Usar um Microsoft Active Directory autogerenciado

Se a sua organização gerenciar identidades e dispositivos usando um Active Directory autogerenciado on-premises ou na nuvem, você poderá incluir um sistema de arquivos do FSx para Windows File Server ao seu domínio do Active Directory durante a criação.

Quando você associa o sistema de arquivos ao Active Directory autogerenciado, o sistema de arquivos do seu FSx para Windows File Server reside na mesma floresta do Active Directory (o contêiner lógico superior em uma configuração do Active Directory que contém domínios, usuários e computadores) e no mesmo domínio do Active Directory que seus usuários e recursos existentes (incluindo servidores de arquivos existentes).

Pré-requisitos

Antes de associar um sistema de arquivos do FSx para Windows File Server ao domínio autogerenciado do Microsoft Active Directory, analise os seguintes pré-requisitos para garantir que você possa associar com sucesso o sistema de arquivos do Amazon FSx ao Active Directory autogerenciado.

On-premises configurações

Esses são os pré-requisitos para o Microsoft Active Directory autogerenciado (on-premises ou baseado na nuvem) ao qual você associará o sistema de arquivos do Amazon FSx.

Você pode validar a configuração do Active Directory, inclusive testar a conectividade de vários controladores de domínio, usando a Ferramenta de validação do Active Directory do Amazon FSx. Para limitar o número de controladores de domínio que exigem conectividade, você também pode criar uma relação de confiança entre os controladores de domínio on-premises e o AWS Managed Microsoft AD. Para obter mais informações, consulte Como usar um modelo de isolamento de floresta de recursos.

Configurações de rede

Esta seção descreve os requisitos de configuração de rede para associar um sistema de arquivos ao Active Directory autogerenciado. Recomendamos fortemente que você use a Ferramenta de validação do Active Directory do Amazon FSx para testar suas configurações de rede antes de tentar associar seu sistema de arquivos ao Active Directory autogerenciado.

Permissões da conta de serviço

É necessário ter uma conta de serviço em seu Microsoft Active Directory autogerenciado com permissões delegadas para associar objetos de computador ao seu domínio do Active Directory autogerenciado. Uma conta de serviço é uma conta de usuário no Active Directory autogerenciado que recebeu a delegação de certas tarefas.

Veja a seguir o conjunto mínimo de permissões que devem ser delegadas à conta do serviço Amazon FSx na UO à qual você está associando o sistema de arquivos:

Para obter mais informações, consulte o tópico da documentação do Microsoft Windows Server Erro: o acesso é negado quando usuários não administradores aos quais foi delegado o controle tentam associar computadores a um controlador de domínio.

Para mais informações sobre como configurar as permissões necessárias, consulte Delegar permissões à conta ou grupo de serviço do Amazon FSx.

Práticas recomendadas ao usar um Active Directory autogerenciado

Armazenando credenciais do Active Directory usando AWS Secrets Manager

Você pode usar AWS Secrets Manager para armazenar e gerenciar com segurança suas credenciais da conta de serviço de ingresso no domínio do Microsoft Active Directory. Essa abordagem elimina a necessidade de armazenar credenciais confidenciais em texto simples no código da aplicação ou nos arquivos de configuração, fortalecendo sua postura de segurança.

Você também pode configurar políticas do IAM para gerenciar o acesso aos seus segredos e configurar políticas de rotação automática para suas senhas.

# Set region and get Account ID
REGION=${AWS_REGION:-$(aws configure get region)}
ACCOUNT_ID=$(aws sts get-caller-identity --query 'Account' --output text)

# Create Key
KMS_KEY_ARN=$(aws kms create-key --policy "{
  \"Version\": \"2012-10-17\", 
  \"Statement\": [
    {
      \"Sid\": \"Enable IAM User Permissions\",
      \"Effect\": \"Allow\",
      \"Principal\": {
        \"AWS\": \"arn:aws:iam::$ACCOUNT_ID:root\"
      },
      \"Action\": \"kms:*\",
      \"Resource\": \"*\"
    },
    {
      \"Sid\": \"Allow FSx to use the KMS key\",
      \"Effect\": \"Allow\",
      \"Principal\": {
        \"Service\": \"fsx.amazonaws.com\"
      },
      \"Action\": [
        \"kms:Decrypt\",
        \"kms:DescribeKey\"
      ],
      \"Resource\": \"*\",
      \"Condition\": {
        \"StringEquals\": {
          \"kms:ViaService\": \"secretsmanager.$REGION.amazonaws.com\",
          \"aws:SourceAccount\": \"$ACCOUNT_ID\"
        },
        \"ArnLike\": {
          \"aws:SourceArn\": \"arn:aws:fsx:$REGION:$ACCOUNT_ID:file-system/*\"
        }
      }
    }
  ]
}" --query 'KeyMetadata.Arn' --output text)

echo "KMS Key ARN: $KMS_KEY_ARN"

