VPCのDHCPオプションセットの変更
VPCを作成すると、デフォルトでAmazonProvidedDNSのDHCPオプションセットが作成されます。
VPC内にDirectory Serviceを運用している際、VPC内のホストがDirectory ServiceのDNSを向くように変更します。
VPC内のインスタンスは指定されたDNSを参照し、名前解決できるようになります。
設定
VPCサービスより”DHCP オプションセット”をクリックして、「DHCP オプションセットを作成」ボタンをクリックします。
[タグ設定]：判別できる名称を指定
[ドメイン名]：ドメイン名を入力
[ドメインネームサーバ]：ドメインのDNSアドレスを入力します。
左メニューの”VPC”をクリックして、適用するVPCを選択し、アクションメニューより”DHCP オプションセットを編集”ボタンを押します。
先ほど作成したDHCPオプションを選択します。
確認
DNSが切り替わっているか確認します。(windowsであれば下記コマンド)
切り替わらない時は、一度再起動してみてください。
ipconfig /all
DNS条件付きフォワーダーの設定
インターフェース型のエンドポイント（PrivateLinkを使用するタイプ）を使用する際は、何も設定しないと名前解決にグルーバルIPアドレスが返されます。
そこで、”amazonaws.com”の時はVPCのDNSサーバーを向くように設定します。
VPCのDNSサーバーのアドレスは、VPC IPv4 ネットワーク範囲のベースに 2 を付加した予約済み IP アドレスです。
DNSマネージャーから[条件付きフォワーダー]を右クリックして[新規条件付きフォワーダー]をクリックします。
nslookupでssm.ap-northeast-1.amazonaws.comの名前解決をすると、プライベートIPが返ってきました。
PS C:\Users\admin> nslookup
Default Server: xxx.yyy.co.jp
Address: 10.0.0.212
> ssm.ap-northeast-1.amazonaws.com
Server: xxx.yyy.co.jp
Address: 10.0.0.212
Non-authoritative answer:
Name: ssm.ap-northeast-1.amazonaws.com
Address: 10.0.0.171
パスワードポリシーの設定
経緯
通常ActiveDirectory環境ではパスワードポリシーを設定する際にグループポリシーの設定で変更するのですが、AWS MicrosoftADの場合はActive Directory 管理センターのPassword Setting Objectで設定します。
参考URL
AWS Managed Microsoft AD のパスワードポリシーを管理する
設定
ActiveDirectory管理センターのツールを起動後、ツリービューを選択し、[System]-[Password Settings Container]と選択して、変更するパスワードの設定をダブルクリックします。
CustomerPSO-01～CustomerPSO-05までありますが、デフォルトの内容は同じで、重複したときは、数字の小さい方が優先順がが高くなります。
今回は”CustomerPSO-01″を選択しました。
パスワード設定を変更して、”直接の適用先”で「追加」ボタンをクリックして、ユーザーまたはグループを選択します
確認
PowerShellを起動して下記のコマンドを入力します。
Get-ADUserResultantPasswordPolicy -Identity 'username'
Name項目に”CustomerPSO-01″が表示されていることを確認しました。
