設定自我管理 Active Directory

以網域管理員身分連線至您的 AD 網域。

開啟 Active Directory 使用者和電腦，然後選取您要在其中建立 OU 的網域。

在網域上按一下滑鼠右鍵，然後選擇新增，再選擇組織單位。

輸入 OU 的名稱。

保持選取保護容器免遭意外刪除的方塊。

按一下 OK (確定)。您的新 OU 會出現在您的網域下方。

開啟 Active Directory 使用者和電腦，然後選取您要在其中建立使用者的網域。

在使用者上按一下滑鼠右鍵，然後選擇新增，再選擇使用者。

輸入使用者的名字、姓氏和登入名稱。按一下 Next (下一步)。

輸入使用者的密碼。不要選取「使用者在下次登入時必須變更密碼」。不要選取「帳戶已停用」。按一下 Next (下一步)。

按一下 OK (確定)。您的新使用者會出現在您的網域下方。

開啟 Active Directory 使用者和電腦 MMC 嵌入式管理單元，然後選取您要在其中建立使用者的網域。

在您先前建立的 OU 上按一下滑鼠右鍵，然後選擇委派控制權。

在委派控制權精靈頁面上，按下一步。

在使用者或群組區段上，按一下新增。

在選取使用者、電腦或群組區段上，輸入您建立的 AD 網域服務帳戶，然後按一下檢查名稱。如果 AD 網域服務帳戶檢查成功，請按一下確定。

在使用者或群組區段上，確認已新增您的 AD 網域服務帳戶，然後按下一步。

在要委派的任務區段上，選取建立要委派的自訂任務，然後按下一步。

在 Active Directory 物件類型區段上：

1. 選擇僅限資料夾中的下列物件。

2. 選取電腦物件。

3. 選取在此資料夾中建立選取的物件。

4. 選取刪除此資料夾中選取的物件，然後按下一步。

在許可區段上：

1. 保持選取一般。

2. 選取已驗證寫入 DNS 主機名稱。

3. 選取已驗證寫入服務主體名稱，然後按下一步。

4. 若要啟用 Kerberos 身分驗證，請保持選取屬性特定，然後從清單中選取寫入 servicePrincipalName。

對於完成委派控制權精靈，請檢閱並確認您的設定，然後按一下完成。

針對 Kerberos 身分驗證，開啟 DNS Manager，並開啟伺服器屬性。

1. 在 Windows 對話方塊中，輸入 dnsmgmt.msc。

2. 在安全性索引標籤底下新增 AD 網域服務帳戶。

3. 選取讀取許可，並套用您的變更。

在 AWS KMS 主控台中，選擇建立金鑰。

對於金鑰類型，選擇對稱。

對於金鑰用途，選擇加密和解密。

針對 Advanced options (進階選項)：

1. 對於金鑰材料來源，選擇 KMS。

2. 對於區域性，選擇單一區域金鑰，然後按下一步。

對於別名，提供 KMS 金鑰的名稱。

(選用) 對於描述，提供 KMS 金鑰的描述。

(選用) 對於標籤，提供 KMS 金鑰的標籤，然後按下一步。

對於金鑰管理員，提供 IAM 使用者的名稱，然後選取該名稱。

對於金鑰刪除，保持選取允許金鑰管理員刪除此金鑰的方塊，然後按下一步。

對於金鑰使用者，提供上一個步驟中相同的 IAM 使用者，然後選取該使用者。按一下 Next (下一步)。

檢閱組態。

對於金鑰政策，在政策聲明中包含下列內容：

{
    "Sid": "Allow use of the KMS key on behalf of RDS",
    "Effect": "Allow",
    "Principal": {
        "Service": [
            "rds.amazonaws.com"
        ]
    },
    "Action": "kms:Decrypt",
    "Resource": "*"
}

按一下 Finish (完成)。

在 AWS Secrets Manager 中，選擇儲存新的秘密。

針對機密類型，選擇其他類型的機密。

對於金鑰/值對，新增兩個金鑰：

1. 對於第一個金鑰，輸入 SELF_MANAGED_ACTIVE_DIRECTORY_USERNAME。

2. 對於第一個金鑰的值，僅輸入 AD 使用者的使用者名稱 (不含網域字首)。請勿包含網域名稱，因為這會導致執行個體建立失敗。

3. 對於第二個金鑰，輸入 SELF_MANAGED_ACTIVE_DIRECTORY_PASSWORD。

4. 對於第二個金鑰的值，輸入您在網域上為 AD 使用者建立的密碼。

對於加密金鑰，輸入您在上一個步驟中建立的 KMS 金鑰，然後按下一步。

對於秘密名稱，輸入可協助您稍後尋找密碼的描述性名稱。

(選用) 對於描述，輸入秘密名稱的描述。

對於資源許可，按一下編輯。

請將下列政策新增至許可政策：

按一下儲存，然後按下一步。

對於設定輪換設定，保留預設值並選擇下一步。

檢閱秘密的設定，然後按一下存放。

選擇您建立的秘密，然後複製秘密 ARN 的值。這將在下一個步驟中用來設定自我管理 Active Directory。