File Storage NAS:SMB マウントターゲットの AD ドメインへの参加

AD ドメインコントローラーと DNS サービスをホストする ECS インスタンスにログオンします。

PowerShell または PowerShell ISE で、次のコマンドを実行してスクリプトをダウンロードします。

Invoke-WebRequest https://nas-client-tools.oss-cn-hangzhou.aliyuncs.com/windows_client/alinas_smb_windows_inspection.ps1 -OutFile alinas_smb_windows_inspection.ps1

alinas_smb_windows_inspection.ps1 スクリプト内の暗号化方式を -crypto AES256-SHA1 に変更します (Windows Server 2025 のみ)。

この手順は Windows Server 2025 の場合にのみ必要です。 以前のバージョンを使用している場合は、ステップ 4 に進んでください。

1. ダウンロードした alinas_smb_windows_inspection.ps1 ファイルをメモ帳で開きます。

    notepad .\alinas_smb_windows_inspection.ps1

2. -crypto を含む行（通常は 791 行目）を見つけます。

3. 暗号化方式を -crypto All から -crypto AES256-SHA1 に変更します。

   変更前：

       $command = "ktpass -princ cifs/$MountAddress@$domainFullUpper -ptype KRB5_NT_PRINCIPAL -mapuser $SetspnNas@$domainFull -crypto All -out c:\nas-mount-target.keytab -pass tHePaSsWoRd123"

   変更後：

       $command = "ktpass -princ cifs/$MountAddress@$domainFullUpper -ptype KRB5_NT_PRINCIPAL -mapuser $SetspnNas@$domainFull -crypto AES256-SHA1 -out c:\nas-mount-target.keytab -pass tHePaSsWoRd123"

4. Ctrl+S キーを押してファイルを保存し、閉じます。

AD ドメインサービスと DNS サービスをインストールして有効にします。

AD ドメインコントローラーをホストする ECS インスタンスにログオンします。

コマンドプロンプトウィンドウを開き、次のコマンドを実行して SMB ファイルシステム用のサービスアカウントを作成します。

dsadd user CN=<AD_service_account_name>,DC=<AD_domain_name>,DC=com
  -samid <AD_service_account_name>
  -display <user_description>
  -pwd <user_password>
  -pwdneverexpires yes

例：

dsadd user CN=alinas,DC=EXAMPLE,DC=com -samid alinas -display "Alibaba Cloud NAS Service Account" -pwd tHeRd123**** -pwdneverexpires yes

標準ユーザーとしてログインしている場合、サービスアカウントを作成する前に、管理者はアカウントに servicePrincipalName 属性に対する読み取りおよび書き込み権限を付与する必要があります。これらの権限を付与するには、次のコマンドを実行します。

dsacls "CN=<AD_service_account_name>,DC=<AD_domain_name>,DC=com" /I:T /G "<AD_service_account_name>:RPWP;servicePrincipalName"

例：

dsacls "CN=alinas,DC=cdbptest01,DC=com" /I:T /G "alinas:RPWP;servicePrincipalName"

ここで、RP は読み取り権限、WP は書き込み権限です。

次のコマンドを実行して、SMB ファイルシステムのマウントターゲットのサービスプリンシパルを登録します。

• コマンドを実行します。

  setspn -S cifs/<mount_target_address_of_SMB_file_system> <AD_service_account_name>

  例：

  setspn -S cifs/****-****.cn-hangzhou.nas.aliyuncs.com alinas

  説明

  • マウントターゲットアドレスは、file-system-id.region-id.nas.aliyuncs.com の形式です。プレースホルダーを実際の値に置き換えます。Apsara File Storage NAS コンソールの [ファイルシステムリスト] ページで、対象ファイルシステムの 管理 をクリックし、[マウント & 使用] ページに移動してマウントターゲットアドレスを取得します。

  • マウントターゲットアドレスには、file-system-id.region.nas.aliyuncs.com/myshare のようにマウントディレクトリを含めないでください。

• 出力例

  次のような出力は、SMB ファイルシステムマウントターゲットのサービスプリンシパルが正常に追加されたことを示します。

  C:\Users\Administrator>setspn -S cifs/xxx.nas.aliyuncs.com alinas
  Checking domain DC=smb-hk,DC=com
  Registering ServicePrincipalNames for CN=alinas,DC=smb-hk,DC=com
          cifs/xxx.nas.aliyuncs.com
  Updated object
  C:\Users\Administrator>

Windows AD サーバーまたは Windows クライアントで setspn の設定を確認します。

setspn alinas

C:\Users\Administrator\Desktop>setspn alinas
Registered ServicePrincipalNames for CN=alinas,DC=smbmock60,DC=com:
        cifs/xxx.nas.aliyuncs.com

AD ドメインコントローラーで、コマンドプロンプトウィンドウを開き、次のコマンドを実行して、SMB ファイルシステムのマウントターゲットのキータブファイルを生成します。

• Windows Server 2022 以前の場合

  ktpass
    -princ cifs/<SMB_file_system_mount_target_address>@<AD_domain>
    -ptype KRB5_NT_PRINCIPAL
    -mapuser <AD_service_account_name>@<AD_domain>
    -crypto All
    -out <path_of_the_generated_keytab_file>
    -pass <user_password>

  例：

  ktpass -princ cifs/****-****.cn-hangzhou.nas.aliyuncs.com@EXAMPLE.COM -ptype KRB5_NT_PRINCIPAL -mapuser alinas@example.com -crypto All -out c:\nas-mount-target.keytab -pass tHeP****d123

• Windows Server 2025 の場合

  Windows Server 2025 はデータ暗号化規格 (DES) をサポートしていません。このため、keytab ファイルを生成する際には、-crypto All パラメーターを -crypto AES256-SHA1 に変更する必要があります。

  ktpass
    -princ cifs/<SMB_file_system_mount_target_address>@<AD_domain>
    -ptype KRB5_NT_PRINCIPAL
    -mapuser <AD_service_account_name>@<AD_domain>
    -crypto AES256-SHA1
    -out <path_of_the_generated_keytab_file>
    -pass <user_password>

  例：

  ktpass -princ cifs/****-****.cn-hangzhou.nas.aliyuncs.com@EXAMPLE.COM -ptype KRB5_NT_PRINCIPAL -mapuser alinas@example.com -crypto AES256-SHA1 -out c:\nas-mount-target.keytab -pass tHeP****d123

キータブファイルを確認するには、「キータブファイルの確認方法」をご参照ください。