本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

設定適用於 AD 的 連接器

本節中的步驟是使用 Connector for AD 的先決條件。其假設您已建立 AWS 帳戶。完成此頁面上的步驟後，您就可以開始為 AD 建立連接器。

步驟 1：使用 建立私有 CA AWS Private CA

設定私有憑證授權機構 (CA) 以將憑證發行到您的目錄物件。如需詳細資訊，請參閱中的憑證授權單位 AWS Private CA。

私有 CA 必須處於 Active 狀態，才能建立 Connector for AD。私有 CA 的主旨名稱必須包含通用名稱。如果您嘗試使用沒有通用名稱的私有 CA 建立連接器，連接器建立將會失敗。

步驟 2：設定 Active Directory

除了私有 CA 之外，您需要虛擬私有雲端 (VPC) 中的作用中目錄。Connector for AD 支援下列 提供的目錄類型 AWS Directory Service：

（僅限 Active Directory Connector) 步驟 3：將許可委派給服務帳戶

使用 Directory Service AD Connector 時，您需要將其他許可委派給服務帳戶。在服務帳戶上設定存取控制清單 (ACL)，以允許 功能：

官方 Connector for Active Directory 儲存庫中可用的 PowerShell 指令碼可用來委派 Directory Service AD Connector 服務帳戶所需的其他許可。

此指令碼會建立 NTAuthCertificates 憑證授權單位物件。

如需最新版本的指令碼和用量詳細資訊，請參閱 GitHub 儲存庫中的 README。

步驟 4：建立 IAM 政策

若要建立 AD 連接器，您需要 IAM 政策，可讓您建立連接器資源、與 Connector for AD 服務共用私有 CA，以及使用您的目錄授權 Connector for AD 服務。

這是使用者受管政策的範例：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "pca-connector-ad:*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "acm-pca:DescribeCertificateAuthority",
                "acm-pca:GetCertificate",
                "acm-pca:GetCertificateAuthorityCertificate",
                "acm-pca:ListCertificateAuthorities",
                "acm-pca:ListTags",
                "acm-pca:PutPolicy"                
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "acm-pca:IssueCertificate",
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "acm-pca:TemplateArn": "arn:aws:acm-pca:::template/BlankEndEntityCertificate_APIPassthrough/V*"
                },
                "ForAnyValue:StringEquals": {
                    "aws:CalledVia": "pca-connector-ad.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [ 
                "ds:AuthorizeApplication",
                "ds:DescribeDirectories",
                "ds:ListTagsForResource",
                "ds:UnauthorizeApplication",
                "ds:UpdateAuthorizedApplication"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateVpcEndpoint",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeSubnets",
                "ec2:DescribeVpcEndpoints",
                "ec2:DescribeVpcs",
                "ec2:DeleteVpcEndpoints"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeTags",
                "ec2:DeleteTags",
                "ec2:CreateTags"
            ],
            "Resource": "arn:*:ec2:*:*:vpc-endpoint/*"
        }
    ]
}

Connector for AD 需要額外的 AWS RAM 許可，才能使用主控台和命令列。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ram:CreateResourceShare",
            "Resource": "*",
            "Condition": {
                "StringEqualsIfExists": {
                    "ram:Principal": "pca-connector-ad.amazonaws.com",
                    "ram:RequestedResourceType": "acm-pca:CertificateAuthority"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ram:GetResourcePolicies",
                "ram:GetResourceShareAssociations",
                "ram:GetResourceShares",
                "ram:ListPrincipals",
                "ram:ListResources",
                "ram:ListResourceSharePermissions",
                "ram:ListResourceTypes"
            ],
            "Resource": "*"
        }
    ]
}

步驟 5：與 Connector for AD 共用您的私有 CA

您需要使用 AWS Resource Access Manager 服務主體共用，與連接器服務共用私有 CA。

當您在 AWS 主控台中建立連接器時，會自動為您建立資源共享。

當您使用 建立資源共享時 AWS CLI，您將使用 AWS RAM create-resource-share命令。

下列命令會建立資源共享：

$  aws ram create-resource-share \
    --region us-east-1 \
    --name MyPcaConnectorAdResourceShare \
    --permission-arns arn:aws:ram::aws:permission/AWSRAMBlankEndEntityCertificateAPIPassthroughIssuanceCertificateAuthority \
    --resource-arns arn:aws:acm-pca:region:account:certificate-authority/CA_ID \
    --principals pca-connector-ad.amazonaws.com \
    --sources account
					

呼叫 CreateConnector 的服務主體在 PCA 上具有憑證發行許可。若要防止使用 Connector for AD 的服務主體擁有對 AWS 私有 CA 資源的一般存取權，請使用 限制其許可CalledVia。

步驟 6：建立目錄註冊

您可以使用您的目錄授權 Connector for AD 服務，以便連接器可以與您的目錄通訊。若要授權 Connector for AD 服務，您可以建立目錄註冊。如需建立目錄註冊的詳細資訊，請參閱 管理目錄註冊

步驟 7：設定安全群組

VPC 與 Connector for AD 連接器之間的通訊是透過 進行 AWS PrivateLink，這需要具有傳入規則的安全群組 （在您的 VPC 上開啟連接埠 443 TCP)。當您建立連接器時，系統會要求您輸入此安全群組。您可以將來源指定為自訂，然後選取 VPC 的 CIDR 區塊。您可以選擇進一步限制 （即 IP、CIDR 和安全群組 ID)。

步驟 8：設定目錄物件的網路存取

目錄物件需要公有網際網路存取權，才能驗證來自下列網域的線上憑證狀態通訊協定 (OCSP) 和憑證撤銷清單 (CRLs)：

*.windowsupdate.com
*.amazontrust.com 

最低必要存取規則：

如果裝置沒有公有網際網路存取，憑證發行會間歇性失敗並顯示錯誤碼 WS_E_OPERATION_TIMED_OUT.