Utilizzo di un Microsoft Active Directory autogestito

Se la tua organizzazione gestisce identità e dispositivi utilizzando un Active Directory autogestito in locale o nel cloud, puoi aggiungere un file system FSx for Windows File Server al tuo dominio Active Directory al momento della creazione.

Quando si aggiunge il file system all'Active Directory autogestito, il file system FSx for Windows File Server si trova nella stessa foresta di Active Directory (il contenitore logico principale in una configurazione di Active Directory che contiene domini, utenti e computer) e nello stesso dominio Active Directory degli utenti e delle risorse esistenti (inclusi i file server esistenti).

Prerequisiti

Prima di aggiungere un file system FSx for Windows File Server al tuo dominio Microsoft Active Directory autogestito, verifica i seguenti prerequisiti per assicurarti di poter unire correttamente il tuo file system Amazon FSx al tuo Active Directory autogestito.

On-premises configurazioni

Questi sono i prerequisiti per la gestione automatica di Microsoft Active Directory, locale o basata sul cloud, a cui aggiungerai il file system Amazon FSx.

Puoi convalidare la configurazione di Active Directory, incluso il test della connettività di più controller di dominio, utilizzando lo strumento di convalida di Amazon FSx Active Directory. Per limitare il numero di controller di dominio che richiedono connettività, puoi anche creare una relazione di fiducia tra i controller di dominio locali e. AWS Managed Microsoft AD Per ulteriori informazioni, consulta Utilizzo di un modello di isolamento delle foreste di risorse.

Configurazioni di rete

Questa sezione descrive i requisiti di configurazione di rete per aggiungere un file system all'Active Directory autogestito. Consigliamo vivamente di utilizzare lo strumento di convalida Amazon FSx Active Directory per testare le impostazioni di rete prima di tentare di unire il file system all'Active Directory autogestito.

Autorizzazioni degli account di servizio

È necessario disporre di un account di servizio nel Microsoft Active Directory autogestito con autorizzazioni delegate per unire oggetti informatici al dominio Active Directory autogestito. Un account di servizio è un account utente in Active Directory autogestito a cui sono state delegate determinate attività.

Di seguito è riportato il set minimo di autorizzazioni che devono essere delegate all'account di servizio Amazon FSx nell'unità organizzativa a cui si sta unendo al file system.

Per ulteriori informazioni, vedere l'argomento della documentazione di Microsoft Windows Server Errore: accesso negato quando utenti non amministratori a cui è stato delegato il controllo tentano di unire i computer a un controller di dominio.

Per ulteriori informazioni sull'impostazione delle autorizzazioni richieste, vedere. Delega delle autorizzazioni all'account o al gruppo del servizio Amazon FSx

Procedure consigliate per l'utilizzo di un Active Directory autogestito

Memorizzazione delle credenziali di Active Directory utilizzando AWS Secrets Manager

È possibile utilizzarlo per AWS Secrets Manager archiviare e gestire in modo sicuro le credenziali dell'account di accesso al servizio del dominio Microsoft Active Directory. Questo approccio elimina la necessità di archiviare le credenziali sensibili in testo normale nel codice dell'applicazione o nei file di configurazione, rafforzando il livello di sicurezza.

Puoi anche configurare le policy IAM per gestire l'accesso ai tuoi segreti e impostare politiche di rotazione automatica per le tue password.

# Set region and get Account ID
REGION=${AWS_REGION:-$(aws configure get region)}
ACCOUNT_ID=$(aws sts get-caller-identity --query 'Account' --output text)

# Create Key
KMS_KEY_ARN=$(aws kms create-key --policy "{
  \"Version\": \"2012-10-17\", 
  \"Statement\": [
    {
      \"Sid\": \"Enable IAM User Permissions\",
      \"Effect\": \"Allow\",
      \"Principal\": {
        \"AWS\": \"arn:aws:iam::$ACCOUNT_ID:root\"
      },
      \"Action\": \"kms:*\",
      \"Resource\": \"*\"
    },
    {
      \"Sid\": \"Allow FSx to use the KMS key\",
      \"Effect\": \"Allow\",
      \"Principal\": {
        \"Service\": \"fsx.amazonaws.com\"
      },
      \"Action\": [
        \"kms:Decrypt\",
        \"kms:DescribeKey\"
      ],
      \"Resource\": \"*\",
      \"Condition\": {
        \"StringEquals\": {
          \"kms:ViaService\": \"secretsmanager.$REGION.amazonaws.com\",
          \"aws:SourceAccount\": \"$ACCOUNT_ID\"
        },
        \"ArnLike\": {
          \"aws:SourceArn\": \"arn:aws:fsx:$REGION:$ACCOUNT_ID:file-system/*\"
        }
      }
    }
  ]
}" --query 'KeyMetadata.Arn' --output text)

echo "KMS Key ARN: $KMS_KEY_ARN"

