本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
# 搭配 使用 Amazon FSx AWS Directory Service for Microsoft Active Directory
AWS Directory Service for Microsoft Active Directory (AWS Managed Microsoft AD) 在雲端提供全受管、高可用性的實際 Active Directory 目錄。您可以在工作負載部署中使用這些 Active Directory 目錄。
如果您的組織使用 AWS Managed Microsoft AD 來管理身分和裝置，我們建議您將 Amazon FSx 檔案系統與 整合 AWS Managed Microsoft AD。透過這樣做，您可以使用 Amazon FSx 搭配 取得統包解決方案 AWS Managed Microsoft AD。 會 AWS 處理兩種服務的部署、操作、高可用性、可靠性、安全性和無縫整合，讓您專注於有效操作自己的工作負載。
若要搭配您的 AWS Managed Microsoft AD 設定使用 Amazon FSx，您可以使用 Amazon FSx 主控台。當您在主控台中建立新的 FSx for Windows File Server 檔案系統時，請在 **Windows 身分驗證**區段下選擇**AWS 受管 Active Directory**。您也可以選擇要使用的特定目錄。如需詳細資訊，請參閱[步驟 5. 建立您的檔案系統](getting-started.md#getting-started-step1)。
您的組織可能會在自我管理的 Active Directory 網域 （內部部署或雲端） 上管理身分和裝置。如果是這樣，您可以將 Amazon FSx 檔案系統直接加入現有的自我管理 Active Directory 網域。如需詳細資訊，請參閱[使用自我管理的 Microsoft Active Directory](self-managed-AD.md)。
此外，您也可以設定您的系統，以受益於資源樹系隔離模型。在此模型中，您會將 資源隔離，包括 Amazon FSx 檔案系統，與使用者所在的樹系隔離成不同的 Active Directory 樹系。
**重要**
對於單一可用區 2 和所有多可用區檔案系統，Active Directory 完整網域名稱 (FQDN) 不得超過 47 個字元。
## 網路先決條件
建立已加入 AWS Microsoft Managed Active Directory 網域的 FSx for Windows File Server 檔案系統之前，請確定您已建立並設定下列網路組態：
+ 對於 **VPC 安全群組**，預設 Amazon VPC 的預設安全群組已新增至主控台中的檔案系統。請確定您建立 FSx 檔案系統之子網路的安全群組和 VPC 網路 ACLs 允許連接埠上的流量，並如下圖所示。
下表識別每個連接埠的角色。
[See the AWS documentation website for more details](http://docs.aws.amazon.com/zh_tw/fsx/latest/WindowsGuide/fsx-aws-managed-ad.html)
**重要**
單一可用區 2 和所有多可用區檔案系統部署需要允許 TCP 連接埠 9389 上的傳出流量。
**注意**
如果您使用的是 VPC 網路 ACLs，您還必須允許來自 FSx 檔案系統的動態連接埠 ((49152-65535) 上的傳出流量。
+ 如果您要將 Amazon FSx 檔案系統連接到不同 VPC 或帳戶中的 AWS 受管 Microsoft Active Directory，請確保該 VPC 與您要建立檔案系統的 Amazon VPC 之間的連線。如需詳細資訊，請參閱[在 AWS Managed Microsoft AD 不同的 VPC 或帳戶中搭配 使用 Amazon FSx](shared-mad.md)。
**重要**
雖然 Amazon VPC 安全群組需要僅在網路流量啟動的方向上開啟連接埠，但 VPC 網路 ACLs 需要雙向開啟連接埠。
使用 [Amazon FSx 網路驗證工具](validate-ad-domain-controllers.md#test-ad-controller-connectivity)來驗證與 Active Directory 網域控制站的連線。
## 使用資源樹系隔離模型
您可以將檔案系統加入 AWS Managed Microsoft AD 設定。然後，在您建立的 AWS Managed Microsoft AD 網域與現有的自我管理 Active Directory 網域之間建立單向樹系信任關係。對於 Amazon FSx 中的 Windows 身分驗證，您只需要單向樹系信任，其中 AWS 受管樹系信任公司網域樹系。
您的公司網域擔任信任網域的角色，而 Directory Service 受管網域則擔任信任網域的角色。驗證的身分驗證請求只會以一個方向在網域之間傳輸，允許您公司網域中的帳戶對受管網域中共用的資源進行身分驗證。在此情況下，Amazon FSx 只會與 AWS 受管網域互動。在 Kerberos 身分驗證案例中，來自公司用戶端的身分驗證請求會經過公司網域的驗證，然後將其參考 AWS Managed Microsoft AD，最終用戶端會將其服務票證提供給您的 FSx for Windows File Server 檔案系統。如需信任的詳細資訊，請參閱 AWS 安全部落格中的文章 [ 您想要了解的 信任相關資訊 AWS Managed Microsoft AD](https://aws.amazon.com/blogs/security/everything-you-wanted-to-know-about-trusts-with-aws-managed-microsoft-ad/)。
## 測試您的 Active Directory 組態
在建立 Amazon FSx 檔案系統之前，建議您使用 Amazon FSx 網路驗證工具驗證與 Active Directory 網域控制站的連線。如需詳細資訊，請參閱[驗證 Active Directory 網域控制站的連線](validate-ad-domain-controllers.md)。
下列相關資源可協助您 AWS Directory Service for Microsoft Active Directory 搭配 FSx for Windows File Server 使用：
+ *AWS Directory Service 管理指南*中的[內容 Directory Service](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/what_is.html)
+ 《 *AWS Directory Service 管理指南*》中的[建立 AWS Managed Active Directory](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/ms_ad_getting_started_create_directory.html)
+ 《 *AWS Directory Service 管理指南*》中的[建立信任關係的時機](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/ms_ad_setup_trust.html)