演练 5：使用 DNS 别名访问您的文件系统

1. 通过 https://console.aws.amazon.com/fsx/ 打开亚马逊 FSx 控制台。

2. 按照 “入门” 部分中所述步骤 1的步骤创建新文件系统。

3. 在创建文件系统向导的 “访问-可选” 部分中，输入要与文件系统关联的 DNS 别名。

   

   指定 DNS 别名时，请使用以下准则：

   • 例如，必须格式化为完全限定的域名 (FQDN)hostname.domainaccounting.example.com。

   • 可以包含字母数字字符和连字符 (-)。

   • 不得以连字符开头或结尾。

   • 可以使用数字开头。

   对于 DNS 别名，Amazon FSx 会将字母字符存储为小写字母 (a-z)，无论您指定将其存储为大写字母、小写字母还是转义码中的对应字母。

4. 对于 “维护” 首选项，根据需要进行任何更改。

5. 在 “标签-可选” 部分中，添加所需的任何标签，然后选择 “下一步”。

6. 检查创建文件系统页面上显示的文件系统配置。选择创建文件系统创建文件系统。

   当您的新文件系统可用时，继续执行步骤 2。

安装所需的 PowerShell 活动目录模块

1. 登录加入您的亚马逊 FSx 文件系统所加入的 Active Directory 的 Windows 实例。

2. PowerShell 以管理员身份打开。

3. 使用以下命令安装 A PowerShell dvic Direced Direced

   Install-WindowsFeature RSAT-AD-PowerShell

在原始文件系统的 Active Directory 计算机对象上查找和删除现有 DNS 别名 SPN

1. 使用以下命令查找任何现有 SPN。替换为您在步骤 1 中alias_fqdn与文件系统关联的 DNS 别名。

   ## Find SPNs for original file system's AD computer object
   $ALIAS = "alias_fqdn"
   SetSPN /Q ("HOST/" + $ALIAS)
   SetSPN /Q ("HOST/" + $ALIAS.Split(".")[0])

2. 使用以下示例脚本删除上一步中返回的现有 HOST SPN。

   • 替换为您在步骤 1 中alias_fqdn与文件系统关联的完整 DNS 别名。

   • file_system_DNS_name替换为原始文件系统的 DNS 名称。

   ## Delete SPNs for original file system's AD computer object
   $Alias = "alias_fqdn"
   $FileSystemDnsName = "file_system_dns_name"
   $FileSystemHost = (Resolve-DnsName ${FileSystemDnsName} | Where Type -eq 'A')[0].Name.Split(".")[0]
   $FSxAdComputer = (Get-AdComputer -Identity ${FileSystemHost})
   
   SetSPN /D ("HOST/" + ${Alias}) ${FSxAdComputer}.Name
   SetSPN /D ("HOST/" + ${Alias}.Split(".")[0]) ${FSxAdComputer}.Name
   

3. 对步骤 1 中与文件系统关联的每个 DNS 别名重复前面的步骤。

在亚马逊 FSx 文件系统的 Active Directory 计算机对象上设置 SPN

1. 通过运行以下命令为您的 Amazon FSx 文件系统设置新的 SPN。

   • file_system_DNS_name替换为亚马逊 FSx 分配给文件系统的 DNS 名称。

     要在 Amazon FSx 控制台上查找您的文件系统的 DNS 名称，请选择文件系统，选择您的文件系统，然后在文件系统详细信息页面上选择网络和安全窗格。

     您也可以在 DescribeFileSystemsAPI 操作的响应中获取 DNS 名称。

   • 替换为您在步骤 1 中alias_fqdn与文件系统关联的完整 DNS 别名。

   ## Set SPNs for FSx file system AD computer object
   $FSxDnsName = "file_system_DNS_name"
   $Alias = "alias_fqdn"
   $FileSystemHost = (Resolve-DnsName $FSxDnsName | Where Type -eq 'A')[0].Name.Split(".")[0]
   $FSxAdComputer = (Get-AdComputer -Identity $FileSystemHost)
   
   ##Use one of the following commands, not both:
   Set-AdComputer -Identity $FSxAdComputer -Add @{"msDS-AdditionalDnsHostname"="$Alias"}
   ##Or
   SetSpn /S ("HOST/" + $Alias.Split('.')[0]) $FSxAdComputer.Name
   SetSpn /S ("HOST/" + $Alias) $FSxAdComputer.Name

   注意

   如果原始文件系统计算机对象的 AD 中存在 DNS 别名的 SPN，则为 Amazon FSx 文件系统设置 SPN 将失败。有关查找和删除现有 SPN 的信息，请参见在原始文件系统的 Active Directory 计算机对象上查找和删除现有 DNS 别名 SPN。

