Utilisation d'un Microsoft Active Directory autogéré

Si votre organisation gère les identités et les appareils à l'aide d'un Active Directory autogéré sur site ou dans le cloud, vous pouvez associer un système de fichiers FSx pour Windows File Server à votre domaine Active Directory lors de sa création.

Lorsque vous joignez votre système de fichiers à votre Active Directory autogéré, votre système de fichiers FSx pour Windows File Server se trouve dans la même forêt Active Directory (le conteneur logique supérieur d'une configuration Active Directory contenant des domaines, des utilisateurs et des ordinateurs) et dans le même domaine Active Directory que vos utilisateurs et les ressources existantes (y compris les serveurs de fichiers existants).

Conditions préalables

Avant de joindre un système de fichiers FSx pour Windows File Server à votre domaine Microsoft Active Directory autogéré, vérifiez les conditions préalables suivantes pour vous assurer que vous pouvez joindre correctement votre système de fichiers Amazon FSx à votre Active Directory autogéré.

On-premises configurations

Il s'agit des prérequis pour votre Microsoft Active Directory autogéré, sur site ou basé sur le cloud, auquel vous rejoindrez le système de fichiers Amazon FSx.

Vous pouvez valider votre configuration Active Directory, notamment en testant la connectivité de plusieurs contrôleurs de domaine, à l'aide de l'outil de validation Amazon FSx Active Directory. Pour limiter le nombre de contrôleurs de domaine nécessitant une connectivité, vous pouvez également établir une relation de confiance entre vos contrôleurs de domaine sur site et AWS Managed Microsoft AD. Pour de plus amples informations, veuillez consulter Utilisation d'un modèle d'isolation des forêts de ressources.

Configurations réseau

Cette section décrit les exigences de configuration réseau pour joindre un système de fichiers à votre Active Directory autogéré. Nous vous recommandons vivement d'utiliser l'outil de validation Amazon FSx Active Directory pour tester vos paramètres réseau avant d'essayer de joindre votre système de fichiers à votre Active Directory autogéré.

Autorisations du compte de service

Vous devez disposer d'un compte de service dans votre Microsoft Active Directory autogéré avec des autorisations déléguées pour joindre des objets informatiques à votre domaine Active Directory autogéré. Un compte de service est un compte utilisateur de votre Active Directory autogéré auquel certaines tâches ont été déléguées.

Voici l'ensemble minimum d'autorisations qui doivent être déléguées au compte de service Amazon FSx dans l'unité d'organisation à laquelle vous rejoignez le système de fichiers.

Pour plus d'informations, consultez la rubrique de documentation de Microsoft Windows Server intitulée Erreur : l'accès est refusé lorsque des utilisateurs non administrateurs auxquels le contrôle a été délégué tentent de joindre des ordinateurs à un contrôleur de domaine.

Pour plus d'informations sur la définition des autorisations requises, consultezDélégation d'autorisations au compte ou au groupe de service Amazon FSx.

Meilleures pratiques lors de l'utilisation d'un Active Directory autogéré

Stockage des informations d'identification Active Directory à l'aide AWS Secrets Manager

Vous pouvez les utiliser AWS Secrets Manager pour stocker et gérer en toute sécurité les informations d'identification de votre compte de service de jointure de domaine Microsoft Active Directory. Cette approche élimine le besoin de stocker les informations d'identification sensibles en texte clair dans le code de l'application ou les fichiers de configuration, renforçant ainsi votre posture de sécurité.

Vous pouvez également configurer des politiques IAM pour gérer l'accès à vos secrets et configurer des politiques de rotation automatique pour vos mots de passe.

# Set region and get Account ID
REGION=${AWS_REGION:-$(aws configure get region)}
ACCOUNT_ID=$(aws sts get-caller-identity --query 'Account' --output text)

# Create Key
KMS_KEY_ARN=$(aws kms create-key --policy "{
  \"Version\": \"2012-10-17\", 
  \"Statement\": [
    {
      \"Sid\": \"Enable IAM User Permissions\",
      \"Effect\": \"Allow\",
      \"Principal\": {
        \"AWS\": \"arn:aws:iam::$ACCOUNT_ID:root\"
      },
      \"Action\": \"kms:*\",
      \"Resource\": \"*\"
    },
    {
      \"Sid\": \"Allow FSx to use the KMS key\",
      \"Effect\": \"Allow\",
      \"Principal\": {
        \"Service\": \"fsx.amazonaws.com\"
      },
      \"Action\": [
        \"kms:Decrypt\",
        \"kms:DescribeKey\"
      ],
      \"Resource\": \"*\",
      \"Condition\": {
        \"StringEquals\": {
          \"kms:ViaService\": \"secretsmanager.$REGION.amazonaws.com\",
          \"aws:SourceAccount\": \"$ACCOUNT_ID\"
        },
        \"ArnLike\": {
          \"aws:SourceArn\": \"arn:aws:fsx:$REGION:$ACCOUNT_ID:file-system/*\"
        }
      }
    }
  ]
}" --query 'KeyMetadata.Arn' --output text)

echo "KMS Key ARN: $KMS_KEY_ARN"

