Die deutsche Sprachversion wurde als Serviceleistung für Sie durch maschinelle Übersetzung erstellt. Bei eventuellen Unstimmigkeiten hat die englische Sprachversion Vorrang.

LDAP-Client-Konfigurationen für ONTAP NFS-Zugriff erstellen

07/23/2026 Beitragende

PDFs

Wenn ONTAP auf die externen LDAP- oder Active Directory-Dienste in Ihrer Umgebung zugreifen soll, muss zunächst ein LDAP-Client auf dem Speichersystem eingerichtet werden.

Bevor Sie beginnen

Einer der ersten drei Server in der aufgelösten Liste der Active Directory-Domäne muss betriebsbereit sein und Daten bereitstellen. Andernfalls schlägt diese Aufgabe fehl.

Es gibt mehrere Server, von denen zu jedem Zeitpunkt mehr als zwei Server ausgefallen sind.

Schritte

Konsultieren Sie Ihren LDAP-Administrator, um die geeigneten Konfigurationswerte für den vserver services name-service ldap client create Befehl zu bestimmen:

Eine domänenbasierte oder eine adressbasierte Verbindung zu LDAP-Servern angeben.

Die -ad-domain- und -servers-Optionen schließen sich gegenseitig aus.
- Die -ad-domain Option ermöglicht die Aktivierung der LDAP-Servererkennung in der Active Directory-Domäne.
  - Sie können die -restrict-discovery-to-site Option verwenden, um die LDAP-Serverermittlung auf den CIFS-Standardstandort für die angegebene Domäne zu beschränken. Wenn Sie diese Option verwenden, müssen Sie auch den CIFS-Standardstandort mit -default-site angeben.
- Sie können die -preferred-ad-servers Option verwenden, um einen oder mehrere bevorzugte Active Directory Server anhand ihrer IP-Adressen in einer durch Kommas getrennten Liste anzugeben. Nach der Erstellung des Clients kann diese Liste mit dem vserver services name-service ldap client modify Befehl geändert werden.
- Mit der -servers Option kann ein oder können mehrere LDAP-Server (Active Directory oder UNIX) anhand ihrer IP-Adresse in einer durch Kommas getrennten Liste angegeben werden.
  
  Die -servers Option ist veraltet. Das -ldap-servers Feld ersetzt das -servers Feld. Dieses Feld kann entweder einen Hostnamen oder eine IP-Adresse für den LDAP-Server annehmen.
Ein Standard- oder ein benutzerdefiniertes LDAP-Schema kann angegeben werden.

Die meisten LDAP-Server können die von ONTAP bereitgestellten schreibgeschützten Standardschemas verwenden. Es empfiehlt sich, diese Standardschemas zu nutzen, sofern keine anderen Anforderungen bestehen. In diesem Fall kann ein eigenes Schema erstellt werden, indem ein Standardschema kopiert wird (diese sind schreibgeschützt) und die Kopie anschließend angepasst wird.

Standardschemas:
- MS-AD-BIS
  
  Basierend auf RFC-2307bis ist dies das bevorzugte LDAP-Schema für die meisten Standard-Windows 2012 und späteren LDAP-Bereitstellungen.
- AD-IDMU
  
  Dieses Schema basiert auf Active Directory Identity Management für UNIX und eignet sich für die meisten Windows 2008, Windows 2012 und späteren AD-Server.
- AD-SFU
  
  Basierend auf Active Directory Services für UNIX ist dieses Schema für die meisten Windows 2003 und frühere AD-Server geeignet.
- RFC-2307
  
  Basierend auf RFC-2307 (An Approach for Using LDAP as a Network Information Service) ist dieses Schema für die meisten UNIX AD Server geeignet.
Bindungswerte auswählen.
- -min-bind-level {anonymous|simple|sasl} gibt die minimale Bindungs-Authentifizierungsebene an.
  
  Der Standardwert ist anonymous.
- `-bind-dn LDAP_DN`gibt den Bind-Benutzer an.
  
  Für Active Directory-Server muss der Benutzer im Kontoformat (DOMAIN\user) oder im Principal-Format (user@domain.com) angegeben werden. Andernfalls muss der Benutzer im Format individueller Name (CN=user,DC=domain,DC=com) angegeben werden.
- `-bind-password password`gibt das Bind-Passwort an.

Sicherheitsoptionen für die Sitzung können bei Bedarf ausgewählt werden.

Sie können entweder LDAP-Signierung und -Versiegelung oder LDAP über TLS aktivieren, falls dies vom LDAP-Server erforderlich ist.

--session-security {none|sign|seal}

Sie können Signieren (sign, Datenintegrität, Signieren und Versiegeln (seal, Datenintegrität und Verschlüsselung oder keines von beidem none, keine Signierung oder Versiegelung, aktivieren. Der Standardwert ist none.

Sie sollten außerdem -min-bind-level {sasl} festlegen, es sei denn, Sie möchten, dass die Bind-Authentifizierung auf anonymous oder simple zurückgreift, falls die Signierungs- und Versiegelungsbindung fehlschlägt.
-use-start-tls {true|false}

Wenn auf true gesetzt und der LDAP-Server dies unterstützt, verwendet der LDAP-Client eine verschlüsselte TLS-Verbindung zum Server. Der Standardwert ist false. Zum Verwenden dieser Option ist die Installation eines selbstsignierten Root-CA-Zertifikats des LDAP-Servers erforderlich.

Wenn der Storage-VM ein SMB-Server hinzugefügt wurde, der einer Domäne zugeordnet ist, und der LDAP-Server einer der Domänencontroller der Heimatdomäne des SMB-Servers ist, kann die -session-security-for-ad-ldap Option mit dem vserver cifs security modify Befehl geändert werden.

