Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
# Creando una relación de confianza entre sus AWS Microsoft AD administrado y AD autogestionado
Puede configurar relaciones de confianza externas y forestales unidireccionales entre su servicio de AWS directorio para Microsoft Active Directory y los directorios autogestionados (locales), así como entre varios directorios AWS administrados de Microsoft AD en la nube. AWS AWS El Microsoft AD administrado admite las tres direcciones de relación de confianza: entrante, saliente y Two-way (). Bi-directional
Para obtener más información sobre la relación de confianza, consulte [ Todo lo que quería saber sobre las confianzas con Microsoft AD AWS](https://aws.amazon.com/blogs/security/everything-you-wanted-to-know-about-trusts-with-aws-managed-microsoft-ad/) administrado.
**nota**
Al establecer relaciones de confianza, debe asegurarse de que su directorio autogestionado sea y siga siendo compatible con s. Directory Service Para obtener más información acerca de sus responsabilidades, consulte nuestro [modelo de responsabilidad compartida](https://aws.amazon.com/compliance/shared-responsibility-model).
AWS El Microsoft AD administrado admite confianzas tanto externas como forestales. Para ver un caso de ejemplo donde se muestra cómo crear una relación de confianza entre bosques, consulte [Tutorial: Cree una relación de confianza entre su Microsoft AD AWS administrado y su dominio de Active Directory autoadministrado](ms_ad_tutorial_setup_trust.md).
Las aplicaciones AWS empresariales, como Amazon Chime, Connect Customer, Quick, Amazon, Amazon WorkMail y el AWS IAM Identity Center WorkDocs, requieren una confianza bidireccional. WorkSpaces Consola de administración de AWS AWS El Microsoft AD administrado debe poder consultar a los usuarios y grupos de su Active Directory autogestionado.
Puede habilitar la autenticación selectiva para que solo la cuenta de servicio específica de la AWS aplicación pueda consultar su Active Directory autogestionado. Para obtener más información, consulte [ Mejorar la seguridad de la integración de su AWS aplicación con Microsoft AD AWS](https://aws.amazon.com/blogs/modernizing-with-aws/enhance-security-of-your-aws-app-integration-with-aws-managed-microsoft-ad/) administrado.
Amazon EC2, Amazon RDS y Amazon FSx funcionarán con una confianza unidireccional o bidireccional.
## Requisitos previos
Para crear una relación de confianza solo son necesarios unos pasos, pero primero debe completar otros pasos previos antes de configurarla.
**nota**
AWS El Microsoft AD administrado no admite la confianza con los dominios de etiqueta [ única](https://support.microsoft.com/en-us/help/2269810/microsoft-support-for-single-label-domains).
### Conéctese a VPC
Si va a crear una relación de confianza con el directorio autoadministrado, primero debe conectar la red autoadministrada a la Amazon VPC que contiene el AWS Managed Microsoft AD. El firewall de las redes autogestionadas y AWS administradas de Microsoft AD debe tener abiertos los puertos de red que aparecen en la Microsoft documentación de [Windows Server 2008 y ](https://docs.microsoft.com/en-us/troubleshoot/windows-server/identity/config-firewall-for-ad-domains-and-trusts#windows-server-2008-and-later-versions) en las versiones posteriores.
Para usar su nombre NetBIOS en lugar de su nombre de dominio completo para la autenticación con AWS aplicaciones como Amazon WorkDocs o Amazon Quick, debe permitir el puerto 9389. Para obtener más información sobre los puertos y protocolos del Active Directory, consulte [Introducción a los servicios y requisitos de puerto de red para Windows](https://learn.microsoft.com/en-US/troubleshoot/windows-server/networking/service-overview-and-network-port-requirements#system-services-ports) en la documentación de Microsoft.
Estos son los puertos mínimos necesarios para poder conectarse al directorio. La configuración específica podría requerir abrir puertos adicionales.
### Configure la VPC
La VPC que contiene su Microsoft AD AWS administrado debe tener las reglas de entrada y salida adecuadas.
