Join an SMB file system to an AD domain - File Storage NAS: Central de Documentação do Alibaba Cloud

Ao ingressar o ponto de montagem de um sistema de arquivos Server Message Block (SMB) em um domínio Active Directory (AD), você pode gerenciar a autenticação de usuários e o controle de acesso no nível de arquivo no domínio AD. Para montar e usar o sistema de arquivos SMB como um usuário do domínio AD, é necessário registrar uma entidade de serviço (service principal) para o sistema de arquivos no domínio AD, gerar um arquivo keytab e fazer o upload dele no console do NAS para ativar o recurso SMB ACL.

Pré-requisitos

Você já criou um sistema de arquivos SMB. Para mais informações, consulte crie um sistema de arquivos SMB.

Etapa 1: Gerar um arquivo keytab

Você pode gerar um arquivo keytab usando um dos seguintes métodos:

Nota

A Microsoft está lançando gradualmente patches que desativam o RC4. Se você usar um único tipo de criptografia para gerar o arquivo keytab, recomendamos alterar o tipo de criptografia para AES256-SHA1.

Geração automática

Faça logon na instância ECS que hospedará o controlador de domínio AD e o service de DNS.

No PowerShell ou PowerShell ISE, baixe o script e execute o seguinte comando.

Invoke-WebRequest https://nas-client-tools.oss-cn-hangzhou.aliyuncs.com/windows_client/alinas_smb_windows_inspection.ps1 -OutFile alinas_smb_windows_inspection.ps1

Altere o método de criptografia no script alinas_smb_windows_inspection.ps1 para -crypto AES256-SHA1 (apenas para Windows Server 2025).

Esta etapa é necessária apenas para o Windows Server 2025. Se você usar uma versão anterior, pule para a etapa 4.
1. Abra o arquivo alinas_smb_windows_inspection.ps1 baixado no Bloco de Notas.
```
 notepad .\alinas_smb_windows_inspection.ps1
```
2. Encontre a linha que contém -crypto (geralmente a linha 791).
3. Altere o método de criptografia de -crypto All para -crypto AES256-SHA1.
  
  Antes:
```
    $command = "ktpass -princ cifs/$MountAddress@$domainFullUpper -ptype KRB5_NT_PRINCIPAL -mapuser $SetspnNas@$domainFull -crypto All -out c:\nas-mount-target.keytab -pass tHePaSsWoRd123"
```
  Depois:
```
    $command = "ktpass -princ cifs/$MountAddress@$domainFullUpper -ptype KRB5_NT_PRINCIPAL -mapuser $SetspnNas@$domainFull -crypto AES256-SHA1 -out c:\nas-mount-target.keytab -pass tHePaSsWoRd123"
```
4. Agora salve e feche o arquivo pressionando Ctrl+S.
Agora instale automaticamente o controlador de domínio AD e o service DNS e gere o arquivo keytab. execute o seguinte comando.
```
.\alinas_smb_windows_inspection.ps1 -MountAddress file-system-id.region.nas.aliyuncs.com -ConfigAD $true -Userdomain "example.com" -Username "administrator" -Password "password"
```
A lista a seguir descreve os principais parâmetros. Substitua os valores de exemplo pelas suas informações reais.
- file-system-id.region-id.nas.aliyuncs.com: o endereço do ponto de montagem do sistema de arquivos SMB. Na página File System List, clique em gerencie para o sistema de arquivos de destino e acesse a página Mount & Use para obter o endereço do ponto de montagem.
- example.com: o domínio AD que você deseja configurar.
- administrator: o nome da conta de service do AD.
- password: a senha de logon da conta de service do AD.

Importante

Ao executar o script pela primeira vez para instalar o service de domínio AD e iniciar o domínio AD, o servidor AD do Windows é reiniciado. Após a reinicialização, execute o script novamente para concluir a geração do keytab.

Configuração manual

Primeiro, instale e ative o service de domínio AD e o service DNS.
Faça logon na instância ECS que hospeda o controlador de domínio AD.

