Создание подключений к Active Directory для Azure NetApp Files и управление ими

Для некоторых функций Azure NetApp Files требуется подключение к Active Directory. Например, вам необходимо подключение к Active Directory, прежде чем вы сможете создать том SMB, том NFSv4.1 Kerberos или том с двумя протоколами. В этой статье описано, как создавать подключения к Active Directory для Azure NetApp Files и управлять ими.

Требования и рекомендации для подключений Active Directory

• Учетная запись Azure NetApp Files должна быть создана в регионе, в котором развертываются тома Azure NetApp Files.

• Azure NetApp Files по умолчанию разрешает одно подключение Active Directory (AD) для каждой подписки и учетной записи. Вы можете изменить значение по умолчанию, чтобы создать одно подключение Active Directory для каждой учетной записи NetApp.

• Учетная запись администратора подключения Azure NetApp Files AD должна иметь следующие свойства:

  • Это должна быть учетная запись пользователя домена AD DS в том же домене, где создаются учетные записи компьютера Azure NetApp Files.
  • Он должен иметь разрешение на создание учетных записей компьютеров (например, присоединение к домену AD) в пути подразделения AD DS, указанном в параметре пути единицы организации подключения AD.
  • Она не может быть групповой управляемой учетной записью службы.

• Учетная запись администратора подключения AD поддерживает типы шифрования Kerberos AES-128 и Kerberos AES-256 для проверки подлинности с помощью AD DS для создания учетной записи компьютера Azure NetApp Files (например, операции присоединения к домену AD).

• Чтобы включить шифрование AES, сначала следует включить AES-128, AES-256, RC4 и типы шифрования DES в Active Directory (AD), а затем включить AES на уровне управления. Сначала необходимо включить шифрование в Active Directory.

• Чтобы включить поддержку шифрования AES для учетной записи администратора в подключении AD, выполните следующие команды Active Directory PowerShell:

  Get-ADUser -Identity <ANF AD connection account username>
  Set-ADUser -KerberosEncryptionType <encryption_type>
  

  KerberosEncryptionType — это многозначный параметр, поддерживающий значения DES, RC4, AES-128 и AES-256.

  Дополнительные сведения см. в документации Set-ADUser.

• Чтобы включить шифрование AES в учетной записи администратора подключения Azure NetApp Files AD, необходимо использовать учетную запись пользователя домена AD, являющуюся членом одной из следующих групп AD DS:

  • Администраторы домена
  • Администраторы предприятия
  • Administrators
  • Операторы учетной записи
  • Администраторы доменных служб Microsoft Entra (только доменные службы Microsoft Entra)
  • Кроме того, учетная запись пользователя домена AD с msDS-SupportedEncryptionTypes разрешением на запись в учетной записи администратора подключения AD также может использоваться для задания свойства типа шифрования Kerberos в учетной записи администратора подключения AD.

  Note

  При изменении параметра для включения AES в учетной записи администратора подключения AD рекомендуется использовать учетную запись пользователя с разрешением на запись в объект AD, который не является администратором Azure NetApp Files AD. Это можно сделать с другой учетной записью администратора домена или делегируя управление учетной записью. Дополнительные сведения см. в разделе "Делегирование администрирования с помощью объектов организационной единицы".

  Если вы устанавливаете шифрование AES-128 и AES-256 Kerberos в учетной записи администратора подключения AD, клиент Windows согласовывает самый высокий уровень шифрования, поддерживаемый AD DS. Например, если поддерживаются AES-128 и AES-256, а клиент поддерживает AES-256, будет использоваться AES-256.

• Если изменить IP-адрес Центра распространения Kerberos (KDC) или имя сервера AD, необходимо дождаться истечения срока действия билета Kerberos, чтобы подключить том на том же клиенте NFS в Linux. Время существования билета Kerberos можно настроить как на клиенте, так и на KDC. По умолчанию Microsoft Active Directory устанавливает время существования билета Kerberos на 600 минут (10 часов).
Дополнительные сведения см. в разделе "Максимальное время существования билета на обслуживание".

• Если у вас есть требование включить и отключить определенные типы шифрования Kerberos для учетных записей компьютеров Active Directory для узлов Windows, присоединенных к домену, используемых с Azure NetApp Files, необходимо использовать групповую политику Network Security: Configure Encryption types allowed for Kerberos.

  Не устанавливайте раздел HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters\SupportedEncryptionTypes реестра. Это приведет к прерыванию проверки подлинности Kerberos с помощью Azure NetApp Files для узла Windows, где этот раздел реестра был установлен вручную.

  Note

  Параметр политики по умолчанию для Network Security: Configure Encryption types allowed for Kerberos равен Not Defined. Если этот параметр политики задан Not Defined, все типы шифрования, кроме DES, будут доступны для шифрования Kerberos. У вас есть возможность включить поддержку только определенных типов шифрования Kerberos (например, AES128_HMAC_SHA1 или AES256_HMAC_SHA1). Однако политика по умолчанию должна быть достаточной в большинстве случаев при включении поддержки шифрования AES с помощью Azure NetApp Files.

