Informationen zur lokalen ONTAP SMB-Benutzerauthentifizierung
Änderungen vorschlagen
PDFs
Bevor ein lokaler Benutzer auf Daten auf einem CIFS-Server zugreifen kann, muss er eine authentifizierte Sitzung erstellen.
Da SMB sitzungsbasiert ist, kann die Identität des Benutzers nur einmalig beim ersten Sitzungsaufbau ermittelt werden. Der CIFS-Server verwendet NTLM-basierte Authentifizierung bei der Authentifizierung lokaler Benutzer. Sowohl NTLMv1 als auch NTLMv2 werden unterstützt.
ONTAP verwendet die lokale Authentifizierung in drei Anwendungsfällen. Jeder Anwendungsfall hängt davon ab, ob der Domänenteil des Benutzernamens (im Format DOMAIN\user) mit dem lokalen Domänennamen des CIFS-Servers (dem CIFS-Servernamen) übereinstimmt:
-
Der Domänenteil stimmt überein
Benutzer, die bei der Anforderung des Datenzugriffs lokale Benutzeranmeldeinformationen angeben, werden lokal auf dem CIFS-Server authentifiziert.
-
Der Domänenteil stimmt nicht überein
ONTAP versucht, die NTLM-Authentifizierung mit einem Domänencontroller in der Domäne, zu der der CIFS-Server gehört, durchzuführen. Bei erfolgreicher Authentifizierung ist die Anmeldung abgeschlossen. Wenn die Authentifizierung nicht erfolgreich ist, hängt das weitere Vorgehen davon ab, warum die Authentifizierung nicht erfolgreich war.
Existiert der Benutzer beispielsweise in Active Directory, das Passwort ist jedoch ungültig oder abgelaufen, versucht ONTAP nicht, das entsprechende lokale Benutzerkonto auf dem CIFS-Server zu verwenden. Stattdessen schlägt die Authentifizierung fehl. Es gibt weitere Fälle, in denen ONTAP das entsprechende lokale Konto auf dem CIFS-Server für die Authentifizierung verwendet, sofern es existiert, auch wenn die NetBIOS-Domänennamen nicht übereinstimmen. Existiert beispielsweise ein passendes Domänenkonto, ist dieses jedoch deaktiviert, verwendet ONTAP das entsprechende lokale Konto auf dem CIFS-Server für die Authentifizierung.
-
Der Domänenteil ist nicht angegeben
ONTAP versucht zunächst die Authentifizierung als lokaler Benutzer. Schlägt die Authentifizierung als lokaler Benutzer fehl, authentifiziert ONTAP den Benutzer bei einem Domänencontroller in der Domäne, zu der der CIFS-Server gehört.
Nach erfolgreicher lokaler oder Domänen-Benutzerauthentifizierung erstellt ONTAP ein vollständiges Benutzerzugriffstoken, das die lokale Gruppenzugehörigkeit und Berechtigungen berücksichtigt.
Weitere Informationen zur NTLM-Authentifizierung für lokale Benutzer sind in der Microsoft Windows-Dokumentation zu finden.
Lokale Benutzerauthentifizierung auf Servern aktivieren oder deaktivieren
Informationen zu ONTAP SMB-Benutzerzugriffstoken
Wenn ein Benutzer eine Freigabe zuordnet, wird eine authentifizierte SMB-Sitzung hergestellt und ein Benutzerzugriffstoken erstellt, das Informationen über den Benutzer, die Gruppenzugehörigkeit des Benutzers und seine kumulativen Berechtigungen sowie den zugeordneten UNIX-Benutzer enthält.
Sofern diese Funktion nicht deaktiviert ist, werden dem Benutzerzugriffstoken auch lokale Benutzer- und Gruppeninformationen hinzugefügt. Die Art, wie Zugriffstoken erstellt werden, hängt davon ab, ob die Anmeldung für einen lokalen Benutzer oder einen Active Directory-Domänenbenutzer erfolgt:
-
Lokale Benutzeranmeldung
Obwohl lokale Benutzer Mitglieder verschiedener lokaler Gruppen sein können, können lokale Gruppen nicht Mitglieder anderer lokaler Gruppen sein. Das Zugriffstoken eines lokalen Benutzers setzt sich aus der Vereinigung aller Berechtigungen zusammen, die den Gruppen zugewiesen sind, denen der jeweilige lokale Benutzer angehört.
-
Domänenbenutzeranmeldung
Wenn sich ein Domänenbenutzer anmeldet, erhält ONTAP ein Benutzerzugriffstoken, das die Benutzer-SID und die SIDs aller Domänengruppen enthält, denen der Benutzer angehört. ONTAP verwendet die Vereinigung des Domänenbenutzerzugriffstokens mit dem Zugriffstoken, das durch lokale Mitgliedschaften der Domänengruppen des Benutzers bereitgestellt wird (sofern vorhanden), sowie alle direkt dem Domänenbenutzer oder einer seiner Domänengruppenmitgliedschaften zugewiesenen Berechtigungen.
Sowohl für die lokale als auch für die Domänenbenutzeranmeldung wird die primäre Gruppen-RID für das Benutzerzugriffstoken festgelegt. Die Standard-RID ist Domain Users (RID 513). Die Standardeinstellung kann nicht geändert werden.
Der Namenszuordnungsprozess zwischen Windows und UNIX sowie zwischen UNIX und Windows folgt für lokale und Domänenkonten denselben Regeln.
|
Es gibt keine implizite, automatische Zuordnung eines UNIX-Benutzers zu einem lokalen Konto. Wenn dies erforderlich ist, muss eine explizite Zuordnungsregel mit den vorhandenen Namenszuordnungsbefehlen angegeben werden. |