本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

使用自我管理的 Microsoft 活动目录

如果您的组织在本地或云端使用自行管理的 Active Directory 管理身份和设备，则可以在创建时将FSx适用于 Windows 文件服务器的文件系统加入到您的 Active Directory 域中。

当您将文件系统加入自我管理的 Active Directory 时，FSx适用于 Windows 的文件服务器的文件系统与您的用户和现有资源（包括现有文件服务器）位于同一 Active Directory 林（包含域、用户和计算机的 Active Directory 配置中的顶级逻辑容器）和同一 Active Directory 域中。

先决条件

在将FSx适用于 Windows 的文件服务器文件系统加入自我管理的 Microsoft Active Directory 域之前，请查看以下先决条件，以帮助确保您可以成功地将亚马逊FSx文件系统加入到自我管理的 Active Directory 中。

本地配置

这些是你要加入亚马逊FSx文件系统的自行管理的 Microsoft Active Directory（本地或云端）的先决条件。

您可以使用亚马逊 Active Directory 验证工具验证您的FSx活动目录配置，包括测试多个域控制器的连接。要限制需要连接的域控制器的数量，您还可以在本地域控制器和 AWS Managed Microsoft AD之间建立信任关系。有关更多信息，请参阅 使用资源林隔离模型。

网络配置

本节介绍将文件系统加入您自行管理的 Active Directory 的网络配置要求。我们强烈建议您在尝试将文件系统加入自行管理的 A ct FSx ive Directory 之前，使用 Amazon Active Directory 验证工具测试您的网络设置。

服务账户权限

你需要在自我管理的 Microsoft Active Directory 中拥有一个具有委派权限的服务帐户，才能将计算机对象加入你自己管理的 Active Directory 域。服务帐户是您自行管理的 Active Directory 中的一个用户帐户，该帐户已被委派某些任务。

以下是必须向要加入文件系统的 OU 中的 Amazon FSx 服务账户委派的最低权限集。

有关更多信息，请参阅主题为错误：当已委派控制的非管理员用户尝试将计算机加入域控制器时，访问被拒绝的 Microsoft Windows Server 文档。

有关设置所需权限的更多信息，请参阅向 Amazon FSx 服务账户或群组委派权限。

自我管理活动目录的最佳实践

亚马逊FSx服务账户

加入自我管理的 Active Directory 的 Amazon FSx 文件系统在整个生命周期中都需要有效的服务账户。Amazon FSx 使用该服务账户来全面管理您的文件系统并执行管理任务，这些任务需要将计算机对象退出并重新加入到您的 Active Directory 域中。这些任务包括更换出现故障的文件服务器和修补微软 Windows Server 软件。FSx要让亚马逊执行这些任务，亚马逊FSx服务账户必须至少拥有服务账户权限委托给它的一组权限。

尽管域管理员组的成员拥有足够的权限来执行这些任务，但我们强烈建议您使用单独的服务账户将所需的权限委托给 Amazon FSx。

有关如何使用 A ctive Directory 用户和计算机管理MMC单元中的 “委托控制” 或 “高级功能” 功能委派权限的更多信息，请参阅向 Amazon FSx 服务账户或群组委派权限。

如果您使用新的服务帐户更新文件系统，则新的服务帐户必须具有加入您的 Active Directory 所需的权限和权限，并且必须对与文件系统关联的现有计算机对象具有完全控制权限。有关更多信息，请参阅 更改 Amazon FSx 服务账户。