2. 使用以下示例脚本验证是否为 DNS 别名配置了新 SPN。确保响应包括两个 HOST SPNHOST/alias 和HOST/alias_fqdn，如本过程前面所述。

   file_system_DNS_name替换为 Amazon FSx 分配给您的文件系统的 DNS 名称。要在 Amazon FSx 控制台上查找您的文件系统的 DNS 名称，请选择文件系统，选择您的文件系统，然后在文件系统详细信息页面上选择网络和安全窗格。

   您也可以在 DescribeFileSystemsAPI 操作的响应中获取 DNS 名称。

   ## Verify SPNs on FSx file system AD computer object
   $FileSystemDnsName = "file_system_dns_name"
   $FileSystemHost = (Resolve-DnsName ${FileSystemDnsName} | Where Type -eq 'A')[0].Name.Split(".")[0]
   $FSxAdComputer = (Get-AdComputer -Identity ${FileSystemHost})
   SetSpn /L ${FSxAdComputer}.Name

3. 对步骤 1 中与文件系统关联的每个 DNS 别名重复前面的步骤。

安装所需的 PowerShell cmdlet

1. 以拥有 DNS 管理权限的群组（AmazonAmazon托管 Active Directory 中的委托域名系统管理员，以及域管理员或您在自行管理的 Active Directory 中委托 DNSAmazon 管理权限的群组）的用户身份登录加入到 Amazon FSx 文件系统的 Active Directory 的 Windows 实例。

   有关更多信息，请参阅适用于 Windows 实例的 Amazon EC2 用户指南中的连接您的 Windows 实例。

2. PowerShell 以管理员身份打开。

3. 需要 PowerShell 使用 DNS 服务器模块来执行此过程中的指令。使用以下命令安装。

   Install-WindowsFeature RSAT-DNS-Server

更新或创建您的 Amazon FSx 文件系统的自定义 DNS 名称

1. 以拥有 DNS 管理权限的群组（Amazon托管 Active Directory 中的委托域名系统管理员，以及域管理员或您在自行Amazon管理的 Active Directory 中委托 DNS 管理权限的群组）的成员身份Connect 您的 Amazon EC2 实例。

   有关更多信息，请参阅适用于 Windows 实例的 Amazon EC2 用户指南中的连接您的 Windows 实例。

2. 在命令提示符处，运行以下脚本。此脚本会将任何现有 DNS CNAME 记录迁移到您的 Amazon FSx 文件系统。如果未找到，它会为 DNS 别名创建新的 DNS 别名记录alias_fqdn，该记录将解析为您的 Amazon FSx 文件系统的默认 DNS 名称。

   要运行脚本，请执行以下操作：

   • 替换为alias_fqdn与文件系统关联的 DNS 别名。

   • file_system_DNS_name替换为亚马逊 FSx 分配给文件系统的 DNS 名称。

   $Alias="alias_fqdn"
   $FSxDnsName="file_system_dns_name"
   $AliasHost=$Alias.Split('.')[0]
   $ZoneName=((Get-WmiObject Win32_ComputerSystem).Domain)
   $DnsServerComputerName = (Resolve-DnsName $ZoneName -Type NS | Where Type -eq 'A' | Select -ExpandProperty Name) | Select -First 1
   foreach ($computer in $DnsServerComputerName)
   {
   Add-DnsServerResourceRecordCName -Name $AliasHost -ComputerName $computer -HostNameAlias $FSxDnsName -ZoneName $ZoneName
   }

3. 对您在步骤 1 中与文件系统关联的每个 DNS 别名重复上述步骤。

1. 登录加入到 Active Directory 的 Windows 实例，您的亚马逊 FSx 文件系统是以管理员身份加入的。如果您正在配置自我管理的 Active Directory，请将这些步骤直接应用到您的活动目录。

2. 选择 “开始”，选择 “管理工具”，然后选择 “组策略管理”。

3. 选择组策略对象。

4. 如果您的组策略对象尚不存在，请创建它。

5. 找到现有的 “网络安全：限制 NTLM：向远程服务器传出 NTLM 流量” 策略。（如果没有现有策略，请创建新策略。） 在本地安全设置选项卡中，打开上下文（右键单击）菜单，然后选择 Properties (属性)。

6. 选择 “全部拒绝”。

7. 选择 “应用” 保存安全设置。

8. 要为客户端与特定远程服务器的 NTLM 连接设置例外，请找到网络安全：限制 NTLM：添加远程服务器例外。

   打开上下文（右键单击）菜单，然后选择本地安全设置选项卡中的属性。

9. 输入要添加到例外列表的所有服务器的名称。

10. 选择 “应用” 保存安全设置。