本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。
将操作割接到 Amazon FSx for Windows File Server
迁移本地文件存储、文件共享配置和 DNS 配置后,下一步是将操作割接到 FSx for Windows File Server 文件系统。要割接到 FSx for Windows File Server 文件系统,请执行以下步骤:
准备割接。
暂时断开 SMB 客户端与原始文件系统的连接。
执行最终的文件和文件共享配置同步。
为您的 Amazon FSx 文件系统配置服务主体名称(SPN)。
更新 DNS CNAME 记录以指向您的 Amazon FSx 文件系统。
以下各部分介绍了执行每个步骤的过程。
准备割接到 Amazon FSx
要为割接到 Amazon FSx 文件系统做准备,必须执行以下操作:
将所有写入原始文件系统的客户端断开连接。
使用 Amazon DataSync 或 Robocopy 执行最终文件同步。有关更多信息,请参阅 将现有文件存储迁移到 FSx for Windows File Server。
执行最终的文件共享配置同步。有关更多信息,请参阅 将本地文件共享配置迁移到 Amazon FSx。
为 Kerberos 身份验证配置 SPN
我们建议对 Amazon FSx 使用基于 Kerberos 的身份验证和传输中加密。Kerberos 能够为访问文件系统的客户端提供最安全的身份验证。要对使用 DNS 别名访问 Amazon FSx 的客户端启用 Kerberos 身份验证,必须在 Amazon FSx 文件系统的 Active Directory 计算机对象上添加与 DNS 别名对应的服务主体名称(SPN)。
Kerberos 身份验证需要两个 SPN。
HOST/
alias
HOST/alias.domain
例如,如果别名是 finance.domain.com
,则两个必需的 SPN 如下。
HOST/finance HOST/finance.domain.com
一个 SPN 一次只能与一个 Active Directory 计算机对象关联。如果为原始文件系统的 Active Directory 计算机对象配置的 DNS 名称具有现有 SPN,则在为 Amazon FSx 文件系统创建 SPN 之前,必须先将其删除。
以下过程介绍了如何查找任何现有 SPN、将其删除以及为 Amazon FSx 文件系统的 Active Directory 计算机对象创建新的 SPN。
安装所需的 PowerShell Active Directory 模块
-
登录已加入您的 Amazon FSx 文件系统所加入的 Active Directory 的 Windows 实例。
以管理员身份打开 PowerShell。
使用以下命令安装 PowerShell Active Directory 模块。
Install-WindowsFeature RSAT-AD-PowerShell
查找并删除原始文件系统 Active Directory 计算机对象上的现有 DNS 别名 SPN
使用以下命令查找所有现有 SPN。将
替换为在 将本地 DNS 配置迁移到 FSx for Windows File Server 中与文件系统关联的 DNS 别名。alias_fqdn
## Find SPNs for original file system's AD computer object $ALIAS = "
alias_fqdn
" SetSPN /Q ("HOST/" + $ALIAS) SetSPN /Q ("HOST/" + $ALIAS.Split(".")[0])使用以下示例脚本,删除上一步中返回的现有 HOST SPN。
将
替换为在 将本地 DNS 配置迁移到 FSx for Windows File Server 中与文件系统关联的完整 DNS 别名。alias_fqdn
将
替换为原始文件系统的 DNS 名称。file_system_DNS_name
## Delete SPNs for original file system's AD computer object $Alias = "
alias_fqdn
" $FileSystemDnsName = "file_system_dns_name
" $FileSystemHost = (Resolve-DnsName ${FileSystemDnsName} | Where Type -eq 'A')[0].Name.Split(".")[0] $FSxAdComputer = (Get-AdComputer -Identity ${FileSystemHost}) SetSPN /D ("HOST/" + ${Alias}) ${FSxAdComputer}.Name SetSPN /D ("HOST/" + ${Alias}.Split(".")[0]) ${FSxAdComputer}.Name-
对在 将本地 DNS 配置迁移到 FSx for Windows File Server 中与文件系统关联的每个 DNS 别名重复这些步骤。
为 Amazon FSx 文件系统的 Active Directory 计算机对象设置 SPN
运行以下命令,为 Amazon FSx 文件系统设置新的 SPN。
将
替换为 Amazon FSx 分配给文件系统的 DNS 名称。file_system_DNS_name
要在 Amazon FSx 控制台上查找文件系统的 DNS 名称,请选择文件系统,然后选择您的文件系统。选择文件系统详细信息页面中的网络与安全窗格。您也可以在 API 操作 DescribeFileSystems 的响应中找到 DNS 名称。
将
替换为在 将本地 DNS 配置迁移到 FSx for Windows File Server 中与文件系统关联的完整 DNS 别名。alias_fqdn