**Configuración de las reglas de salida de la VPC**
1. En la [AWS Directory Service consola](https://console.aws.amazon.com/directoryservicev2/), en la ** página de detalles del ** directorio, anota tu ID de directorio AWS administrado de Microsoft AD.
1. Abra la consola de Amazon VPC en [https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/).
1. Seleccione **Security Groups**.
1. Busca tu ID de directorio AWS administrado de Microsoft AD. En los resultados de la búsqueda, seleccione el elemento con la descripción «grupo de seguridad AWS creado para los controladores de * directorio de ID de * directorio».
**nota**
El grupo de seguridad seleccionado es un grupo de seguridad que se crea automáticamente en el momento de crearse el directorio.
1. Vaya a la pestaña **Outbound Rules** de ese grupo de seguridad. Seleccione **Edit** y después **Add another rule**. Para la nueva regla, escriba los siguientes valores:
+ **Type**: All Traffic
+ **Protocol**: All
+ **Destination** determina el tráfico que puede salir de sus controladores de dominio y a dónde puede ir en su red autoadministrada. Especifique una sola dirección IP o un rango de direcciones IP en notación CIDR (por ejemplo, 203.0.113). 5/32 para IPv4 o 2001:db8: :/32 para IPv6). También puede especificar el nombre o el ID de otro grupo de seguridad en la misma región. Para obtener más información, consulte [Comprenda su directorio AWS configuración y uso del grupo de seguridad](ms_ad_best_practices.md#understandsecuritygroup).
1. Seleccione **Guardar**.
### Habilitación de la autenticación previa de Kerberos
Sus cuentas de usuario deben tener habilitada la autenticación previa de Kerberos. Para obtener más información acerca de esta configuración, consulte la autenticación previa en Microsoft. [http://technet.microsoft.com/en-us/library/cc961961.aspx](http://technet.microsoft.com/en-us/library/cc961961.aspx) TechNet
### Configuración de programas de envío condicionales DNS en su dominio autoadministrado
Debe configurar programas de envío condicionales DNS en su dominio autoadministrado. Consulta la sección [ Asignar un reenviador condicional a un nombre de dominio ](https://technet.microsoft.com/en-us/library/cc794735.aspx) en Microsoft TechNet para obtener más información sobre los reenviadores condicionales.
Para seguir estos pasos, debe tener acceso a las herramientas de Windows Server enumeradas a continuación para su dominio autoadministrado:
+ AD DS y AD LDS Tools
+ DNS
**Configuración de reenviadores condicionales DNS en su dominio autoadministrado**
1. Primero debes obtener información sobre tu Microsoft AD AWS administrado. Inicie sesión en la Consola de administración de AWS y abra la [consola de AWS Directory Service](https://console.aws.amazon.com/directoryservicev2/).
1. En el panel de navegación, seleccione **Directories**.
1. Elige el identificador de directorio de tu Microsoft AD AWS administrado.
1. Tome nota del nombre de dominio completo (FQDN) y las direcciones de DNS de su directorio.
1. Ahora, vuelva a su controlador de dominio autoadministrado. Abra el Administrador del servidor.
1. En el menú **Herramientas**, elija **DNS**.
1. En el árbol de la consola, amplíe el servidor DNS del dominio para el cual esté configurando la relación de confianza.
1. En el árbol de la consola, seleccione **Reenviadores condicionales**.
1. En el menú **Acción**, elija **Nuevo reenviador condicional**.
1. En el dominio ** DNS**, escriba el nombre de dominio completo (FQDN) de su Microsoft AD AWS administrado, que ha indicado anteriormente.
1. Elija las direcciones ** IP de los servidores principales ** y escriba las direcciones DNS de su directorio AWS administrado de Microsoft AD, tal como indicó anteriormente.
Después de escribir las direcciones de DNS, es posible que aparezca un error que indique que se ha agotado el tiempo de espera o que no se pudo resolver la operación. Por lo general, puede ignorar estos errores.
1. Active la casilla **Almacenar este reenviador condicional en Active Directory y replicarlo como sigue: Todos los servidores DNS en este dominio**. Seleccione **Aceptar**.