# Set region and get account ID
REGION=${AWS_REGION:-$(aws configure get region)}
ACCOUNT_ID=$(aws sts get-caller-identity --query 'Account' --output text)

# Replace with your KMS key ARN from Step 1
KMS_KEY_ARN="arn:aws:kms:us-east-2:123456789012:key/1234542f-d114-555b-9ade-fec3c9200d8e"

# Replace with your Active Directory credentials
AD_USERNAME="Your_Username"  
AD_PASSWORD="Your_Password"

# Create the secret
SECRET_ARN=$(aws secretsmanager create-secret \
  --name "FSxSecret" \
  --description "Secret for FSx access" \
  --kms-key-id "$KMS_KEY_ARN" \
  --secret-string "{\"CUSTOMER_MANAGED_ACTIVE_DIRECTORY_USERNAME\":\"$AD_USERNAME\",\"CUSTOMER_MANAGED_ACTIVE_DIRECTORY_PASSWORD\":\"$AD_PASSWORD\"}" \
  --region "$REGION" \
  --query 'ARN' \
  --output text)

echo "Secret created with ARN: $SECRET_ARN"

# Attach the resource policy with proper formatting
aws secretsmanager put-resource-policy \
  --secret-id "FSxSecret" \
  --region "$REGION" \
  --resource-policy "{
    \"Version\": \"2012-10-17\", 
    \"Statement\": [
      {
        \"Effect\": \"Allow\",
        \"Principal\": {
          \"Service\": \"fsx.amazonaws.com\"
        },
        \"Action\": [
          \"secretsmanager:GetSecretValue\",
          \"secretsmanager:DescribeSecret\"
        ],
        \"Resource\": \"$SECRET_ARN\",
        \"Condition\": {
          \"StringEquals\": {
            \"aws:SourceAccount\": \"$ACCOUNT_ID\"
          },
          \"ArnLike\": {
            \"aws:SourceArn\": \"arn:aws:fsx:$REGION:$ACCOUNT_ID:file-system/*\"
          }
        }
      }
    ]
  }"

echo "Resource policy attached successfully"

Account di servizio Amazon FSx

I file system Amazon FSx collegati a un Active Directory autogestito richiedono un account di servizio valido per tutta la loro durata. Amazon FSx utilizza l'account di servizio per gestire completamente i file system ed eseguire attività amministrative che richiedono la separazione e la ricongiunzione di oggetti informatici al dominio Active Directory. Queste attività includono la sostituzione di un file server guasto e l'applicazione di patch al software Microsoft Windows Server. Affinché Amazon FSx possa eseguire queste attività, l'account di servizio Amazon FSx deve disporre almeno del set di autorizzazioni descritto nella Autorizzazioni degli account di servizio sezione Delegate ad esso.

Sebbene i membri del gruppo Domain Admins dispongano di privilegi sufficienti per eseguire queste attività, consigliamo vivamente di utilizzare un account di servizio separato per delegare i privilegi richiesti ad Amazon FSx.

Per ulteriori informazioni su come delegare i privilegi utilizzando le funzionalità Delegate Control o Advanced Features nello snap-in MMC Active Directory User and Computers, consulta. Delega delle autorizzazioni all'account o al gruppo del servizio Amazon FSx

Se si aggiorna il file system con un nuovo account di servizio, il nuovo account di servizio deve disporre delle autorizzazioni e dei privilegi necessari per accedere ad Active Directory e disporre delle autorizzazioni di controllo completo per gli oggetti informatici esistenti associati al file system. Per ulteriori informazioni, consulta Modifica dell'account del servizio Amazon FSx.

Ti consigliamo di archiviare le credenziali dell'account del servizio Active Directory per una maggiore sicurezza AWS Secrets Manager . Ciò elimina la necessità di archiviare le credenziali sensibili in testo normale e si allinea alle best practice di sicurezza. Per ulteriori informazioni, consulta Utilizzo di un Microsoft Active Directory autogestito.