Pourquoi ne puis-je pas joindre facilement une instance Windows Amazon EC2 à un AWS Managed Microsoft AD dans Systems Manager ?

Brève description

Les problèmes suivants peuvent empêcher une jonction fluide entre une instance Amazon EC2 et AWS Managed Microsoft AD :

• Votre instance Windows ne répond pas à la configuration minimale requise pour Systems Manager. Pour plus d'informations, consultez la section Configuration minimale requise dans Résolution des problèmes de disponibilité des nœuds gérés à l'aide de ssm-cli.
• Votre profil d'instance AWS Identity and Access Management (IAM) ne dispose pas des politiques nécessaires. Pour plus d'informations, consultez la section Configurer les autorisations d'instance requises pour Systems Manager.
• Le trafic des instances Windows ne peut pas accéder au point de terminaison AWS Directory Service.
• Votre instance Windows ne peut pas accéder à votre contrôleur de domaine. Ou bien, votre groupe de sécurité ou votre liste de contrôle d'accès réseau (ACL réseau) n'autorise pas le trafic via les ports requis.
• Un nom d'objet informatique dupliqué existe déjà au niveau de votre contrôleur de domaine.
• Vous n'avez pas rempli les prérequis pour que votre compte de service AWS puisse utiliser AD Connector.

Résolution

Vérifier que votre instance répond aux exigences minimales

Si votre instance répond aux exigences minimales pour Systems Manager, le statut ping d’AWS Systems Manager Agent (SSM Agent) du nœud géré est En ligne.

Pour voir l'état du ping de SSM Agent, ouvrez la console AWS Systems Manager, puis choisissez Fleet Manager dans le volet de navigation. Si l'instance gérée n'apparaît pas dans Fleet Manager, vérifiez que votre instance Amazon EC2 répond aux exigences en matière d'instance gérée.

Vérifier les politiques de profil d'instance IAM

Assurez-vous d'avoir joint la politique IAM AmazonSSMDirectoryServiceAccess à votre profil d'instance.

Pour consulter vos politiques de rôle IAM, procédez comme suit :

1. Ouvrez la console Amazon EC2.
2. Dans le volet de navigation, sélectionnez Instances.
3. Dans l'onglet Détails, choisissez Rôle IAM.

Si vous n'avez pas associé la politique IAM AmazonSSMDirectoryServiceAccess, configurez vos autorisations d’instance. Pour obtenir des instructions, consultez la section Pour créer un profil d'instance pour les instances gérées par Systems Manager (console) dans Configuration alternative pour les autorisations d'instance Amazon EC2.

Accéder à votre point de terminaison AWS Directory Service

Vérifiez que le trafic provient de votre instance Windows via les points de terminaison AWS Directory Service. Pour plus d'informations, consultez la section Restrictions et limites des points de terminaison Amazon Virtual Private Cloud (VPC). Puis, utilisez le plug-in aws:domainJoin pour accéder au point de terminaison AWS Directory Service.

Fournir un accès aux contrôleurs de domaine

Utilisez l'application DirectoryServicePortTest pour vérifier que le système d'exploitation Windows peut communiquer avec vos contrôleurs de domaine à partir de votre instance Windows. Pour obtenir des instructions, consultez la section Tester votre connecteur AD. Pour une liste des ports nécessaires, consultez la section Configuration requise pour les ports Active Directory et Active Directory Domain Services sur le site Web de Microsoft.

Vous pouvez également vérifier que les instances du même sous-réseau peuvent rejoindre manuellement le domaine. Si les instances ne peuvent pas accéder aux contrôleurs de domaine depuis le même sous-réseau, la jonction fluide des domaines échoue.

Éviter les doublons de noms d'objets informatiques

Si vous devez joindre facilement plusieurs instances Windows, utilisez Sysprep avant de créer votre image Windows.

Vérifier les privilèges de votre compte de service

Utilisez le compte de service employé par votre connecteur AD pour rejoindre manuellement l'instance Windows.

Si vous ne parvenez pas à rejoindre l'instance Windows, déléguez les autorisations appropriées pour vous connecter à votre annuaire. Pour obtenir des instructions, consultez la section Déléguer les privilèges sur votre compte de service.

Remarque : Le nom du compte de service utilisé par votre connecteur AD doit comporter moins de 15 caractères.

Vérifier vos modifications

Après avoir effectué les modifications précédentes, vérifiez que vous pouvez joindre facilement l'instance Windows Amazon EC2.

Informations connexes

Tester la jonction fluide d'une instance Amazon EC2 pour Windows Server à un domaine