本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。
第 1 步:设置Amazon用于的环境AmazonMicrosoft Managed Microsoft AD
在你可以创建之前Amazon在您的托管的 Microsoft ADAmazon测试实验室,您首先需要设置 Amazon EC2 key pair 以对所有登录数据进行加密。
创建密钥对
如果您已有已密钥对,可跳过本步骤。有关 Amazon EC2 密钥对的更多信息,请参阅http://docs.aws.amazon.com/AWSEC2/latest/UserGuide/ec2-key-pairs.html.
创建密钥对
登录到 Amazon Web Services Management Console,然后通过以下网址打开 Amazon EC2 控制台:https://console.aws.amazon.com/ec2/
。 -
在导航窗格中的 Network & Security 下,选择 Key Pairs,然后选择 Create Key Pair。
-
对于 Key pair name (密钥对名称),键入
Amazon-DS-KP
。对于 Key pair file format (密钥对文件格式),选择 pem,然后选择 Create (创建)。 -
您的浏览器会自动下载私有密钥文件。该文件名是您在创建密钥对时指定的名称,扩展名为
.pem
。将私有密钥文件保存在安全位置。重要 这是您保存私有密钥文件的唯一机会。当您启动实例时,需要提供密钥对的名称;当您解密实例密码时,需要提供相应的私有密钥。
创建、配置和对等两个 VPC
如下图所示,在完成这一多步骤过程后,您就创建并配置了两个公有 VPC、每个 VPC 两个公有子网、每个 VPC 一个 Internet 网关以及这两个 VPC 之间的一个 VPC 对等连接。为了简化和降低成本,我们选择使用公有 VPC 和子网。对于生产工作负载,我们建议您使用私有 VPC。有关提高 VPC 安全性的更多信息,请参阅 Amazon Virtual Private Cloud 中的安全性。

所有Amazon CLIPowerShell 示例使用下面的 VPC 信息,并在 us-west-2 中构建。您可以选择任何区域支持在中构建环境。有关一般信息,请参阅 Amazon VPC 是什么?。
第 1 步:创建两个 VPC
在此步骤中,您需要使用下表中的指定参数在同一账户中创建两个 VPC。Amazon托管微软 AD 支持将单独的帐户与共享您的目录功能。将用于第一个 VPCAmazon托管的 Microsoft AD。第二个 VPC 将用于以后可能在 教程:创建信任Amazon将微软 AD 托管到 Amazon EC2 上的自管 Active Directory 安装中使用的资源。
托管 AD VPC 信息 |
本地 VPC 信息 |
---|---|
名称标签:Amazon-DS-VPC01 IPv4 CIDR block:10.0.0.0/16 IPv6 CIDR 块:无 IPv6 CIDR 块 租赁:默认值 |
名称标签:Amazon-OnPre-MVPC01 IPv4 CIDR block:10.100.0.0/16 IPv6 CIDR 块:无 IPv6 CIDR 块 租赁:默认值 |
有关详细说明,请参阅创建 VPC。
步骤 2: 每个 VPC 创建两个子网
创建 VPC 后,您将需要使用下表中的指定参数为每个 VPC 创建两个子网。对于本测试实验室,每个子网将是 /24。这将允许每个子网最多发出 256 个地址。每个子网必须位于单独的可用区中。将每个子网单独放在可用区中是 Amazon托管的 Microsoft AD 先决条件之一。
Amazon-DS-VPC01 子网信息: |
Amazon-OnPrem VPC01 子网信息 |
---|---|
名称标签:Amazon-DS-VPC01-Subnet01 VPC:vpc-xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxAmazon-DS-VPC01 可用区:us-west-2a IPv4 CIDR block:10.0.0.0/24 |
名称标签:Amazon-OnPrem-VPC01-Subnet01 VPC:vpc-xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxAmazon-OnPre-MVPC01 可用区:us-west-2a IPv4 CIDR block:10.100.0.0/24 |
名称标签:Amazon-DS-VPC01-Subnet02 VPC:vpc-xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxAmazon-DS-VPC01 可用区:us-west-2b IPv4 CIDR block:10.0.1.0/24 |
名称标签:Amazon-OnPrem-VPC01-Subnet02 VPC:vpc-xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxAmazon-OnPre-MVPC01 可用区:us-west-2b IPv4 CIDR block:10.100.1.0/24 |
有关详细说明,请参阅在 VPC 中创建子网。
步骤 3: 创建 Internet Gateway 并将其连接到您的 VPC
由于我们使用的是公有 VPC,因此需要使用下表中的指定参数创建 Internet 网关并将其连接到 VPC。这将允许您连接和管理您的 EC2 实例。
Amazon-DS-VPC01 Internet Gateway 信息 |
Amazon-OnPre-MVPC01 Internet Gateway 信息 |
---|---|
名称标签:Amazon-DS-VPC01-IGW VPC:vpc-xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxAmazon-DS-VPC01 |
名称标签:Amazon-OnPrem-VPC01-IGW VPC:vpc-xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxAmazon-OnPre-MVPC01 |
有关详细说明,请参阅 Internet 网关。
步骤 4: 配置 VPC 对等连接Amazon-DS-VPC01 和Amazon-OnPre-MVPC01
由于您之前已经创建了两个 VPC,因此您需要使用下表中的指定参数通过 VPC 对等方式将它们联网在一起。尽管有很多方法可以连接您的 VPC,但本教程只使用 VPC 对等。Amazon托管 Microsoft AD 支持许多连接 VPC 的解决方案,其中一些包括VPC 对等、中转网关, 和VPN.
