为 AD Amazon Private CA Connector 设置 AD 连接器 - Amazon Directory Service
先决条件为 AD 设置 Amazon Private CA 连接器AD 的查看 Amazon Private CA 连接器确认 Amazon Private CA 已签发证书
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

为 AD Amazon Private CA Connector 设置 AD 连接器

您可以整合自己的自我管理 Active Directory (AD) 和 Amazon Private Certificate Authority (CA) 和 AD Connector 可为您的 AD 域已加入的用户、群组和计算机颁发和管理证书。 Amazon Private CA Connector for AD 允许您为自行管理的企业使用完全托管的 Amazon Private CA 嵌入式替代方案，CAs而无需部署、修补或更新本地代理或代理服务器。

您可以通过 Directory Service 控制台、AD Amazon Private CA 连接器控制台或通过调用，来设置与目录的集 Amazon Private CA 成CreateTemplateAPI。通过 Amazon Private CA 连接器设置私有 CA 集成 Active Directory 控制台，参见 “Amazon Private CA 连接器” Active Directory。 有关如何从 Amazon Directory Service 控制台设置此集成的步骤，请参阅下文。

先决条件

使用 AD Connector 时，您需要向服务账户委托额外权限。在服务帐号上设置访问控制列表 (ACL)，让自己能够执行以下操作。

  • 为其自身添加和删除服务主体名称 (SPN)。

  • 在以下容器中创建和更新证书颁发机构：

    #containers
CN=AIA,CN=Public Key Services,CN=Services,CN=Configuration,
CN=Certification Authorities,CN=Public Key Services,CN=Services,CN=Configuration,
CN=Public Key Services,CN=Services,CN=Configuration

  • 创建和更新NTAuthCertificates证书颁发机构对象，如下例所示。如果NTAuthCertificates证书颁发机构对象存在，则必须为其委派权限。如果对象不存在，则必须委托在公钥服务容器上创建子对象的权限。

    #objects
CN=NTAuthCertificates,CN=Public Key Services,CN=Services,CN=Configuration
注意

如果你使用的是 Amazon 托管 Microsoft AD，那么当你在目录中授权 Connector fo Amazon Private CA r AD 服务时，将自动委派额外的权限。

你可以使用以下 PowerShell 用于委派其他权限并创建NTAuthCertifiates证书颁发机构对象的脚本。Replace（替换） myconnectoraccount 使用服务帐号名称。

$AccountName = 'myconnectoraccount'
# DO NOT modify anything below this comment.
# Getting Active Directory information.
Import-Module -Name 'ActiveDirectory'
$RootDSE = Get-ADRootDSE
# Getting AD Connector service account Information
$AccountProperties = Get-ADUser -Identity $AccountName
$AccountSid = New-Object -TypeName 'System.Security.Principal.SecurityIdentifier' $AccountProperties.SID.Value
[System.GUID]$ServicePrincipalNameGuid = (Get-ADObject -SearchBase $RootDse.SchemaNamingContext -Filter { lDAPDisplayName -eq 'servicePrincipalName' } -Properties 'schemaIDGUID').schemaIDGUID
$AccountAclPath = $AccountProperties.DistinguishedName
# Getting ACL settings for AD Connector service account.
$AccountAcl = Get-ACL -Path "AD:\$AccountAclPath"
# Setting ACL allowing the AD Connector service account the ability to add and remove a Service Principal Name (SPN) to itself
$AccountAccessRule = New-Object -TypeName 'System.DirectoryServices.ActiveDirectoryAccessRule' $AccountSid, 'WriteProperty', 'Allow', $ServicePrincipalNameGuid, 'None'
$AccountAcl.AddAccessRule($AccountAccessRule)
Set-ACL -AclObject $AccountAcl -Path "AD:\$AccountAclPath"
# Add ACLs allowing AD Connector service account the ability to create certification authorities
[System.GUID]$CertificationAuthorityGuid = (Get-ADObject -SearchBase $RootDse.SchemaNamingContext -Filter { lDAPDisplayName -eq 'certificationAuthority' } -Properties 'schemaIDGUID').schemaIDGUID
$CAAccessRule = New-Object -TypeName 'System.DirectoryServices.ActiveDirectoryAccessRule' $AccountSid, 'ReadProperty,WriteProperty,CreateChild,DeleteChild', 'Allow', $CertificationAuthorityGuid, 'None'
$PKSDN = "CN=Public Key Services,CN=Services,CN=Configuration,$($RootDSE.rootDomainNamingContext)"
$PKSACL = Get-ACL -Path "AD:\$PKSDN"
$PKSACL.AddAccessRule($CAAccessRule)
Set-ACL -AclObject $PKSACL -Path "AD:\$PKSDN"
$AIADN = "CN=AIA,CN=Public Key Services,CN=Services,CN=Configuration,$($RootDSE.rootDomainNamingContext)"
$AIAACL = Get-ACL -Path "AD:\$AIADN"
$AIAACL.AddAccessRule($CAAccessRule)
Set-ACL -AclObject $AIAACL -Path "AD:\$AIADN"
$CertificationAuthoritiesDN = "CN=Certification Authorities,CN=Public Key Services,CN=Services,CN=Configuration,$($RootDSE.rootDomainNamingContext)"
$CertificationAuthoritiesACL = Get-ACL -Path "AD:\$CertificationAuthoritiesDN"
$CertificationAuthoritiesACL.AddAccessRule($CAAccessRule)
Set-ACL -AclObject $CertificationAuthoritiesACL -Path "AD:\$CertificationAuthoritiesDN"
$NTAuthCertificatesDN = "CN=NTAuthCertificates,CN=Public Key Services,CN=Services,CN=Configuration,$($RootDSE.rootDomainNamingContext)"
If (-Not (Test-Path -Path "AD:\$NTAuthCertificatesDN")) {
    New-ADObject -Name 'NTAuthCertificates' -Type 'certificationAuthority' -OtherAttributes @{certificateRevocationList=[byte[]]'00';authorityRevocationList=[byte[]]'00';cACertificate=[byte[]]'00'} -Path "CN=Public Key Services,CN=Services,CN=Configuration,$($RootDSE.rootDomainNamingContext)"
}
$NTAuthCertificatesACL = Get-ACL -Path "AD:\$NTAuthCertificatesDN"
$NullGuid = [System.GUID]'00000000-0000-0000-0000-000000000000'
$NTAuthAccessRule = New-Object -TypeName 'System.DirectoryServices.ActiveDirectoryAccessRule' $AccountSid, 'ReadProperty,WriteProperty', 'Allow', $NullGuid, 'None'
$NTAuthCertificatesACL.AddAccessRule($NTAuthAccessRule)
Set-ACL -AclObject $NTAuthCertificatesACL -Path "AD:\$NTAuthCertificatesDN"