### Contraseña de relación de confianza
Si crea una relación de confianza con un dominio existente, configure la relación de confianza en ese dominio con las herramientas de administración de Windows Server. Al hacerlo, indique su contraseña de confianza. Deberá usar esta misma contraseña al configurar la relación de confianza en el Microsoft AD AWS administrado. Para obtener más información, consulte [ Administración de fideicomisos ](https://technet.microsoft.com/en-us/library/cc771568.aspx) en Microsoft TechNet.
Ahora está listo para crear la relación de confianza en su Microsoft AD AWS administrado.
### NetBIOS y nombres de dominio
Los nombres de dominio y NetBIOS deben ser únicos y no pueden ser los mismos para establecer una relación de confianza.
## Crear, verificar o eliminar una relación de confianza
**nota**
Las relaciones de confianza son una función global de AWS Managed Microsoft AD. Si está utilizando [Configurar la replicación multirregional para Microsoft AWS AD administrado](ms_ad_configure_multi_region_replication.md), se deben seguir estos procedimientos en [Región principal](multi-region-global-primary-additional.md#multi-region-primary). Los cambios se aplicarán automáticamente en todas las regiones replicadas. Para obtener más información, consulte [Características globales frente a las regionales](multi-region-global-region-features.md).
**Para crear una relación de confianza con su AWS Administró Microsoft AD**
1. Abra la [consola de AWS Directory Service](https://console.aws.amazon.com/directoryservicev2/).
1. En la ** página ** Directorios, elige tu ID de Microsoft AD AWS administrado.
1. En la página **Detalles del directorio**, lleve a cabo una de las siguientes operaciones:
+ Si aparecen varias regiones en proceso de ** Multi-Region replicación**, seleccione la región principal y, a continuación, elija la ** pestaña ** Redes y seguridad. Para obtener más información, consulte [Regiones principales frente a las adicionales](multi-region-global-primary-additional.md).
+ Si no hay ninguna región en la que aparezca la ** Multi-Region replicación**, elija la ** pestaña ** Redes y seguridad.
1. En la sección **Trust relationships (Relaciones de confianza)**, elija **Actions (Acciones)** y, a continuación, seleccione **Add trust relationship (Añadir relación de confianza)**.
1. En la página **Add a trust relationship (Añadir una relación de confianza)**, proporcione la información necesaria, incluidos el tipo de confianza, el nombre de dominio completo (FQDN) del dominio de confianza, la contraseña de confianza y la dirección de confianza.
1. (Opcional) Si desea permitir que solo los usuarios autorizados accedan a los recursos de su directorio AWS administrado de Microsoft AD, también puede seleccionar la casilla de ** verificación Autenticación ** selectiva. Para obtener información general sobre la autenticación selectiva, consulte las consideraciones [ de seguridad para las empresas de confianza ](https://technet.microsoft.com/pt-pt/library/cc755321(v=ws.10).aspx) en Microsoft TechNet.
1. Para el reenviador ** condicional**, escriba la dirección IP de su servidor DNS autogestionado (por ejemplo, 172.16.10.153 para IPv4 o 2001:db8: :1 para IPv6). Si ha creado anteriormente reenviadores condicionales, puede escribir el FQDN de su dominio autoadministrado en lugar de una dirección IP de DNS.
1. (Opcional) Elija **Agregar otra dirección IP** y escriba la dirección IP de un servidor DNS autoadministrado adicional. Puede repetir este paso para cada dirección de servidor DNS aplicable, con un máximo de cuatro direcciones. Se admiten tanto IPv4 como IPv6.
1. Elija **Añadir**.
1. Si el servidor DNS o la red de su dominio autoadministrado usa un espacio de direcciones IP público (no RFC 1918), vaya a la sección **Direccionamiento IP**, elija **Acciones** y, a continuación, elija **Agregar ruta**. Escriba el bloque de direcciones IP de su servidor DNS o red autogestionada con el formato CIDR, por ejemplo, 203.0.113. 0/24 para IPv4 o 2001:db8: :/32 para IPv6. Este paso no es necesario si su servidor DNS y su red autoadministrada están utilizando espacios de direcciones IP RFC 1918.
