步骤 1：为建立信任设置环境

通过以下网址打开 Amazon EC2 控制台：https://console.aws.amazon.com/ec2/。

在 Amazon EC2 控制台中，选择启动实例。

在 Step 1 (步骤 1) 页面上，在列表中找到 Microsoft Windows Server 2019 Base - ami-xxxxxxxxxxxxxxxxx。然后选择 Select。

在 Step 2 页面上，选择 t2.large，然后选择 Next: Configure Instance Details。

在 Step 3 页面中，执行以下操作：

在 Step 4 页面上，保留默认设置，然后选择 Next: Add Tags。

在 Step 5 页面上，选择 Add Tag。在 Key (键) 下，键入 example.local-DC01，然后选择 Next: Configure Security Group (下一步: 配置安全组)。

在步骤 6 页面上，依次选择选择现有安全组、Amazon On-Prem DS RDP 安全组（您以前在基本教程中已设置）和查看并启动以查看实例。

在 Step 7 页面上，查看页面，然后选择 Launch。

在 Select an existing key pair or create a new key pair 对话框上，执行下列操作之一：

选择查看实例以返回 Amazon EC2 控制台并查看部署的状态。

在 Amazon EC2 控制台中，选择实例，选择您刚刚创建的实例，然后选择连接。

在 Connect To Your Instance 对话框中，选择 Download Remote Desktop File。

在 Windows Security (Windows 安全) 对话框中，键入 Windows Server 计算机的本地管理员凭证以登录（例如，administrator）。如果您还没有本地管理员密码，请返回到 Amazon EC2 控制台，右键单击该实例，然后选择获取 Windows 密码。导航到您的 Amazon DS KP.pem 文件或您的个人 .pem 密钥，然后选择 Decrypt Password。

从 Start 菜单中选择 Server Manager。

在 Dashboard 中，选择 Add Roles and Features。

在 Add Roles and Features Wizard 中，选择 Next。

在 Select installation type 页面上选择 Role-based or feature-based installation，然后选择 Next。

在 Select destination server 页面上，请确保选中了本地服务器，然后选择 Next。

在 Select server roles 页面上，选择 Active Directory Domain Services。在 Add Roles and Features Wizard 对话框中，确认 Include management tools (如果适用) 复选框已选中。选择 Add Features，然后选择 Next。

在选择功能页面上，选择下一步。

在 Active Directory Domain Services 页面上，选择 Next。

在 Confirm installation selections 页面上，选择 Install。

在安装 Active Directory 二进制文件后，选择 Close。

打开 Server Manager 后，查找顶部单词 Manage 旁边的标记。当此标记变成黄色后，即可提升服务器。

选择黄色标记，然后选择 Promote this server to a domain controller。

在 Deployment Configuration 页面上，选择 Add a new forest。在 Root domain name (根域名) 中，键入 example.local，然后选择 Next (下一步)。

在 Domain Controller Options 页面上，执行以下操作：

在 DNS Options 页面上，忽略有关委托的警告，然后选择 Next。

在其他选项页面上，确保将 EX AM PLE 列为 NetBios 域名。

在 Paths 页面上，保留默认设置，然后选择 Next。

在 Review Options 页面上，选择 Next。现在，服务器会检查以确保域控制器的所有先决条件都得到满足。您可能会看到显示一些警告，不过您可以安全地忽略它们。

选择安装。安装完成后，服务器会重启，然后变为正常运行的域控制器。

在Amazon Directory Service 控制台中，记下你之前在基础教程中创建的 corp.example.com 的 Amazon 托管微软 AD 目录 ID。

通过以下网址打开 Amazon VPC 控制台：https://console.aws.amazon.com/vpc/。

在导航窗格中，选择 Security Groups（安全组）。

搜索你的 Amazon 托管微软 AD 目录 ID。在搜索结果中，选择带 Amazon 已为 d-xxxxxx 目录控制器创建安全组说明的项。

选择该安全组下方的 Outbound Rules 选项卡。依次选择 Edit 和 Add another rule，然后添加以下值：

在 example.local 域控制器上，打开 Server Manager。

在 Tools 菜单上，选择 Active Directory Users and Computers。

导航到 Users (用户) 目录，右键单击任意用户并选择 属性，然后选择 Account (账户) 选项卡。在 Account options 列表中，向下滚动并确保未 选中 Do not require Kerberos preauthentication。

从 corp.example.com-mgmt 实例对 corp.example.com 域执行相同的步骤。

打开Amazon Directory Service 控制台。

在导航窗格中，选择目录。

选择你的 Microsoft Amazon 托管广告的目录 ID。

记下目录的完全限定域名 (FQDN) corp.example.com 和 DNS 地址。

现在，返回到您的 example.local 域控制器，然后打开 Server Manager。

在 Tools 菜单上，选择 DNS。

在控制台树中，展开为其设置信任的域的 DNS 服务器，然后导航到 Conditional Forwarders。

右键单击 Conditional Forwarders，然后选择 New Conditional Forwarder。

在 DNS 域中，键入 corp.example.com。

在主服务器的 IP 地址下，选择 <单击此处添加... >，键入你的 Microsoft AD Amazon 托管目录的第一个 DNS 地址（你在前面的过程中记下了这个地址），然后按 Enter。对第二个 DNS 地址执行相同的操作。在键入 DNS 地址之后，可能遇到“超时”或“无法解析”错误。通常可以忽略这些错误。

选中 Store this conditional forwarder in Active Directory, and replicate as follows 复选框。在下拉菜单中，选择 All DNS servers in this Forest，然后选择 OK。