使用自我管理的微软 AD 的先决条件 - Amazon FSx for Windows File Server
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 Amazon Web Services 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

使用自我管理的微软 AD 的先决条件

在创建加入到自我管理的 Microsoft AD 域的 Amazon FSX 文件系统之前,请确保您已创建并设置了以下要求:

  • Amazon FSX 文件系统要加入的本地或其他自我管理的 Microsoft AD,具有以下配置:

    • 您的 AD 域控制器的域功能级别为 Windows 服务器 2008 R2 或更高版本。

    • DNS 服务器 IP 地址和 AD 域控制器 IP 地址,具体取决于您的文件系统的创建时间:

      对于 2020 年 12 月 17 日之前创建的文件系统 适用于 2020 年 12 月 17 日之后创建的文件系统

      中的 IP 地址RFC 1918私有 IP 地址范围:

      • 10.0.0.0/8

      • 172.16.0.0/12

      • 192.168.0.0/16

      任何 IP 地址范围,但以下内容除外:

      • 与亚马逊 Web 服务拥有的 IP 地址冲突的 IP 地址Amazon区域。有关列表Amazon按区域拥有的 IP 地址,请参阅AmazonIP 地址范围

      • 以下 CIDR 块范围内的 IP 地址:198.19.0.0/16

      如果您需要使用非私有 IP 地址范围访问 2020 年 12 月 17 日之前创建的 Amazon FSX 适用于 Windows 文件服务器文件系统,您可以通过还原文件系统的备份来创建新的文件系统。有关更多信息,请参阅 使用备份

    • 不采用单标签域 (SLD) 格式的域名。亚马逊 FSX 不支持 SLD 域。

    • 对于单可用区 2 和所有多可用区文件系统,活动目录域名不能超过 47 个字符。

    • 如果您已定义 Active Directory 站点,您必须确保在 Active Directory 站点中与 Amazon FSx File System 相关联的 VPC 内定义了子网,并且 VPC 中的子网与您其他站点中的子网之间不存在冲突。

  • 以下网络配置:

    • 在要创建文件系统的 Amazon VPC 和自我管理的活动目录之间配置了连接。您可以使用Amazon Direct Connect、Amazon VPN、VPC 对等连接或Amazon Transit Gateway。

    • 适用于VPC 安全组,您默认 Amazon VPC 的默认安全组已添加到控制台中您的文件系统。请确保您正在创建 FSX 文件系统的子网的安全组和 VPC 网络 ACL 允许端口上的流量以及下图所示方向上的流量。

      
       Amazon FSx for Windows File Server 端口配置要求 VPC 安全组和要创建文件系统的子网的网络 ACL。

      下表列出了每个端口的角色。

      协议

      端口

      角色

      TCP/UDP

      53

      域名系统 (DNS)

      TCP/UDP

      88

      Kerberos 身份验证

      TCP/UDP

      464

      更改/建置密码

      TCP/UDP

      389

      轻量目录访问协议 (LDAP)

      UDP 123

      网络时间协议 (NTP)

      TCP 135

      分布式计算环境/端点映射器 (DCE/EPMAP)

      TCP

      445

      目录服务 SMB 文件共享

      TCP

      636

      基于 TLS/SSL 的轻量级目录访问协议 (LDAPS)

      TCP

      3268

      Microsoft 全球目录

      TCP

      3269

      微软全局编录通过 SSL

      TCP

      5985

      WinRM 2.0(微软视窗远程管理)

      TCP

      9389

      微软广告 DS 网络服务

      TCP

      49152 - 65535

      RPC 的临时端口

      重要

      单可用区 2 和所有多可用区文件系统部署都需要允许 TCP 端口 9389 上的出站流量。

      注意

      如果您使用的是 VPC 网络 ACL,则还必须允许来自 FSX 文件系统的动态端口 (49152-65535) 上的出站流量。

    • 确保这些流量规则也在应用于每个 AD 域控制器、DNS 服务器、FSX 客户端和 FSX 管理员的防火墙上进行镜像。

    重要

    虽然 Amazon VPC 安全组要求端口仅在启动网络流量的方向打开,但大多数 Windows 防火墙和 VPC 网络 ACL 都要求端口双向打开。

    使用亚马逊 FSX 活动目录验证工具以测试这些网络设置,然后再尝试将文件系统加入自我管理的 AD。

  • 自管理的 Microsoft AD 中具有将计算机加入域的委派权限的服务账户。A服务帐户是您自我管理的 Microsoft AD 中的用户帐户,已委派某些任务。

    服务帐户还需要至少授予要加入文件系统的 OU 中的以下权限:

    • 重置密码的功能

    • 能够限制账户读取和写入数据

    • 已验证写入 DNS 主机名的能力

    • 已验证的写入服务主体名称的能力

    • 委派控制权来创建和删除计算机对象

    • 经验证的读取和写入账户限制的能力

    这些代表将计算机对象加入到活动目录所需的最低权限集。有关更多信息,请参阅 Microsoft Windows Server 文档主题Error: 已委派控制的非管理员用户尝试将计算机加入到域控制器时,访问被拒绝

要了解有关创建具有正确权限的服务账户的更多信息,请参阅 向您的亚马逊 FSX 服务账户委派权限

注意

Amazon FSX 要求在您的 Amazon FSX 文件系统的整个生命周期内拥有有效的服务账户。Amazon FSX 必须能够完全管理文件系统,并执行需要使用取消加入和重新加入 AD 域的任务,例如更换出现故障的文件服务器或修补 Windows Server 软件。请使用 Amazon FSX 保持您的活动目录配置(包括服务账户凭据)更新。要了解如何操作,请参阅使用亚马逊 FSX 保持您的活动目录配置更新

如果这是您首次使用Amazon和 Amazon FSx for Windows File Server,请确保在开始之前进行设置。有关更多信息,请参阅 设置

重要

创建文件系统后,请勿移动 Amazon FSX 在 OU 中创建的计算机对象。这样做会导致您的文件系统配置错误。