Uso de un Active Directory de Microsoft autoadministrado

Si la organización administra identidades y dispositivos mediante un Active Directory autoadministrado en las instalaciones o en la nube, puede unir el sistema de archivos de FSx para Windows File Server al dominio de Active Directory en el momento de crearlo.

Al unir el sistema de archivos al Active Directory autoadministrado, el sistema de archivos de FSx para Windows File Server residirá en el mismo bosque del Active Directory (el contenedor lógico superior de una configuración de Active Directory que contiene los dominios, usuarios y computadoras). A su vez, también residirá en el mismo dominio del Active Directory de los usuarios y recursos existentes (incluidos los servidores de archivos existentes).

Requisitos previos

Antes de unir un sistema de archivos de FSx para Windows File Server a su dominio autoadministrado de Microsoft Active Directory, revise los siguientes requisitos previos para asegurarse de que puede unir correctamente el sistema de archivos de Amazon FSx al Active Directory autoadministrado.

On-premises configuraciones

Estos son los requisitos previos para el Microsoft Active Directory autoadministrado, ya sea en las instalaciones o en la nube, al que se unirá el sistema de archivos de Amazon FSx.

Puede validar la configuración de Active Directory, incluso las pruebas de conectividad de varios controladores de dominio, con la Herramienta de validación de Active Directory de Amazon FSx. Para restringir la cantidad de controladores de dominio que requieren conectividad, también puede establecer una relación de confianza entre los controladores de dominio en las instalaciones y el AWS Managed Microsoft AD. Para obtener más información, consulte Uso de un modelo de aislamiento de bosques de recursos.

Configuraciones de red

En esta sección, se describen los requisitos de configuración de la red para unir un sistema de archivos al Active Directory autoadministrado. Le recomendamos encarecidamente que use la herramienta de validación del Active Directory de Amazon FSx para probar estas configuraciones de red antes de intentar unir el sistema de archivos al Active Directory autoadministrado.

Permisos de cuentas de servicio

Debe tener una cuenta de servicio en el Microsoft Active Directory autoadministrado con permisos delegados para unir objetos de equipos al dominio del Active Directory autoadministrado. Una cuenta de servicio es una cuenta de usuario del Active Directory autoadministrado a la que se le delegó permiso para realizar determinadas tareas.

A continuación, se indica el conjunto mínimo de permisos que se deben delegar a la cuenta de servicio de Amazon FSx en la OU a la que va a unir el sistema de archivos.

Para obtener más información, consulte, en la documentación de Microsoft Windows Server, el tema Error: se deniega el acceso cuando los usuarios que no son administradores a los que se les delegó el control intentan unir los equipos a un controlador de dominio.

Para obtener más información sobre cómo establecer los permisos necesarios, consulte Delegación de permisos a la cuenta de servicio o grupo de Amazon FSx.

Las prácticas recomendadas al usar un Active Directory autoadministrado

Almacenar las credenciales de Active Directory mediante AWS Secrets Manager

Puede usarlo AWS Secrets Manager para almacenar y administrar de forma segura las credenciales de su cuenta de servicio de unión a dominios de Microsoft Active Directory. Este enfoque elimina la necesidad de almacenar las credenciales confidenciales en texto plano en el código de la aplicación o en los archivos de configuración, lo que refuerza su postura de seguridad.

También puede configurar políticas de IAM para administrar el acceso a sus secretos y establecer políticas de rotación automática para sus contraseñas.

# Set region and get Account ID
REGION=${AWS_REGION:-$(aws configure get region)}
ACCOUNT_ID=$(aws sts get-caller-identity --query 'Account' --output text)

# Create Key
KMS_KEY_ARN=$(aws kms create-key --policy "{
  \"Version\": \"2012-10-17\", 
  \"Statement\": [
    {
      \"Sid\": \"Enable IAM User Permissions\",
      \"Effect\": \"Allow\",
      \"Principal\": {
        \"AWS\": \"arn:aws:iam::$ACCOUNT_ID:root\"
      },
      \"Action\": \"kms:*\",
      \"Resource\": \"*\"
    },
    {
      \"Sid\": \"Allow FSx to use the KMS key\",
      \"Effect\": \"Allow\",
      \"Principal\": {
        \"Service\": \"fsx.amazonaws.com\"
      },
      \"Action\": [
        \"kms:Decrypt\",
        \"kms:DescribeKey\"
      ],
      \"Resource\": \"*\",
      \"Condition\": {
        \"StringEquals\": {
          \"kms:ViaService\": \"secretsmanager.$REGION.amazonaws.com\",
          \"aws:SourceAccount\": \"$ACCOUNT_ID\"
        },
        \"ArnLike\": {
          \"aws:SourceArn\": \"arn:aws:fsx:$REGION:$ACCOUNT_ID:file-system/*\"
        }
      }
    }
  ]
}" --query 'KeyMetadata.Arn' --output text)

echo "KMS Key ARN: $KMS_KEY_ARN"