# Set region and get account ID
REGION=${AWS_REGION:-$(aws configure get region)}
ACCOUNT_ID=$(aws sts get-caller-identity --query 'Account' --output text)

# Replace with your KMS key ARN from Step 1
KMS_KEY_ARN="arn:aws:kms:us-east-2:123456789012:key/1234542f-d114-555b-9ade-fec3c9200d8e"

# Replace with your Active Directory credentials
AD_USERNAME="Your_Username"  
AD_PASSWORD="Your_Password"

# Create the secret
SECRET_ARN=$(aws secretsmanager create-secret \
  --name "FSxSecret" \
  --description "Secret for FSx access" \
  --kms-key-id "$KMS_KEY_ARN" \
  --secret-string "{\"CUSTOMER_MANAGED_ACTIVE_DIRECTORY_USERNAME\":\"$AD_USERNAME\",\"CUSTOMER_MANAGED_ACTIVE_DIRECTORY_PASSWORD\":\"$AD_PASSWORD\"}" \
  --region "$REGION" \
  --query 'ARN' \
  --output text)

echo "Secret created with ARN: $SECRET_ARN"

# Attach the resource policy with proper formatting
aws secretsmanager put-resource-policy \
  --secret-id "FSxSecret" \
  --region "$REGION" \
  --resource-policy "{
    \"Version\": \"2012-10-17\", 
    \"Statement\": [
      {
        \"Effect\": \"Allow\",
        \"Principal\": {
          \"Service\": \"fsx.amazonaws.com\"
        },
        \"Action\": [
          \"secretsmanager:GetSecretValue\",
          \"secretsmanager:DescribeSecret\"
        ],
        \"Resource\": \"$SECRET_ARN\",
        \"Condition\": {
          \"StringEquals\": {
            \"aws:SourceAccount\": \"$ACCOUNT_ID\"
          },
          \"ArnLike\": {
            \"aws:SourceArn\": \"arn:aws:fsx:$REGION:$ACCOUNT_ID:file-system/*\"
          }
        }
      }
    ]
  }"

echo "Resource policy attached successfully"

Compte de service Amazon FSx

Les systèmes de fichiers Amazon FSx associés à un Active Directory autogéré nécessitent un compte de service valide pendant toute leur durée de vie. Amazon FSx utilise le compte de service pour gérer entièrement vos systèmes de fichiers et effectuer des tâches administratives qui nécessitent de dissocier et de réassocier des objets informatiques à votre domaine Active Directory. Ces tâches incluent le remplacement d'un serveur de fichiers défaillant et l'application de correctifs au logiciel Microsoft Windows Server. Pour qu'Amazon FSx puisse effectuer ces tâches, le compte de service Amazon FSx doit disposer, au minimum, de l'ensemble des autorisations décrites dans la section qui lui est Autorisations du compte de service déléguée.

Bien que les membres du groupe des administrateurs de domaine disposent de privilèges suffisants pour effectuer ces tâches, nous vous recommandons vivement d'utiliser un compte de service distinct pour déléguer les privilèges requis à Amazon FSx.

Pour plus d'informations sur la façon de déléguer des privilèges à l'aide des fonctionnalités de contrôle des délégués ou des fonctionnalités avancées du composant logiciel enfichable MMC pour utilisateurs et ordinateurs Active Directory, consultez. Délégation d'autorisations au compte ou au groupe de service Amazon FSx

Si vous mettez à jour votre système de fichiers avec un nouveau compte de service, celui-ci doit disposer des autorisations et privilèges nécessaires pour rejoindre votre Active Directory et disposer des autorisations de contrôle total pour les objets informatiques existants associés au système de fichiers. Pour de plus amples informations, veuillez consulter Modifier le compte de service Amazon FSx.

Nous vous recommandons de stocker les informations d'identification de votre compte de service Active Directory AWS Secrets Manager pour renforcer la sécurité. Cela élimine le besoin de stocker les informations d'identification sensibles en texte clair et s'aligne sur les meilleures pratiques de sécurité. Pour de plus amples informations, veuillez consulter Utilisation d'un Microsoft Active Directory autogéré.