View a markdown version of this page

Menggabungkan sistem file Amazon FSx ke domain Direktori Aktif Microsoft yang dikelola sendiri - Amazon FSx for Windows File Server
Sebelum Anda mulai

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Menggabungkan sistem file Amazon FSx ke domain Direktori Aktif Microsoft yang dikelola sendiri

Saat Anda membuat sistem file FSx for Windows File Server baru, Anda dapat mengonfigurasi integrasi Microsoft Active Directory sehingga bergabung dengan domain Microsoft Active Directory yang dikelola sendiri. Untuk melakukannya, berikan informasi berikut untuk Microsoft Active Directory Anda:

  • Nama domain (FQDN) yang sepenuhnya memenuhi syarat dari direktori Microsoft Active Directory lokal Anda.

    catatan

    Amazon FSx saat ini tidak mendukung domain Single Label Domain (SLD).

  • Alamat IP dari server DNS untuk domain Anda.

  • Kredensyal untuk akun layanan Direktori Aktif yang digunakan Amazon FSx untuk bergabung dengan sistem file ke domain Anda. Anda dapat memberikan ini sebagai:

    • Opsi 1: AWS Secrets Manager rahasia ARN - Rahasia yang berisi nama pengguna dan kata sandi untuk akun layanan di domain Direktori Aktif Anda. Untuk informasi selengkapnya, lihat Menyimpan kredensil Active Directory menggunakan AWS Secrets Manager.

    • Opsi 2: Kredensyal Plaintext

      • Nama pengguna akun layanan — Nama pengguna akun layanan di Microsoft Active Directory yang ada. Jangan sertakan awalan atau akhiran domain. Misalnya, untukEXAMPLE\ADMIN, gunakan sajaADMIN.

      • Kata sandi akun layanan — Kata sandi untuk akun layanan.

Anda juga dapat menentukan pilihan berikut:

  • Unit Organisasi tertentu (OU) dalam domain yang Anda ingin agar sistem file Amazon FSx bergabung dengannya.

  • Nama grup domain yang anggotanya diberikan hak administratif untuk sistem file Amazon FSx. Nama grup domain yang Anda berikan harus unik di Direktori Aktif Anda.

Setelah Anda menentukan informasi ini, Amazon FSx bergabung dengan sistem file baru Anda ke domain Direktori Aktif yang dikelola sendiri menggunakan akun layanan yang Anda berikan.

penting

Amazon FSx hanya mendaftarkan catatan DNS untuk sistem file jika domain Active Directory tempat Anda bergabung menggunakan Microsoft DNS sebagai DNS default. Jika Anda menggunakan DNS pihak ketiga, Anda perlu mengatur entri DNS secara manual untuk sistem file Amazon FSx setelah Anda membuat sistem file Anda. Untuk informasi lebih lanjut tentang memilih alamat IP yang benar untuk digunakan untuk sistem file, lihat Mendapatkan alamat IP sistem file yang benar untuk digunakan untuk entri DNS manual.

Sebelum Anda mulai

Pastikan bahwa Anda telah menyelesaikan Prasyarat yang dirinci di Menggunakan Microsoft Active Directory yang dikelola sendiri.

  1. Buka konsol Amazon FSx di. https://console.aws.amazon.com/fsx/

  2. Pada dasbor, pilih Buat sistem file untuk memulai wizard pembuatan sistem file.

  3. Pilih FSx for Windows File Server dan kemudian pilih Berikutnya. Halaman Buat sistem file muncul.

  4. Berikan nama untuk sistem file Anda. Anda dapat menggunakan maksimum 256 huruf Unicode, spasi, dan angka, serta karakter khusus + - =. _ : /

  5. Untuk Kapasitas penyimpanan, masukkan kapasitas penyimpanan sistem file Anda, dalam GiB. Jika Anda menggunakan penyimpanan SSD, masukkan bilangan bulat berapa pun dalam kisaran 32–65,536. Jika Anda menggunakan penyimpanan HDD, masukkan bilangan bulat berapa pun dalam kisaran 2,000–65,536. Anda dapat meningkatkan jumlah kapasitas penyimpanan sesuai kebutuhan setiap saat setelah Anda membuat sistem file. Untuk informasi selengkapnya, lihat Mengelola kapasitas penyimpanan.

