主页 / server / 问题 / 903815
Accepted
Jack Pettersson
Asked: 2018-03-22 06:19:03 +0800 CST

AWS Directory Service 管理员没有任何权限？

  • 772

因此，在 AWS 中，我创建了一个 Microsoft AD，并在更改 DHCP 选项集后设法将计算机加入域。然后我重新启动机器并以使用域创建的管理员帐户登录，但很快意识到管理员帐户具有非常严格的权限。我可以创建新用户并将计算机添加到 AD，但仅此而已......我无法将用户添加到域管理员组甚至远程桌面用户组。

任何人都知道在AWS中创建Windows活动目录时是否有任何方法可以访问真正的管理员帐户？

active-directory

2 个回答

  1. Best Answer

    注意到 AWS 为您创建了委派组，所以在我将我的用户添加到“AWS 委派管理员”组之后，一切都很好。

    至于为什么他们将您锁定在真正的域管理员帐户和组之外，但我无法理解……叹息

    • 4

  2. 不幸的是，这个问题的答案是“不”。您无权访问托管 AWS Microsoft AD 解决方案中的“真实”（即 -500）管理员帐户。

    值得庆幸的是，亚马逊在研究产品时明确提出了这一限制。我还没有实现它；我们只是在审查所有不同的提供商和选项，服务常见问题解答中的第一件事就是明确确认。

    亚马逊投入了大量时间来准备/自动化此产品，它需要大量的特权和权限委派，以便亚马逊的客户可以有足够的访问权限来配置几乎所有的 Active Directory 选项，同时不允许客户访问 AD 管理。

    因此，他们将使用这些相同的方法来确保遵循最佳实践，特别是，用于管理 AD 的“域管理员”或特权帐户不应是成员计算机上的管理员。

    无论如何，这是有道理的——如果他们授予用户随时访问目录的能力，他们如何正确保证正常运行时间或支持产品？

    为了提供托管服务体验，AWS Microsoft AD 必须禁止客户进行会干扰管理服务的操作。因此，AWS 不提供对目录实例的 Windows PowerShell 访问，它限制对需要提升权限的目录对象、角色和组的访问。AWS Microsoft AD 不允许主机通过 Telnet、安全外壳 (SSH) 或 Windows 远程桌面连接直接访问域控制器。当您创建 AWS Microsoft AD 目录时，您将被分配一个组织单位 (OU) 和一个管理账户，该账户具有该 OU 的委派管理权限。您可以使用标准远程服务器管理工​​具（例如 Active Directory 用户和组）在 OU 中创建用户帐户、组和策略。

    来源：AWS Microsoft AD 常见问题

    • 1

相关问题