文件系统加入AD域 本文为您介绍在AD域环境搭建好之后,将文件系统加入AD域的操作步骤。 前提条件 已有至少1个可用状态的CIFS文件系统。 已准备AD域环境,已创建AD域控制器,至少有一台客户端已加入域。请参考搭建AD域。 操作步骤 步骤一:生成keytab文件 说明 生成keytab文件的操作在AD域控制器上进行。 1. 登录AD域控制器上为文件系统设置本地域名。 文件系统服务主体依赖域名,因此需要先创建文件系统挂载点对应的域名。需要分别为普通AD域客户端和AD域控制器进行设置。hosts文件路径:C:WindowsSystem32driversetchosts。本地域名配置如下: . 参数说明: 参数 说明 server IP 文件系统挂载地址前的IP。 文件系统本地域名 自定义的文件系统的域名名称。 注:每个文件系统的域名名称应保持唯一。 realm AD域名,如“sfs.com”。 示例: 100.xx.xx.xx testfs01.sfs.com 2. 设置服务账户。按照如下格式使用dsadd命令创建一个服务账号。 注意 您需要记住设置的账户名和密码等信息,后续步骤会用到。 dsadd user CN[AD域服务账户名],DC[AD域域名],DC[com] samid [AD域服务账户名] display [账户描述] pwd [账户密码] pwdneverexpires yes 示例: dsadd user CNNASuser01,DCsfs,DCcom samid fsuser01 display "ctyunnas service account" pwd zmqw@md3 pwdneverexpires yes 3. 执行以下命令为CIFS文件系统域名注册SPN服务主体。 setspn S cifs/[文件系统本地域名]@ [realm] [AD域服务账户名] 参数说明: 参数 说明 文件系统本地域名 在步骤1中为文件系统挂载点设置的域名。 realm AD域名。在搭建AD域环境时设置的域名,本文中为“sfs.com”。 AD域服务账户名 步骤2中的samid。 示例: setspn S cifs/testfs01.sfs.com@sfs.com fsuser01 4. 在AD域控制器上执行以下命令为CIFS文件系统服务主体生成Keytab文件,用于用户的身份认证。 Ktpass princ cifs/[文件系统本地域名]@[realm(必须大写)] ptype KRB5NTPRINCIPAL mapuser [AD域服务账户名]@[realm] crypto All out [密钥表文件生成路径] pass [账户密码] 参数说明: 参数 说明 princ 设置服务主体名称(SPN)。填写步骤1中为文件系统设置的本地域名。 ptype 指定密钥表文件的类型。设置为:KRB5NTPRINCIPAL(用于普通服务账户)。 mapuser AD域服务账户名,填写步骤2中的samid。将SPN映射到一个AD域用户账户,这个用户账户将与SPN相关联,用于身份验证和授权。 crypto 选择用于加密密钥的加密算法:ALL。即所有的加密算法,包括DESCBCCRC、DESCBCMD5、RC4HMACNT等。 out 指定生成的密钥表文件的输出路径和文件名。 /out c:tempservice.keytab将创建一个名为service.keytab的密钥表文件,并将其保存到c:temp目录下。 pass 指定与映射用户账户对应的密码。即在步骤2为创建文件系统服务账户时设置的密码。 示例: Ktpass princ cifs/testfs01.sfs.com@SFS.com ptype KRB5NTPRINCIPAL mapuser fsuser01@sfs.com crypto All out C:nasservice.keytab pass zmqw@md3 5. 将keytab文件传至登录天翼云控制台所用的客户端。 若使用本地电脑登录天翼云控制台,需要将AD域控制器上生成的keytab文件传至本地电脑,具体方法参考:怎样在本地主机和Windows云主机之间互传数据?。此方法需要使用弹性IP,弹性IP是计费服务,计费说明参考计费概述弹性IP。 若为云主机绑定弹性IP,可以直接使用云主机登录天翼云控制台进行接下来的步骤,且不必进行本地电脑与云电脑的keytab文件传输。 说明 远程桌面连接时需要输入云主机的用户名密码,是指在创建云主机时的用户名(默认为Administrator)和密码。