  6. Pertahankan Kapasitas throughput pada pengaturan default-nya. Kapasitas throughput adalah kecepatan berkelanjutan di mana server file yang menyimpan sistem file Anda dapat melayani data. Pengaturan Kapasitas throughput yang disarankan didasarkan pada jumlah kapasitas penyimpanan yang Anda pilih. Jika Anda membutuhkan lebih dari kapasitas throughput yang disarankan, pilih Tentukan kapasitas throughput, dan kemudian pilih nilai. Untuk informasi selengkapnya, lihat Performa fsX for Windows File Server.

    Anda dapat mengubah kapasitas throughput sesuai kebutuhan setiap saat setelah Anda membuat sistem file. Untuk informasi selengkapnya, lihat Mengelola kapasitas throughput.

  7. Pilih VPC yang ingin Anda kaitkan dengan sistem file Anda. Untuk tujuan latihan memulai ini, pilih VPC yang sama seperti untuk Directory Service direktori Anda dan instans Amazon EC2.

  8. Pilih nilai untuk Availability Zone dan untuk Subnet.

  9. Untuk Grup keamanan VPC, grup keamanan default untuk Amazon VPC Anda sudah ditambahkan ke sistem file Anda di konsol. Pastikan bahwa grup keamanan dan ACL Jaringan VPC untuk subnet(-subnet) tempat Anda membuat sistem file FSx Anda mengizinkan lalu lintas pada port dan dengan arah yang ditunjukkan dalam diagram berikut.

    Persyaratan konfigurasi port FSx for Windows File Server untuk grup keamanan VPC dan ACL jaringan untuk subnet tempat sistem file dibuat.

    Tabel berikut mengidentifikasi peran masing-masing port.

    Protokol

    Port

    Peran

    TCP/UDP

    53

    Sistem Nama Domain (DNS)

    TCP/UDP

    88

    Autentikasi Kerberos

    TCP/UDP

    464

    Change/Set kata sandi

    TCP/UDP

    389

    Protokol Akses Direktori Ringan (LDAP)
    UDP 123

    Protokol Waktu Jaringan (NTP)
    TCP 135

    Lingkungan Komputasi Terdistribusi/Pemeta Titik Akhir (DCE/EPMAP)

    TCP

    445

    Pembagian file SMB Layanan Direktori

    TCP

    636

    Protokol Akses Direktori Ringan di atas TLS/SSL (LDAPS)

    TCP

    3268

    Katalog Global Microsoft

    TCP

    3269

    Katalog Global Microsoft melalui SSL

    TCP

    5985

    WinRM 2.0 (Pengelolaan Jarak Jauh Microsoft Windows)

    TCP

    9389

    Layanan Web Microsoft Active Directory DS, PowerShell

    TCP

    49152 - 65535

    Port efemeral untuk RPC
    penting

    Mengizinkan lalu lintas keluar pada port TCP 9389 diperlukan untuk Single-AZ 2 dan semua Multi-AZ penerapan sistem file.

    catatan

    Jika Anda menggunakan ACL jaringan VPC, Anda juga harus mengizinkan lalu lintas keluar pada port dinamis (49152-65535) dari sistem file FSx Anda.

    • Aturan keluar untuk mengizinkan semua lalu lintas ke alamat IP yang terkait dengan server DNS dan pengontrol domain untuk domain Microsoft Active Directory yang dikelola sendiri. Untuk informasi selengkapnya, lihat Dokumentasi Microsoft tentang mengkonfigurasi firewall Anda untuk komunikasi Direktori Aktif.

    • Pastikan bahwa aturan lalu lintas ini juga dicerminkan pada firewall yang berlaku untuk masing-masing pengontrol domain Active Directory, server DNS, klien FSx, dan administrator FSx.

    catatan

    Jika Anda memiliki situs Direktori Aktif yang dijabarkan, Anda harus memastikan bahwa subnet(-subnet) di VPC yang terkait dengan sistem file Amazon FSx dijabarkan dalam situs Direktori Aktif, dan bahwa tidak ada konflik antara subnet (-subnet) di VPC Anda dan subnet di situs lain. Anda dapat melihat dan mengubah pengaturan ini menggunakan situs Direktori Aktif dan snap-in MMC Layanan.

    penting

    Sementara grup keamanan Amazon VPC memerlukan port untuk dibuka hanya dalam arah yang jaringan lalu lintasnya dimulai, sebagian besar firewall Windows dan ACL jaringan VPC memerlukan port untuk terbuka di kedua arah.

