AI Data Engine의 SMB/CIFS 공유에 대한 Kerberos 인증
변경 제안
PDF
Kerberos 인증을 사용하여 SMB/CIFS 공유를 스캔하여 데이터 소스에 암호가 저장되지 않도록 합니다. AI Data Engine(AIDE)은 Kerberos 클라이언트 역할을 합니다. 스캔 서비스 계정에 대한 키탭을 사용하여 기존 Active Directory 도메인 컨트롤러에서 Kerberos 티켓을 가져옵니다.
Kerberos 인증은 SMB/CIFS 데이터 소스에 적용됩니다. NFS 사용자 및 그룹 ID를 Active Directory 이름에 매핑하려면 "NFS에 대한 Active Directory ID 매핑 구성"을(를) 참조하십시오.
Kerberos 스캐닝 작동 방식
설정이 완료되면 AI Data Engine이 Kerberos 티켓을 자동으로 가져오고 갱신하므로 스캔할 때마다 자격 증명을 관리할 필요가 없습니다.
-
Kerberos 구성 파일, 스캔 서비스 계정용 키탭, 계정 이름을 지정하는 주체 파일 등 세 가지 파일을 생성합니다.
-
AI Data Engine은 키탭을 사용하여 Kerberos 키 배포 센터(KDC) 역할을 하는 Active Directory 도메인 컨트롤러에서 Kerberos 티켓을 가져옵니다. AI Data Engine은 3시간마다 티켓을 갱신합니다.
-
SMB/CIFS 공유를 추가하고 Kerberos를 인증 방법으로 선택하면 AI Data Engine은 티켓을 사용하여 공유를 스캔합니다.
AI Data Engine은 이름으로 도메인 컨트롤러와 파일 서버를 찾습니다. 호스트 또는 노드는 Active Directory 이름을 확인할 수 있는 DNS 서버를 사용하여 두 이름을 모두 확인해야 합니다. 호스트 또는 노드를 Active Directory DNS 서버로 지정하는 경우, 해당 서버는 외부 이름도 확인할 수 있어야 합니다. 다중 노드 배포 환경에서는 모든 노드에서 해당 서버가 유일한 네임 서버여야 합니다.
설정 후 Kerberos 구성 파일을 교체하면 AI Data Engine은 영향을 받는 서비스를 다시 시작할 때까지 이전 파일을 계속 사용합니다. 단계에 대해서는 단일 노드 배포의 경우 "Kerberos 구성 파일 업데이트"를, 다중 노드 배포의 경우 "Kerberos 구성 파일 업데이트"를 참조하십시오.
절차를 선택하십시오
Kerberos 파일, 호스트 패키지 및 검증 단계는 배포 유형에 따라 다릅니다.
| 구축 | Kerberos 파일이 있는 위치 | 패키지 | 절차 |
|---|---|---|---|
단일 노드 |
AI Data Engine 호스트에서. Kerberos 구성 파일은 `/etc/krb5.conf`입니다. |
호스트에 Kerberos 클라이언트 툴을 설치합니다. 설치 프로그램이 `cifs-utils`을(를) 설치합니다. |
|
멀티노드 |
AI Data Engine 구성을 포함하는 공유 NFS 엑스포트에서. 노드는 |
하나의 관리 호스트에 Kerberos 클라이언트 툴을 설치하십시오. 모든 노드에 설치 `cifs-utils`하십시오. |
"다중 노드 AI Data Engine 배포 환경에서 SMB/CIFS 공유에 대한 Kerberos를 구성합니다." |
필요한 것
스캔하려는 SMB/CIFS 공유에 대한 Kerberos 액세스를 구성하려면 다음 세부 정보를 수집하십시오.
-
스캔할 SMB/CIFS 공유에 대한 읽기 권한이 있는 Active Directory의 스캔 서비스 계정입니다. 이 계정은 AES256 암호화를 지원해야 합니다.
-
KDC 역할을 하는 도메인 컨트롤러의 IP 주소와 FQDN입니다.
-
Active Directory 도메인과 Kerberos 영역입니다. 영역은 도메인을 대문자로 표기한 것입니다.
-
검사할 각 파일 서버의 FQDN 및 공유 이름. Kerberos 인증은 파일 서버의 IP 주소를 허용하지 않습니다.
-
단일 노드 배포의 경우 AI Data Engine 호스트에 대한 루트 액세스. 다중 노드 배포의 경우 모든 노드 및 관리 호스트에 대한 루트 액세스, 그리고
kubectl관리 호스트에서 클러스터 관리자 권한을 가진 액세스. -
다중 노드 배포의 경우, 모든 노드에서 TCP 포트 2049를 통해 NFS 서버에 액세스할 수 있어야 합니다.
또한 시간 동기화, DNS 및 호스트 패키지를 포함하여 환경이 "네트워킹 요구 사항" 및 "Kerberos 및 Active Directory 요구 사항"을(를) 충족하는지 확인하십시오.