混合目錄先決條件

建立 AWS KMS 金鑰

1. 在 AWS KMS 主控台中，選擇建立金鑰。

2. 對於金鑰類型，選擇對稱。

3. 對於金鑰用途，選擇加密和解密。

4. 針對 Advanced options (進階選項)：

   1. 對於金鑰材料來源，選擇 KMS。

   2. 針對區域性，選擇單一區域金鑰，然後選擇下一步。

5. 對於別名，提供 KMS 金鑰的名稱。

6. (選用) 對於描述，提供 KMS 金鑰的描述。

7. （選用） 針對標籤，新增 KMS 金鑰的標籤，然後選擇下一步。

8. 針對金鑰管理員，選取 IAM 使用者。

9. 針對金鑰刪除，請保留允許金鑰管理員刪除此金鑰的預設選擇，然後選擇下一步。

10. 對於金鑰使用者，從上一個步驟中選取相同的 IAM 使用者，然後選擇下一步。

11. 檢閱組態。

12. 針對金鑰政策，將下列陳述式新增至政策：

    {
      "Version": "2012-10-17",
      "Statement": [
        {
          "Sid": "Enable IAM User Permissions",
          "Effect": "Allow",
          "Principal": {
            "AWS": "arn:aws:iam::caller-account:role/role_used_to_create_directory"
          },
          "Action": "kms:*",
          "Resource": "*"
        },
        { 
           "Sid": "Allow use of the KMS key on behalf of Directory Service", 
           "Effect": "Allow", 
           "Principal": {
             "Service": "ds.amazonaws.com"
           }, 
           "Action": "kms:Decrypt", 
           "Resource": "*"
        }
      ]
    }

13. 選擇 Finish (完成)。

1. 新增使用者名稱金鑰

   1. 對於第一個金鑰，輸入 customerAdAdminDomainUsername。

   2. 對於第一個金鑰的值，請僅輸入 AD 使用者的使用者名稱 （不含網域字首）。請勿包含網域名稱，因為這會導致執行個體建立失敗。

2. 新增密碼金鑰

   1. 對於第二個金鑰，輸入 customerAdAdminDomainPassword。

   2. 對於第二個金鑰的值，輸入您在網域上為 AD 使用者建立的密碼。

1. 針對加密金鑰，選取您在 中建立的 KMS 金鑰建立 KMS 金鑰，然後選擇下一步。

2. 針對秘密名稱，輸入秘密的描述。

3. （選用） 針對描述，輸入秘密的描述。

4. 選擇下一步。

5. 對於設定輪換設定，保留預設值並選擇下一步。

6. 檢閱秘密的設定，然後選擇儲存。

7. 選擇您建立的秘密，然後複製秘密 ARN 的值。您將在下一個步驟中使用此 ARN 來設定自我管理 Active Directory。