¿Por qué no puedo unir sin problemas mi instancia de Windows de Amazon EC2 a AWS Managed Microsoft AD en Systems Manager?

Descripción corta

Los siguientes problemas pueden provocar que una instancia de Windows de Amazon EC2 y una instancia de AWS Managed Microsoft AD no se unan sin problemas:

• La instancia de Windows no cumple los requisitos mínimos de Systems Manager. Para obtener más información, consulta Requisitos mínimos en Solución de problemas de disponibilidad de nodos administrados mediante ssm-cli.
• Tu perfil de instancia de AWS Identity and Access Management (IAM) no tiene las políticas necesarias. Para obtener más información, consulta Configuración de los permisos de instancia necesarios para Systems Manager.
• El tráfico de tu instancia de Windows no puede acceder a tu punto de enlace de AWS Directory Service.
• La instancia de Windows no puede acceder al controlador de dominio. O bien, el grupo de seguridad o la lista de control de acceso de la red (ACL de la red) no permiten el tráfico a través de los puertos requeridos.
• Ya existe un nombre de objeto de equipo duplicado en el controlador de dominio.
• No has completado los requisitos previos para que tu cuenta de servicio de AWS utilice AD Connector.

Resolución

Verificar que la instancia cumpla con los requisitos mínimos

Si tu instancia cumple los requisitos mínimos de Systems Manager, el estado del ping de AWS Systems Manager Agent (SSM Agent) del nodo administrado es En línea.

Para ver el estado del ping de SSM Agent, abre la consola de AWS Systems Manager y, a continuación, en el panel de navegación, elige Administrador de flotas. Si la instancia administrada no aparece en el Administrador de flotas, comprueba que la instancia de Amazon EC2 cumple los requisitos de la instancia administrada.

Verificar las políticas de perfil de instancia de IAM

Asegúrate de adjuntar la política de IAM AmazonSSMDirectoryServiceAccess a tu perfil de instancia.

Para ver tus políticas de roles de IAM, sigue estos pasos:

1. Abre la consola de Amazon EC2.
2. En el panel de navegación, selecciona Instancias.
3. En la pestaña Detalles, selecciona Rol de IAM.

Si no has adjuntado la política de IAM AmazonSSMDirectoryServiceAccess, configura los permisos de la instancia. Para obtener instrucciones, consulta la sección Creación de un perfil de instancia para las instancias administradas de Systems Manager (consola) en Configuración alternativa para los permisos de instancia de Amazon EC2.

Acceso al punto de enlace de AWS Directory Service

Verifica que el tráfico fluya desde tu instancia de Windows a través de los puntos de enlace de AWS Directory Service. Para obtener más información, consulta Restricciones y limitaciones de los puntos de enlace de Amazon Virtual Private Cloud (VPC). A continuación, utiliza el complemento aws:domainJoin para acceder al punto de enlace de AWS Directory Service.

Proporcionar acceso a los controladores de dominio

Utiliza la aplicación DirectoryServicePortTest para comprobar que el sistema operativo (SO) Windows puede comunicarse con los controladores de dominio desde la instancia de Windows. Para obtener instrucciones, consulta Probar AD Connector. Para obtener más información, consulta Requisitos de puertos de Active Directory y Active Directory Domain Services en el sitio web de Microsoft.

También puedes comprobar que las instancias de la misma subred se puedan unir manualmente al dominio. Si las instancias no pueden acceder a los controladores de dominio desde la misma subred, se produce un error en la unión sin problemas del dominio.

Evitar la duplicación de nombres de objetos de equipo

Si debes unir sin problemas varias instancias de Windows, utiliza Sysprep antes de crear la imagen de Windows.

Revisión de los privilegios de la cuenta de servicio

Usa la cuenta de servicio que usa tu AD Connector para unirte manualmente a la instancia de Windows.

Si no puedes unirte a la instancia de Windows, delega los permisos correctos para conectarte a tu directorio. Para obtener instrucciones, consulta Delegación de privilegios en tu cuenta de servicio.

Nota: El nombre de la cuenta de servicio que usa tu AD Connector debe tener menos de 15 caracteres.

Verificar los cambios

Tras realizar los cambios anteriores, comprueba que puedes unirte sin problemas a la instancia de Windows de Amazon EC2.

Información relacionada

Prueba de la unión sin problemas de una instancia de Amazon EC2 para Windows Server a un dominio