Port-, Abfrage- und Basiswerte auswählen.

Die Standardwerte werden empfohlen, jedoch sollte mit dem LDAP-Administrator überprüft werden, ob sie für Ihre Umgebung geeignet sind.
- `-port port`gibt den LDAP-Server-Port an.
  
  Der Standardwert ist 389.
Wenn Sie Start TLS zur Sicherung der LDAP-Verbindung verwenden möchten, müssen Sie den Standardport 389 nutzen. Start TLS beginnt als unverschlüsselte Verbindung über den LDAP-Standardport 389, und diese Verbindung wird anschließend auf TLS umgestellt. Wenn Sie den Port ändern, schlägt Start TLS fehl.
- `-query-timeout integer`gibt die Abfrage-Zeitüberschreitung in Sekunden an.
  
  Der zulässige Bereich liegt zwischen 1 und 10 Sekunden. Der Standardwert beträgt 3 Sekunden.
- `-base-dn LDAP_DN`Gibt den Basis-DN an.
  
  Bei Bedarf können mehrere Werte eingegeben werden (z. B. wenn das LDAP-Referral-Chasing aktiviert ist). Der Standardwert ist "" (root).
- -base-scope {base|onelevel|subtree} gibt den Basissuchbereich an.
  
  Der Standardwert ist subtree.
- -referral-enabled {true|false} gibt an, ob die LDAP-Referral-Verfolgung aktiviert ist.
  
  Ab ONTAP 9.5 ermöglicht dies dem ONTAP LDAP-Client, Suchanfragen an andere LDAP-Server weiterzuleiten, wenn der primäre LDAP-Server eine LDAP-Verweisantwort zurückgibt, die angibt, dass die gewünschten Datensätze auf den referenzierten LDAP-Servern vorhanden sind. Der Standardwert ist false.

Um nach Datensätzen auf den referenzierten LDAP-Servern zu suchen, muss der Basis-DN der referenzierten Datensätze im Rahmen der LDAP-Client-Konfiguration zum Basis-DN hinzugefügt werden.

Eine LDAP-Client-Konfiguration auf der Storage-VM erstellen:

vserver services name-service ldap client create -vserver vserver_name -client-config client_config_name {-servers LDAP_server_list | -ad-domain ad_domain} -preferred-ad-servers preferred_ad_server_list -restrict-discovery-to-site {true|false} -default-site CIFS_default_site -schema schema -port 389 -query-timeout 3 -min-bind-level {anonymous|simple|sasl} -bind-dn LDAP_DN -bind-password password -base-dn LDAP_DN -base-scope subtree -session-security {none|sign|seal} [-referral-enabled {true|false}]

Beim Erstellen einer LDAP-Client-Konfiguration muss der Name der Storage-VM angegeben werden.
Es sollte überprüft werden, ob die LDAP-Client-Konfiguration erfolgreich erstellt wurde:

vserver services name-service ldap client show -client-config client_config_name

Beispiele

Der folgende Befehl erstellt eine neue LDAP-Client-Konfiguration namens ldap1 für die Storage-VM vs1 zur Zusammenarbeit mit einem Active Directory Server für LDAP:

cluster1::> vserver services name-service ldap client create -vserver vs1 -client-config ldapclient1 -ad-domain addomain.example.com -schema AD-SFU -port 389 -query-timeout 3 -min-bind-level simple -base-dn DC=addomain,DC=example,DC=com -base-scope subtree -preferred-ad-servers 172.17.32.100

Der folgende Befehl erstellt eine neue LDAP-Clientkonfiguration namens ldap1 für die Storage-VM vs1, um mit einem Active Directory Server für LDAP zu arbeiten, auf dem Signierung und Versiegelung erforderlich sind und die LDAP-Servererkennung auf einen bestimmten Standort für die angegebene Domäne beschränkt ist:

cluster1::> vserver services name-service ldap client create -vserver vs1 -client-config ldapclient1 -ad-domain addomain.example.com -restrict-discovery-to-site true -default-site cifsdefaultsite.com -schema AD-SFU -port 389 -query-timeout 3 -min-bind-level sasl -base-dn DC=addomain,DC=example,DC=com -base-scope subtree -preferred-ad-servers 172.17.32.100 -session-security seal

Der folgende Befehl erstellt eine neue LDAP-Client-Konfiguration namens ldap1 für die Storage-VM vs1, um mit einem Active Directory Server für LDAP zu arbeiten, wobei LDAP-Referral-Chasing erforderlich ist:

cluster1::> vserver services name-service ldap client create -vserver vs1 -client-config ldapclient1 -ad-domain addomain.example.com -schema AD-SFU -port 389 -query-timeout 3 -min-bind-level sasl -base-dn "DC=adbasedomain,DC=example1,DC=com; DC=adrefdomain,DC=example2,DC=com" -base-scope subtree -preferred-ad-servers 172.17.32.100 -referral-enabled true

Der folgende Befehl ändert die LDAP-Client-Konfiguration mit dem Namen ldap1 für die Storage-VM vs1, wobei der Basis-DN angegeben wird:

cluster1::> vserver services name-service ldap client modify -vserver vs1 -client-config ldap1 -base-dn CN=Users,DC=addomain,DC=example,DC=com

Der folgende Befehl ändert die LDAP-Client-Konfiguration mit dem Namen ldap1 für die Storage-VM vs1, indem das Referral-Chasing aktiviert wird:

cluster1::> vserver services name-service ldap client modify -vserver vs1 -client-config ldap1 -base-dn "DC=adbasedomain,DC=example1,DC=com; DC=adrefdomain,DC=example2,DC=com"  -referral-enabled true

LDAP-Client-Konfigurationen für ONTAP NFS-Zugriff erstellen

Creating your file...