterações para atender às suas necessidades.

Selecione a seção Detalhes avançados, escolha seu domínio na lista suspensa Diretório de associação ao domínio.

nota

Depois de escolher o diretório de associação do domínio, você verá:

Esse erro ocorre se o assistente de inicialização do EC2 identificar um documento do SSM existente com propriedades inesperadas. Você pode executar uma das seguintes ações:

• Se você editou anteriormente o documento do SSM e as propriedades são esperadas, escolha fechar e continue executando a instância do EC2 sem alterações.

• Selecione o link Excluir o documento do SSM existente aqui para excluir o documento do SSM. Isso permitirá a criação de um documento do SSM com as propriedades corretas. O documento do SSM será criado automaticamente quando você iniciar a instância do EC2.

Em Perfil de instância do IAM, escolha o perfil do IAM criado anteriormente na seção de pré-requisitos Etapa 2: criar o perfil LinuxEC2DomainJoin.

Escolha Iniciar instância.