File Storage NAS：將SMB檔案系統掛載點接入AD域

登入需要安裝AD網域控制站和DNS服務的ECS伺服器。

在PowerShell工具或者PowerShell ISE工具中執行以下命令下載指令碼。

Invoke-WebRequest https://nas-client-tools.oss-cn-hangzhou.aliyuncs.com/windows_client/alinas_smb_windows_inspection.ps1 -OutFile alinas_smb_windows_inspection.ps1

執行以下命令自動安裝AD網域控制站和DNS服務，產生Keytab檔案。

.\alinas_smb_windows_inspection.ps1 -MountAddress file-system-id.region.nas.aliyuncs.com -ConfigAD $true -Userdomain "example.com" -Username "administrator" -Password "password"

安裝並啟用AD網域服務及DNS服務。

登入AD控制器所在的ECS伺服器。

開啟CMD命令視窗，執行以下命令為SMB檔案系統建立服務帳號。

dsadd user CN=<AD服務帳號名>,DC=<AD域網域名稱>,DC=com
  -samid <AD服務帳號名>
  -display <使用者標題文字>
  -pwd <使用者密碼>
  -pwdneverexpires yes

樣本：

dsadd user CN=alinas,DC=EXAMPLE,DC=com -samid alinas -display "Alibaba Cloud NAS Service Account" -pwd tHeRd123**** -pwdneverexpires yes

如果登入帳號為普通帳號，則需要管理使用者為其設定讀取/寫入ServicePrincipalName的許可權，然後再為SMB檔案系統建立服務帳號。命令如下所示。

dsacls "CN=<AD服務帳號名>,DC=<AD域網域名稱>,DC=com" /I:T /G "<AD服務帳號名>:RPWP;servicePrincipalName"

樣本：

dsacls "CN=alinas,DC=cdbptest01,DC=com" /I:T /G "alinas:RPWP;servicePrincipalName"

其中，RP為讀許可權，WP為寫入權限。

執行以下命令，為SMB檔案系統掛載點註冊並添加服務主體。

• 執行命令

  setspn -S cifs/<SMB協議NAS檔案系統掛載點地址> <AD服務帳號名>

  樣本

  setspn -S cifs/****-****.cn-hangzhou.nas.aliyuncs.com alinas

  說明

  • 掛載點地址格式為file-system-id.region.nas.aliyuncs.com，請根據實際值替換。您可以在Apsara File Storage NAS控制台檔案系統列表頁面，單擊目標檔案系統後的管理，進入掛載使用頁面擷取掛載地址。

  • 請勿將掛載目錄寫在掛載點後地址中誤寫成file-system-id.region.nas.aliyuncs.com/myshare。

• 返回樣本

  如果返回如下類似資訊，則說明SMB檔案系統掛載服務主體已添加成功。

檢查Windows AD伺服器或Windows用戶端的setspn配置。

setspn alinas

在AD網域服務器上，開啟CMD命令視窗，執行以下命令為SMB檔案系統掛載點產生Keytab密鑰表檔案。

ktpass
  -princ cifs/<SMB檔案系統掛載點地址>@<AD域>
  -ptype KRB5_NT_PRINCIPAL
  -crypto All
  -out <產生的密鑰表檔案的檔案路徑>
  -pass <使用者密碼>

ktpass -princ cifs/****-****.cn-hangzhou.nas.aliyuncs.com@EXAMPLE.com -ptype KRB5_NT_PRINCIPAL -crypto All -out c:\nas-mount-target.keytab -pass tHeP****d123

如果需要驗證Keytab密鑰表檔案的正確性，您可以參照如何驗證Keytab檔案正確性？進行驗證。