AWS Directory Service
管理指南 (版本 1.0)
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

管理员账户

如果您创建 AWS Directory Service for Microsoft Active Directory 目录,AWS 会创建组织部门 (OU) 来存储与 AWS 相关的所有组和账户。有关此 OU 的更多信息,请参阅 创建的内容。其中包括管理员账户。管理员账户有权对您的 OU 执行以下常见的管理活动:

管理员账户还具有在域范围内进行以下活动的权限:

  • 管理 DNS 配置 (添加、删除或更新记录、区域和转发服务器)

  • 查看 DNS 事件日志

  • 查看安全事件日志

仅允许管理员账户执行此处列出的操作。对于特定 OU 外部 (如在父 OU 上) 的任何目录相关操作,管理员账户也没有权限。

重要

AWS 域管理员对 AWS 上托管的所有域拥有完全管理访问权限。有关 AWS 如何处理 AWS 系统上存储的内容(包括目录信息)的更多信息,请参阅与 AWS 达成的协议以及 AWS 数据保护常见问题

企业和域管理员特权账户

要执行操作管理您的目录,AWS 已独占控制管理员和域管理员权限的账户的企业。这包括独占控制 AD 管理员账户。AWS 通过使用密码库自动化密码管理,从而保护此账户。在自动轮换管理员密码时,AWS 会创建一个用户账户并授予其临时域管理员权限。此临时账户已用作备份在发生密码轮换故障的管理员账户。AWS 成功轮换管理员密码后,AWS 会删除临时管理员账户。

通过 AWS 目录通常完全自动化。如果自动化流程无法解决运营问题,AWS 可能需要有一个支持工程师登录到您的域控制器执行诊断。在这些极少数情况下,AWS 实施请求/通知系统来授予访问权限。在此过程中,AWS 自动化在您的目录中创建一个有限时间内具有域管理员权限的用户账户。AWS 将用户账户与指派的在您目录上工作的工程师相关联。AWS 在我们的日志系统中记录此管理,并为工程师提供相关凭据供其使用。工程师所采取的所有操作都记录在 Windows 事件日志中。当分配的时间到期后,自动化将删除用户账户。

您可以使用目录的日志转发功能监控管理账户的操作。利用此功能,您可以将 AD 安全事件转发到您的 CloudWatch 系统,您可以在其中实施监控解决方案。有关更多信息,请参阅 启用日志转发