  10. Untuk otentikasi Windows, pilih Self-managed Microsoft Active Directory.

  11. Masukkan nilai untuk nama domain yang sepenuhnya memenuhi syarat untuk direktori Microsoft Active Directory yang dikelola sendiri.

    catatan

    Nama domain tidak boleh dalam format Single Label Domain (SLD). Amazon FSx saat ini tidak mendukung domain SLD.

    penting

    Untuk Single-AZ 2 dan semua sistem Multi-AZ file, nama domain Active Directory tidak boleh melebihi 47 karakter.

  12. Masukkan nilai untuk Unit Organisasi untuk direktori Microsoft Active Directory yang dikelola sendiri.

    catatan

    Pastikan bahwa akun layanan yang Anda berikan memiliki izin yang didelegasikan ke OU yang Anda tentukan di sini atau ke default OU jika Anda tidak menentukannya.

  13. Masukkan setidaknya satu, dan tidak lebih dari dua, nilai untuk Alamat IP Server DNS untuk direktori Microsoft Active Directory yang dikelola sendiri.

  14. Kredensyal akun layanan - Pilih cara memberikan kredensyal akun layanan Anda:

    • Opsi 1: AWS Secrets Manager rahasia ARN - Rahasia yang berisi nama pengguna dan kata sandi untuk akun layanan di domain Direktori Aktif Anda. Untuk informasi selengkapnya, lihat Menyimpan kredensil Active Directory menggunakan AWS Secrets Manager.

    • Opsi 2: Kredensyal Plaintext

      • Nama pengguna akun layanan — Nama pengguna akun layanan di Microsoft Active Directory yang ada. Jangan sertakan awalan atau akhiran domain. Misalnya, untukEXAMPLE\ADMIN, gunakan sajaADMIN.

      • Kata sandi akun layanan — Kata sandi untuk akun layanan.

      • Konfirmasi kata sandi — Kata sandi untuk akun layanan.

      penting

      JANGAN sertakan prefiks domain (corp.com\ServiceAcct) atau sufiks domain (ServiceAcct@corp.com) saat memasukkan Nama pengguna akun layanan.

      JANGAN menggunakan Nama yang Dibedakan (DN) saat memasukkan Nama pengguna akun layanan (CN=ServiceAcct,OU=example,DC=corp,DC=com).

  15. Untuk grup administrator sistem file yang didelegasikan, tentukan Domain Admins grup atau grup administrator sistem file yang didelegasikan khusus (jika Anda telah membuatnya). Grup yang Anda tentukan harus memiliki wewenang yang didelegasikan untuk melakukan tugas administratif pada sistem file Anda. Jika Anda tidak memberikan nilai, Amazon FSx menggunakan grup Domain Admins Builtin. Perhatikan bahwa Amazon FSx tidak mendukung memiliki Delegated file system administrators group (baik Domain Admins grup atau grup kustom yang Anda tentukan) yang terletak di wadah bawaan.

    penting

    Jika Anda tidak menyediakan grup administrator sistem file yang didelegasikan, Amazon FSx secara default mencoba menggunakan Domain Admins grup bawaan di domain Active Directory Anda. Jika nama grup Builtin ini telah diubah atau jika Anda menggunakan grup yang berbeda untuk administrasi domain, Anda harus memberikan nama tersebut untuk grup di sini.

    penting

    JANGAN sertakan awalan domain (corp.com\FSxAdmins) atau akhiran domain (FSxAdmins@corp .com) saat memberikan parameter nama grup.

    JANGAN menggunakan Nama yang Dibedakan (DN) untuk grup. Contoh nama yang dibedakan adalah CN =FSxAdmins, OU = Contoh, DC = Corp, DC = com.

Contoh berikut membuat sistem file FSx for Windows File Server dengan SelfManagedActiveDirectoryConfiguration di Availability us-east-2 Zone. 

aws fsx --region us-east-2 \
create-file-system \
--file-system-type WINDOWS \
--storage-capacity 300 \
--security-group-ids security-group-id \
--subnet-ids subnet-id\
--windows-configuration SelfManagedActiveDirectoryConfiguration='{DomainName="corp.example.com", \
OrganizationalUnitDistinguishedName="OU=FileSystems,DC=corp,DC=example,DC=com",FileSystemAdministratorsGroup="FSxAdmins", \
UserName="FSxService",Password="password", \
   DnsIps=["10.0.1.18"]}',ThroughputCapacity=8
penting

Jangan memindahkan objek komputer yang dibuat Amazon FSx di OU setelah sistem file Anda dibuat. Dengan melakukannya, sistem file Anda akan mengalami kesalahan konfigurasi.