Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Voraussetzungen für den Beitritt einer SVM zu einem selbstverwalteten Microsoft AD
Bevor Sie eine FSx for ONTAP SVM zu einer selbstverwalteten Microsoft AD-Domäne hinzufügen, stellen Sie sicher, dass Ihr Active Directory und Ihr Netzwerk die in den folgenden Abschnitten beschriebenen Anforderungen erfüllen.
Themen
On-premises Active Directory-Anforderungen
Stellen Sie sicher, dass Sie bereits über ein lokales oder ein anderes selbstverwaltetes Microsoft AD verfügen, dem Sie der SVM beitreten können. Dieses Active Directory sollte die folgende Konfiguration haben:
-
Die Domänenfunktionsebene des Active Directory-Domänencontrollers entspricht Windows Server 2000 oder höher.
-
Das Active Directory verwendet einen Domänennamen, der nicht im Format Single Label Domain (SLD) vorliegt. Amazon FSx unterstützt keine SLD-Domains.
-
Wenn Sie Active Directory-Standorte definiert haben, stellen Sie sicher, dass die Subnetze in der VPC, die Ihrem FSx for ONTAP-Dateisystem zugeordnet ist, an denselben Active Directory-Standorten definiert sind und dass keine Konflikte zwischen Ihren VPC-Subnetzen und den Subnetzen an Ihren Active Directory-Standorten bestehen.
Anmerkung
Wenn Sie verwenden Directory Service, unterstützt FSx for ONTAP den Beitritt von SVMs zum Simple Active Directory nicht.
Anforderungen an die Netzwerkkonfiguration
Stellen Sie sicher, dass Sie über die folgenden Netzwerkkonfigurationen verfügen und dass Ihnen die entsprechenden Informationen zur Verfügung stehen.
Wichtig
Damit eine SVM dem Active Directory beitreten kann, müssen Sie sicherstellen, dass die in diesem Thema dokumentierten Ports den Verkehr zwischen allen Active Directory-Domänencontrollern und beiden iSCSI-IP-Adressen (iscsi_1 und iscsi_2 Logical Interfaces (LIFs)) auf der SVM zulassen.
-
Die IP-Adressen des DNS-Servers und des Active Directory-Domänencontrollers.
-
Konnektivität zwischen der Amazon VPC, auf der Sie das Dateisystem erstellen, und Ihrem selbstverwalteten Active Directory mithilfe von Direct Connect
, Site-to-Site VPN , oder. AWS Transit Gateway -
Die Sicherheitsgruppe und die VPC-Netzwerk-ACLs für die Subnetze, in denen Sie das Dateisystem erstellen, müssen Datenverkehr auf den Ports und in den Richtungen zulassen, die in der folgenden Abbildung dargestellt sind.
Die Rolle der einzelnen Ports wird in der folgenden Tabelle beschrieben.
Protocol (Protokoll)
Ports
Rolle
TCP/UDP
53
Domain Name System (DNS)
TCP/UDP
88
Kerberos-Authentifizierung
TCP/UDP
389
Lightweight Directory Access Protocol (LDAP)
TCP
445
Directory-Services-SMB-Dateifreigabe
TCP/UDP
464
Change/Set Passwort
TCP
636
Lightweight Directory Access Protocol over TLS/SSL (LDAPS)
-
Diese Verkehrsregeln sollten auch auf den Firewalls widergespiegelt werden, die für jeden der Active Directory-Domänencontroller, DNS-Server, FSx-Clients und FSx-Administratoren gelten.
Wichtig
Während Amazon VPC-Sicherheitsgruppen verlangen, dass Ports nur in der Richtung geöffnet werden, in der der Netzwerkverkehr initiiert wird, erfordern die meisten Windows-Firewalls und VPC-Netzwerk-ACLs, dass Ports in beide Richtungen geöffnet sind.
Anforderungen an das Active Directory-Dienstkonto
Stellen Sie sicher, dass Sie in Ihrem selbstverwalteten Microsoft AD über ein Dienstkonto verfügen, das über delegierte Berechtigungen zum Hinzufügen von Computern zur Domäne verfügt. Ein Dienstkonto ist ein Benutzerkonto in Ihrem selbstverwalteten Active Directory, dem bestimmte Aufgaben delegiert wurden.
Dem Dienstkonto müssen mindestens die folgenden Berechtigungen in der Organisationseinheit, der Sie der SVM beitreten, delegiert werden:
-
Fähigkeit, Passwörter zurückzusetzen
-
Möglichkeit, Konten am Lesen und Schreiben von Daten zu hindern
-
Fähigkeit, die
msDS-SupportedEncryptionTypesEigenschaft für Computerobjekte festzulegen -
Bestätigte Fähigkeit, in den DNS-Hostnamen zu schreiben
-
Überprüfte Fähigkeit zum Schreiben in den Prinzipalnamen des Service
-
Fähigkeit, Computerobjekte zu erstellen und zu löschen
-
Bestätigte Fähigkeit, Kontoeinschränkungen zu lesen und zu schreiben
Dabei handelt es sich um die Mindestanzahl an Berechtigungen, die erforderlich sind, um Computerobjekte mit Ihrem Active Directory zu verknüpfen. Weitere Informationen finden Sie in der Windows Server-Dokumentation zum Thema Fehler: Zugriff wird verweigert, wenn Benutzer ohne Administratorrechte, denen die Steuerung übertragen wurde, versuchen, Computer mit einem Domänencontroller zu verbinden
Sie können die Anmeldeinformationen Ihres Active Directory-Dienstkontos in AWS Secrets Manager (empfohlen) speichern und Amazon FSx einen geheimen ARN für den Beitritt zu Ihrem Active Directory zur Verfügung stellen, oder Sie können Klartext-Anmeldeinformationen angeben.
Weitere Informationen zum Erstellen eines Dienstkontos mit den richtigen Berechtigungen finden Sie unter. Delegieren von Berechtigungen an Ihr Amazon FSx-Servicekonto
Wichtig
Amazon FSx benötigt während der gesamten Lebensdauer Ihres Amazon FSx-Dateisystems ein gültiges Servicekonto. Amazon FSx muss in der Lage sein, das Dateisystem vollständig zu verwalten und Aufgaben auszuführen, bei denen Ressourcen Ihrer Active Directory-Domain getrennt und wieder hinzugefügt werden müssen. Zu diesen Aufgaben gehören das Ersetzen eines ausgefallenen Dateisystems oder einer ausgefallenen SVM oder das Patchen der ONTAP-Software. NetApp Halten Sie Ihre Active Directory-Konfigurationsinformationen mit Amazon FSx auf dem neuesten Stand, einschließlich der Anmeldeinformationen für das Dienstkonto. Weitere Informationen hierzu finden Sie unter Halten Sie Ihre Active Directory-Konfiguration mit Amazon FSx auf dem neuesten Stand.
Wenn Sie FSx for ONTAP zum ersten Mal verwenden AWS , stellen Sie sicher, dass Sie die ersten Einrichtungsschritte abgeschlossen haben, bevor Sie mit der Active Directory-Integration beginnen. Weitere Informationen finden Sie unter FSx für ONTAP einrichten.
Wichtig
Verschieben Sie keine Computerobjekte, die Amazon FSx in der Organisationseinheit erstellt, nachdem Ihre SVMs erstellt wurden, und löschen Sie Ihr Active Directory nicht, während Ihre SVM damit verbunden ist. Andernfalls werden Ihre SVMs falsch konfiguriert.