Configurar los nombres de entidades principales de servicios (SPN) para Kerberos

Cómo instalar el módulo PowerShell Active Directory obligatorio

1. Inicie sesión en una instancia de Windows unida al Active Directory al que está unido el sistema de archivos Amazon FSx.

2. Abra PowerShell como administrador.

3. Instale el módulo de PowerShell Active Directory con el siguiente comando.

   Install-WindowsFeature RSAT-AD-PowerShell

Cömo buscar y eliminar los alias SPN de DNS existentes en el objeto informático de Active Directory del sistema de archivos original

Si tiene SPN configurados para el alias del DNS que asignó a otro sistema de archivos en un objeto informático del Active Directory, primero debe eliminarlos antes de añadirlos al objeto informático del sistema de archivos.

1. Busque cualquier SPN existente con los siguientes comandos. Sustituya alias_fqdn por el alias del DNS que asoció al sistema de archivos en el Paso 1.

   ## Find SPNs for original file system's AD computer object
   $ALIAS = "alias_fqdn"
   SetSPN /Q ("HOST/" + $ALIAS)
   SetSPN /Q ("HOST/" + $ALIAS.Split(".")[0])

2. Elimine los SPN de HOST existentes devueltos en el paso anterior con el siguiente script de ejemplo.

   • Sustituya alias_fqdn por el alias del DNS completo que asoció al sistema de archivos en el Paso 1.

   • Sustituya file_system_DNS_name por el nombre del DNS del sistema de archivos original.

   ## Delete SPNs for original file system's AD computer object
   $Alias = "alias_fqdn"
   $FileSystemDnsName = "file_system_dns_name"
   $FileSystemHost = (Resolve-DnsName ${FileSystemDnsName} | Where Type -eq 'A')[0].Name.Split(".")[0]
   $FSxAdComputer = (Get-AdComputer -Identity ${FileSystemHost})
   
   SetSPN /D ("HOST/" + ${Alias}) ${FSxAdComputer}.Name
   SetSPN /D ("HOST/" + ${Alias}.Split(".")[0]) ${FSxAdComputer}.Name
   

3. Repita los pasos anteriores con cada alias del DNS que haya asociado al sistema de archivos en el Paso 1.

Cómo establecer los SPN en el objeto informático de Active Directory del sistema de archivos Amazon FSx

1. Establezca nuevos SPN para el sistema de archivos Amazon FSx con los siguientes comandos.

   • Sustituya file_system_DNS_name por el nombre del DNS que Amazon FSx asignó al sistema de archivos.

     Para buscar el nombre del DNS del sistema de archivos en la consola de Amazon FSx, elija Sistemas de archivos, seleccione su sistema de archivos y, a continuación, elija el panel Red y seguridad en la página de información del sistema de archivos.

     También, puede obtener el nombre del DNS en la respuesta de la operación de la API DescribeFilesystems.

   • Sustituya alias_fqdn por el alias del DNS completo que asoció al sistema de archivos en el Paso 1.

   ## Set SPNs for FSx file system AD computer object
   $FSxDnsName = "file_system_DNS_name"
   $Alias = "alias_fqdn"
   $FileSystemHost = (Resolve-DnsName $FSxDnsName | Where Type -eq 'A')[0].Name.Split(".")[0]
   $FSxAdComputer = (Get-AdComputer -Identity $FileSystemHost)
   
   ##Use the following command to set both the full FQDN and Alias SPNs
   Set-AdComputer -Identity $FSxAdComputer -Add @{"msDS-AdditionalDnsHostname" = @($Alias, $Alias.Split(".")[0])}

   nota

   Se producirá un error al establecer un SPN para el sistema de archivos Amazon FSx si existe un SPN del alias del DNS en el AD del objeto informático del sistema de archivos original. Para obtener información sobre cómo buscar y eliminar los SPN existentes, consulte Cömo buscar y eliminar los alias SPN de DNS existentes en el objeto informático de Active Directory del sistema de archivos original.

2. Compruebe si los nuevos SPN estén establecidos para el alias del DNS con el siguiente script de ejemplo. Asegúrese de que la respuesta incluya dos SPN del HOST, HOST/alias yHOST/alias_fqdn, tal como se describió anteriormente en este procedimiento.

   Sustituya file_system_DNS_name por el nombre del DNS que Amazon FSx asignó a su sistema de archivos. Para encontrar el nombre del DNS del sistema de archivos en la consola de Amazon FSx, elija Sistemas de archivos, seleccione el suyo. Luego, elija el panel Red y seguridad en la página de información del sistema de archivos.

   También, puede obtener el nombre del DNS en la respuesta de la operación de la API DescribeFilesystems.

   ## Verify SPNs on FSx file system AD computer object
   $FileSystemDnsName = "file_system_dns_name"
   $FileSystemHost = (Resolve-DnsName ${FileSystemDnsName} | Where Type -eq 'A')[0].Name.Split(".")[0]
   $FSxAdComputer = (Get-AdComputer -Identity ${FileSystemHost})
   SetSpn /L ${FSxAdComputer}.Name

3. Repita los pasos anteriores con cada alias del DNS que haya asociado al sistema de archivos en el Paso 1.