View a markdown version of this page

Aprovisionamiento de una cuenta de servicio de Active Directory - AWS Orientación prescriptiva

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Aprovisionamiento de una cuenta de servicio de Active Directory

Si desea unir Amazon FSx for NetApp ONTAP SVMs a su dominio de Active Directory local, debe mantener una cuenta de servicio de Active Directory válida durante toda la vida útil del sistema de FSx archivos de Amazon. Amazon FSx debe poder gestionar completamente el sistema de archivos y realizar tareas que requieran separar y volver a unir el dominio de Active Directory, como sustituir un archivo SVM defectuoso o aplicar parches NetApp al software ONTAP. Mantenga actualizada la configuración de Active Directory, incluidas las credenciales de la cuenta de servicio, en Amazon FSx.

Esta cuenta de servicio debe tener los permisos siguientes en Active Directory:

  • Permisos para vincular los equipos al dominio

  • En la unidad organizativa (UO) en la que va a vincular el sistema de archivos, los permisos siguientes para:

    • Restablecer contraseñas

    • Impedir que las cuentas lean y escriban datos

    • Escribir en el nombre de host del DNS

    • Escribir en el nombre de entidad principal del servicio

    • Crear y eliminar objetos de equipo

    • Leer y escribir las restricciones de la cuenta

Un administrador de dominio de Active Directory puede crear la cuenta de servicio de manera manual mediante el complemento MMC Usuarios y equipos de Active Directory. Para obtener instrucciones, consulte Delegar permisos en su cuenta de FSx servicio de Amazon en la documentación FSx de ONTAP. También podría configurar esta cuenta mediante programación. Por ejemplo, puede utilizar PowerShell, como se muestra en el siguiente ejemplo.

param(
    [string] $DomainName,
    [string] $Username, #Service Account username
    [string] $Firstname, #Service Account Firstname
    [string] $Lastname, #Service Account Lastname
    [string] $saOU, #OU where Service Account is created
    [string] $delegateOrganizationalUnit #OU where Service Account has delegation
)

#Retrieve Active Directory domain credentials of a Domain Admin
$DomainCredential = ...

#Import Active Directory PowerShell module
...

#Create Service Account in specified OU
New-Active DirectoryUser -Credential $DomainCredential -SamAccountName $Username -UserPrincipalName "$Username@$DomainName" -Name "$Firstname $Lastname" -GivenName $Firstname -Surname $Lastname -Enabled $True -ChangePasswordAtLogon $False -DisplayName "$Lastname, $Firstname" -Path $saOU -CannotChangePassword $True -PasswordNotRequired $True
$user = Get-Active Directoryuser -Identity $Username
$userSID = [System.Security.Principal.SecurityIdentifier] $user.SID

#Connect to Active Directory drive
Set-Location Active Directory:

$ACL = Get-Acl -Path $delegateOrganizationalUnit
$Identity = [System.Security.Principal.IdentityReference] $userSID

#GUID of Active Directory Class
$Computers = [GUID]"bf967a86-0de6-11d0-a285-00aa003049e2"
$ResetPassword = [GUID]"00299570-246d-11d0-a768-00aa006e0529"
$ValidatedDNSHostName = [GUID]"72e39547-7b18-11d1-adef-00c04fd8d5cd"
$ValidatedSPN = [GUID]"f3a64788-5306-11d1-a9c5-0000f80367c1"
$AccountRestrictions = [GUID]"4c164200-20c0-11d0-a768-00aa006e0529"

#Delegation list
$rules = @()
$rules += $(New-Object System.DirectoryServices.ActiveDirectoryAccessRule($Identity, "CreateChild, DeleteChild", "Allow", $Computers, "All"))
$rules += $(New-Object System.DirectoryServices.ActiveDirectoryAccessRule($Identity, "ExtendedRight", "Allow", $ResetPassword, "Descendents", $Computers))
$rules += $(New-Object System.DirectoryServices.ActiveDirectoryAccessRule($Identity, "ReadProperty, WriteProperty", "Allow", $AccountRestrictions, "Descendents", $Computers))
$rules += $(New-Object System.DirectoryServices.ActiveDirectoryAccessRule($userSID, "Self", "Allow", $ValidatedDNSHostName, "Descendents", $Computers))
$rules += $(New-Object System.DirectoryServices.ActiveDirectoryAccessRule($userSID, "Self", "Allow", $ValidatedSPN, "Descendents", $Computers))

#Set delegation
foreach($rule in $rules) {
    $ACL.AddAccessRule($rule)
}
Set-Acl -Path $delegateOrganizationalUnit -AclObject $ACL