E-HPC集群与Windows AD域用户账号互通

背景信息

本教程适用于首次配置账号互通，以及当Windows AD域的用户体系发生变化（如新增或删除用户）的场景。

使用限制

目前仅支持AD域名后缀为.com的AD域。

部署AD域并开启SSL服务

如果您已经在Windows服务器上完成了AD域的部署且开启了SSL服务，可以跳过本节。本节以操作系统为Windows Server 2016的ECS实例为例，介绍如何部署AD域并开启SSL服务。

1. 创建一台ECS实例。具体操作，请参见使用向导创建实例。

   需要注意的配置信息如下：

   • 镜像：Windows Server 2012 R2 数据中心版64位

   • 主机名：默认自动生成，建议自定义便于记忆。本文使用example作为示例。

2. 在ECS实例所属安全组中添加入方向规则，放行636端口。具体操作，请参见添加安全组规则。

   入方向规则配置信息如下：

   • 授权策略：允许

   • 优先级：按需配置

   • 协议类型：自定义TCP

   • 端口范围：636/636

   • 授权对象：ECS实例所属交换机的IPv4网段。

3. 登录ECS实例。具体操作，请参见通过密码或密钥认证登录Windows实例。

4. 在Windows桌面的任务栏单击图标，打开服务器管理器。

5. 安装AD域。

   1. 在服务器管理器对话框，单击添加角色和功能。

   2. 在添加角色和功能向导对话框中，按照向导完成AD域安装。

      需要注意的配置页如下，未提及的配置页保持默认配置即可。

      • 在服务器角色页签，选中Active Directory 域服务。

        

      • 在确认页签，选中如果需要，自动重新启动目标服务器，单击安装(I)。

        

      • 在结束页签，等待AD域安装完成后，单击将此服务器提升为域控制器。

        

6. 在Active Directory 域服务配置向导对话框中，按照向导完成AD域部署。|

   需要注意的配置页如下，未提及的配置页保持默认配置即可。

   • 在部署配置页签，选择添加新林(F)，然后输入域名（请使用.com作为域名后缀），本文使用example.com作为示例。

     

   • 在域控制器选项页签，输入密码。

     

   • 在先决条件检查页签，等待检查通过，单击安装(I)。

     

     说明

     • 如果检查不通过，请根据提示信息排查原因。

     • 启动安装后，系统会自动部署AD域，完成后ECS实例将自动重启。

7. 等待ECS实例重启完成后，重新连接ECS实例。

8. 打开服务器管理器，然后单击添加角色和功能。安装Active Directory 证书服务。

   需要注意的配置页如下，未提及的配置页保持默认配置即可。

   • 在服务器角色页签，选中Active Directory 证书服务。

     

   • 在角色服务页签，选中证书颁发机构。

     

   • 在确认页签，选中如果需要，自动重新启动目标服务器，单击安装(I)。

     

   • 在结束页签，等待AD证书安装完成后，单击配置目标服务器上的Active Directory证书服务。

     

9. 在AD CS配置对话框完成证书相关配置。

   需要注意的配置页如下，未提及的配置页保持默认配置即可。

   • 在角色服务页签，选中证书颁发机构。

   • 在设置类型页签，选中企业 CA(E)。

   • 在CA类型页签，选中根 CA(R)。

   • 在私钥页签，选中创建新的私钥(R)。

   预期结果如下：

   

10. 重启ECS实例，创建AD用户，并确认证书。

    1. 打开服务器管理器。

    2. 创建AD用户。

       本文创建一个名称为test的普通用户作为示例，用于后续测试配置账号互通后，能否自动从AD域同步用户信息至集群。

       1. 在服务器管理器的右上角选择工具>Active Directory用户和计算机。

       2. 在弹出的对话框中，右键单击User，选择新建(N)>用户。

          

       3. 完成用户信息配置。

    3. 确认证书。

       1. 在服务器管理器的右上角选择工具>证书颁发机构。

       2. 在颁发的证书页签，查看证书。

          

11. 测试AD域的LDAP协议是否生效。

    1. 右键单击开始菜单，选择运行(R)。

    2. 在运行对话框中输入ldp.exe，然后在打开的Ldp窗口的导航栏，选择连接(C) > 连接(C)。

    3. 在连接对话框，输入服务器名称以及端口号389，然后单击确定(O)。

       

       服务器名称需要输入计算机全名，连接后显示类似如下信息，表示连接正常。

       

    4. 打开一个新的Ldp窗口，并在导航栏选择连接(C) > 连接(C)。

    5. 在连接对话框，输入服务器名称以及端口号636，同时选中SSL(L)，然后单击确定(O)。

       

       服务器名称需要输入计算机全名，连接后显示类似如下信息，表示连接正常。

       

配置Windows AD域与集群LDAP用户账号互通

1. 登录AD域服务器，获取相关信息并生成证书。

   1. 登录AD域服务器。

   2. 获取AD域服务器的计算机全名和IP地址。

      • 计算机全名：可查看服务器的系统属性获取。

      • IP地址：可在CMD命令行中执行ipconfig命令获取。

   3. 打开CMD命令行，执行certutil -ca.cert client.crt命令，生成证书。

      说明

      证书文件默认保存在C:\Users\Administrator目录下。

      

2. 创建域账户类型为LDAP的集群。具体操作，请参见使用向导创建集群。

   创建集群时，在软件配置页面，域账号服务选择ldap，本地集群域名填写AD域的域名称（只填写前缀，无需填写域名全称，例如AD域名为example.com，则此处只需填写example）。

   

3. 登录集群。具体操作，请参见登录集群。

4. 登录账户管理节点。

   • 如果集群的部署方式是标准，可执行ssh account切换到账户管理节点。

   • 如果集群的部署方式是精简，则登录节点即为账户管理节点，无需进行切换。

5. 从AD域服务器下载证书，并上传到集群账户管理节点的某个目录下。

   说明

   您可以使用WinSCP工具进行文件传输。

6. 在账户管理节点，执行以下命令配置AD域与集群LDAP用户账号互通。

   1. 配置AD域与集群互通。

      /usr/local/ehpc/bin/ehpcutil account connectad --ad_hostname <AD域服务器的计算机全名> --ad_ip <AD域服务器的IP> --ad_passwd <AD域服务器的密码>

      请根据实际替换命令参数，示例命令如下：

      /usr/local/ehpc/bin/ehpcutil account connectad --ad_hostname ***.example.com --ad_ip 47.106.XX.XX --ad_passwd ehpc***

      返回以下信息表示配置成功。

      

   2. 在集群中导入证书。

      /usr/local/ehpc/bin/ehpcutil account importcert --filename <证书存放路径> --ad_passwd <AD域服务器的密码>

      请根据实际替换命令参数，示例命令如下：

      /usr/local/ehpc/bin/ehpcutil_py account importcert --filename /root/client.crt --ad_passwd ehpc***

      返回以下信息表示配置成功。

      

   3. 执行如下命令，实现账户同步。

      /usr/local/ehpc/bin/ehpcutil account syncad

      返回以下信息表示配置成功。

      

7. 在弹性高性能计算控制台的用户页面，确认是否已从AD域同步用户信息至集群。

   如果已自动创建与AD域中用户同名的集群用户，则表示同步成功。