翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

# Amazon FSx for Windows File Server へのオペレーションのカットオーバー
<a name="cutover-to-fsx"></a>

オンプレミスのファイルストレージ、ファイル共有設定、および DNS 設定を移行したら、次のステップは FSx for Windows File Server ファイルシステムにオペレーションを引き継ぐことです。FSx for Windows File Server のファイルシステムにカットオーバーするには、次のステップを実行します。
+ カットオーバーの準備をします。
  + SMB クライアントを元のファイルシステムから一時的に切断します。
  + 最終ファイルとファイル共有設定の同期を実行します。
+ Amazon FSx ファイルシステムのサービスプリンシパル名 (SPN) を設定します。
+ DNS CNAME レコードを更新して、Amazon FSx ファイルシステムを指定します。

これらの各ステップを実行する手順は、後に続くセクションで説明します。

**Topics**
+ [Amazon FSx へのカットオーバーの準備](#final-sync-and-disconnect)
+ [Kerberos 認証用の SPN の設定](#configure-spns)
+ [Amazon FSx ファイルシステムの DNS CNAME レコードを更新する](#update-dns-cname)

## Amazon FSx へのカットオーバーの準備
<a name="final-sync-and-disconnect"></a>

Amazon FSx ファイルシステムへのカットオーバーを準備するには、次の操作を行う必要があります:
+ 元のファイルシステムに書き込むすべてのクライアントを切断します。
+  AWS DataSync または Robocopy を使用して最終的なファイル同期を実行します。詳細については、「[FSx for Windows File Server に既存のファイルストレージを移行する](migrate-files-fsx.md)」を参照してください。
+ 最終ファイル共有設定の同期を実行します。詳細については、「[オンプレミスのファイル共有設定を Amazon FSx に移行する](migrate-file-share-config-to-fsx.md)」を参照してください。

## Kerberos 認証用の SPN の設定
<a name="configure-spns"></a>

Amazon FSx との転送中に、Kerberos ベースの認証と暗号化を使用することをお勧めします。Kerberos は、ファイルシステムにアクセスするクライアントに最も安全な認証を提供します。DNS エイリアスを使用して Amazon FSx にアクセスするクライアントの Kerberos 認証を有効にするには、Amazon FSx ファイルシステムのアクティブディレクトリコンピュータオブジェクトの DNS エイリアスに対応するサービスプリンシパル名 (SPN) を追加する必要があります。

Kerberos 認証には必要な SPN が 2 つあります。

```
HOST/alias
HOST/alias.domain
```

例として、エイリアスが `finance.domain.com` の場合、必要な 2 つの SPN は以下の通りです。

```
HOST/finance
HOST/finance.domain.com
```

SPN は、一度に 1 つのアクティブディレクトリコンピュータオブジェクトにのみ関連付けることができます。元のファイルシステムの アクティブディレクトリコンピュータオブジェクトに設定された DNS 名の既存 SPN がある場合は、Amazon FSx ファイルシステムの SPN を作成する前にそれらを削除する必要があります。

次の手順では、既存の SPN を検索して削除し、Amazon FSx ファイルシステムのアクティブディレクトリコンピュータオブジェクトの既存 SPN を作成する方法について説明します。

**必要な PowerShell アクティブディレクトリモジュールをインストールするには**

1. Amazon FSx ファイルシステムをを結合しているアクティブディレクトリを結合している Windows インスタンスにログオンします。

1. 管理者として PowerShell を開きます。

1. 次のコマンドを使用して、PowerShell アクティブディレクトリのモジュールをインストールします。

   ```
   Install-WindowsFeature RSAT-AD-PowerShell
   ```<a name="finddelete-existing-spn"></a>

**元のファイルシステムのアクティブディレクトリコンピュータオブジェクト上で、既存の DNS エイリアス SPN を検索して削除するには**

1.  次のコマンドを使用して、既存の SPN を検索します。`alias_fqdn` を、[オンプレミス DNS 設定の FSx for Windows File Server への移行](migrate-dns-config.md) のファイルシステムに関連付けた DNS エイリアスと置き換えます。