## Set SPNs for FSx file system AD computer object $FSxDnsName = "
file_system_DNS_name
" $Alias = "alias_fqdn
" $FileSystemHost = (Resolve-DnsName $FSxDnsName | Where Type -eq 'A')[0].Name.Split(".")[0] $FSxAdComputer = (Get-AdComputer -Identity $FileSystemHost) Set-AdComputer -Identity $FSxAdComputer -Add @{"msDS-AdditionalDnsHostname"="$Alias"} SetSpn /S ("HOST/" + $Alias.Split('.')[0]) $FSxAdComputer.Name SetSpn /S ("HOST/" + $Alias) $FSxAdComputer.Name注意
如果原始文件系统的 AD 计算机对象中存在 DNS 别名的 SPN,则为 Amazon FSx 文件系统设置 SPN 将失败。有关查找并删除现有 SPN 的信息,请参阅查找并删除原始文件系统 Active Directory 计算机对象上的现有 DNS 别名 SPN。
-
使用以下示例脚本验证是否为 DNS 别名配置了新 SPN。确保响应包括两个 HOST SPN:
HOST/
和alias
HOST/
。alias_fqdn
将
替换为 Amazon FSx 分配给文件系统的 DNS 名称。要在 Amazon FSx 控制台上查找文件系统的 DNS 名称,请选择文件系统,选择您的文件系统,然后选择文件系统详细页面上的网络与安全窗格。file_system_DNS_name
您也可以在 API 操作 DescribeFileSystems 的响应中找到 DNS 名称。
## Verify SPNs on FSx file system AD computer object $FileSystemDnsName = "
file_system_dns_name
" $FileSystemHost = (Resolve-DnsName ${FileSystemDnsName} | Where Type -eq 'A')[0].Name.Split(".")[0] $FSxAdComputer = (Get-AdComputer -Identity ${FileSystemHost}) SetSpn /L ${FSxAdComputer}.Name -
对在 将本地 DNS 配置迁移到 FSx for Windows File Server 中与文件系统关联的每个 DNS 别名重复上述步骤。
注意
可以通过在 Active Directory 中设置以下组策略对象(GPO),强制对使用 DNS 别名连接到文件系统的客户端执行 Kerberos 身份验证和传输中加密:
限制 NTLM:远程服务器的传出 NTLM 流量
限制 NTLM:为 NTLM 身份验证添加远程服务器例外
有关更多信息,请参阅“演练 5:使用 DNS 别名访问文件系统”中的使用组策略对象强制执行 Kerberos 身份验证 () GPOs。
更新 Amazon FSx 文件系统的 DNS CNAME 记录
为文件系统正确配置 SPN 后,可以通过以下方式割接到 Amazon FSx:将解析为原始文件系统的每个 DNS 记录替换为解析为 Amazon FSx 文件系统默认 DNS 名称的 DNS 记录。
安装所需的 PowerShell cmdlet
-
以具有 DNS 管理权限的组(对于 Amazon 托管 Microsoft Active Directory,为 Amazon 委派的域名系统管理员;对于自行管理的 Active Directory,为域管理员或您已委派 DNS 管理权限的其他组)的成员用户身份登录到已加入您的 Amazon FSx 文件系统所加入的 Active Directory 的 Windows 实例
有关详细信息,请参阅《Amazon EC2 用户指南》中的连接到 Windows 实例。
以管理员身份打开 PowerShell。
按照此过程中的说明操作需要 PowerShell DNS 服务器模块。使用以下命令安装该模块。
Install-WindowsFeature RSAT-DNS-Server
更新现有的 DNS CNAME 记录
以下脚本将
的所有现有 DNS CNAME 记录更新到 Amazon FSx 文件系统的计算机对象。如果未找到任何记录,将为 DNS 别名alias_fqdn
创建一个新的 DNS CNAME 记录,该记录将解析为 Amazon FSx 文件系统的默认 DNS 名称。alias_fqdn
要运行脚本,请执行以下操作:
将
替换为与文件系统关联的 DNS 别名。alias_fqdn
将
替换为 Amazon FSx 分配给文件系统的默认 DNS 名称。file_system_DNS_name
$Alias="
alias_fqdn
" $FSxDnsName="file_system_dns_name
" $AliasHost=$Alias.Split('.')[0] $ZoneName=((Get-WmiObject Win32_ComputerSystem).Domain) $DnsServerComputerName = (Resolve-DnsName $ZoneName -Type NS | Where Type -eq 'A' | Select -ExpandProperty Name)[0] Add-DnsServerResourceRecordCName -Name $AliasHost -ComputerName $DnsServerComputerName -HostNameAlias $FSxDnsName -ZoneName $ZoneName-
对在 将本地 DNS 配置迁移到 FSx for Windows File Server 中与文件系统关联的每个 DNS 别名重复上述步骤。