为 AD 设置 Amazon Private CA 连接器

  1. 登录 Amazon Web Services Management Console 并打开 Amazon Directory Service 控制台，网址为https://console.amazonaws.cn/directoryservicev2/。

  2. 在目录页面上，选择您的目录 ID。

  3. 在 “网络和安全” 选项卡下的 “AD Amazon Private CA 连接器” 下，选择 “为 AD 设置 Amazon Private CA 连接器”。“为其创建私有 CA 证书” 页面 Active Directory出现。按照控制台上的步骤为创建您的私有 CA Active Directory 用于向您的私有 CA 注册的连接器。有关更多信息，请参阅 Creating a connector。

  4. 创建连接器后，以下步骤将引导您了解如何查看 AD Amazon Private CA 连接器的详细信息，包括连接器的状态和关联的私有 CA 的状态。

AD 的查看 Amazon Private CA 连接器

  1. 登录 Amazon Web Services Management Console 并打开 Amazon Directory Service 控制台，网址为https://console.amazonaws.cn/directoryservicev2/。

  2. 在目录页面上，选择您的目录 ID。

  3. 在网络与安全性下的 Amazon Private CA Connector for AD 下，您可以查看您的私有 CA 连接器和关联的私有 CA。默认情况下，您会看到以下字段：

    1. Amazon Private CA 连接器 ID- Amazon Private CA 连接器的唯一标识符。点击它会进入该 Amazon Private CA 连接器的详细信息页面。

    2. Amazon Private CA 主题-有关 CA 的可分辨名称的信息。点击该字段会进入该 Amazon Private CA的详细信息页面。

    3. 状态 —基于对 Amazon Private CA 连接器的状态检查和 Amazon Private CA. 如果两项检查均通过，则会显示活动。如果其中一项检查失败，则会显示 1/2 检查失败。如果两项检查均失败，则会显示失败。有关失败状态的更多信息，请将鼠标悬停在超链接上以了解哪项检查失败。按照控制台中的说明进行修复。

    4. 创建日期- Amazon Private CA 连接器的创建日期。

有关更多信息，请参阅 View connector details。

确认 Amazon Private CA 已签发证书

您可以完成以下步骤来确认 Amazon Private CA 正在向您的自管理系统颁发证书 Active Directory.

  • 重启您的本地域控制器。

  • 使用查看您的证书 Microsoft Management Console。 有关更多信息，请参阅 Microsoft 文档。