**nota**
Cuando se utiliza un espacio de direcciones IP públicas, asegúrese de no utilizar ninguno de los [rangos de direcciones IP de AWS](https://ip-ranges.amazonaws.com/ip-ranges.json) dado que no se pueden utilizar.
1. (Opcional) Se recomienda que mientras se encuentra en la página **Add routes (Añadir rutas)** también seleccione **Add routes to the security group for this directory's VPC (Añadir rutas al grupo de seguridad de la VPC de este directorio)**. De este modo se configurarán los grupos de seguridad según se detalla anteriormente, en “Configuración de la VPC”. Estas reglas de seguridad afectan a una interfaz de red interna no expuesta públicamente. Si esta opción no está disponible, verá un mensaje en su lugar en el que se indica que ya ha personalizado sus grupos de seguridad.
Debe configurar la relación de confianza en ambos dominios. Las relaciones deben ser complementarias. Por ejemplo, si crea una relación de confianza saliente en un dominio, debe crear una relación de confianza entrante en el otro.
Si crea una relación de confianza con un dominio existente, configure la relación de confianza en ese dominio con las herramientas de administración de Windows Server.
Puede crear varias confianzas entre su Microsoft AD AWS administrado y varios dominios de Active Directory. No obstante, solo puede existir una relación de confianza por par a la vez. Por ejemplo, si ya tiene una confianza unidireccional en la «dirección entrante» y, a continuación, desea establecer otra relación de confianza en la «dirección saliente», tendrá que eliminar la relación de confianza existente y crear una nueva confianza Two-way "».
**Verificación de una relación de confianza saliente**
1. Abra la [consola de AWS Directory Service](https://console.aws.amazon.com/directoryservicev2/).
1. En la ** página ** Directorios, elige tu ID de Microsoft AD AWS administrado.
1. En la página **Detalles del directorio**, lleve a cabo una de las siguientes operaciones:
+ Si aparecen varias regiones en proceso de ** Multi-Region replicación**, seleccione la región principal y, a continuación, elija la ** pestaña ** Redes y seguridad. Para obtener más información, consulte [Regiones principales frente a las adicionales](multi-region-global-primary-additional.md).
+ Si no hay ninguna región en la que aparezca la ** Multi-Region replicación**, elija la ** pestaña ** Redes y seguridad.
1. En la sección **Trust relationships (Relaciones de confianza)**, seleccione la confianza que desea verificar, elija **Actions (Acciones)** y, a continuación, seleccione **Verify trust relationship (Verificar relación de confianza)**.
Este proceso verifica solo la dirección saliente de una confianza bidireccional. AWS no admite la verificación de un fideicomiso entrante. Para obtener más información sobre cómo comprobar la confianza en o desde un Active Directory autogestionado, consulte [ Comprobar la confianza ](https://technet.microsoft.com/en-us/library/cc753821.aspx) en Microsoft. TechNet
**Eliminación de una relación de confianza existente**
1. Abra la [consola de AWS Directory Service](https://console.aws.amazon.com/directoryservicev2/).
1. En la ** página de ** directorios, elige tu ID de Microsoft AD AWS administrado.
1. En la página **Detalles del directorio**, lleve a cabo una de las siguientes operaciones:
+ Si aparecen varias regiones en proceso de ** Multi-Region replicación**, seleccione la región principal y, a continuación, elija la ** pestaña ** Redes y seguridad. Para obtener más información, consulte [Regiones principales frente a las adicionales](multi-region-global-primary-additional.md).
+ Si no hay ninguna región en la que aparezca la ** Multi-Region replicación**, elija la ** pestaña ** Redes y seguridad.
1. En la sección **Trust relationships (Relaciones de confianza)**, seleccione la confianza que desea eliminar, elija **Actions (Acciones)** y, a continuación, seleccione **Delete trust relationship (Eliminar relación de confianza)**.
1. Elija **Eliminar**.