Skip to main content
NetApp Solutions
本繁體中文版使用機器翻譯，譯文僅供參考，若與英文版本牴觸，應以英文版本為準。

建立Active Directory連線的考量事項

貢獻者
PDF

支援將您的實例連接至外部Active Directory伺服器、以便同時為SMB和UNIX使用者進行身分識別管理。Cloud Volumes Service Cloud Volumes Service建立Active Directory連線是Cloud Volumes Service 在支援功能方面使用SMB的必要條件。

此設定提供多種選項、需要考量安全性。外部Active Directory伺服器可以是內部部署執行個體或原生雲端。如果您使用的是內部部署的Active Directory伺服器，請勿將網域暴露給外部網路（例如使用DMZ或外部IP位址）。而是使用安全的私有通道或VPN、單向樹系信任或內部部署網路專用的網路連線 "私有 Google 存取"。如需詳細資訊、請參閱Google Cloud文件 "在Google Cloud中使用Active Directory的最佳實務做法"。

註 CVS軟體要求Active Directory伺服器位於同一個地區。如果嘗試在CVs-SW中連線至其他地區、嘗試就會失敗。使用CVs-SW時、請務必建立包含Active Directory DC的Active Directory網站、然後在Cloud Volumes Service 其中指定站台、以避免跨區域DC連線嘗試。

Active Directory認證

啟用SMB或LDAP for NFS時Cloud Volumes Service 、支援使用者可與Active Directory控制器互動、以建立機器帳戶物件來進行驗證。這與Windows SMB用戶端加入網域的方式並不不同、而且需要對Active Directory中的組織單位（OU）擁有相同的存取權限。

在許多情況下、安全性群組不允許在Cloud Volumes Service 外部伺服器上使用Windows系統管理員帳戶、例如在某些情況下、Windows系統管理員使用者會完全停用、這是安全性最佳實務做法。

建立SMB機器帳戶所需的權限

若要新增Cloud Volumes Service 物件至Active Directory、則該帳戶具有網域的管理權限或擁有 "委派權限以建立及修改機器帳戶物件" 需要指定的OU。您可以透過Active Directory中的委派控制精靈來執行此作業、方法是建立自訂工作、讓使用者以提供下列存取權限來存取電腦物件的建立/刪除：

  • 讀取/寫入

  • 建立/刪除所有子物件

  • 讀取/寫入所有內容

  • 變更/重設密碼

這樣做會自動將已定義使用者的安全ACL新增至Active Directory中的OU、並將Active Directory環境的存取權限減至最低。在委派使用者之後、此視窗中的使用者名稱和密碼可提供為Active Directory認證。

註 傳遞至Active Directory網域的使用者名稱和密碼會在機器帳戶物件查詢和建立期間、運用Kerberos加密技術來提高安全性。

Active Directory連線詳細資料

。 "Active Directory連線詳細資料" 提供欄位給系統管理員、以提供機器帳戶放置的特定Active Directory架構資訊、例如：

  • * Active Directory連線類型。*用於指定區域中的Active Directory連線是用於Cloud Volumes Service 供應各種類型的SView或CVS效能服務的磁碟區。如果現有連線的設定不正確、使用或編輯時可能無法正常運作。

  • 網域。 Active Directory網域名稱。

  • *站台。*將Active Directory伺服器限制為特定站台、以確保安全性和效能 "考量"。當多個Active Directory伺服器橫跨多個區域時、這是必要的、因為Cloud Volumes Service 目前不支援將Active Directory驗證要求允許在Cloud Volumes Service 不同於此執行個體的區域內執行Active Directory伺服器。（例如、Active Directory網域控制器所在的區域僅支援CVs-Performance、但您想要在CVs-SW執行個體中使用SMB共用區）。

  • * DNS伺服器。* DNS伺服器、用於名稱查詢。

  • * NetBios名稱（選用）。*如果需要、則為伺服器的NetBios名稱。這是使用Active Directory連線建立新機器帳戶時所使用的功能。例如、如果將NetBios名稱設為CVs-East、則機器帳戶名稱將為CVs-East-{12334}。請參閱一節 "如何在Active Directory中顯示此功能Cloud Volumes Service" 以取得更多資訊。

  • *組織單位（OU）。*建立電腦帳戶的特定OU。如果您要將機器帳戶的控制權委派給使用者至特定OU、這很有用。

  • * AES Encryption。*您也可以勾選或取消勾選「啟用AD驗證的AES加密」核取方塊。啟用AES加密以進行Active Directory驗證、可在Cloud Volumes Service 使用者和群組查詢期間、提供額外的安全性、以利執行功能以進行通訊。啟用此選項之前、請先洽詢您的網域管理員、確認Active Directory網域控制器支援AES驗證。

註 根據預設、大部分的Windows伺服器不會停用較弱的密碼（例如：Des或RC4-HMAC）、但如果您選擇停用較弱的密碼、請確認Cloud Volumes Service 已設定「更新Active Directory」連線以啟用AES。否則會發生驗證失敗。啟用AES加密並不會停用較弱的密碼、而是將AES密碼的支援新增至Cloud Volumes Service 該SMB機器帳戶。

Kerberos領域詳細資料

此選項不適用於SMB伺服器。而是在設定NFS Kerberos for Cloud Volumes Service the Sing系統時使用。填入這些詳細資料時、NFS Kerberos領域會設定（類似於Linux上的krb5..conf檔案）、並在Cloud Volumes Service 建立實體磁碟區時指定NFS Kerberos時使用、因為Active Directory連線會做為NFS Kerberos發佈中心（kdc）。

