This is perl 5, version 30, subversion 0 (v5.30.0) built for x86_64-linux-gnu-thread-multi
(with 46 registered patches, see perl -V for more detail)
Copyright 1987-2019, Larry Wall
Perl may be copied only under the terms of either the Artistic License or the
GNU General Public License, which may be found in the Perl 5 source kit.
Complete documentation for Perl, including FAQ lists, should be found on
this system using "man perl" or "perldoc perl". If you have access to the
Internet, point your browser at http://www.perl.org/, the Perl Home Page.
$apt list --installed | grep manpages-ja
manpages-ja/xenial,xenial,now 0.5.0.0.20140515+dfsg-2 all [インストール済み]
manpages-ja-dev/xenial,xenial,now 0.5.0.0.20140515+dfsg-2 all [インストール済み]
Linux EC2インスタンスをAWS Managed Microsoft ADへシームレスに参加させる
Linux EC2インスタンスをAWS Managed Microsoft ADに参加させてIDの統合管理をしている環境があるのですが、今までインスタンスが増える度に手動でAD参加コマンド実行、パスワード入力という手順を実施してインスタンスのデプロイに非常に時間がかかっていました。加えてEC2 AutoScalingの検討しておりこのパスワード入力の壁越えなきゃなーと調べていたら、今年に入りシームレスなAD参加がサポートされていました！
Noteに
"Distributions prior to Ubuntu 14 and Red Hat Enterprise Linux 7 do not support the seamless domain join feature."
とありましたので、RHEL7はOKと判断しRHEL7で検証しました。
また、対象インスタンスにはAWS Systems Manager (SSM Agent) バージョン 2.3.1644.0 以上が必要となっています。
ということで、
検証環境
Region: Tokyo
DirectoryService: AWS Managed Microsoft AD Standard ※作成済み
AD参加するインスタンス: RedHat Enterprise Linux 7.9
ADに接続して操作するインスタンス: WindowsServer 2019 ※作成済み
では、検証
AWS Managed Microsoft ADへRHEL7.9インスタンスを起動時に参加させます。
まずはドメインユーザーの作成から。
$AccountName='awsSeamlessDomain'# DO NOT modify anything below this comment.# Getting Active Directory information.Import-Module'ActiveDirectory'$Domain=Get-ADDomain-ErrorActionStop$BaseDn=$Domain.DistinguishedName$ComputersContainer=$Domain.ComputersContainer$SchemaNamingContext=Get-ADRootDSE|Select-Object-ExpandProperty'schemaNamingContext'[System.GUID]$ServicePrincipalNameGuid=(Get-ADObject-SearchBase$SchemaNamingContext-Filter{lDAPDisplayName-eq'Computer'}-Properties'schemaIDGUID').schemaIDGUID# Getting Service account Information.$AccountProperties=Get-ADUser-Identity$AccountName$AccountSid=New-Object-TypeName'System.Security.Principal.SecurityIdentifier'$AccountProperties.SID.Value# Getting ACL settings for the Computers container.$ObjectAcl=Get-ACL-Path"AD:\$ComputersContainer"# Setting ACL allowing the service account the ability to create child computer objects in the Computers container.$AddAccessRule=New-Object-TypeName'System.DirectoryServices.ActiveDirectoryAccessRule'$AccountSid,'CreateChild','Allow',$ServicePrincipalNameGUID,'All'$ObjectAcl.AddAccessRule($AddAccessRule)Set-ACL-AclObject$ObjectAcl-Path"AD:\$ComputersContainer"
