Wie kann ich ein selbstverwaltetes Microsoft Active Directory einrichten, sodass ich 2 Amazon-FSx-Freigaben mit Multi-AZ oder Single-AZ für Windows File Server erstellen kann?

Lösung

Um 2 Freigaben mit Multi-AZ oder Single-AZ zu erstellen, erstelle zunächst ein Servicekonto und delegiere dann die erforderlichen Berechtigungen.

Voraussetzungen

• Die DNS-Server für das selbstverwaltete Microsoft Active Directory müssen innerhalb derselben Virtual Private Cloud (VPC) erreichbar sein, die du für die Dateifreigabe verwendest.
• Du musst in der Lage sein, ein Servicekonto im selbstverwalteten Microsoft Active Directory zu erstellen und Berechtigungen für dieses zu gewähren.
• Du musst einen Fully Qualified Domain Name (FQDN, vollqualifizierter Domain-Namen) für das selbstverwaltete Microsoft Active Directory verwenden. Single Label Domain wird nicht unterstützt.

Einen selbstverwalteten Microsoft-Active-Directory-Benutzer für ein Servicekonto erstellen

1. Melde dich beim selbstverwalteten Microsoft-Active-Directory-Server als Domain-Konto mit Berechtigungen zum Erstellen von Benutzern an.
2. Öffne „Active Directory-Benutzer und -Computer“.
3. Öffne das Kontextmenü (Rechtsklick) für die Organisationseinheit (OU), in der du das Servicekonto erstellen möchtest, und wähle dann Neu und dann Benutzer.
   Hinweis: Du kannst jede Organisationseinheit für das Servicekonto verwenden. Um jedoch eine andere Organisationseinheit zum Erstellen von Amazon-FSx-Objekten zu verwenden, müssen Benutzer Lesezugriff auf beide Organisationseinheiten haben.
4. Gib die Informationen für die Felder Name von Neues Objekt – Benutzer und Benutzeranmeldename ein und wähle dann Weiter.
5. Erstelle ein Passwort für den/die Benutzer:in und wähle dann Weiter.
   Wichtig: Es hat sich bewährt, die Option Passwort läuft nie ab nicht auszuwählen. Diese Wahl kann zu einem Sicherheitsrisiko bei Servicekonten führen, die alte Passwörter verwenden. Wenn die Einstellung Passwort läuft nie ab, gelöscht ist, unterliegt das Konto der Standard-Domain-Rchtlinie. Stelle sicher, dass du die Anmeldeinformationen für das Servicekonto aktualisierst, wenn das Passwort abläuft.
6. Um den/die Benutzer:in zu erstellen, wähle Fertigstellen.

Delegieren von Berechtigungen an das Servicekonto

1. Öffne „Active Directory-Benutzer und -Computer“.
2. Wähle die Organisationseinheit aus, in der du Amazon-FSx-Computerobjekte erstellen möchtest. Wenn du diese Organisationseinheit bei der Erstellung nicht angibst, wird die Standard-Organisationseinheit „Domainname\Computers“ verwendet.
   Hinweis: Wenn du nicht die Standard-Organisationseinheit verwendest, notiere dir den distinguishedName für einen späteren Schritt. Um diesen Wert zu ermitteln, wähle unter „Active Directory-Benutzer und -Computer“ die Option Ansicht und dann Erweiterte Funktionen aus. Öffne das Kontextmenü (Rechtsklick) für die Organisationseinheit, die du verwenden möchtest, und wähle dann Eigenschaften. Der distinguishedName wird auf der Registerkarte Attribut-Editor angezeigt.
3. Öffne das Kontextmenü (Rechtsklick) für die Organisationseinheit, die du für Amazon FSx verwendest, und wähle dann Delegierung der Steuerung.
4. Wähle Weiter aus.
5. Wähle für Ausgewählte Benutzer und Gruppen das Servicekonto aus, das du zuvor erstellt hast, und klicke dann auf Weiter.
6. WähleBenutzerdefinierte Aufgaben zum Zuweisen erstellen aus und klicke dann auf Weiter.
7. Wähle Nur die folgenden Objekte im Ordner aus und wähle dann Computerobjekte aus.
8. Wähle sowohl Ausgewählte Objekte in diesem Ordner erstellen als auch Ausgewählte Objekte in diesem Ordner löschen aus.
9. Wähle Weiter aus.
10. Wähle für Berechtigungen Folgendes aus:
    Passwort zurücksetzen
    Kontoeinschränkungen lesen und schreiben
    Überprüfter Schreibzugriff auf DNS-Hostnamen
    Überprüfter Schreibzugriff auf den Dienstprinzipalnamen
11. Wähle Weiter und dann Fertigstellen.

Das Dateisystem von Amazon FSx für Windows File Server erstellen

1. Öffne die Amazon-FSx-Konsole und wähle dann Dateisystem erstellen.
2. Wähle Amazon FSx für Windows File Server und dann Weiter.
3. Wähle für Dateisystemdetails den Bereitstellungstyp Multi-AZ aus und gib dann die benötigte Speicherkapazität und Durchsatzkapazität an.
4. Wähle unter Netzwerk und Sicherheit die VPC für das selbstverwaltete Microsoft Active Directory aus. Wähle dann zwei bevorzugte Subnetze aus.
5. Wähle für Windows-Authentifizierung Selbstverwaltetes Microsoft Active Directory aus und gib dann die Details für das zuvor erstellte Servicekonto ein.
   Wenn du nicht die Standard-Computer-Organisationseinheit verwendest, gib den distinguishedName der Organisationseinheit ein, den du beim Delegieren von Berechtigungen an das Servicekonto notiert hast.
   Gib für die Gruppe Administratorgruppe für delegiertes Dateisystem ein, wenn du nicht die Standardgruppe der Domain-Administratoren verwendest.
6. Verwende für Verschlüsselung die Standardeinstellungen oder wähle die gewünschten Verschlüsselungsoptionen aus.
7. Wähle für Sicherung und Wartung deine Einstellungen. Da Amazon FSx während des normalen Wartungsfensters ein Failover auf den zweiten Server ausführt, verursachen die Standardeinstellungen keine Ausfallzeiten.
8. Wähle Weiter aus.
9. Lies die Zusammenfassung.
   Wichtig: Die Zusammenfassung zeigt dir, ob du ein Attribut bearbeiten kannst, nachdem das Dateisystem erstellt wurde. Dies ist die letzte Möglichkeit, Attribute zu ändern, die nach der Erstellung nicht bearbeitet werden können.
10. Wähle Dateisystem erstellen.
    Die Erstellung des Dateisystems beginnt. Der Vorgang kann je nach Größe der Freigabe einige Stunden dauern. Wenn der Vorgang abgeschlossen ist, erscheint oben in der Amazon-FSx-Konsole ein grünes Banner, das dir zeigt, dass die Dateifreigabe verfügbar ist.

Ähnliche Informationen

Verfügbarkeit und Zuverlässigkeit: Single-AZ- und Multi-AZ-Dateisysteme