步骤 1：为建立信任设置环境

通过以下网址打开 Amazon EC2 控制台：https://console.aws.amazon.com/ec2/。

在 Amazon EC2 控制台中，选择启动实例。

在 Step 1 (步骤 1) 页面上，在列表中找到 Microsoft Windows Server 2019 Base - ami-xxxxxxxxxxxxxxxxx。然后选择 Select。

在 Step 2 页面上，选择 t2.large，然后选择 Next: Configure Instance Details。

在 Step 3 页面中，执行以下操作：

在 Step 4 页面上，保留默认设置，然后选择 Next: Add Tags。

在 Step 5 页面上，选择 Add Tag。在 Key (键) 下，键入 example.local-DC01，然后选择 Next: Configure Security Group (下一步: 配置安全组)。

在步骤 6 页面上，依次选择选择现有安全组、Amazon On-Prem DS RDP 安全组（您以前在基本教程中已设置）和查看并启动以查看实例。

在 Step 7 页面上，查看页面，然后选择 Launch。

在 Select an existing key pair or create a new key pair 对话框上，执行下列操作之一：

选择查看实例以返回 Amazon EC2 控制台并查看部署的状态。

在 Amazon EC2 控制台中，选择实例，选择您刚刚创建的实例，然后选择连接。

在 Connect To Your Instance 对话框中，选择 Download Remote Desktop File。

在 Windows Security (Windows 安全) 对话框中，键入 Windows Server 计算机的本地管理员凭证以登录（例如，administrator）。如果您还没有本地管理员密码，请返回到 Amazon EC2 控制台，右键单击该实例，然后选择获取 Windows 密码。导航到您的 Amazon DS KP.pem 文件或您的个人 .pem 密钥，然后选择 Decrypt Password。

从 Start 菜单中选择 Server Manager。

在 Dashboard 中，选择 Add Roles and Features。

在 Add Roles and Features Wizard 中，选择 Next。

在 Select installation type 页面上选择 Role-based or feature-based installation，然后选择 Next。

在 Select destination server 页面上，请确保选中了本地服务器，然后选择 Next。

在 Select server roles 页面上，选择 Active Directory Domain Services。在 Add Roles and Features Wizard 对话框中，确认 Include management tools (如果适用) 复选框已选中。选择 Add Features，然后选择 Next。

在选择功能页面上，选择下一步。

在 Active Directory Domain Services 页面上，选择 Next。

在 Confirm installation selections 页面上，选择 Install。

在安装 Active Directory 二进制文件后，选择 Close。

打开 Server Manager 后，查找顶部单词 Manage 旁边的标记。当此标记变成黄色后，即可提升服务器。

选择黄色标记，然后选择 Promote this server to a domain controller。

在 Deployment Configuration 页面上，选择 Add a new forest。在 Root domain name (根域名) 中，键入 example.local，然后选择 Next (下一步)。

在 Domain Controller Options 页面上，执行以下操作：

在 DNS Options 页面上，忽略有关委托的警告，然后选择 Next。

在其他选项页面上，确保将 EX AM PLE 列为 NetBios 域名。

在 Paths 页面上，保留默认设置，然后选择 Next。

在 Review Options 页面上，选择 Next。现在，服务器会检查以确保域控制器的所有先决条件都得到满足。您可能会看到显示一些警告，不过您可以安全地忽略它们。

选择安装。安装完成后，服务器会重启，然后变为正常运行的域控制器。

在 Amazon Directory Service 控制台中，记下您之前在基本教程中创建的 corp.example.com 的 Amazon Managed Microsoft AD 目录 ID。

通过以下网址打开 Amazon VPC 控制台：https://console.aws.amazon.com/vpc/。

在导航窗格中，选择 Security Groups（安全组）。

搜索 Amazon Managed Microsoft AD 目录 ID。在搜索结果中，选择带 Amazon 已为 d-xxxxxx 目录控制器创建安全组说明的项。

选择该安全组下方的 Outbound Rules 选项卡。依次选择 Edit 和 Add another rule，然后添加以下值：

在 example.local 域控制器上，打开 Server Manager。

在 Tools 菜单上，选择 Active Directory Users and Computers。

导航到 Users (用户) 目录，右键单击任意用户并选择 属性，然后选择 Account (账户) 选项卡。在 Account options 列表中，向下滚动并确保未 选中 Do not require Kerberos preauthentication。

从 corp.example.com-mgmt 实例对 corp.example.com 域执行相同的步骤。

打开Amazon Directory Service控制台。

在导航窗格中，选择目录。

选择 Amazon Managed Microsoft AD 的目录 ID。

记下目录的完全限定域名 (FQDN) corp.example.com 和 DNS 地址。

现在，返回到您的 example.local 域控制器，然后打开 Server Manager。

在 Tools 菜单上，选择 DNS。

在控制台树中，展开为其设置信任的域的 DNS 服务器，然后导航到 Conditional Forwarders。

右键单击 Conditional Forwarders，然后选择 New Conditional Forwarder。

在 DNS 域中，键入 corp.example.com。

在主服务器的 IP 地址下，选择 <单击此处可添加…>，键入 Amazon 目录（您已在上一个过程中记录）的第一个 DNS 地址，然后按 Enter。对第二个 DNS 地址执行相同的操作。在键入 DNS 地址之后，可能遇到“超时”或“无法解析”错误。通常可以忽略这些错误。

选中 Store this conditional forwarder in Active Directory, and replicate as follows 复选框。在下拉菜单中，选择 All DNS servers in this Forest，然后选择 OK。