Konfigurieren Sie Service Principal Names (SPNs) für Kerberos

Um das erforderliche PowerShell Active Directory-Modul zu installieren

1. Melden Sie sich bei einer Windows-Instance an, die mit dem Active Directory verbunden ist, mit dem Ihr Amazon FSx-Dateisystem verbunden ist.

2. PowerShell Als Administrator öffnen.

3. Installieren Sie das PowerShell Active Directory-Modul mit dem folgenden Befehl.

   Install-WindowsFeature RSAT-AD-PowerShell

So suchen und löschen Sie vorhandene DNS-Alias-SPNs auf dem Active Directory-Computerobjekt des ursprünglichen Dateisystems

Wenn Sie SPNs für den DNS-Alias konfiguriert haben, den Sie einem anderen Dateisystem auf einem Computerobjekt in Ihrem Active Directory zugewiesen haben, müssen Sie diese SPNs zuerst entfernen, bevor Sie SPNs zum Computerobjekt Ihres Dateisystems hinzufügen.

1. Suchen Sie mithilfe der folgenden Befehle nach allen vorhandenen SPNs. alias_fqdnErsetzen Sie es durch den DNS-Alias, den Sie in Schritt 1 mit dem Dateisystem verknüpft haben.

   ## Find SPNs for original file system's AD computer object
   $ALIAS = "alias_fqdn"
   SetSPN /Q ("HOST/" + $ALIAS)
   SetSPN /Q ("HOST/" + $ALIAS.Split(".")[0])

2. Löschen Sie die vorhandenen HOST-SPNs, die im vorherigen Schritt zurückgegeben wurden, mithilfe des folgenden Beispielskripts.

   • alias_fqdnErsetzen Sie es durch den vollständigen DNS-Alias, den Sie in Schritt 1 mit dem Dateisystem verknüpft haben.

   • file_system_DNS_nameErsetzen Sie ihn durch den DNS-Namen des ursprünglichen Dateisystems.

   ## Delete SPNs for original file system's AD computer object
   $Alias = "alias_fqdn"
   $FileSystemDnsName = "file_system_dns_name"
   $FileSystemHost = (Resolve-DnsName ${FileSystemDnsName} | Where Type -eq 'A')[0].Name.Split(".")[0]
   $FSxAdComputer = (Get-AdComputer -Identity ${FileSystemHost})
   
   SetSPN /D ("HOST/" + ${Alias}) ${FSxAdComputer}.Name
   SetSPN /D ("HOST/" + ${Alias}.Split(".")[0]) ${FSxAdComputer}.Name
   

3. Wiederholen Sie die vorherigen Schritte für jeden DNS-Alias, den Sie in Schritt 1 mit dem Dateisystem verknüpft haben.

Um SPNs für das Active Directory-Computerobjekt Ihres Amazon FSx-Dateisystems festzulegen

1. Legen Sie neue SPNs für Ihr Amazon FSx-Dateisystem fest, indem Sie die folgenden Befehle ausführen.

   • file_system_DNS_nameErsetzen Sie es durch den DNS-Namen, den Amazon FSx dem Dateisystem zugewiesen hat.

     Um den DNS-Namen Ihres Dateisystems auf der Amazon FSx-Konsole zu finden, wählen Sie Dateisysteme, wählen Sie Ihr Dateisystem aus und wählen Sie dann auf der Seite mit den Dateisystemdetails den Bereich Netzwerk und Sicherheit.

     Sie können den DNS-Namen auch in der Antwort auf den DescribeFileSystems API-Vorgang abrufen.

   • alias_fqdnErsetzen Sie ihn durch den vollständigen DNS-Alias, den Sie in Schritt 1 dem Dateisystem zugeordnet haben.

   ## Set SPNs for FSx file system AD computer object
   $FSxDnsName = "file_system_DNS_name"
   $Alias = "alias_fqdn"
   $FileSystemHost = (Resolve-DnsName $FSxDnsName | Where Type -eq 'A')[0].Name.Split(".")[0]
   $FSxAdComputer = (Get-AdComputer -Identity $FileSystemHost)
   
   ##Use the following command to set both the full FQDN and Alias SPNs
   Set-AdComputer -Identity $FSxAdComputer -Add @{"msDS-AdditionalDnsHostname" = @($Alias, $Alias.Split(".")[0])}

   Anmerkung

   Das Festlegen eines SPN für Ihr Amazon FSx-Dateisystem schlägt fehl, wenn im AD ein SPN für den DNS-Alias für das Computerobjekt des ursprünglichen Dateisystems vorhanden ist. Informationen zum Suchen und Löschen vorhandener SPNs finden Sie unter. So suchen und löschen Sie vorhandene DNS-Alias-SPNs auf dem Active Directory-Computerobjekt des ursprünglichen Dateisystems

2. Stellen Sie mithilfe des folgenden Beispielskripts sicher, dass die neuen SPNs für den DNS-Alias konfiguriert sind. Stellen Sie sicher, dass die Antwort zwei HOST-SPNs HOST/alias undHOST/alias_fqdn, wie zuvor in diesem Verfahren beschrieben, enthält.

   file_system_DNS_nameErsetzen Sie durch den DNS-Namen, den Amazon FSx Ihrem Dateisystem zugewiesen hat. Um den DNS-Namen Ihres Dateisystems auf der Amazon FSx-Konsole zu finden, wählen Sie Dateisysteme, wählen Sie Ihr Dateisystem aus und wählen Sie dann auf der Seite mit den Dateisystemdetails den Bereich Netzwerk und Sicherheit.

   Sie können den DNS-Namen auch in der Antwort auf den DescribeFileSystems API-Vorgang abrufen.

   ## Verify SPNs on FSx file system AD computer object
   $FileSystemDnsName = "file_system_dns_name"
   $FileSystemHost = (Resolve-DnsName ${FileSystemDnsName} | Where Type -eq 'A')[0].Name.Split(".")[0]
   $FSxAdComputer = (Get-AdComputer -Identity ${FileSystemHost})
   SetSpn /L ${FSxAdComputer}.Name

3. Wiederholen Sie die vorherigen Schritte für jeden DNS-Alias, den Sie in Schritt 1 mit dem Dateisystem verknüpft haben.