本繁體中文版使用機器翻譯，譯文僅供參考，若與英文版本牴觸，應以英文版本為準。

設定Active Directory網域控制器存取總覽

02/12/2024 貢獻者

您必須先設定AD網域控制器存取叢集或SVM、AD帳戶才能存取SVM。如果您已為資料SVM設定SMB伺服器、則可將SVM設定為閘道、或將_tunnel_設定為用於AD存取叢集的閘道。如果您尚未設定SMB伺服器、可以在AD網域上建立SVM的電腦帳戶。

支援下列網域控制器驗證服務：ONTAP

支援下列工作階段金鑰演算法以確保Netlogon連線安全：ONTAP

工作階段金鑰演算法

可從 … 開始使用。

HMA-SHA256、以進階加密標準（AES）為基礎

如果您的叢集執行的是 ONTAP 9.9.1 或更早版本、而且您的網域控制器會強制執行 AES 來提供安全的 Netlogon 服務、則連線會失敗。在這種情況下、您需要重新設定網域控制器、改為接受與 ONTAP 的強大金鑰連線。

零點9.10.1 ONTAP

DE和HMC-MD5（設定強式金鑰時）

所有ONTAP 的版本

如果您想要在 Netlogon 安全通道建立期間使用 AES 工作階段金鑰、則需要驗證 SVM 上是否已啟用 AES 。

從 ONTAP 9.14.1 開始、在建立 SVM 時、預設會啟用 AES 、而且您不需要修改 SVM 的安全設定、即可在 Netlogon 安全通道建立期間使用 AES 工作階段金鑰。
在 ONTAP 9.10.1 至 9.13.1 中、建立 SVM 時、預設會停用 AES 。您需要使用下列命令來啟用 AES ：
```
cifs security modify -vserver vs1 -aes-enabled-for-netlogon-channel true
```

當您升級至 ONTAP 9.14.1 或更新版本時、以舊版 ONTAP 建立的現有 SVM 的 AES 設定將不會自動變更。您仍需要更新此設定的值、才能在這些 SVM 上啟用 AES 。

設定驗證通道

如果您已為資料 SVM 設定 SMB 伺服器、則可以使用 security login domain-tunnel create 命令將 SVM 設定為閘道或 tunnel 、以便 AD 存取叢集。

開始之前

從ONTAP 《S209.10.1》開始、如果您有SVM閘道（網域通道）可供AD存取、則如果您在AD網域中停用了NTLM、就可以使用Kerberos進行系統管理驗證。在舊版中、不支援Kerberos搭配SVM閘道的管理驗證。此功能預設為可用、不需設定。

一律會先嘗試Kerberos驗證。一旦失敗、就會嘗試執行NTLM驗證。

步驟

如果您尚未設定資料 SVM 的 SMB 伺服器、則可以使用 vserver active-directory create 命令、為網域上的 SVM 建立電腦帳戶。

關於這項工作

輸入之後 vserver active-directory create 命令時、系統會提示您提供 AD 使用者帳戶的認證、並提供足夠的權限、以便將電腦新增至網域中指定的組織單位。帳戶密碼不可空白。

開始之前

您必須是叢集或SVM管理員、才能執行此工作。

步驟