混合目录先决条件

创建 Amazon KMS 密钥

1. 在 Amazon KMS 控制台中，选择创建密钥。

2. 对于密钥类型，选择对称。

3. 对于密钥用法，选择加密和解密。

4. 对于 Advanced options (高级选项)：

   1. 对于密钥材料源，选择 KMS。

   2. 对于区域性，选择单区域密钥并选择下一步。

5. 对于别名，提供 KMS 密钥的名称。

6. (可选）对于描述，提供 KMS 密钥的描述。

7. （可选）对于标签，为 KMS 密钥添加标签，然后选择下一步。

8. 对于密钥管理员，请选择一个 IAM 用户。

9. 对于密钥删除，请保留 “允许密钥管理员删除此密钥” 的默认选择，然后选择 “下一步”。

10. 对于密钥用户，请选择上一步中的相同 IAM 用户，然后选择下一步。

11. 审核配置。

12. 对于密钥策略，在策略中添加以下语句：

    {
      "Version": "2012-10-17",
      "Statement": [
        {
          "Sid": "Enable IAM User Permissions",
          "Effect": "Allow",
          "Principal": {
            "AWS": "arn:aws:iam::caller-account:role/role_used_to_create_directory"
          },
          "Action": "kms:*",
          "Resource": "*"
        },
        { 
           "Sid": "Allow use of the KMS key on behalf of Directory Service", 
           "Effect": "Allow", 
           "Principal": {
             "Service": "ds.amazonaws.com"
           }, 
           "Action": "kms:Decrypt", 
           "Resource": "*"
        }
      ]
    }

13. 选择完成。

1. 添加用户名密钥

   1. 对于第一个密钥，请输入 customerAdAdminDomainUsername。

   2. 对于第一个密钥的值，请仅输入 AD 用户的用户名（不带域前缀）。请勿包含域名，因为这会导致实例创建失败。

2. 添加密码密钥

   1. 对于第二个密钥，请输入 customerAdAdminDomainPassword。

   2. 对于第二个密钥的值，请输入您在域中为 AD 用户创建的密码。

1. 对于加密密钥，选择您在中创建的 KMS 密钥，创建 KMS 密钥然后选择下一步。

2. 在密钥名称中，输入密钥的描述。

3. （可选）在描述中，输入密钥的描述。

4. 选择下一步。

5. 对于配置轮换设置，保留默认值并选择下一步。

6. 查看密钥的设置并选择存储。

7. 选择您创建的密钥，然后复制密钥 ARN 的值。在下一步中，您将使用此 ARN 来设置自行管理的 Active Directory。