Configurar nomes de entidade principal de serviço (SPNs) para o Kerberos

Instalar o módulo Active Directory para PowerShell necessário

1. Faça logon em uma instância do Windows associada ao Active Directory ao qual seu sistema de arquivos do Amazon FSx está associado.

2. Abra o PowerShell como administrador.

3. Instale o módulo Active Directory para PowerShell usando o comando a seguir.

   Install-WindowsFeature RSAT-AD-PowerShell

Encontrar e excluir SPNs de alias de DNS atuais no objeto de computador do Active Directory do sistema de arquivos original

Se você tiver SPNs configurados para o alias de DNS que você atribuiu a outro sistema de arquivos em um objeto de computador no Active Directory, primeiro remova esses SPNs antes de adicionar SPNs ao objeto de computador do sistema de arquivos.

1. Encontre todos os SPNs atuais usando os comandos a seguir. Substitua alias_fqdn pelo alias de DNS que você associou ao sistema de arquivos na Etapa 1.

   ## Find SPNs for original file system's AD computer object
   $ALIAS = "alias_fqdn"
   SetSPN /Q ("HOST/" + $ALIAS)
   SetSPN /Q ("HOST/" + $ALIAS.Split(".")[0])

2. Exclua os SPNs HOST atuais retornados na etapa anterior usando o exemplo de script a seguir.

   • Substitua alias_fqdn pelo alias de DNS completo que você associou ao sistema de arquivos na Etapa 1.

   • Substitua file_system_DNS_name pelo nome DNS do sistema de arquivos original.

   ## Delete SPNs for original file system's AD computer object
   $Alias = "alias_fqdn"
   $FileSystemDnsName = "file_system_dns_name"
   $FileSystemHost = (Resolve-DnsName ${FileSystemDnsName} | Where Type -eq 'A')[0].Name.Split(".")[0]
   $FSxAdComputer = (Get-AdComputer -Identity ${FileSystemHost})
   
   SetSPN /D ("HOST/" + ${Alias}) ${FSxAdComputer}.Name
   SetSPN /D ("HOST/" + ${Alias}.Split(".")[0]) ${FSxAdComputer}.Name
   

3. Repita as etapas anteriores para cada alias de DNS que você associou ao sistema de arquivos na Etapa 1.

Definir SPNs no objeto de computador do Active Directory do sistema de arquivos do Amazon FSx

1. Defina novos SPNs para o sistema de arquivos do Amazon FSx executando os comandos a seguir.

   • Substitua file_system_DNS_name pelo nome DNS que o Amazon FSx atribuiu ao sistema de arquivos.

     Para encontrar o nome DNS do sistema de arquivos no console do Amazon FSx, escolha Sistemas de arquivos, escolha o sistema de arquivos e, em seguida, escolha o painel Rede e segurança na página de detalhes do sistema de arquivos.

     Você também pode obter o nome DNS na resposta da operação da API DescribeFileSystems.

   • Substitua alias_fqdn pelo alias de DNS completo que você associou ao sistema de arquivos na Etapa 1.

   ## Set SPNs for FSx file system AD computer object
   $FSxDnsName = "file_system_DNS_name"
   $Alias = "alias_fqdn"
   $FileSystemHost = (Resolve-DnsName $FSxDnsName | Where Type -eq 'A')[0].Name.Split(".")[0]
   $FSxAdComputer = (Get-AdComputer -Identity $FileSystemHost)
   
   ##Use the following command to set both the full FQDN and Alias SPNs
   Set-AdComputer -Identity $FSxAdComputer -Add @{"msDS-AdditionalDnsHostname" = @($Alias, $Alias.Split(".")[0])}

   nota

   A configuração de um SPN para o sistema de arquivos do Amazon FSx apresentará falha se existir um SPN para o alias de DNS no AD do objeto de computador do sistema de arquivos original. Para obter informações sobre como encontrar e excluir SPNs atuais, consulte Encontrar e excluir SPNs de alias de DNS atuais no objeto de computador do Active Directory do sistema de arquivos original.

2. Verifique se os novos SPNs estão configurados para o alias de DNS usando o exemplo de script a seguir. Certifique-se de que a resposta inclua dois SPNs HOST, HOST/alias e HOST/alias_fqdn, conforme descrito anteriormente neste procedimento.

   Substitua file_system_DNS_name pelo nome DNS que o Amazon FSx atribuiu ao sistema de arquivos. Para encontrar o nome DNS do sistema de arquivos no console do Amazon FSx, escolha Sistemas de arquivos, escolha o sistema de arquivos e, em seguida, escolha o painel Rede e segurança na página de detalhes do sistema de arquivos.

   Você também pode obter o nome DNS na resposta da operação da API DescribeFileSystems.

   ## Verify SPNs on FSx file system AD computer object
   $FileSystemDnsName = "file_system_dns_name"
   $FileSystemHost = (Resolve-DnsName ${FileSystemDnsName} | Where Type -eq 'A')[0].Name.Split(".")[0]
   $FSxAdComputer = (Get-AdComputer -Identity ${FileSystemHost})
   SetSpn /L ${FSxAdComputer}.Name

3. Repita as etapas anteriores para cada alias de DNS que você associou ao sistema de arquivos na Etapa 1.