# Set region and get account ID
REGION=${AWS_REGION:-$(aws configure get region)}
ACCOUNT_ID=$(aws sts get-caller-identity --query 'Account' --output text)

# Replace with your KMS key ARN from Step 1
KMS_KEY_ARN="arn:aws:kms:us-east-2:123456789012:key/1234542f-d114-555b-9ade-fec3c9200d8e"

# Replace with your Active Directory credentials
AD_USERNAME="Your_Username"  
AD_PASSWORD="Your_Password"

# Create the secret
SECRET_ARN=$(aws secretsmanager create-secret \
  --name "FSxSecret" \
  --description "Secret for FSx access" \
  --kms-key-id "$KMS_KEY_ARN" \
  --secret-string "{\"CUSTOMER_MANAGED_ACTIVE_DIRECTORY_USERNAME\":\"$AD_USERNAME\",\"CUSTOMER_MANAGED_ACTIVE_DIRECTORY_PASSWORD\":\"$AD_PASSWORD\"}" \
  --region "$REGION" \
  --query 'ARN' \
  --output text)

echo "Secret created with ARN: $SECRET_ARN"

# Attach the resource policy with proper formatting
aws secretsmanager put-resource-policy \
  --secret-id "FSxSecret" \
  --region "$REGION" \
  --resource-policy "{
    \"Version\": \"2012-10-17\", 
    \"Statement\": [
      {
        \"Effect\": \"Allow\",
        \"Principal\": {
          \"Service\": \"fsx.amazonaws.com\"
        },
        \"Action\": [
          \"secretsmanager:GetSecretValue\",
          \"secretsmanager:DescribeSecret\"
        ],
        \"Resource\": \"$SECRET_ARN\",
        \"Condition\": {
          \"StringEquals\": {
            \"aws:SourceAccount\": \"$ACCOUNT_ID\"
          },
          \"ArnLike\": {
            \"aws:SourceArn\": \"arn:aws:fsx:$REGION:$ACCOUNT_ID:file-system/*\"
          }
        }
      }
    ]
  }"

echo "Resource policy attached successfully"

Cuenta de servicio de Amazon FSx

Los sistemas de archivos Amazon FSx unidos a un Active Directory autoadministrado requieren una cuenta de servicio válida durante toda su vida útil. Amazon FSx usa la cuenta de servicio para administrar completamente los sistemas de archivos y realizar tareas administrativas que requieren separar y volver a unir objetos de equipo al dominio de Active Directory. Estas tareas incluyen reemplazar un servidor de archivos defectuoso y aplicar parches al software de Microsoft Windows Server. Para que Amazon FSx realice estas tareas, la cuenta de servicio de Amazon FSx debe tener, como mínimo, el conjunto de permisos que se delegó y se describe en Permisos de cuentas de servicio.

Si bien los miembros del grupo de administradores de dominio tienen privilegios suficientes para realizar estas tareas, recomendamos encarecidamente que use una cuenta de servicio independiente para delegar los privilegios necesarios en Amazon FSx.

Para obtener más información sobre cómo delegar privilegios mediante las características de delegar control o características avanzadas del complemento MMC usuarios y computadoras de Active Directory, consulte Delegación de permisos a la cuenta de servicio o grupo de Amazon FSx.

Si actualiza el sistema de archivos con una cuenta de servicio nueva, esta debe tener los permisos y privilegios requeridos para unirse al Active Directory y tener permisos de control total sobre los objetos de equipos existentes asociados al sistema de archivos. Para obtener más información, consulte Cambio de la cuenta de servicio de Amazon FSx.

Se recomienda almacenar las credenciales de la cuenta de servicio de Active Directory en AWS Secrets Manager para mejorar la seguridad. Esto elimina la necesidad de almacenar credenciales confidenciales en texto sin formato y se alinea con las mejores prácticas de seguridad. Para obtener más información, consulte Uso de un Active Directory de Microsoft autoadministrado.