Aktifkan LDAPS sisi server menggunakan Microsoft AD yang Dikelola AWS

Protokol Akses Direktori Ringan sisi Server Secure Sockets Layer (SSL) /Transport Layer Security (TLS) (LDAPS) mendukung mengenkripsi komunikasi LDAP antara aplikasi sadar LDAP komersial atau lokal dan direktori Microsoft AD Anda yang Dikelola. AWS Ini membantu untuk meningkatkan keamanan di seluruh kabel dan memenuhi persyaratan kepatuhan menggunakan protokol kriptografi Lapisan Soket Aman (SSL).

Aktifkan LDAPS sisi server

Untuk petunjuk terperinci tentang cara mengatur dan mengonfigurasi LDAPS sisi server dan server otoritas sertifikat (CA) Anda, lihat Cara Mengaktifkan LDAPS Sisi Server untuk Direktori Microsoft AD Terkelola Anda AWS di Blog Keamanan. AWS

Anda harus melakukan sebagian besar pengaturan dari instans Amazon EC2 yang Anda gunakan untuk mengelola pengendali domain Microsoft AD yang Dikelola AWS Anda. Langkah-langkah berikut memandu Anda untuk mengaktifkan LDAPS untuk domain Anda di Cloud. AWS

Jika Anda ingin menggunakan otomatisasi untuk mengatur Infrastruktur PKI Anda, Anda dapat menggunakan Infrastruktur Kunci Publik Microsoft pada AWS QuickStart Panduan. Secara khusus Anda akan ingin mengikuti petunjuk dalam panduan untuk memuat templat untuk Men-deploy Microsoft PKI ke VPC yang sudah ada pada AWS. Setelah Anda memuat templat, pastikan untuk memilih AWSManaged saat Anda sampai ke opsi Jenis Layanan Domain Direktori Aktif. Jika Anda menggunakan QuickStart panduan ini, Anda dapat melompat langsung keLangkah 3: Membuat templat sertifikat.

Langkah 1: Delegasikan yang dapat mengaktifkan LDAPS

Untuk mengaktifkan LDAPS sisi server, Anda harus menjadi anggota grup Admin atau Administrator Otoritas Sertifikat Perusahaan yang AWS Delegasi di direktori Microsoft AD yang Dikelola. AWS Atau, Anda dapat menjadi pengguna administratif default (akun Admin). Jika mau, Anda dapat memiliki pengguna selain LDAPS pengaturan akun Admin. Jika demikian, tambahkan pengguna tersebut ke grup Admin atau Administrator Otoritas Sertifikat Perusahaan AWS yang Delegasi di direktori AD AWS Microsoft Terkelola Anda.

Langkah 2: Mengatur otoritas sertifikat Anda

Sebelum Anda dapat mengaktifkan LDAPS sisi server, Anda harus membuat sertifikat. Sertifikat ini harus dikeluarkan oleh server Microsoft Enterprise CA yang bergabung dengan domain Microsoft AD AWS Terkelola Anda. Setelah dibuat, sertifikat harus diinstal pada masing-masing pengendali domain Anda di domain tersebut. Sertifikat ini memungkinkan layanan LDAP pada pengendali domain mendengarkan dan secara otomatis menerima koneksi SSL dari klien LDAP.

catatan

LDAPS sisi server dengan Microsoft AD yang AWS Dikelola tidak mendukung sertifikat yang dikeluarkan oleh CA mandiri. Itu juga tidak mendukung sertifikat yang dikeluarkan oleh otoritas sertifikasi pihak ketiga.

Tergantung pada kebutuhan bisnis Anda, Anda memiliki pilihan berikut untuk mengatur atau menghubungkan ke CA di domain Anda:

• Buat bawahan Microsoft Enterprise CA — (Disarankan) Dengan opsi ini, Anda dapat menggunakan server CA perusahaan Microsoft bawahan di AWS Cloud. Server tersebut dapat menggunakan Amazon EC2 sehingga bekerja dengan root Microsoft CA yang ada. Untuk informasi selengkapnya tentang cara menyiapkan CA perusahaan Microsoft bawahan, lihat Langkah 4: Menambahkan Microsoft Enterprise CA ke direktori AWS Microsoft AD Anda di Cara Mengaktifkan LDAPS Sisi Server untuk Direktori Microsoft AD yang Dikelola. AWS

• Buat root Microsoft enterprise CA — Dengan opsi ini, Anda dapat membuat root Microsoft enterprise CA di AWS Cloud menggunakan Amazon EC2 dan menggabungkannya ke domain AWS Microsoft AD yang Dikelola. Root CA ini dapat mengeluarkan sertifikat untuk pengendali domain Anda. Untuk informasi selengkapnya tentang menyiapkan CA root baru, lihat Langkah 3: Menginstal dan mengonfigurasi CA offline di Cara Mengaktifkan LDAPS Sisi Server untuk Direktori Microsoft AD yang Dikelola AWS Anda.

Untuk informasi selengkapnya tentang cara menggabungkan instans EC2 Anda ke domain, lihat Bergabunglah dengan instans Amazon EC2 ke AWS Microsoft AD yang Dikelola Active Directory.