Abra uma janela do Prompt de Comando e crie uma conta de service para o sistema de arquivos SMB e execute o seguinte comando.

dsadd user CN=<AD_service_account_name>,DC=<AD_domain_name>,DC=com
  -samid <AD_service_account_name>
  -display <user_description>
  -pwd <user_password>
  -pwdneverexpires yes

Exemplo:

dsadd user CN=alinas,DC=EXAMPLE,DC=com -samid alinas -display "Alibaba Cloud NAS Service Account" -pwd tHeRd123**** -pwdneverexpires yes

Se você estiver conectado como um usuário padrão, um administrador deverá conceder à sua conta permissões de leitura e gravação no atributo servicePrincipalName antes que você crie a conta de service. Para conceder essas permissões, execute o seguinte comando:

dsacls "CN=<AD_service_account_name>,DC=<AD_domain_name>,DC=com" /I:T /G "<AD_service_account_name>:RPWP;servicePrincipalName"

Exemplo:

dsacls "CN=alinas,DC=cdbptest01,DC=com" /I:T /G "alinas:RPWP;servicePrincipalName"

Aqui, RP é a permissão de leitura e WP é a permissão de gravação.

execute o seguinte comando para registrar uma entidade de serviço (service principal) para o ponto de montagem do sistema de arquivos SMB.
- execute o comando:
```
setspn -S cifs/<mount_target_address_of_SMB_file_system> <AD_service_account_name>
```
  Exemplo:
```
setspn -S cifs/****-****.cn-hangzhou.nas.aliyuncs.com alinas
```
  Nota
  - O endereço do ponto de montagem está no formato file-system-id.region-id.nas.aliyuncs.com. Substitua os espaços reservados pelos seus valores reais. No console do Apsara File Storage NAS, na página File System List, clique em Manage para o sistema de arquivos de destino e acesse a página Mount & Use para obter o endereço do ponto de montagem.
  - Não inclua o diretório de montagem no endereço do ponto de montagem, como file-system-id.region.nas.aliyuncs.com/myshare.
- Saída de exemplo
  Uma saída semelhante à seguinte indica que a entidade de serviço para o ponto de montagem do sistema de arquivos SMB foi adicionada com sucesso.
```
C:\Users\Administrator>setspn -S cifs/xxx.nas.aliyuncs.com alinas
Checking domain DC=smb-hk,DC=com
Registering ServicePrincipalNames for CN=alinas,DC=smb-hk,DC=com
        cifs/xxx.nas.aliyuncs.com
Updated object
C:\Users\Administrator>
```
Agora verifique a configuração do setspn no servidor AD do Windows ou em um cliente Windows.
execute o comando:
```
setspn alinas
```
Se a saída incluir o ponto de montagem do sistema de arquivos, o setspn estará configurado corretamente no servidor AD do Windows ou no cliente Windows.
```
C:\Users\Administrator\Desktop>setspn alinas
Registered ServicePrincipalNames for CN=alinas,DC=smbmock60,DC=com:
        cifs/xxx.nas.aliyuncs.com
```

No controlador de domínio AD, abra uma janela do Prompt de Comando e execute o seguinte comando para gerar um arquivo keytab para o ponto de montagem do sistema de arquivos SMB.

Importante

O parâmetro -princ diferencia maiúsculas de minúsculas, e o valor do parâmetro <AD domain> deve estar todo em maiúsculas.

Para o Windows Server 2022 e versões anteriores

ktpass
  -princ cifs/<SMB_file_system_mount_target_address>@<AD_domain>
  -ptype KRB5_NT_PRINCIPAL
  -mapuser <AD_service_account_name>@<AD_domain>
  -crypto All
  -out <path_of_the_generated_keytab_file>
  -pass <user_password>

Exemplo:

ktpass -princ cifs/****-****.cn-hangzhou.nas.aliyuncs.com@EXAMPLE.COM -ptype KRB5_NT_PRINCIPAL -mapuser alinas@example.com -crypto All -out c:\nas-mount-target.keytab -pass tHeP****d123

Para o Windows Server 2025

O Windows Server 2025 não oferece suporte ao Data Encryption Standard (DES). Portanto, você deve alterar o parâmetro -crypto All para -crypto AES256-SHA1 ao gerar um arquivo keytab.

ktpass
  -princ cifs/<SMB_file_system_mount_target_address>@<AD_domain>
  -ptype KRB5_NT_PRINCIPAL
  -mapuser <AD_service_account_name>@<AD_domain>
  -crypto AES256-SHA1
  -out <path_of_the_generated_keytab_file>
  -pass <user_password>

Exemplo:

ktpass -princ cifs/****-****.cn-hangzhou.nas.aliyuncs.com@EXAMPLE.COM -ptype KRB5_NT_PRINCIPAL -mapuser alinas@example.com -crypto AES256-SHA1 -out c:\nas-mount-target.keytab -pass tHeP****d123

Para verificar o arquivo keytab, consulte Como eu verifique um arquivo keytab?.

baixe o arquivo keytab para um computador local, consulte Use Workbench to upload, download, or manage files on an ECS instance.