   ```
   ## Find SPNs for original file system's AD computer object
   $ALIAS = "alias_fqdn"
   SetSPN /Q ("HOST/" + $ALIAS)
   SetSPN /Q ("HOST/" + $ALIAS.Split(".")[0])
   ```

1. 次のスクリプティング例を使用して、前のステップで返された既存の HOST SPN を削除します。
   + `alias_fqdn` を、[オンプレミス DNS 設定の FSx for Windows File Server への移行](migrate-dns-config.md) のファイルシステムに関連付けた完全な DNS エイリアスと置き換えます。
   + `file_system_DNS_name` を、元のファイルシステムの DNS 名に置き換えます。

   ```
   ## Delete SPNs for original file system's AD computer object
   $Alias = "alias_fqdn"
   $FileSystemDnsName = "file_system_dns_name"
   $FileSystemHost = (Resolve-DnsName ${FileSystemDnsName} | Where Type -eq 'A')[0].Name.Split(".")[0]
   $FSxAdComputer = (Get-AdComputer -Identity ${FileSystemHost})
   
   SetSPN /D ("HOST/" + ${Alias}) ${FSxAdComputer}.Name
   SetSPN /D ("HOST/" + ${Alias}.Split(".")[0]) ${FSxAdComputer}.Name
   ```

1. [オンプレミス DNS 設定の FSx for Windows File Server への移行](migrate-dns-config.md) のファイルシステムに関連付けた各 DNS エイリアスで、これらのステップを繰り返します。

**Amazon FSx ファイルシステムの アクティブディレクトリコンピュータオブジェクトに SPN を設定するには**

1. 次のコマンドを実行して、Amazon FSx ファイルシステムの新しい SPN を設定します。
   + `file_system_DNS_name` を、Amazon FSx がファイルシステムに割り当てた DNS エイリアスに置き換えます。

     Amazon FSx コンソールでファイルシステムの DNS 名を検索するには、**[File Systems]** (ファイルシステム) を選択し、ユーザーのファイルシステムを選択します。ファイルシステム詳細ページの **[Network & security]** (ネットワークとセキュリティ) ペインを選択します。DNS 名は、[DescribeFileSystems](https://docs.aws.amazon.com/fsx/latest/APIReference/API_DescribeFileSystems.html) API オペレーションのレスポンスで取得することもできます。
   + `alias_fqdn` を、[オンプレミス DNS 設定の FSx for Windows File Server への移行](migrate-dns-config.md) のファイルシステムに関連付けた完全な DNS エイリアスと置き換えます。

   ```
   ## Set SPNs for FSx file system AD computer object
   $FSxDnsName = "file_system_DNS_name"
   $Alias = "alias_fqdn"
   $FileSystemHost = (Resolve-DnsName $FSxDnsName | Where Type -eq 'A')[0].Name.Split(".")[0]
   $FSxAdComputer = (Get-AdComputer -Identity $FileSystemHost)
   
   Set-AdComputer -Identity $FSxAdComputer -Add @{"msDS-AdditionalDnsHostname"="$Alias"}
   SetSpn /S ("HOST/" + $Alias.Split('.')[0]) $FSxAdComputer.Name
   SetSpn /S ("HOST/" + $Alias) $FSxAdComputer.Name
   ```
**注記**  
元のファイルシステムのコンピュータオブジェクトの AD に DNS エイリアスの SPN が存在する場合、Amazon FSx ファイルシステムの SPN の設定は失敗します。既存の SPN の検索および削除については、「[元のファイルシステムのアクティブディレクトリコンピュータオブジェクト上で、既存の DNS エイリアス SPN を検索して削除するには](#finddelete-existing-spn)」を参照してください。

1. 次のスクリプティング例を使用して、新しい SPN が DNS エイリアス用に設定されていることを確認します。レスポンスに 2 つの HOST SPN、`HOST/alias` および `HOST/alias_fqdn` が含まれていることを確認します。

   `file_system_DNS_name` を、Amazon FSx がファイルシステムに割り当てた DNS エイリアスに置き換えます。Amazon FSx コンソールでファイルシステムの DNS 名を検索するには、**[Files systems]** (ファイルシステム) を選択し、ファイルシステムを選択してから、ファイルシステムの詳細ページで **[Network & security]** (ネットワークとセキュリティ) ペインを選択します。

