File Storage NAS:SMB ファイルシステムのマウントポイントを AD ドメインに参加させる

Active Directory ドメインサービス (AD DS) と DNS をインストールする Elastic Compute Service (ECS) インスタンスにログインします。

PowerShell または PowerShell ISE で次のコマンドを実行して、スクリプトをダウンロードします。

Invoke-WebRequest https://nas-client-tools.oss-cn-hangzhou.aliyuncs.com/windows_client/alinas_smb_windows_inspection.ps1 -OutFile alinas_smb_windows_inspection.ps1

alinas_smb_windows_inspection.ps1 スクリプトの暗号化メソッドを -crypto RC4-HMAC-NT に変更します (Windows Server 2025 のみ)。

このステップは Windows Server 2025 環境にのみ適用されます。別のバージョンを使用する場合は、ステップ 4 に進んでください。

1. メモ帳を使用して、ダウンロードした alinas_smb_windows_inspection.ps1 ファイルを開きます。

    notepad .\alinas_smb_windows_inspection.ps1

2. -crypto を含む行 (通常はスクリプトの 791 行目) を見つけます。

3. 暗号化メソッドを -crypto All から -crypto RC4-HMAC-NT に変更します。

   変更前:

       $command = "ktpass -princ cifs/$MountAddress@$domainFullUpper -ptype KRB5_NT_PRINCIPAL -mapuser $SetspnNas@$domainFull -crypto All -out c:\nas-mount-target.keytab -pass tHePaSsWoRd123"

   変更後:

       $command = "ktpass -princ cifs/$MountAddress@$domainFullUpper -ptype KRB5_NT_PRINCIPAL -mapuser $SetspnNas@$domainFull -crypto RC4-HMAC-NT -out c:\nas-mount-target.keytab -pass tHePaSsWoRd123"

4. Ctrl+S を押してファイルを保存し、閉じます。

AD DS と DNS をインストールして有効にします。

AD コントローラーが存在する ECS インスタンスにログインします。

コマンドプロンプトを開き、次のコマンドを実行して、SMB ファイルシステムの AD サービスアカウントを作成します。

dsadd user CN=<Name of the AD service account>,DC=<AD domain name>,DC=com
  -samid <Name of the AD service account>
  -display <Description of the AD service account>
  -pwd <Password of the AD service account>
  -pwdneverexpires yes

コマンドの例:

dsadd user CN=alinas,DC=EXAMPLE,DC=com -samid alinas -display "Alibaba Cloud NAS Service Account" -pwd tHeRd123**** -pwdneverexpires yes

ログインアカウントが標準アカウントの場合、管理者は SMB ファイルシステムのサービスアカウントを作成する前に、ServicePrincipalName の読み取りおよび書き込み権限を設定する必要があります。コマンド構文:

dsacls "CN=<Name of the AD service account>,DC=<AD domain name>,DC=com" /I:T /G "<Name of the AD service account>:RPWP;servicePrincipalName"

コマンドの例:

dsacls "CN=alinas,DC=cdbptest01,DC=com" /I:T /G "alinas:RPWP;servicePrincipalName"

RP は読み取り権限、WP は書き込み権限です。

次のコマンドを実行して、SMB ファイルシステムのマウントポイントのサービスプリンシパルを登録し、そのサービスプリンシパルを AD に追加します。

• コマンドの実行

  setspn -S cifs/<Mount target of the SMB protocol NAS file system> <Name of the AD service account>

  コマンドの例

  setspn -S cifs/****-****.cn-hangzhou.nas.aliyuncs.com alinas

  説明

  • マウントポイントのフォーマットは file-system-id.region.nas.aliyuncs.com です。これを実際のマウントポイントに置き換えてください。マウントポイントを取得するには、File Storage NAS コンソールの [ファイルシステムリスト] ページに移動し、ファイルシステムを見つけて [管理] をクリックします。マウントポイントは [マウントして使用] ページに表示されます。

  • マウントディレクトリをマウントポイントに追加しないでください。たとえば、file-system-id.region.nas.aliyuncs.com/myshare は使用しないでください。

• コマンド出力の例

  次のような出力が表示された場合、SMB ファイルシステムのサービスプリンシパルが追加されています。

Windows AD サーバーまたは Windows クライアントで setspn の設定を確認します。

setspn alinas

AD ドメインサーバーで、コマンドプロンプトを開きます。次に、次のコマンドを実行して、SMB ファイルシステムのマウントポイントの keytab ファイルを作成します。

• Windows Server 2022 以前の場合

  ktpass
    -princ cifs/<Mount target of the SMB file system>@<AD domain>
    -ptype KRB5_NT_PRINCIPAL
    -crypto All
    -out <Path of the keytab file>
    -pass <Password of the AD service account>

  コマンドの例:

  ktpass -princ cifs/****-****.cn-hangzhou.nas.aliyuncs.com@EXAMPLE.com -ptype KRB5_NT_PRINCIPAL -crypto All -out c:\nas-mount-target.keytab -pass tHeP****d123

• Windows Server 2025 の場合

  Windows Server 2025 はデータ暗号化規格 (DES) をサポートしていないため、keytab ファイルを作成する際に -crypto ALL パラメーターを -crypto RC4-HMAC-NT に変更する必要があります。

  ktpass
    -princ cifs/<Mount target of the SMB file system>@<AD domain>
    -ptype KRB5_NT_PRINCIPAL
    -crypto RC4-HMAC-NT
    -out <Path of the keytab file>
    -pass <Password of the AD service account>

  コマンドの例:

  ktpass -princ cifs/****-****.cn-hangzhou.nas.aliyuncs.com@EXAMPLE.com -ptype KRB5_NT_PRINCIPAL -crypto RC4-HMAC-NT -out c:\nas-mount-target.keytab -pass tHeP****d123

keytab ファイルの正当性を確認する方法の詳細については、「keytab ファイルの正当性を確認する方法」をご参照ください。