对等连接名称标签:Amazon-DS-VPC01Amazon-OnPrem-VPC01-Prem VPC(请求者):vpc-xxxxxxxxxxxxxxxxxxxxxxxAmazon-DS-VPC01 账户:我的账户 区域: 此区域 VPC(接受者):vpc-xxxxxxxxxxxxxxxxxxxxxxxAmazon-OnPre-MVPC01 |
有关如何在您账户中的两个 VPC 之间创建 VPC 对等连接的说明,请参阅在您账户中的两个 VPC 之间创建 VPC 对等连接。
第 5 步:向每个 VPC 的主路由表添加两条路由
为了使在前面步骤中创建的 Internet 网关和 VPC 对等连接能够正常起作用,您需要使用下表中的指定参数更新这两个 VPC 的主路由表。您将添加两条路由:0.0.0.0/0(它将路由到路由表未明确知道的所有目的地)和 10.0.0.0/16 或 10.100.0.0/16(它将通过上面建立的 VPC 对等连接路由到每个 VPC)。
您可以通过筛选 VPC 名称标签(Amazon-DS-VPC01 或Amazon-OnPre-MVPC01)。
Amazon-DS-VPC01 路由 1 信息 |
Amazon-DS-VPC01 路由 2 信息 |
Amazon-OnPre-MVPC01 路由 1 信息 |
Amazon-OnPre-MVPC01 路由 2 信息 |
---|---|---|---|
目标:0.0.0.0/0 目标:igw-xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxAmazon-DS-VPC01-IGW |
目标:10.100.0.0/16 目标:pcx-xxxxxxxxxxxxxxxxxxxAmazon-DS-VPC01Amazon-OnPrem-VPC01-Prem |
目标:0.0.0.0/0 目标:igw-xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxAmazon-OnPre-MVPC01 |
目标:10.0.0.0/16 目标:pcx-xxxxxxxxxxxxxxxxxxxAmazon-DS-VPC01Amazon-OnPrem-VPC01-Prem |
有关如何向 VPC 路由表添加路由的说明,请参阅从路由表添加和删除路由。
为 EC2 实例创建安全组
默认情况下,Amazon托管 Microsoft AD 创建安全组用于管理其域控制器之间的流量。在本节中,您需要创建 2 个安全组(每个 VPC 一个),它们用于使用下表中的指定参数管理 EC2 实例的 VPC 内流量。您还需要添加规则,允许从任意位置的 RDP (3389) 入站,以及来自本地 VPC 的所有流量类型入站。有关更多信息,请参阅 。适用于 Windows 实例的 Amazon EC2 安全组.
Amazon-DS-VPC01 安全组信息: |
---|
安全组名称:AmazonDS 测试实验室安全组 描述:AmazonDS 测试实验室安全组 VPC:vpc-xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxAmazon-DS-VPC01 |
用于的安全组入站规则Amazon-DS-VPC01
类型 | 协议 | 端口范围 | 源 | 流量的类型 |
---|---|---|---|---|
自定义 TCP 规则 | TCP | 3389 | 我的 IP | 远程桌面 |
所有流量 | All | 所有 | 10.0.0.0/16 | 所有本地 VPC 流量 |
Security Group Outbound Rules for Amazon-DS-VPC01
类型 | 协议 | 端口范围 | 目标 | 流量的类型 |
---|---|---|---|---|
所有流量 | All | All | 0.0.0.0/0 | 所有流量 |
Amazon-OnPre-MVPC01 安全组信息: |
---|
安全组名称:AmazonOnPrem 测试实验室安全组。 描述:AmazonOnPrem 测试实验室安全组。 VPC:vpc-xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxAmazon-OnPre-MVPC01 |
用于的安全组入站规则Amazon-OnPre-MVPC01
类型 | 协议 | 端口范围 | 源 | 流量的类型 |
---|---|---|---|---|
自定义 TCP 规则 | TCP | 3389 | 我的 IP | 远程桌面 |
自定义 TCP 规则 | TCP | 53 | 10.0.0.0/16 | DNS |
自定义 TCP 规则 | TCP | 88 | 10.0.0.0/16 | Kerberos |
自定义 TCP 规则 | TCP | 389 | 10.0.0.0/16 | LDAP |
自定义 TCP 规则 | TCP | 464 | 10.0.0.0/16 | Kerberos 更改/设置密码 |
自定义 TCP 规则 | TCP | 445 | 10.0.0.0/16 | SMB / CIFS |
自定义 TCP 规则 | TCP | 135 | 10.0.0.0/16 | 复制 |
自定义 TCP 规则 | TCP | 636 | 10.0.0.0/16 | LDAP SSL |
自定义 TCP 规则 | TCP | 49152 - 65535 | 10.0.0.0/16 | RPC |
自定义 TCP 规则 | TCP | 3268 - 3269 | 10.0.0.0/16 | LDAP GC 和 LDAP GC SSL |
自定义 UDP 规则 | UDP | 53 | 10.0.0.0/16 | DNS |
自定义 UDP 规则 | UDP | 88 | 10.0.0.0/16 | Kerberos |
自定义 UDP 规则 | UDP | 123 | 10.0.0.0/16 | Windows 时间 |
自定义 UDP 规则 | UDP | 389 | 10.0.0.0/16 | LDAP |
自定义 UDP 规则 | UDP | 464 | 10.0.0.0/16 | Kerberos 更改/设置密码 |
所有流量 | All | 所有 | 10.100.0.0/16 | 所有本地 VPC 流量 |
Security Group Outbound Rules for Amazon-OnPre-MVPC01
类型 | 协议 | 端口范围 | 目标 | 流量的类型 |
---|---|---|---|---|
所有流量 | All | All | 0.0.0.0/0 | 所有流量 |
有关如何创建规则并将规则添加到安全组的详细说明,请参阅使用安全组。