FSx for Windows File Server を同一 AD に複数台参加させる際の留意事項と OU の命名規則について
困っていた内容
セルフマネージド型の Active Directory 環境に Amazon FSx for Windows File Server を導入予定です。
以下の点を確認したいです。
- 同一の Active Directory に対して、複数の FSx for Windows File Server ファイルシステムを紐づけることは可能か
- FSx 参加先として OU を分離する場合、OU 名は AD 管理者が任意に命名して問題ないか。
回答
複数の FSx ファイルシステムを同一 AD に参加させることは可能か
同一の Active Directory に対して、複数の Amazon FSx for Windows File Server ファイルシステムを参加させることが可能です。AWS Managed Microsoft AD だけでなく、セルフマネージド型 Active Directory でもサポートされています。
各 FSx ファイルシステムは、Active Directory 上にそれぞれ独立したコンピューターオブジェクトを作成し、独立した管理単位として動作します。そのため、ある FSx に対する操作や設定変更が、他の FSx に影響を及ぼすことはありません。
また、FSx が Active Directory に対して実施する操作は、委任された権限の範囲内で実行されます。適切に OU を分離し、必要最小限の権限を委任することで、参加時に指定していない他の OU へ影響が及ぶことはありません。
留意事項
複数台構成にする際は、以下の点にご留意ください。
- 各 FSx は Active Directory 上に 1 つのコンピューターオブジェクトを作成・管理するため、事前に指定した OU に対して必要な権限（制御の委任）が設定されていることをご確認ください。
- Active Directory には既定で一般ユーザーが作成できるコンピューターオブジェクト数（ms-DS-MachineAccountQuota、既定値：10）が設定されています。ただし、コンピューターオブジェクトの作成権限を対象 OU に対して明示的に委任している場合は、この既定の制限に依存せず作成が可能です
- 既存のFSx環境ではOUに対する制御の委任（コンピューターオブジェクト作成権限の明示的な付与）を前提とされているため、現状の運用を継続いただく限り、既定のクォータを意識いただく必要はありません。ただし、今後利用するサービスアカウントや委任設定を変更される場合は、改めて本クォータの影響をご確認いただくことを推奨いたします。
OU 名の命名規則について
Amazon FSx for Windows File Server では、参加先 OU の名称について AWS 独自の命名規則は定められていません。そのため、OU 名は Active Directory の運用方針に沿って任意に命名いただいて問題ありません。
ただし、Active Directory 一般の命名規則には従う必要があります。Microsoft ドキュメント（参考資料[1]）によると以下の通りです。
- 使用できる文字: すべての文字が許可され、拡張文字も使用可能。ただし、OU の目的を説明する管理しやすい短い名前を推奨
- 名前の長さ: 最小 1 文字 / 最大 64 文字
参考資料
[1]コンピューター、ドメイン、サイト、OU の命名 - Windows Server | Microsoft Learn
使用できる文字: すべての文字が許可され、拡張文字も使用できます。 ただし、[Active Directory ユーザーとコンピューター] では拡張文字を使用して OU に名前を付けることができますが、OU の目的を説明する、管理しやすい短い名前を使用することを推奨します。 ライトウェイト ディレクトリ アクセス プロトコル (LDAP) には、オブジェクトの CN が引用符で囲まれているため、制限はありません。
許可されていない文字: 文字は許可されません。
名前の長さの規則:
名前の最小長: 1 文字
名前の最大長: 64 文字
[2]セルフマネージド Microsoft Active Directory を使用する - Amazon FSx for Windows File Server
