使用托管 AWS Microsoft AD 启用服务器端 LDAPS - AWS Directory Service
启用服务器端 LDAPS

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

使用托管 AWS Microsoft AD 启用服务器端 LDAPS

服务器端轻量级目录访问协议安全套接字层 (SSL) /传输层安全 (TLS) (LDAPS) 支持加密您的商业或本地 LDAP 感知应用程序与托管 Microsoft AD 目录之间的 LDAP 通信。 AWS 这有助于使用安全套接字层 (SSL) 加密协议来提高整个网络的安全性并满足合规性要求。

启用服务器端 LDAPS

有关如何设置和配置服务器端 LDAPS 和您的证书颁发机构 (CA) 服务器的详细说明，请参阅安全博客上的如何为托管的 AWS Microsoft AD 目录启用服务器端 LDAPS。 AWS

您必须从用来管理 AWS Managed Microsoft AD 域控制器的 Amazon EC2 实例执行大多数设置。以下步骤将指导您在 AWS 云端为域名启用 LDAPS。

如果你想使用自动化来设置 PKI 基础架构，可以使用 Microsoft 公钥基础架构 AWS QuickStart 指南。具体而言，您需要按照指南中的说明加载模版，以便将 Microsoft PKI 部署到 AWS上的现有 VPC 中。加载模板后，请务必在到达 Active Directory 域服务选项时选择 AWSManaged。如果您使用了该 QuickStart 指南，则可以直接跳至步骤 3：创建证书模板。

步骤 1：委托谁可以启用 LDAPS

要启用服务器端 LDAPS，您必须是托管 AWS Microsoft AD 目录中的管理员或企业证书 AWS 授权机构管理员组的成员。或者，您可以是默认管理用户（管理员账户）。如果您愿意，您可以拥有一个管理员账户设置 LDAPS 之外的用户。在这种情况下，请将该用户添加到 AWS 托管 Microsoft AD 目录中的管理员或企业证书 AWS 授权机构管理员组中。

步骤 2：设置证书颁发机构

您必须先创建一个证书，然后才能启用服务器端 LDAPS。此证书必须由加入您的 AWS 托管微软 AD 域的微软企业 CA 服务器颁发。在创建后，该证书必须安装到该域中您的每个域控制器上。此证书使域控制器上的 LDAP 服务能够侦听并自动接受来自 LDAP 客户端的 SSL 连接。

注意

带有托管 AWS Microsoft AD 的服务器端 LDAPS 不支持由独立 CA 颁发的证书。此外，它也不支持由第三方证书颁发机构颁发的证书。

根据您的业务需求，您有以下选择来设置或连接到您域中的 CA：

有关如何将您的 EC2 实例加入域的更多信息，请参阅将 Amazon EC2 实例加入您的 AWS 托管微软 AD Active Directory。

步骤 3：创建证书模板

设置企业 CA 后，即可配置 Kerberos 身份验证证书模板。

创建证书模板

  1. 启动 Microsoft Windows Server Manager。依次选择工具 > 证书颁发机构。

  2. 在证书颁发机构窗口中，展开左侧窗格中的证书颁发机构树。右键单击证书模版，然后选择管理。

  3. 在证书模版控制台窗口中，右键单击域控制器，然后选择重复模版。

  4. 系统将会弹出新模板的属性窗口。

  5. 在新模板的属性窗口中，转到兼容性选项卡，然后执行以下操作：

    1. 将证书颁发机构更改为与 CA 匹配的操作系统。

    2. 如果系统弹出生成的更改窗口，选择确定。

    3. 将认证接收者更改为 Windows 10/Windows Server 2016。

      注意

      AWS 托管微软 AD 由 Windows Server 2019 提供支持。

    4. 如果系统弹出生成的更改窗口，选择确定。

  6. 单击常规选项卡，将模板显示名称更改为 LDAPOverSSL 或您偏好的任何其他名称。

  7. 单击安全选项卡，然后选择组或用户名称部分中的域控制器 。在域控制器的权限部分，确认已选中读取、注册和自动注册的允许复选框。

  8. 选择确定以创建 LDAPOverSSL（或您在上面指定的名称）证书模板。关闭证书模板控制台窗口。

  9. 在证书颁发机构窗口中，右键单击证书模版，然后依次选择新建 > 要颁发的证书模版。

  10. 在启用证书模板窗口中，选择 LDAPOverSSL（或您在上面指定的名称），然后选择确定。

步骤 4：添加安全组规则

在最后一步中，您必须打开 Amazon EC2 控制台并添加安全组规则。这些规则将允许您的域控制器连接到企业 CA 以请求证书。为此，请添加入站规则，以便您的企业 CA 可以接受来自您的域控制器的传入流量。然后，添加出站规则以允许从您的域控制器到企业 CA 的流量。

一旦配置了两个规则，您的域控制器会自动从您的企业 CA 请求证书，并为您的目录启用 LDAPS。您的域控制器上的 LDAP 服务现已准备好接受 LDAPS 连接。

配置安全组规则

  1. 导航到 Amazon EC2 控制台（网址为 https://console.aws.amazon.com/ec2），然后使用管理员凭证登录。

  2. 在左侧窗格中，选择 Network & Security 下方的 Security Groups。

  3. 在主窗格中，为您的 CA 选择 AWS 安全组。

  4. 选择 Inbound 选项卡，然后选择 Edit。

  5. 在 Edit inbound rules 对话框中，执行以下操作：

    • 选择添加规则。

    • 为 Type 选择 All traffic，并为 Source 选择 Custom。

    • 在来源旁边的框中输入目录 AWS 的安全组（例如 sg-123456789）。

    • 选择保存。

  6. 现在选择你的 Microsoft AD AWS 托管目录 AWS 的安全组。选择 Outbound 选项卡，然后选择 Edit。

  7. 在 Edit outbound rules 对话框中，执行以下操作：

    • 选择添加规则。

    • 为 Type 选择 All traffic，并为 Destination 选择 Custom。

    • 在目标旁边的框中键入您的 CA AWS 的安全组。

    • 选择保存。

你可以使用 LDP 工具测试 LDAPS 与 AWS 托管微软 AD 目录的连接。LDP 工具随 Active Directory 管理工具一起提供。有关更多信息，请参阅 安装适用于 AWS 托管微软 AD 的 Active Directory 管理工具。

注意

在测试 LDAPS 连接之前，您必须等待最长 30 分钟时间，以便从属 CA 向域控制器颁发证书。

有关服务器端 LDAPS 的更多详细信息以及如何进行设置的示例用例，请参阅安全博客上的如何为托管 AWS Microsoft AD 目录启用服务器端 LDAPS。 AWS