AWS учетные данные в Active Directory

Question

Я только что начал изучать активный каталог AWS. Наша компания не имеет учетной записи LDAP/AD. Мы используем приложения Google для аутентификации. Я ищу использовать приложение, которое не поддерживает приложения Google, но делает LDAP. У всех наших сотрудников есть учетные данные AWS для входа в консоль.

Можно ли использовать эти учетные данные AWS для установки простого AD? Затем я буду использовать этот AD для аутентификации внутри стороннего приложения.

Спасибо!

Answer 1

Как указано в Controlling Access to AWS Directory Service Resources:

По умолчанию IAM пользователи не имеют доступа к AWS службы каталогов ресурсов. Чтобы позволить пользователям IAM управлять ресурсами службы AWS , вы должны создать политику IAM, которая явно разрешает пользователям IAM разрешать создавать и управлять службами AWS Directory Service и Amazon ресурсов EC2 и прикладывать политику к пользователям или группам IAM, которые требуют этих разрешений.

Как правило, для создания новых сервисов, таких как Simple AD, необходимы учетные данные пользователя root или power.

Если вы хотите дать конкретным пользователям разрешение на создание, управление и уничтожение простых каталогов и служб AD, вы можете реализовать нижеприведенную политику и добавить эту политику к любому желаемому пользователю/группе.

{ 
    "Version" : "2012-10-17", 
    "Statement" : [ 
    { 
     "Action" : [ 
     "ds:*", 
     "iam:PassRole", 
     "iam:GetRole", 
     "iam:CreateRole", 
     "iam:PutRolePolicy", 
     "ec2:DescribeSubnets", 
     "ec2:DescribeVpcs", 
     "ec2:CreateSecurityGroup", 
     "ec2:DeleteSecurityGroup", 
     "ec2:CreateNetworkInterface", 
     "ec2:DescribeNetworkInterfaces", 
     "ec2:DeleteNetworkInterface", 
     "ec2:AuthorizeSecurityGroupIngress", 
     "ec2:AuthorizeSecurityGroupEgress", 
     "ec2:RevokeSecurityGroupIngress", 
     "ec2:RevokeSecurityGroupEgress" 
     ], 
     "Effect" : "Allow", 
     "Resource" : "*" 
    } 
    ] 
} 

Эта политика позволяет пользователю войти в консоль, и дает им разрешение на управление все ресурсов AWS службы каталогов. Доступ к ресурсам IAM необходим, чтобы служба каталогов AWS могла читать и создавать роли IAM от вашего имени. Доступ к некоторым ресурсам Amazon EC2 необходим, чтобы позволить службе каталогов AWS создавать, настраивать и уничтожать свои каталоги.