我該如何設定自行管理 Microsoft Active Directory，以便建立多可用區域或單一可用區域 2 的 Amazon FSx for Windows File Server 共用？

解決方法

若要建立多可用區域或單一可用區域 2 共用，請先建立服務帳戶，然後委派所需的權限。

先決條件

• 自行管理 Microsoft Active Directory 的 DNS 伺服器，必須可在您用於檔案共用的同一個虛擬私有雲端 (VPC) 內連線。
• 您必須能在自行管理 Microsoft Active Directory 內建立服務帳戶並授與權限。
• 您必須對自行管理 Microsoft Active Directory 使用完整網域名稱 (FQDN)。不支援 Single Label Domain。

為服務帳戶建立自行管理 Microsoft Active Directory 使用者

1. 使用具有建立使用者權限的網域帳戶登入自行管理 Microsoft Active Directory 伺服器。
2. 開啟 Active Directory 使用者和電腦。
3. 開啟您要建立服務帳戶之組織單位 (OU) 的內容功能表 (按右鍵)，然後選擇 New (新增)，接著選擇 User (使用者)。
   **注意：**您可以對服務帳戶使用任何 OU。但是，若要使用不同的 OU 建立 Amazon FSx 物件，使用者必須對這兩個 OU 具有讀取權限。
4. 在 New Object - User (新增物件 - 使用者) 名稱與使用者登入名稱欄位中輸入資訊，然後選擇 Next (下一步)。
5. 為使用者建立密碼，然後選擇 Next (下一步)。
   **重要：**最佳實務為不要選取 Password never expires (密碼永不過期)。對於使用舊密碼的服務帳戶來說，此選項可能會導致安全風險。當清除 Password never expires (密碼永不過期) 設定時，帳戶會套用預設網域政策。請務必在密碼過期時更新服務帳戶憑證。
6. 若要建立使用者，請選擇 Finish (完成)。

將權限委派給服務帳戶

1. 開啟 Active Directory 使用者和電腦。
2. 選取您要建立 Amazon FSx 電腦物件的 OU。若您在建立期間未指定此 OU，系統會使用預設的 Domainname\Computers OU。
   **注意：**若您未使用預設 OU，請記下 distinguishedName 以供稍後步驟使用。若要尋找此值，在 Active Directory 使用者和電腦中選擇 View (檢視)，然後選擇 Advanced Features (進階功能)。開啟您要使用之 OU 的內容功能表 (按右鍵)，然後選擇 Properties (屬性)。distinguishedName 會顯示在 Attribute Editor (屬性編輯器) 索引標籤上。
3. 開啟您用於 Amazon FSx 的 OU 內容功能表 (按右鍵)，然後選擇 Delegate Control (委派控制)。
4. 選擇 Next (下一步)。
5. 在 Selected users and groups (已選取的使用者和群組) 中，選取您先前建立的服務帳戶，然後選擇 Next (下一步)。
6. 選擇 Create a custom task to delegate (建立自訂委派任務)，然後選擇 Next (下一步)。
7. 選擇 Only the following objects in the folder (僅資料夾中的下列物件)，然後選取 Computer objects (電腦物件)。
8. 同時選取 Create selected objects in this folder (在此資料夾中建立所選物件) 與 Delete selected objects in this folder (在此資料夾中刪除所選物件)。
9. 選擇 Next (下一步)。
10. 在 Permissions (權限) 中，選取以下項目：
    重設密碼
    讀取與寫入帳戶限制
    驗證寫入 DNS 主機名稱
    驗證寫入服務主體名稱
11. 選擇 Next (下一步)，然後選擇 Finish (完成)。

建立 Amazon FSx for Windows File Server 檔案系統

1. 開啟 Amazon FSx console (Amazon FSx 主控台)，然後選擇 Create file system (建立檔案系統)。
2. 選擇 Amazon FSx for Windows File Server，然後選擇 Next (下一步)。
3. 在 File system details (檔案系統詳細資料) 中，選擇部署類型 Multi-AZ (多可用區域)，然後指定您需要的 Storage Capacity (儲存容量) 與 Throughput capacity (輸送量容量)。
4. 在 Network & security (網路與安全性) 中，選取您自行管理 Microsoft Active Directory 的 VPC。然後選取兩個偏好的子網路。
5. 在 Windows authentication (Windows 驗證) 中，選擇 Self-managed Microsoft Active Directory (自行管理 Microsoft Active Directory)，然後輸入您先前建立之服務帳戶的詳細資訊。
   若您未使用預設 Computers OU，請輸入您在將權限委派給服務帳戶時記下的 OU distinguishedName。
   在 Delegated file system administrators group (委派檔案系統管理員群組) 中，若您未使用預設「網域管理員」群組，請輸入群組名稱。
6. 在 Encryption (加密) 中，使用預設設定，或選取您想要的加密選項。
7. 在 Backup and maintenance (備份與維護) 中，選擇您的偏好設定。因為 Amazon FSx 會在一般維護時段期間容錯移轉至第二部伺服器，預設設定不會造成停機時間。
8. 選擇 Next (下一步)。
9. 檢閱 Summary (摘要)。
   **重要：**摘要會顯示檔案系統建立後，是否可以編輯某個屬性。若想變更任何建立後無法編輯的屬性，這是您最後一次機會。
10. 選擇 Create file system (建立檔案系統)。
    檔案系統建立程序開始。此程序所需時間視共用大小而定，可能需要數小時。當程序完成時，Amazon FSx 主控台頂端會出現綠色橫幅，通知您檔案共用已可使用。

相關資訊

可用性與耐久性： 單一可用區域與多可用區域檔案系統