File Storage NAS：將SMB檔案系統掛載點接入AD域

登入需要安裝AD網域控制站和DNS服務的ECS伺服器。

在PowerShell工具或者PowerShell ISE工具中執行以下命令下載指令碼。

Invoke-WebRequest https://nas-client-tools.oss-cn-hangzhou.aliyuncs.com/windows_client/alinas_smb_windows_inspection.ps1 -OutFile alinas_smb_windows_inspection.ps1

將指令碼alinas_smb_windows_inspection.ps1中的加密方式修改為-crypto RC4-HMAC-NT（僅限Windows Server 2025）

此步驟僅適用於Windows Server 2025環境，其他版本使用者可直接跳至第4步。

1. 用記事本開啟剛才下載的alinas_smb_windows_inspection.ps1檔案。

    notepad .\alinas_smb_windows_inspection.ps1

2. 找到包含-crypto的行（通常在指令碼第791行）

3. 將加密方式從-crypto All修改為-crypto RC4-HMAC-NT

   修改前：

       $command = "ktpass -princ cifs/$MountAddress@$domainFullUpper -ptype KRB5_NT_PRINCIPAL -mapuser $SetspnNas@$domainFull -crypto All -out c:\nas-mount-target.keytab -pass tHePaSsWoRd123"

   修改後：

       $command = "ktpass -princ cifs/$MountAddress@$domainFullUpper -ptype KRB5_NT_PRINCIPAL -mapuser $SetspnNas@$domainFull -crypto RC4-HMAC-NT -out c:\nas-mount-target.keytab -pass tHePaSsWoRd123"

4. 按 Ctrl+S 儲存並關閉檔案。

安裝並啟用AD網域服務及DNS服務。

登入AD控制器所在的ECS伺服器。

開啟CMD命令視窗，執行以下命令為SMB檔案系統建立服務帳號。

dsadd user CN=<AD服務帳號名>,DC=<AD域網域名稱>,DC=com
  -samid <AD服務帳號名>
  -display <使用者標題文字>
  -pwd <使用者密碼>
  -pwdneverexpires yes

樣本：

dsadd user CN=alinas,DC=EXAMPLE,DC=com -samid alinas -display "Alibaba Cloud NAS Service Account" -pwd tHeRd123**** -pwdneverexpires yes

如果登入帳號為普通帳號，則需要管理使用者為其設定讀取/寫入ServicePrincipalName的許可權，然後再為SMB檔案系統建立服務帳號。命令如下所示。

dsacls "CN=<AD服務帳號名>,DC=<AD域網域名稱>,DC=com" /I:T /G "<AD服務帳號名>:RPWP;servicePrincipalName"

樣本：

dsacls "CN=alinas,DC=cdbptest01,DC=com" /I:T /G "alinas:RPWP;servicePrincipalName"

其中，RP為讀許可權，WP為寫入權限。

執行以下命令，為SMB檔案系統掛載點註冊並添加服務主體。

• 執行命令

  setspn -S cifs/<SMB協議NAS檔案系統掛載點地址> <AD服務帳號名>

  樣本

  setspn -S cifs/****-****.cn-hangzhou.nas.aliyuncs.com alinas

  說明

  • 掛載點地址格式為file-system-id.region.nas.aliyuncs.com，請根據實際值替換。您可以在Apsara File Storage NAS控制台檔案系統列表頁面，單擊目標檔案系統後的管理，進入掛載使用頁面擷取掛載地址。

  • 請勿將掛載目錄寫在掛載點後地址中誤寫成file-system-id.region.nas.aliyuncs.com/myshare。

• 返回樣本

  如果返回如下類似資訊，則說明SMB檔案系統掛載服務主體已添加成功。

  C:\Users\Administrator>setspn -S cifs/xxx.nas.aliyuncs.com alinas
  正在檢查域 DC=smb-hk,DC=com
  為 CN=alinas,DC=smb-hk,DC=com 註冊 ServicePrincipalNames
          cifs/xxx.nas.aliyuncs.com
  更新的對象
  C:\Users\Administrator>

檢查Windows AD伺服器或Windows用戶端的setspn配置。

setspn alinas

C:\Users\Administrator\Desktop>setspn alinas
Registered ServicePrincipalNames for CN=alinas,DC=smbmock60,DC=com:
        cifs/xxx.nas.aliyuncs.com

在AD網域服務器上，開啟CMD命令視窗，執行以下命令為SMB檔案系統掛載點產生Keytab密鑰表檔案。

• 對於Windows Server 2022 及更早版本

  ktpass
    -princ cifs/<SMB檔案系統掛載點地址>@<AD域>
    -ptype KRB5_NT_PRINCIPAL
    -mapuser <AD服務帳號名>@<AD域>
    -crypto All
    -out <產生的密鑰表檔案的檔案路徑>
    -pass <使用者密碼>

  樣本：

  ktpass -princ cifs/****-****.cn-hangzhou.nas.aliyuncs.com@EXAMPLE.COM -ptype KRB5_NT_PRINCIPAL -mapuser alinas@example.com -crypto All -out c:\nas-mount-target.keytab -pass tHeP****d123

• 對於Windows Server 2025

  由於windows server 2025不支援 DES，所以產生 keytab 參數 -crypto ALL 需要修改成 -crypto RC4-HMAC-NT

  ktpass
    -princ cifs/<SMB檔案系統掛載點地址>@<AD域>
    -ptype KRB5_NT_PRINCIPAL
    -mapuser <AD服務帳號名>@<AD域>
    -crypto RC4-HMAC-NT
    -out <產生的密鑰表檔案的檔案路徑>
    -pass <使用者密碼>

  樣本：

  ktpass -princ cifs/****-****.cn-hangzhou.nas.aliyuncs.com@EXAMPLE.COM -ptype KRB5_NT_PRINCIPAL -mapuser alinas@example.com -crypto RC4-HMAC-NT -out c:\nas-mount-target.keytab -pass tHeP****d123

如果需要驗證Keytab密鑰表檔案的正確性，您可以參照如何驗證Keytab檔案正確性？進行驗證。