註 非Windows KDC目前不支援Cloud Volumes Service 搭配使用。

區域

區域可讓您指定Active Directory連線所在的位置。此區域必須與Cloud Volumes Service 《非洲地理區：

  • *本機NFS使用者搭配LDAP.*本節中、也有允許本機NFS使用者搭配LDAP的選項。如果您想要將UNIX使用者群組成員資格支援延伸到NFS（延伸群組）的16群組限制之外、則必須取消選取此選項。不過、使用延伸群組時、需要設定用於UNIX身分識別的LDAP伺服器。如果您沒有LDAP伺服器、請取消選取此選項。如果您有LDAP伺服器、而且想要使用本機UNIX使用者（例如root）、請選取此選項。

備份使用者

此選項可讓您指定對Cloud Volumes Service 該Windows Volume具有備份權限的Windows使用者。某些應用程式必須具備備份權限（SeBackup權限）、才能在NAS磁碟區中正確備份及還原資料。此使用者擁有大量的磁碟區資料存取權限、因此您應該考慮 "啟用該使用者存取的稽核"。啟用後、稽核事件會顯示在「事件檢視器」>「Windows記錄」>「安全性」中。

錯誤：缺少圖形影像

安全性權限使用者

此選項可讓您指定Windows使用者、這些使用者具有Cloud Volumes Service 對此功能進行安全性修改的權限。某些應用程式需要安全性權限（SeSecurityPrivilege） ("例如SQL Server"）在安裝期間正確設定權限。管理安全性記錄時需要此權限。雖然此權限不如SeBackup權限強大、但NetApp建議您使用 "稽核使用者存取權限" 如果需要、請使用此權限層級。

如需詳細資訊、請參閱 "指派給新登入的特殊權限"。

如何在Active Directory中顯示此功能Cloud Volumes Service

在Active Directory中顯示為一般機器帳戶物件。Cloud Volumes Service命名慣例如下。

  • CIFS/SMB和NFS Kerberos會建立個別的機器帳戶物件。

  • 啟用LDAP的NFS會在Active Directory中建立機器帳戶、以進行Kerberos LDAP繫結。

  • 具有LDAP的雙傳輸協定磁碟區會共用CIFS/SMB機器帳戶、以供LDAP和SMB使用。

  • CIFS/SMB機器帳戶的機器帳戶命名慣例為：名稱-1234（隨機四位數ID、加上連字號、加上<10個字元名稱）。您可以使用Active Directory連線上的[NetBios名稱]設定來定義名稱（請參閱「」一節）Active Directory連線詳細資料」）。

  • NFS Kerberos使用NFS-name-1234作為 命名慣例（最多15個字元）。如果使用超過15個字元、則名稱為nfs -截短名稱-1234.

  • 僅NFS的CVS效能執行個體若啟用LDAP、則會建立SMB機器帳戶、以與CIFS/SMB執行個體相同的命名慣例來繫結至LDAP伺服器。

  • 建立SMB機器帳戶時、預設的隱藏管理共用區（請參閱一節 "「預設隱藏共用」"）也會建立（c$、admin$、ipc$）、但這些共用區並未指派ACL、因此無法存取。

  • 依預設、機器帳戶物件會放置在CN=電腦中、但您可以在必要時指定不同的OU。請參閱「」一節建立SMB機器帳戶所需的權限」、以瞭解新增/移除Cloud Volumes Service 機器帳戶物件所需的存取權限。

當將SMB機器帳戶新增至Active Directory時Cloud Volumes Service 、會填入下列欄位：

  • （使用指定的SMB伺服器名稱）

  • dnsHostName（含SMBserver.domain.com）

  • MSDS-SupportedEncryptionTypes（如果未啟用AES加密、則允許使用DES_CBC_MD5、RC4 _HMAC_MD5；如果啟用AES加密、則允許使用DES_CBC_MD5、RC4 _HMAC_MD5、AES128 _CTs_HMAC_SHA1_96、AES256_CTs_HMAC_SHA1_96進行Kerberos票證交換）

  • 名稱（使用SMB伺服器名稱）

  • SamAccountName（含SMBserver$）

  • servicePrincipalName（含主機/smbserver.domain.com和主機/smbserver SPN for Kerberos）

如果您要停用機器帳戶上較弱的Kerberos加密類型（加密類型）、可以將機器帳戶上的MSDS-SupportedEncryptionTypes值變更為下表中的其中一個值、以僅允許AES。

msDS-SupportedEncryptionTypes值 已啟用EncType

2.

ds_CBC_MD5

4.

RC4_HMAC

8.

僅限AES122_CTs_HMAC_SHA1_96

16

僅限AES256_CTs_HMAC_SHA1_96

24

AES122_CTs_HMAC_SHA1_96與AES256_CTs_HMAC_SHA1_96

30

DES_CBC_MD5、RC4_HMAC、AES122_CTs_HMAC_SHA1_96和AES256_CTs_HMAC_SHA1_96

若要啟用SMB機器帳戶的AES加密、請在建立Active Directory連線時按一下「啟用AD驗證的AES加密」。

若要啟用NFS Kerberos的AES加密、 "請參閱Cloud Volumes Service 《》文件"。