Configuration des noms principaux de service (SPN) pour Kerberos

Pour installer le module PowerShell Active Directory requis

1. Connectez-vous à une instance Windows jointe à l'Active Directory auquel votre système de fichiers Amazon FSx est joint.

2. Ouvrez PowerShell en tant qu'administrateur.

3. Installez le module PowerShell Active Directory à l'aide de la commande suivante.

   Install-WindowsFeature RSAT-AD-PowerShell

Pour rechercher et supprimer des alias DNS SPN existants sur l'objet informatique Active Directory du système de fichiers d'origine

Si vous avez configuré des SPN pour l'alias DNS que vous avez attribué à un autre système de fichiers sur un objet informatique de votre Active Directory, vous devez d'abord supprimer ces SPN avant d'ajouter des SPN à l'objet informatique de votre système de fichiers.

1. Trouvez tous les SPN existants à l'aide des commandes suivantes. alias_fqdnRemplacez-le par l'alias DNS que vous avez associé au système de fichiers à l'étape 1.

   ## Find SPNs for original file system's AD computer object
   $ALIAS = "alias_fqdn"
   SetSPN /Q ("HOST/" + $ALIAS)
   SetSPN /Q ("HOST/" + $ALIAS.Split(".")[0])

2. Supprimez les SPN HOST existants renvoyés à l'étape précédente à l'aide de l'exemple de script suivant.

   • alias_fqdnRemplacez-le par l'alias DNS complet que vous avez associé au système de fichiers à l'étape 1.

   • file_system_DNS_nameRemplacez-le par le nom DNS du système de fichiers d'origine.

   ## Delete SPNs for original file system's AD computer object
   $Alias = "alias_fqdn"
   $FileSystemDnsName = "file_system_dns_name"
   $FileSystemHost = (Resolve-DnsName ${FileSystemDnsName} | Where Type -eq 'A')[0].Name.Split(".")[0]
   $FSxAdComputer = (Get-AdComputer -Identity ${FileSystemHost})
   
   SetSPN /D ("HOST/" + ${Alias}) ${FSxAdComputer}.Name
   SetSPN /D ("HOST/" + ${Alias}.Split(".")[0]) ${FSxAdComputer}.Name
   

3. Répétez les étapes précédentes pour chaque alias DNS que vous avez associé au système de fichiers à l'étape 1.

Pour définir des SPN sur l'objet informatique Active Directory de votre système de fichiers Amazon FSx

1. Définissez de nouveaux SPN pour votre système de fichiers Amazon FSx en exécutant les commandes suivantes.

   • file_system_DNS_nameRemplacez-le par le nom DNS attribué par Amazon FSx au système de fichiers.

     Pour trouver le nom DNS de votre système de fichiers sur la console Amazon FSx, choisissez Systèmes de fichiers, choisissez votre système de fichiers, puis choisissez le volet Réseau et sécurité sur la page de détails du système de fichiers.

     Vous pouvez également obtenir le nom DNS dans la réponse de l'opération d'DescribeFileSystemsAPI.

   • alias_fqdnRemplacez-le par l'alias DNS complet que vous avez associé au système de fichiers à l'étape 1.

   ## Set SPNs for FSx file system AD computer object
   $FSxDnsName = "file_system_DNS_name"
   $Alias = "alias_fqdn"
   $FileSystemHost = (Resolve-DnsName $FSxDnsName | Where Type -eq 'A')[0].Name.Split(".")[0]
   $FSxAdComputer = (Get-AdComputer -Identity $FileSystemHost)
   
   ##Use the following command to set both the full FQDN and Alias SPNs
   Set-AdComputer -Identity $FSxAdComputer -Add @{"msDS-AdditionalDnsHostname" = @($Alias, $Alias.Split(".")[0])}

   Note

   La définition d'un SPN pour votre système de fichiers Amazon FSx échouera si un SPN pour l'alias DNS existe dans l'AD pour l'objet informatique du système de fichiers d'origine. Pour plus d'informations sur la recherche et la suppression de SPN existants, consultezPour rechercher et supprimer des alias DNS SPN existants sur l'objet informatique Active Directory du système de fichiers d'origine.

2. Vérifiez que les nouveaux SPN sont configurés pour l'alias DNS à l'aide de l'exemple de script suivant. Assurez-vous que la réponse inclut deux SPN HOST HOST/alias etHOST/alias_fqdn, comme décrit précédemment dans cette procédure.

   file_system_DNS_nameRemplacez-le par le nom DNS attribué par Amazon FSx à votre système de fichiers. Pour trouver le nom DNS de votre système de fichiers sur la console Amazon FSx, choisissez Systèmes de fichiers, choisissez votre système de fichiers, puis choisissez le volet Réseau et sécurité sur la page de détails du système de fichiers.

   Vous pouvez également obtenir le nom DNS dans la réponse de l'opération d'DescribeFileSystemsAPI.

   ## Verify SPNs on FSx file system AD computer object
   $FileSystemDnsName = "file_system_dns_name"
   $FileSystemHost = (Resolve-DnsName ${FileSystemDnsName} | Where Type -eq 'A')[0].Name.Split(".")[0]
   $FSxAdComputer = (Get-AdComputer -Identity ${FileSystemHost})
   SetSpn /L ${FSxAdComputer}.Name

3. Répétez les étapes précédentes pour chaque alias DNS que vous avez associé au système de fichiers à l'étape 1.