Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Den Prozess der Erstellung hybrider Verzeichnisse verstehen
Wenn Sie ein Hybridverzeichnis erstellen, Directory Service stellt es zwei Domänencontroller in Ihrer VPC bereit und verbindet sie mit Ihrer selbstverwalteten Active Directory-Domäne. Der Dienst schließt mehrere Phasen ab, um die Verbindung zwischen Ihrem selbstverwalteten AD und herzustellen. AWS Während dieses Vorgangs wird der Verzeichnisstatus als Wird erstellt angezeigt. In den folgenden Abschnitten werden die einzelnen Phasen des Workflows beschrieben.
Workflow-Übersicht
| Phase | Name | Zusammenfassung |
|---|---|---|
| 1 | Bereitstellung der Infrastruktur | Startet EC2-Domänencontroller-Instances, richtet Netzwerke ein und fügt Speichervolumes an. |
| 2 | Pre-join Bewertung der Konnektivität | Überprüft die Netzwerkkonnektivität, die DNS-Auflösung und die Anmeldeinformationen für das Dienstkonto vor dem Beitritt zur Domäne. |
| 3 | Erster Beitritt zum Domänencontroller | Tritt der Domäne als Mitgliedscomputer bei und wird zu einem vollständigen Domänencontroller heraufgestuft, wodurch die AD-Datenbankreplikation ausgelöst wird. |
| 4 | Erstellung eines AD-Standorts und eines Subnetzes | Erstellt ein AD-Site-Objekt und ordnet VPC-Subnetze zu, um ein korrektes DC-Locator-Verhalten zu ermöglichen. |
| 5 | Erste Domänencontroller-Konfiguration | Wendet die OU-Struktur, Delegierungsgruppen, GPOs, DNS-Zonen und Dienstkonten für die laufende Verwaltung an. |
| 6 | Erstellung eines Dienstadministrators | Erstellt ein AWS verwaltetes Dienstadministratorkonto, das zur Konfiguration des zweiten Domänencontrollers verwendet wird. |
| 7 | Konfiguration des zweiten Domänencontrollers | Konfiguriert einen zweiten DC für hohe Verfügbarkeit, wobei der erste DC als DNS-Resolver und Replikationspartner verwendet wird. |
| 8 | Finalisierung | Fügt Backup-Speicher an, aktiviert die Zustandsüberwachung und setzt den Verzeichnisstatus auf Aktiv. |
Bereitstellung der Infrastruktur
Directory Service beginnt mit der Bereitstellung der Infrastruktur, die für das Hosten Ihrer Domänencontroller erforderlich ist. Diese Phase umfasst Folgendes:
- Erstellung eines DNS-Alias
-
Für Ihren Verzeichnisendpunkt wird ein DNS-Aliaseintrag bereitgestellt, sodass Anwendungen und Dienste Ihr Verzeichnis finden können.
- Start der Domänencontroller-Instanz
-
Zwei Amazon EC2 EC2-Instances werden gestartet, die sich aus Gründen der Hochverfügbarkeit jeweils in einer separaten Availability Zone befinden.
- Sicherheitsgruppenkonfiguration
-
Sicherheitsgruppenregeln für eingehenden und ausgehenden Datenverkehr werden angewendet, um Active Directory-Verkehr (wie LDAP, Kerberos, DNS und Replikation) zwischen den Domain-Controllern und Ihrem selbstverwalteten Netzwerk zuzulassen.
- Anhängen eines Speichervolumens
-
Persistente Speichervolumes sind an beide Domänencontroller-Instanzen für die AD-Datenbank (NTDS.dit) und SYSVOL angehängt.
- Konfiguration der Netzwerkschnittstelle
-
Jeder Domänencontroller ist mit Ihren VPC-Subnetzen verbunden, sodass er über Ihren etablierten Netzwerkpfad (VPN oder) mit Ihrer selbstverwalteten Domain kommunizieren kann.
Pre-join Bewertung der Konnektivität
Directory Service Führt vor dem Beitritt zu Ihrer Domäne eine Konnektivitätsbewertung durch, bei der Folgendes bestätigt wird:
-
Netzwerkkonnektivität zu Ihren selbstverwalteten Domänencontrollern
-
DNS-Auflösung Ihres Domainnamens von der AWS VPC
-
Erforderliche Netzwerkpfade und Ports zwischen den AWS Domänencontrollern und Ihrer selbstverwalteten Umgebung
Schlägt die Bewertung fehl, wird die Verzeichniserstellung beendet und der Verzeichnisstatus ändert sich in Fehlgeschlagen. Sie können den Grund für den Fehler in den Verzeichnisdetails überprüfen, um das Problem zu identifizieren und zu beheben, bevor Sie es erneut versuchen.
Anmerkung
Eine erfolgreiche Konnektivitätsbewertung ist erforderlich, bevor der Dienst mit dem Domänenbeitritt fortfährt. Weitere Informationen zu Bewertungen finden Sie unterVerzeichnisbewertungen für hybride Verzeichnisse.
Erster Beitritt zum Domänencontroller
Der erste Domänencontroller tritt Ihrer selbstverwalteten Domäne mit den Anmeldeinformationen für das Dienstkonto bei, die Sie bei der Verzeichniserstellung angegeben haben. Der Beitrittsvorgang folgt der folgenden Reihenfolge:
-
Der Domänencontroller tritt Ihrer Active Directory-Domäne als Mitgliedscomputer bei.