Etapa 2: Fazer upload do arquivo keytab

No console do NAS, faça o upload do arquivo keytab da conta de service do Apsara File Storage NAS.

Faça logon no console do NAS.
No painel de navegação à esquerda, escolha File System > File System List.
Na página File System List, clique em ID do sistema de arquivos de destino ou clique em Manage na coluna Actions.
Na guia Access Control, clique em Enable.
Na caixa de diálogo Enable SMB ACL, faça o upload do arquivo keytab da conta de service do Apsara File Storage NAS e clique em OK.

Nota: Se um cliente já tiver montado o sistema de arquivos, você precisará remontá-lo para que as alterações entrem em vigor.
Na guia Access Control, clique em Modify Configuration.

Na caixa de diálogo Modify Configuration, configure os parâmetros conforme descrito na tabela abaixo.

Importante

A criptografia de transporte é suportada apenas em sistemas operacionais que usam SMB 3.0 ou posterior. Para mais informações sobre os sistemas operacionais suportados, consulte Client operating systems that support SMB 3.0 and later protocol versions.

Parâmetro	Descrição
allow anonymous access	Especifica se deve permitir acesso anônimo ao sistema de arquivos. Valores válidos: Yes: Permite que qualquer pessoa monte o sistema de arquivos usando NTLM. Após a montagem, a identidade do usuário é Everyone, mas as ACLs configuradas ainda se aplicam. No (padrão): Impede que usuários anônimos acessem o sistema de arquivos.
ative	Especifica se deve ativar a criptografia de transporte para o sistema de arquivos SMB. Valores válidos: Yes: Ativa a criptografia de transporte para o sistema de arquivos SMB. No (padrão): Desativa a criptografia de transporte para o sistema de arquivos SMB. Para mais informações, consulte Transport encryption for SMB file systems.
deny non-encrypted clients	Especifica o tipo de cliente que pode acessar o sistema de arquivos SMB. Valores válidos: On: Apenas clientes que usam criptografia em trânsito têm permissão para montar o sistema de arquivos SMB, o que significa que apenas sistemas operacionais com suporte a criptografia em trânsito SMB podem montar o sistema de arquivos SMB usando uma identidade de domínio AD. No entanto, você não pode montar o sistema de arquivos SMB como um usuário anônimo ou usando um cliente que não ofereça suporte ao recurso de criptografia em trânsito. Off: Todos os clientes podem montar o sistema de arquivos SMB, mas a criptografia em trânsito é ativada apenas quando um sistema operacional com suporte a criptografia em trânsito monta o sistema de arquivos SMB usando uma identidade de domínio AD.
keytab file	Faça o upload do arquivo keytab.
super admin	Um super admin pode realizar operações em qualquer arquivo em qualquer pasta sem alterar as ACLs. Aqui, configure um usuário ou um grupo como super admin. O valor deve estar no formato Security Identifier (SID), como S-1-5-32-544. Valor padrão: vazio.
user home directory	O caminho principal para o diretório home de cada usuário. Por exemplo, defina isso como `\home` e o sistema de arquivos criará automaticamente um diretório `\home\A` quando o Usuário A fizer logon. Se `\home\A` já existir, esta ação é ignorada. Valor padrão: vazio. Importante O Usuário A deve ter permissão para criar diretórios no diretório `\home`. Caso contrário, o diretório `\home\A` não poderá ser criado.

Importante

Se um cliente já tiver montado o sistema de arquivos SMB, você precisará remontá-lo para que as alterações na conta de service do domínio AD entrem em vigor.

Próximas etapas

Após ingressar o ponto de montagem do sistema de arquivos SMB no domínio AD, você pode montar e usar o sistema de arquivos SMB como um usuário do domínio AD. Para mais informações, consulte Mount and use an SMB file system as an AD domain user on a Windows client e Mount and use an SMB file system as an AD domain user on a Linux client.