# Set region and get account ID
REGION=${AWS_REGION:-$(aws configure get region)}
ACCOUNT_ID=$(aws sts get-caller-identity --query 'Account' --output text)

# Replace with your KMS key ARN from Step 1
KMS_KEY_ARN="arn:aws:kms:us-east-2:123456789012:key/1234542f-d114-555b-9ade-fec3c9200d8e"

# Replace with your Active Directory credentials
AD_USERNAME="Your_Username"  
AD_PASSWORD="Your_Password"

# Create the secret
SECRET_ARN=$(aws secretsmanager create-secret \
  --name "FSxSecret" \
  --description "Secret for FSx access" \
  --kms-key-id "$KMS_KEY_ARN" \
  --secret-string "{\"CUSTOMER_MANAGED_ACTIVE_DIRECTORY_USERNAME\":\"$AD_USERNAME\",\"CUSTOMER_MANAGED_ACTIVE_DIRECTORY_PASSWORD\":\"$AD_PASSWORD\"}" \
  --region "$REGION" \
  --query 'ARN' \
  --output text)

echo "Secret created with ARN: $SECRET_ARN"

# Attach the resource policy with proper formatting
aws secretsmanager put-resource-policy \
  --secret-id "FSxSecret" \
  --region "$REGION" \
  --resource-policy "{
    \"Version\": \"2012-10-17\", 
    \"Statement\": [
      {
        \"Effect\": \"Allow\",
        \"Principal\": {
          \"Service\": \"fsx.amazonaws.com\"
        },
        \"Action\": [
          \"secretsmanager:GetSecretValue\",
          \"secretsmanager:DescribeSecret\"
        ],
        \"Resource\": \"$SECRET_ARN\",
        \"Condition\": {
          \"StringEquals\": {
            \"aws:SourceAccount\": \"$ACCOUNT_ID\"
          },
          \"ArnLike\": {
            \"aws:SourceArn\": \"arn:aws:fsx:$REGION:$ACCOUNT_ID:file-system/*\"
          }
        }
      }
    ]
  }"

echo "Resource policy attached successfully"

Conta de serviço do Amazon FSx

Os sistemas de arquivos do Amazon FSx associados a um Active Directory autogerenciado exigem uma conta de serviço válida durante toda a vida útil. O Amazon FSx usa a conta de serviço para gerenciar totalmente seus sistemas de arquivos e realizar tarefas administrativas que exigem a separação e a junção de objetos de computador ao seu domínio do Active Directory. Essas tarefas incluem a substituição de um servidor de arquivos com falha e a aplicação de patches no software Microsoft Windows Server. Para que o Amazon FSx execute essas tarefas, a conta de serviço do Amazon FSx deve receber no mínimo a delegação do conjunto de permissões descrito em Permissões da conta de serviço.

Embora os membros do grupo Administradores de domínio tenham privilégios suficientes para realizar essas tarefas, é altamente recomendável que você use uma conta de serviço diferente para delegar os privilégios necessários ao Amazon FSx.

Para obter mais informações sobre como delegar privilégios usando os recursos Controle de delegado ou Recursos avançados no snap-in do Console de gerenciamento Microsoft de Computadores e Usuários do Active Directory, consulte Delegar permissões à conta ou grupo de serviço do Amazon FSx.

Se você atualizar o sistema de arquivos com uma nova conta de serviço, a nova conta de serviço deverá ter as permissões e os privilégios necessários para associá-la a um Active Directory e ter permissões de Controle total para os objetos de computador atuais associados ao sistema de arquivos. Para obter mais informações, consulte Alterar a conta de serviço do Amazon FSx.

Recomendamos armazenar as credenciais da conta de serviço do Active Directory no AWS Secrets Manager para aumentar a segurança. Isso elimina a necessidade de armazenar credenciais confidenciais em texto simples e se alinha às práticas de segurança recomendadas. Para obter mais informações, consulte Usar um Microsoft Active Directory autogerenciado.