File Storage NAS:SMB マウントターゲットの AD ドメインへの参加

AD ドメインコントローラーと DNS サービスをホストする Elastic Compute Service (ECS) インスタンスにログインします。

PowerShell または PowerShell ISE で、次のコマンドを実行してスクリプトをダウンロードします。

Invoke-WebRequest https://nas-client-tools.oss-cn-hangzhou.aliyuncs.com/windows_client/alinas_smb_windows_inspection.ps1 -OutFile alinas_smb_windows_inspection.ps1

alinas_smb_windows_inspection.ps1 スクリプトの暗号化方式を -crypto RC4-HMAC-NT に変更します (Windows Server 2025 のみ)。

この手順は Windows Server 2025 の場合にのみ必要です。 以前のバージョンを使用している場合は、ステップ 4 に進みます。

1. ダウンロードした alinas_smb_windows_inspection.ps1 ファイルをメモ帳で開きます。

    notepad .\alinas_smb_windows_inspection.ps1

2. -crypto を含む行 (通常は 791 行目) を見つけます。

3. 暗号化方式を -crypto All から -crypto RC4-HMAC-NT に変更します。

   変更前：

       $command = "ktpass -princ cifs/$MountAddress@$domainFullUpper -ptype KRB5_NT_PRINCIPAL -mapuser $SetspnNas@$domainFull -crypto All -out c:\nas-mount-target.keytab -pass tHePaSsWoRd123"

   変更後：

       $command = "ktpass -princ cifs/$MountAddress@$domainFullUpper -ptype KRB5_NT_PRINCIPAL -mapuser $SetspnNas@$domainFull -crypto RC4-HMAC-NT -out c:\nas-mount-target.keytab -pass tHePaSsWoRd123"

4. Ctrl+S を押してファイルを保存し、閉じます。

AD ドメインサービスと DNS サービスをインストールして有効にします。

AD ドメインコントローラーをホストする ECS インスタンスにログインします。

コマンドプロンプトウィンドウを開き、次のコマンドを実行して SMB ファイルシステムのサービスアカウントを作成します。

dsadd user CN=<AD_service_account_name>,DC=<AD_domain_name>,DC=com
  -samid <AD_service_account_name>
  -display <user_description>
  -pwd <user_password>
  -pwdneverexpires yes

例：

dsadd user CN=alinas,DC=EXAMPLE,DC=com -samid alinas -display "Alibaba Cloud NAS Service Account" -pwd tHeRd123**** -pwdneverexpires yes

標準ユーザーとしてログインしている場合、サービスアカウントを作成する前に、管理者がアカウントに servicePrincipalName 属性の読み取りおよび書き込み権限を付与する必要があります。 これらの権限を付与するには、次のコマンドを実行します。

dsacls "CN=<AD_service_account_name>,DC=<AD_domain_name>,DC=com" /I:T /G "<AD_service_account_name>:RPWP;servicePrincipalName"

例：

dsacls "CN=alinas,DC=cdbptest01,DC=com" /I:T /G "alinas:RPWP;servicePrincipalName"

ここで、RP は読み取り権限、WP は書き込み権限です。

次のコマンドを実行して、SMB ファイルシステムのマウントターゲットのサービスプリンシパルを登録します。

• コマンドの実行：

  setspn -S cifs/<mount_target_address_of_SMB_file_system> <AD_service_account_name>

  例：

  setspn -S cifs/****-****.cn-hangzhou.nas.aliyuncs.com alinas

  説明

  • マウントターゲットアドレスの形式は file-system-id.region-id.nas.aliyuncs.com です。 プレースホルダーを実際の値に置き換えてください。 Apsara File Storage NAS コンソールの[ファイルシステムリスト] ページで、対象のファイルシステムの [管理] をクリックし、[マウントして使用] ページに移動してマウントターゲットアドレスを取得します。

  • file-system-id.region-id.nas.aliyuncs.com/myshare のように、マウントターゲットアドレスにマウントディレクトリを含めないでください。

• 出力例

  次の出力は、SMB ファイルシステムのマウントターゲットのサービスプリンシパルが正常に追加されたことを示します。

  C:\Users\Administrator>setspn -S cifs/xxx.nas.aliyuncs.com alinas
  Checking domain DC=smb-hk,DC=com
  Registering ServicePrincipalNames for CN=alinas,DC=smb-hk,DC=com
          cifs/xxx.nas.aliyuncs.com
  Updated object
  C:\Users\Administrator>

Windows AD サーバーまたは Windows クライアントで setspn の設定を確認します。

setspn alinas

C:\Users\Administrator\Desktop>setspn alinas
Registered ServicePrincipalNames for CN=alinas,DC=smbmock60,DC=com:
        cifs/xxx.nas.aliyuncs.com

AD ドメインコントローラーで、コマンドプロンプトウィンドウを開き、次のコマンドを実行して SMB ファイルシステムのマウントターゲットのキータブファイルを生成します。

• Windows Server 2022 以前の場合

  ktpass
    -princ cifs/<SMB_file_system_mount_target_address>@<AD_domain>
    -ptype KRB5_NT_PRINCIPAL
    -mapuser <AD_service_account_name>@<AD_domain>
    -crypto All
    -out <path_of_the_generated_keytab_file>
    -pass <user_password>

  例：

  ktpass -princ cifs/****-****.cn-hangzhou.nas.aliyuncs.com@EXAMPLE.COM -ptype KRB5_NT_PRINCIPAL -mapuser alinas@example.com -crypto All -out c:\nas-mount-target.keytab -pass tHeP****d123

• Windows Server 2025 の場合

  Windows Server 2025 はデータ暗号化標準 (DES) をサポートしていません。 したがって、キータブファイルを生成するときは、-crypto All パラメーターを -crypto RC4-HMAC-NT に変更する必要があります。

  ktpass
    -princ cifs/<SMB_file_system_mount_target_address>@<AD_domain>
    -ptype KRB5_NT_PRINCIPAL
    -mapuser <AD_service_account_name>@<AD_domain>
    -crypto RC4-HMAC-NT
    -out <path_of_the_generated_keytab_file>
    -pass <user_password>

  例：

  ktpass -princ cifs/****-****.cn-hangzhou.nas.aliyuncs.com@EXAMPLE.COM -ptype KRB5_NT_PRINCIPAL -mapuser alinas@example.com -crypto RC4-HMAC-NT -out c:\nas-mount-target.keytab -pass tHeP****d123

キータブファイルを確認するには、「キータブファイルの確認方法」をご参照ください。