翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

セルフマネージド Microsoft Active Directory の使用

組織がオンプレミスまたはクラウドで自己管理型 Active Directory を使用して ID とデバイスを管理している場合は、作成時に FSx for Windows File Server ファイルシステムを Active Directory ドメインに参加させることができます。

ファイルシステムをセルフマネージド Active Directory に結合すると、 FSx for Windows File Server ファイルシステムは、ユーザーおよび既存のリソース (既存のファイルサーバーを含む) と同じ Active Directory フォレスト (ドメイン、ユーザー、コンピュータを含む Active Directory 設定の上位論理コンテナ) と、同じ Active Directory ドメイン内に存在します。

前提条件

FSx for Windows File Server ファイルシステムをセルフマネージド Microsoft Active Directory ドメインに結合する前に、以下の前提条件を確認して、Amazon FSx ファイルシステムをセルフマネージド Active Directory に正常に結合できるようにします。

オンプレミス構成

これらは、Amazon FSx ファイルシステムに参加するオンプレミスまたはクラウドベースのセルフマネージド Microsoft Active Directory の前提条件です。

Amazon Active Directory 検証ツール を使用して、複数のドメインコントローラーの接続のテストなど、FSxActive Directory の設定を検証できます。接続が必要なドメインコントローラーの数を制限するために、オンプレミスのドメインコントローラーと AWS Managed Microsoft ADの間に信頼関係を構築することもできます。詳細については、「リソースフォレスト分離モデルの使用」を参照してください。

ネットワークの設定

このセクションでは、ファイルシステムをセルフマネージド Active Directory に結合するためのネットワーク構成要件について説明します。ファイルシステムをセルフマネージド Active Directory FSx に参加させる前に、Amazon Active Directory 検証ツールを使用してネットワーク設定をテストすることを強くお勧めします。

サービスアカウントのアクセス許可

コンピュータオブジェクトをセルフマネージド Active Directory ドメインに参加させるには、委任されたアクセス許可を持つサービスアカウントをセルフマネージド Microsoft Active Directory に持つ必要があります。サービスアカウントは、特定のタスクが委任されたセルフマネージド Active Directory 内のユーザーアカウントです。

以下は、ファイルシステムを結合する OU の Amazon FSxサービスアカウントに委任する必要があるアクセス許可の最小セットです。

詳細については、「Microsoft Windows Server のドキュメント」トピック「エラー: コントロールを付与された管理者以外のユーザーがコンピュータをドメインコントローラーに結合しようとすると、アクセスが拒否される」を参照してください。

必要なアクセス許可の設定の詳細については、「」を参照してくださいAmazon FSxサービスアカウントまたはグループへのアクセス許可の委任。

セルフマネージド Active Directory のベストプラクティス

Amazon FSxサービスアカウント

セルフマネージド Active Directory に参加している Amazon FSx ファイルシステムには、その存続期間中有効なサービスアカウントが必要です。Amazon FSx は、 サービスアカウントを使用してファイルシステムを完全に管理し、Active Directory ドメインへのコンピュータオブジェクトの結合解除と再結合を必要とする管理タスクを実行します。これらのタスクには、障害が発生したファイルサーバーの置き換えや Microsoft Windows Server ソフトウェアのパッチ適用が含まれます。Amazon がこれらのタスクを実行するFSxには、Amazon FSxサービスアカウントには、少なくとも、サービスアカウントのアクセス許可委任された で説明されている一連のアクセス許可が必要です。

Domain Admins グループのメンバーには、これらのタスクを実行するのに十分な権限がありますが、必要な権限を Amazon に委任するには、別のサービスアカウントを使用することを強くお勧めしますFSx。

Active Directory ユーザーとコンピュータのMMCスナップインで Delegate Control 機能または Advanced Features 機能を使用して権限を委任する方法については、「」を参照してくださいAmazon FSxサービスアカウントまたはグループへのアクセス許可の委任。

新しいサービスアカウントでファイルシステムを更新する場合、新しいサービスアカウントには、Active Directory に参加するために必要なアクセス許可と権限、およびファイルシステムに関連付けられた既存のコンピュータオブジェクトに対するフルコントロール権限が必要です。詳細については、「Amazon FSxサービスアカウントの変更」を参照してください。