使用自行管理的 Microsoft Active Directory

如果您的组织在本地或云端使用自行管理的 Active Directory 管理身份和设备，您可以在创建时将 FSx for Windows File Server 文件系统加入您的 Active Directory 域。

当您将文件系统加入自行管理的 Active Directory 时，您的 FSx for Windows File Server 文件系统与您的用户和现有资源（包括现有文件服务器）位于同一个 Active Directory 林（包含域、用户和计算机的 Active Directory 配置中的顶层逻辑容器）和同一个 Active Directory 域中。

先决条件

在 FSx for Windows File Server 文件系统加入自行管理的 Microsoft Active Directory 域之前，请查看以下先决条件，以帮助确保 Amazon FSx 文件系统能够成功加入自行管理的 Active Directory。

本地配置

这些是您在本地或云端将 Amazon FSx 文件系统加入的自行管理的 Microsoft Active Directory 的先决条件。

您可以使用 Amazon FSx Active Directory 验证工具验证您的 Active Directory 配置，包括测试多个域控制器的连接。要限制需要连接的域控制器的数量，您还可以在本地域控制器和 AWS Managed Microsoft AD 之间建立信任关系。有关更多信息，请参阅 使用资源林隔离模型。

网络配置

本节介绍了将文件系统加入自行管理的 Active Directory 的网络配置要求。在尝试将文件系统加入自行管理的 Active Directory 之前，我们强烈建议使用 Amazon FSx Active Directory 验证工具测试网络设置。

服务账户权限

您需要在自行管理的 Microsoft Active Directory 中有一个服务账户，该账户具有将计算机对象加入该自行管理的 Microsoft Active Directory 域的委派权限。服务账户是自行管理的 Active Directory 中的一个用户账户，该账户已被委派某些任务。

下面是文件系统所加入的 OU 中的 Amazon FSx 服务账户必须获得的最低权限集：

有关更多信息，请参阅主题为错误：当已委派控制的非管理员用户尝试将计算机加入域控制器时，访问被拒绝的 Microsoft Windows Server 文档。

有关设置所需权限的更多信息，请参阅 向 Amazon FSx 服务账户或组委托权限。

自行管理的 Active Directory 最佳实践

Amazon FSx 服务账户

加入自行管理的 Active Directory 的 Amazon FSx 文件系统在整个生命周期内需要一个有效的服务账户。Amazon FSx 使用此服务账户来完全管理文件系统，并执行需要将计算机对象取消加入并重新加入 Active Directory 域的管理任务。这些任务包括更换出现故障的文件服务器并给 Microsoft Windows Server 软件打补丁。要让 Amazon FSx 执行这些任务，Amazon FSx 服务账户必须至少拥有委派给它的一组权限，如 服务账户权限 所述。

尽管域管理员组的成员拥有足够的权限来执行这些任务，但我们强烈建议使用单独的服务账户向 Amazon FSx 委派所需的权限。

有关如何使用 Active Directory 用户和计算机 MMC 管理单元中的委派控制或高级功能功能来委派权限的更多信息，请参阅 向 Amazon FSx 服务账户或组委托权限。

如果您使用新服务账户更新文件系统，新服务账户必须拥有加入 Active Directory 的所需权限和特权，并对与文件系统关联的现有计算机对象拥有完全控制权限。有关更多信息，请参阅 更改 Amazon FSx 服务账户。