Windows File Server 用のマルチ AZ またはシングル AZ 2 の Amazon FSx ファイル共有を作成できるように、セルフマネージド Microsoft Active Directory を設定する方法を教えてください。

解決策

マルチ AZ またはシングル AZ 2 のファイル共有を作成するには、まずサービスアカウントを作成してから、必要なアクセス許可を委任します。

前提条件

• セルフマネージド Microsoft Active Directory の DNS サーバーは、ファイル共有に使用する同一の仮想プライベートクラウド (VPC) 内からアクセスできる必要があります。
• セルフマネージド Microsoft Active Directory 内でサービスアカウントを作成し、アクセス許可を付与できる必要があります。
• セルフマネージド Microsoft Active Directory には完全修飾ドメイン名 (FQDN) を使用する必要があります。シングルラベルドメインはサポートされていません。

サービスアカウント用のセルフマネージド Microsoft Active Directory ユーザーを作成する

1. ユーザー作成のアクセス許可を持つドメインアカウントで、セルフマネージド Microsoft Active Directory サーバーにサインインします。
2. [Active Directory のユーザーとコンピュータ] を開きます。
3. サービスアカウントを作成する組織単位 (OU) のコンテキスト (右クリック) メニューを開き、[新規]、[ユーザー] の順に選択します。
   注: サービスアカウントには任意の OU を使用できます。ただし、別の OU を使用して Amazon FSx オブジェクトを作成するには、ユーザーが両方の OU への読み取りアクセスを持っている必要があります。
4. [新しいオブジェクト - ユーザー] の名前およびユーザーログオン名の各フィールドに情報を入力し、[次へ] を選択します。
5. ユーザーのパスワードを作成し、[次へ] を選択します。
   重要: [パスワードは失効しない] を選択しないことがベストプラクティスです。この設定を選択すると、古いパスワードを使用するサービスアカウントにセキュリティ上のリスクが生じる可能性があります。[パスワードは失効しない] 設定を解除すると、そのアカウントはデフォルトのドメインポリシーの対象となります。パスワードの有効期限が切れたら、必ずサービスアカウントの認証情報を更新してください。
6. ユーザーを作成するには、[完了] を選択します。

サービスアカウントにアクセス許可を委任する

1. [Active Directory のユーザーとコンピュータ] を開きます。
2. Amazon FSx コンピュータオブジェクトを作成する OU を選択します。作成時にこの OU を指定しない場合、デフォルトの Domainname\Computers OU が使用されます。
   注: デフォルトの OU を使用しない場合は、後のステップで使うために distinguishedName を書き留めておいてください。この値を確認するには、[Active Directory のユーザーとコンピュータ] で [表示] を選択し、[高度な機能] を選択します。使用したい OU のコンテキスト (右クリック) メニューを開き、[プロパティ] を選択します。[属性エディタ] タブに distinguishedName が表示されます。
3. Amazon FSx に使用する OU のコンテキスト (右クリック) メニューを開き、[制御の委任] を選択します。
4. [次へ] をクリックします。
5. [選択されたユーザーとグループ] で、先に作成したサービスアカウントを選択し、[次へ] を選択します。
6. [委任するためのカスタムタスクを作成] を選択し、[次へ] を選択します。
7. [フォルダ内の次のオブジェクトのみ] を選択し、[コンピュータオブジェクト] を選択します。
8. [このフォルダで選択されたオブジェクトを作成] と [このフォルダで選択されたオブジェクトを削除] の両方を選択します。
9. [次へ] をクリックします。
10. [アクセス許可] で、以下を選択します。
    [パスワードのリセット]
    [アカウントの読み取りと書き込みの制限]
    [検証済みの DNS ホスト名への書き込み]
    [検証済みのサービスプリンシパル名への書き込み]
11. [次へ] を選択し、[完了] を選択します。

Amazon FSx for Windows File Server ファイルシステムを作成する

1. Amazon FSx コンソールを開き、[ファイルシステムの作成] を選択します。
2. [Amazon FSx for Windows File Server] を選択し、[次へ] を選択します。
3. [ファイルシステムの詳細] では、デプロイタイプ [マルチ AZ] を選択し、必要なストレージ容量とスループットキャパシティを指定します。
4. [ネットワークとセキュリティ] では、セルフマネージド Microsoft Active Directory 用の VPC を選択します。次に、2 つの優先サブネットを選択します。
5. [Windows 認証] は、[セルフマネージド Microsoft Active Directory] を選択し、先に作成したサービスアカウントの詳細を入力します。
   デフォルトの Computers OU を使用しない場合は、サービスアカウントにアクセス許可を委任するときに書き留めた OU の distinguishedName を入力します。
   デフォルトの Domain Admins グループを使用しない場合は、[委任されたファイルシステム管理者グループ] にグループ名を入力します。
6. [暗号化] では、デフォルトの設定を使用するか、必要な暗号化オプションを選択します。
7. [バックアップとメンテナンス] で、希望する設定を選択します。Amazon FSx は通常のメンテナンスウィンドウ中に 2 番目のサーバーにフェイルオーバーするため、デフォルトの設定ではダウンタイムは発生しません。
8. [次へ] をクリックします。
9. [概要] を確認してください。
   重要: 概要には、ファイルシステムの作成後に属性を編集できるかどうかが示されます。作成後に編集できない属性を変更する最後の機会です。
10. [ファイルシステムの作成] を選択します。
    ファイルシステムの作成が開始されます。共有のサイズによっては、処理に数時間かかる場合があります。プロセスが完了すると、Amazon FSx コンソールの上部に緑色のバナーが表示され、ファイル共有が利用可能であることが示されます。

関連情報

可用性と耐久性: シングル AZ およびマルチ AZ ファイルシステム