-
Der in die Domäne eingebundene Computer wird zu einem vollständigen Domänencontroller heraufgestuft, wodurch die Active Directory-Datenbankreplikation von Ihren vorhandenen selbstverwalteten Domänencontrollern ausgelöst wird.
-
Nach Abschluss der Heraufstufung und Replikation verfügt der erste Domänencontroller über eine vollständige Kopie Ihrer Active Directory-Datenbank und kann Anfragen unabhängig authentifizieren.
Erstellung von AD-Standorten und Subnetzen
Directory Service erstellt ein neues Active Directory-Standortobjekt in Ihrer vorhandenen Konfiguration für AD-Standorte und -Dienste und ordnet Ihre VPC-Subnetze diesem Standort zu. Dadurch wird sichergestellt, dass das Verhalten des Domänencontroller-Locators (DC Locator) korrekt funktioniert und Authentifizierungsanforderungen von AWS Ressourcen an die gehosteten Domänencontroller weitergeleitet werden. AWS
Konfiguration des ersten Domänencontrollers
Sobald der AD-Standort und die Subnetze eingerichtet sind, Directory Service konfiguriert der erste Domänencontroller mit der Verwaltungsstruktur und den Richtlinien, die für den laufenden Betrieb erforderlich sind. Diese umfasst die folgenden Funktionen:
-
Struktur der Organisationseinheit (OU) für die delegierte Verwaltung
-
Delegierungsgruppen für den rollenbasierten Zugriff
-
Gruppenrichtlinienobjekte (GPOs) für Sicherheits- und Konfigurationsrichtlinien
-
DNS-Zonen für die Namensauflösung
-
Für die Verzeichnisverwaltung sind Dienstkonten erforderlich
Erstellung eines Dienstadministrators
Nachdem der erste Domänencontroller vollständig konfiguriert ist, wird auf diesem Domänencontroller ein Dienstadministratorkonto Directory Service erstellt. Dieses Konto wird intern vom Dienst verwendet, um dem zweiten Domänencontroller beizutreten und ihn zu konfigurieren, ohne dass Sie die Anmeldeinformationen Ihres Dienstkontos erneut verwenden müssen.
Konfiguration des zweiten Domänencontrollers
Der zweite Domänencontroller durchläuft dieselbe Konfigurationssequenz wie der erste Domänencontroller (Konfiguration für den Domänenbeitritt, Heraufstufung und Konfiguration nach der Heraufstufung). Der zweite Domänencontroller unterscheidet sich jedoch in folgenden Punkten:
- Dienstkonto
-
Es verwendet das AWS verwaltete Dienstadministratorkonto, das in der vorherigen Phase erstellt wurde, um der Domäne beizutreten, und nicht die von Ihnen angegebenen Anmeldeinformationen für das Dienstkonto.
- Replikationspartner
-
Er verweist auf den ersten Domänencontroller als DNS-Resolver und Replikationspartner und nicht auf Ihre selbst verwalteten Domänencontroller.
Dieser Ansatz reduziert die Abhängigkeit von Ihrem selbstverwalteten Netzwerk bei der Einrichtung und stellt sicher, dass der zweite Domänencontroller vom bereits fehlerfreien ersten Domänencontroller repliziert.
Finalisierung
Wenn beide Domänencontroller vollständig konfiguriert und fehlerfrei sind, Directory Service wird der folgende Vorgang abgeschlossen:
- Backup-Speicheranhang
-
Für automatische Verzeichnis-Snapshots ist ein Backup-Volume angehängt.
- Aktivierung der Gesundheitsüberwachung
-
Die Integritätsüberwachung ist auf beiden Domänencontrollern aktiviert, um eine kontinuierliche Verfügbarkeitsüberwachung und automatische Wiederherstellung zu gewährleisten.
- Aktivierung des Verzeichnisses
-
Der Verzeichnisstatus ändert sich von Creating zu Active.
Wenn der Verzeichnisstatus Aktiv lautet, ist das Verzeichnis für die Verwendung mit AWS Anwendungen wie WorkSpaces Amazon RDS und Amazon FSx for Windows File Server verfügbar.
Behebung von Fehlern bei der Erstellung
Wenn sich Ihr Verzeichnisstatus während der Erstellung auf Fehlgeschlagen ändert, überprüfen Sie den Grund für den Status in den Verzeichnisdetails. Die folgenden Ursachen sind häufig:
- Netzwerkkonnektivität
-
Stellen Sie sicher, dass Ihr VPN oder Ihre Verbindung Datenverkehr auf den erforderlichen Active Directory-Ports zwischen Ihren VPC-Subnetzen und selbstverwalteten Domänencontrollern zulässt.
- Berechtigungen für Dienstkonten
-
Vergewissern Sie sich, dass das Dienstkonto über die erforderlichen Berechtigungen verfügt, um Computer der Domäne hinzuzufügen und Objekte in der angegebenen Organisationseinheit zu erstellen.
- DNS-Auflösung
-
Stellen Sie sicher, dass die DNS-Auflösung Ihres selbstverwalteten Domainnamens in Ihrer VPC korrekt funktioniert.
Weitere Informationen finden Sie unter Voraussetzungen für Hybrid-Verzeichnisse.
