LDAPS使用 Amazon 托管 Microsoft AD 启用服务器端 - Amazon Directory Service
启用服务器端 LDAPS
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

LDAPS使用 Amazon 托管 Microsoft AD 启用服务器端

服务器端轻量级目录访问协议安全套接字层 (SSL) /传输层安全 (TLS) (LDAPS) 支持加密您的商业或本土应用程序与托管 Amazon Microsoft LDAP AD 目录之间的LDAP通信。这有助于使用安全套接字层 (SSL) 加密协议提高网络安全性并满足合规性要求。

启用服务器端 LDAPS

有关如何设置和配置服务器端LDAPS和证书颁发机构 (CA) 服务器的详细说明，请参阅 Amazon 安全博客上的如何LDAPS为托管 Amazon Microsoft AD 目录启用服务器端。

您必须使用用于管理 Amazon 托管 Microsoft AD 域控制器的亚马逊EC2实例完成大部分设置。以下步骤将指导您完成在 Amazon 云端LDAPS为域名启用操作。

如果你想使用自动化来设置你的PKI基础架构，你可以使用 Microsoft 公钥基础架构 Amazon QuickStart 指南。具体而言，你需要按照指南中的说明将部署 Microsoft 的模板加载PKI到现有版本VPC中 Amazon。加载模板后，请务必在到达 Active Directory 域服务选项时选择 AWSManaged。如果您使用了该 QuickStart 指南，则可以直接跳至步骤 3：创建证书模板。

步骤 1：委派谁可以启用 LDAPS

要启用服务器端LDAPS，您必须是托管 Amazon Microsoft AD 目录中管理员或企业证书 Amazon 授权机构管理员组的成员。或者，您可以是默认管理用户（管理员账户）。如果您愿意，除了管理员帐户设置之外，还可以使用其他用户LDAPS。在这种情况下，请将该用户添加到 Amazon 托管 Microsoft AD 目录中的管理员或企业证书 Amazon 授权机构管理员组中。

步骤 2：设置证书颁发机构

必须先创建证书LDAPS，然后才能启用服务器端。此证书必须由加入您的 Amazon 托管微软 AD 域的微软企业 CA 服务器颁发。在创建后，该证书必须安装到该域中您的每个域控制器上。此证书允许域控制器上的LDAP服务侦听并自动接受来自LDAP客户端的SSL连接。

注意

LDAPS带有 Amazon 托管 Microsoft AD 的服务器端不支持由独立 CA 颁发的证书。此外，它也不支持由第三方证书颁发机构颁发的证书。

根据您的业务需求，您有以下选择来设置或连接到您域中的 CA：

有关如何将您的EC2实例加入域的更多信息，请参阅将亚马逊EC2实例加入您的微软 Amazon 托管广告的方法。

步骤 3：创建证书模板

设置企业 CA 后，即可配置 Kerberos 身份验证证书模板。

创建证书模板

  1. 启动 Microsoft Windows Server Manager。依次选择工具 > 证书颁发机构。

  2. 在证书颁发机构窗口中，展开左侧窗格中的证书颁发机构树。右键单击证书模版，然后选择管理。

  3. 在证书模版控制台窗口中，右键单击域控制器，然后选择重复模版。

  4. 系统将会弹出新模板的属性窗口。

  5. 在新模板的属性窗口中，转到兼容性选项卡，然后执行以下操作：

    1. 将证书颁发机构更改为与 CA 匹配的操作系统。

    2. 如果系统弹出生成的更改窗口，选择确定。

    3. 将认证接收者更改为 Windows 10/Windows Server 2016。

      注意

      Amazon 托管微软 AD 由 Windows Server 2019 提供支持。

    4. 如果系统弹出生成的更改窗口，选择确定。

  6. 单击 “常规” 选项卡，将模板显示名称更改为LDAPOverSSL或您想要的任何其他名称。

  7. 单击安全选项卡，然后选择组或用户名称部分中的域控制器 。在域控制器的权限部分，确认已选中读取、注册和自动注册的允许复选框。

  8. 选择 OK 创建 LDAPOverSSL（或您在上面指定的名称）证书模板。关闭证书模板控制台窗口。

  9. 在证书颁发机构窗口中，右键单击证书模版，然后依次选择新建 > 要颁发的证书模版。

  10. 在 “启用证书模板” 窗口中，选择 LDAPOverSSL（或您在上面指定的名称），然后选择确定。

步骤 4：添加安全组规则

在最后一步中，您必须打开 Amazon EC2 控制台并添加安全组规则。这些规则将允许您的域控制器连接到企业 CA 以请求证书。为此，请添加入站规则，以便您的企业 CA 可以接受来自您的域控制器的传入流量。然后，添加出站规则以允许从您的域控制器到企业 CA 的流量。

配置完这两个规则后，您的域控制器会自动向您的企业 CA 申请证书，然后LDAPS为您的目录启用证书。您的域控制器上的LDAP服务现在可以接受LDAPS连接了。

配置安全组规则

  1. 在 https://console.aws.amazon.com/ec2 上导航到您的 Amazon EC2 控制台，然后使用管理员凭证登录。

  2. 在左侧窗格中，选择 Network & Security 下方的 Security Groups。

  3. 在主窗格中，为您的 CA 选择 Amazon 安全组。

  4. 选择 Inbound 选项卡，然后选择 Edit。

  5. 在 Edit inbound rules 对话框中，执行以下操作：

    • 选择添加规则。

    • 为 Type 选择 All traffic，并为 Source 选择 Custom。

    • 在来源旁边的框中输入目录 Amazon 的安全组（例如 sg-123456789）。

    • 选择保存。

  6. 现在选择你的 Microsoft AD Amazon 托管目录 Amazon 的安全组。选择 Outbound 选项卡，然后选择 Edit。

  7. 在 Edit outbound rules 对话框中，执行以下操作：

    • 选择添加规则。

    • 为 Type 选择 All traffic，并为 Destination 选择 Custom。

    • 在目标旁边的框中键入您的 CA Amazon 的安全组。

    • 选择保存。

您可以使用该LDP工具测试与 Amazon 托管 Microsoft AD 目录的LDAPS连接。该LDP工具自带活动目录管理工具。有关更多信息，请参阅 为托管的 Microsoft AD 安装活动目录 Amazon 管理工具。

注意

在测试LDAPS连接之前，必须等待 30 分钟，让从属 CA 向您的域控制器颁发证书。

有关服务器端的更多详细信息LDAPS以及如何设置服务器端的示例用例，请参阅 Amazon 安全博客上的如何LDAPS为托管 Amazon Microsoft AD 目录启用服务器端。