   DNS 名は、[DescribeFileSystems](https://docs.aws.amazon.com/fsx/latest/APIReference/API_DescribeFileSystems.html) API オペレーションのレスポンスで取得することもできます。

   ```
   ## Verify SPNs on FSx file system AD computer object
   $FileSystemDnsName = "file_system_dns_name"
   $FileSystemHost = (Resolve-DnsName ${FileSystemDnsName} | Where Type -eq 'A')[0].Name.Split(".")[0]
   $FSxAdComputer = (Get-AdComputer -Identity ${FileSystemHost})
   SetSpn /L ${FSxAdComputer}.Name
   ```

1. [オンプレミス DNS 設定の FSx for Windows File Server への移行](migrate-dns-config.md) でファイルシステムに関連付けた DNS エイリアスごとに、前のステップを繰り返します。

**注記**  
アクティブディレクトリで次のグループポリシーオブジェクト (GPO) を設定することにより、DNS エイリアスを使用してファイルシステムに接続しているクライアントとの転送中に Kerberos 認証と暗号化を適用できます:  
NTLM の制限: リモートサーバーへの発信 NTLM トラフィック
NTLM の制限: NTLM 認証のリモートサーバー例外の追加
詳細については、「*チュートリアル 5: DNS エイリアスを使用してファイルシステムにアクセスする*」の「[グループポリシーオブジェクト (GPO) を使用した Kerberos 認証の強制](enforce-kerberos.md)」を参照してください。

## Amazon FSx ファイルシステムの DNS CNAME レコードを更新する
<a name="update-dns-cname"></a>

ファイルシステムの SPN を適切に設定した後、元のファイルシステムに解決された各 DNS レコードを、Amazon FSx ファイルシステムのデフォルトの DNS 名に解決する DNS レコードに置き換えることによって、Amazon FSx にカットオーバーできます。

**必要な PowerShell cmdlets をインストールするには**

1. Amazon FSx ファイルシステムが参加している Active Directory に参加している Windows インスタンスに、DNS 管理権限を持つグループ ( AWS Managed Microsoft Active Directory の**AWS 委任ドメイン名システム管理者**、ドメイン**管理者**、またはセルフマネージド Active Directory の DNS 管理権限を委任した別のグループ) のメンバーであるユーザーとしてログオンします。

   詳細については、「Amazon EC2 ユーザーガイド」の「[Windows インスタンスに接続する](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/connecting_to_windows_instance.html)」を参照してください。

1. 管理者として PowerShell を開きます。

1. この手順の指示を実行するには、PowerShell DNS サーバーモジュールが必要です。次のコマンドを使用してインストールします。

   ```
   Install-WindowsFeature RSAT-DNS-Server
   ```

**既存の DNS CNAME レコードを更新するには**

1. 次のスクリプティングは、Amazon FSx ファイルシステムのコンピュータオブジェクトに、`alias_fqdn` の既存 DNS CNAME レコードを更新します。見つからない場合は、DNS エイリアス `alias_fqdn` の新しい DNS CNAME レコードが作成され、これは Amazon FSx ファイルシステムのデフォルトの DNS 名に解決します。

   スクリプティングを実行するには。
   + `alias_fqdn` を、ファイルシステムに関連付けた DNS エイリアスに置き換えます。
   + `file_system_DNS_name` を、Amazon FSx がファイルシステムに割り当てたデフォルトの DNS に置き換えます。

   ```
   $Alias="alias_fqdn"
   $FSxDnsName="file_system_dns_name"
   $AliasHost=$Alias.Split('.')[0]
   $ZoneName=((Get-WmiObject Win32_ComputerSystem).Domain)
   $DnsServerComputerName = (Resolve-DnsName $ZoneName -Type NS | Where Type -eq 'A' | Select -ExpandProperty Name)[0]
   
   Add-DnsServerResourceRecordCName -Name $AliasHost -ComputerName $DnsServerComputerName -HostNameAlias $FSxDnsName -ZoneName $ZoneName
   ```

1. [オンプレミス DNS 設定の FSx for Windows File Server への移行](migrate-dns-config.md) でファイルシステムに関連付けた DNS エイリアスごとに、前述のステップを繰り返します。