本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

将 Amazon FSx 与 AWS Directory Service for Microsoft Active Directory 结合使用

AWS Directory Service for Microsoft Active Directory（AWS Managed Microsoft AD）在云中提供完全托管、高度可用的实际 Active Directory 目录。您可以在工作负载部署中使用这些 Active Directory 目录。

如果您的组织使用 AWS Managed Microsoft AD 管理身份和设备，我们建议您将 Amazon FSx 文件系统与 AWS Managed Microsoft AD 集成。此操作将为您提供一个使用 Amazon FSx 和 AWS Managed Microsoft AD 的一站式解决方案。AWS 会处理这两项服务的部署、操作、高可用性、可靠性、安全性和无缝集成，使您能够专注于高效操作自己的工作负载。

您可以使用 Amazon FSx 控制台来将 Amazon FSx 与 AWS Managed Microsoft AD 设置结合使用。在控制台中创建新的 FSx for Windows File Server 文件系统时，请选择 Windows 身份验证部分下的 AWS 托管 Active Directory。您还可以选择要使用的特定目录。有关更多信息，请参阅 步骤 5。创建文件系统。

您的组织可能会在自行管理的 Active Directory 域（本地或云端）上管理身份和设备。如果是，您可以将您的 Amazon FSx 文件系统直接加入到现有的自行管理的 Active Directory 域中。有关更多信息，请参阅 使用自行管理的 Microsoft Active Directory。

此外，您还可以将系统设置为从资源林隔离模型获益。在此模型中，您可以将资源（包括 Amazon FSx 文件系统）隔离到与用户所在的 Active Directory 林相互独立的 AD 林中。

联网先决条件

在创建已加入 AWS Microsoft 托管 Active Directory 域的 FSx for Windows File Server 文件系统之前，请确保您已经创建并设置了以下网络配置：

使用 Amazon FSx 网络验证工具验证与 Active Directory 域控制器之间的连接。

使用资源林隔离模型

将文件系统加入到 AWS Managed Microsoft AD 设置。即可在您创建的 AWS Managed Microsoft AD 域和现有的自行管理的 Active Directory 域之间建立单向林信任关系。对于 Amazon FSx 中的 Windows 身份验证，您只需要单向林信任，即 AWS 托管的林信任企业域林。

您的企业域为受信任域，而 Directory Service 托管的域为信任域。经过验证的身份验证请求只能在域之间单向传输，即允许企业域中的账户根据托管的域中共享的资源进行身份验证。在这种情况下，Amazon FSx 仅与 AWS 托管的域进行交互。在 Kerberos 身份验证场景中，来自公司客户端的身份验证请求由公司域进行验证，然后公司域将其转交给 AWS Managed Microsoft AD，最后客户端向 FSx for Windows File Server 文件系统提交服务票证。有关信任的更多信息，请参阅 AWS 安全博客中的 Everything you wanted to know about trusts with AWS Managed Microsoft AD。

测试 Active Directory 配置

在创建 Amazon FSx 文件系统之前，我们建议您使用 Amazon FSx 网络验证工具验证与 Active Directory 域控制器之间的连接。有关更多信息，请参阅 验证与 Active Directory 域控制器的连接。

下列相关资源能够帮助您将 AWS Directory Service for Microsoft Active Directory 与 FSx for Windows File Server 结合使用：