Langkah 3: Membuat templat sertifikat

Setelah CA korporasi Anda telah diatur, Anda dapat mengkonfigurasi templat sertifikat autentikasi Kerberos.

Membuat templat sertifikat

1. Luncurkan Pengelola Server Microsoft Windows Pilih Alat > Otoritas Sertifikasi.

2. Di jendela Otoritas Sertifikat, perluas pohon Otoritas Sertifikat di panel kiri. Klik kanan Templat Sertifikat, dan pilih Kelola.

3. Di jendela Konsol Templat Sertifikat, klik kanan Autentikasi Kerberos dan pilih Templat Duplikasi.

4. Jendela Properti Templat Baru akan muncul.

5. Di jendela Properti Templat Baru, pergi ke tab Kompatibilitas, dan kemudian lakukan hal berikut:

   1. Ubah Otoritas Sertifikasi ke OS yang cocok dengan CA Anda.

   2. Jika jendela Perubahan yang dihasilkan muncul, pilih OK.

   3. Ubah penerima Sertifikasi ke Windows 10/Windows Server 2016.

      catatan

      AWS Microsoft AD yang dikelola didukung oleh Windows Server 2019.

   4. Jika jendela Perubahan yang dihasilkan muncul, pilih OK.

6. Klik tab Umum dan ubah Nama tampilan templat ke LDAPOverSSL atau nama lain yang Anda inginkan.

7. Klik tab Keamanan, dan pilih Pengontrol domain di bagian Nama grup atau pengguna. Di bagian Izin untuk Pengendali Domain, verifikasi bahwa kotak centang Izinkan untuk Baca, Mendaftar, danAutoenroll dicentang.

8. Pilih OK untuk membuat templat sertifikat LDAPOverSSL (atau nama yang Anda tentukan di atas). Tutup jendela Konsol Templat Sertifikat.

9. Di jendela Otoritas Sertifikat, klik kanan Templat Sertifikat, dan pilih Baru > Templat Sertifikat untuk Diterbitkan.

10. Di jendela Aktifkan Template Sertifikat, pilih LDAPOverSSL (atau nama yang Anda tentukan di atas), lalu pilih OK.

Langkah 4: Menambahkan aturan grup keamanan

Pada langkah terakhir, Anda harus membuka konsol Amazon EC2 dan menambahkan aturan grup keamanan. Aturan-aturan ini mengizinkan pengontrol domain Anda untuk terhubung ke CA korporasi Anda untuk meminta sertifikat. Untuk melakukannya, Anda menambahkan aturan masuk sehingga CA korporasi Anda dapat menerima lalu lintas masuk dari pengendali domain Anda. Kemudian Anda menambahkan aturan keluar untuk mengizinkan lalu lintas dari pengendali domain Anda untuk CA korporasi.

Setelah kedua aturan telah dikonfigurasi, pengendali domain Anda meminta sertifikat dari CA korporasi Anda secara otomatis dan mengaktifkan LDAPS untuk direktori Anda. Layanan LDAP pada pengendali domain Anda sekarang siap untuk menerima koneksi LDAPS.

Mengonfigurasi aturan grup keamanan

1. Arahkan ke konsol Amazon EC2 Anda di https://console.aws.amazon.com/ec2 dan masuk dengan kredensial administrator.

2. Di panel kiri, pilih Kelompok Keamanan di bawah Jaringan & Keamanan.

3. Di panel utama, pilih grup AWS keamanan untuk CA Anda.

4. Pilih tab Masuk, lalu pilih Edit .

5. Di kotak dialog Edit aturan masuk, lakukan hal berikut:

   • Pilih Tambahkan aturan.

   • Pilih Semua Lalu lintas untuk Jenis dan Khususuntuk Sumber.

   • Masukkan grup AWS keamanan direktori Anda (misalnya, sg-123456789) di kotak di sebelah Sumber.

   • Pilih Simpan.

6. Sekarang pilih grup AWS keamanan direktori Microsoft AD AWS Terkelola Anda. Pilih tab Keluar, lalu pilih Edit.

7. Di kotak dialog Edit aturan keluar, lakukan hal berikut:

   • Pilih Tambahkan aturan.

   • Pilih Semua Lalu lintas untuk Jenis dan Khususuntuk Tujuan.

   • Ketik grup AWS keamanan CA Anda di kotak di sebelah Tujuan.

   • Pilih Simpan.

Anda dapat menguji koneksi LDAPS ke direktori AWS Microsoft AD yang Dikelola menggunakan alat LDP. Alat LDP dilengkapi dengan Active Directory Administrative Tools. Untuk informasi selengkapnya, lihat Instal Alat Administrasi Direktori Aktif untuk Microsoft AD yang AWS Dikelola.

catatan

Sebelum Anda menguji koneksi LDAPS, Anda harus menunggu hingga 30 menit untuk CA bawahan mengeluarkan sertifikat untuk pengendali domain Anda.

Untuk detail tambahan tentang LDAPS sisi server dan untuk melihat contoh kasus penggunaan tentang cara mengaturnya, lihat Cara Mengaktifkan LDAPS Sisi Server untuk Direktori Microsoft AD Terkelola Anda AWS di Blog Keamanan. AWS