  Дополнительные сведения см. в разделе "Безопасность сети": настройка типов шифрования, разрешенных для Kerberos или конфигураций Windows для поддерживаемых типов шифрования Kerberos

• Запросы LDAP вступают в силу только в домене, указанном в подключениях Active Directory ( поле доменного имени AD DNS). Это поведение относится к томам NFS, SMB и двухпротокольным томам.

• Время ожидания запросов LDAP

  По умолчанию запросы LDAP завершаются по тайм-ауту, если они не могут быть выполнены своевременно. Если запрос LDAP завершается сбоем из-за истечения времени ожидания, поиск пользователя и/или группы завершится ошибкой, и доступ к томе Azure NetApp Files может быть запрещён в зависимости от настроек разрешений тома.

  Время ожидания запросов могут возникать в больших средах LDAP со многими объектами пользователей и групп, при медленном подключении к глобальной сети, а также при чрезмерной нагрузке сервера LDAP из-за большого количества запросов. Параметр времени ожидания Azure NetApp Files для запросов LDAP имеет значение 10 секунд. Рассмотрите возможность использования функций DN пользователей и групп подключения Active Directory для сервера LDAP для фильтрации поисковых запросов, если у вас возникают проблемы с таймаутами запросов LDAP.

Учетные записи NetApp и тип Active Directory

Чтобы подтвердить тип учетной записи Active Directory, можно использовать страницу обзора учетной записи NetApp. Существует три значения для типа AD:

• NA: существующая учетная запись NetApp, которая поддерживает только одну конфигурацию AD для каждой подписки и региона. Конфигурация AD не предоставляется другим учетным записям NetApp в подписке.

• Multi AD: учетная запись NetApp поддерживает одну конфигурацию AD для каждой учетной записи NetApp в рамках подписки. Это позволяет использовать несколько подключений AD для каждой подписки при использовании нескольких учетных записей NetApp.

  Note

  Убедитесь, что вы используете API версии 2024-11-01 или более поздней для использования Multi AD.

• Общий AD: Учетная запись NetApp поддерживает только одну конфигурацию AD для каждой подписки и региона, но эта конфигурация совместно используется в учетных записях NetApp в рамках подписки и региона.

Для получения дополнительной информации о связи между учетными записями NetApp и подписками см. Иерархия хранилища Azure NetApp Files.

Создание подключения Active Directory

1. В учетной записи NetApp выберите подключения Active Directory, затем Присоединиться.

   

   Note

   По умолчанию Azure NetApp Files поддерживает только одно подключение Active Directory в одном регионе и той же подписке. Этот параметр можно изменить, чтобы создать одно подключение Active Directory для каждой учетной записи NetApp.

2. В окне "Присоединение каталога Active Directory" укажите следующие сведения в зависимости от доменных служб, которые вы хотите использовать.

   • Основной DNS (обязательный)
     Это IP-адрес основного DNS-сервера, который требуется для операций присоединения к домену Active Directory, проверки подлинности SMB, Kerberos и LDAP.

   • Вторичный DNS
     Это IP-адрес вторичного DNS-сервера, который требуется для операций присоединения к домену Active Directory, проверки подлинности SMB, Kerberos и LDAP.

     Note

     Рекомендуется настроить дополнительный DNS-сервер. Ознакомьтесь с рекомендациями по проектированию и планированию сайтов служб домен Active Directory для Azure NetApp Files. Убедитесь, что конфигурация DNS-сервера соответствует требованиям для Azure NetApp Files. В противном случае операции службы Azure NetApp Files, проверка подлинности SMB, Kerberos или ldap могут завершиться ошибкой.

     Если вы используете доменные службы Microsoft Entra, используйте IP-адреса контроллеров домена доменных служб Microsoft Entra для основного DNS и дополнительного DNS соответственно.

   • Доменное имя AD DNS (обязательно)
     Это полное доменное имя AD DS, используемое с Azure NetApp Files (например, contoso.com).

   • Имя сайта AD (обязательно)
     Это имя сайта AD DS, которое Azure NetApp Files использует для обнаружения контроллера домена.

     Имя сайта по умолчанию для служб доменов Active Directory (AD DS) и служб доменов Microsoft Entra — Default-First-Site-Name. Если вы хотите переименовать имя сайта, следуйте соглашениям об именовании сайтов.

     Note

     Ознакомьтесь с рекомендациями по проектированию и планированию сайтов служб домен Active Directory для Azure NetApp Files. Убедитесь, что дизайн и конфигурация сайта AD DS соответствуют требованиям для Azure NetApp Files. В противном случае операции службы Azure NetApp Files, проверка подлинности SMB, Kerberos или ldap могут завершиться ошибкой.

   • Префикс сервера SMB (учетная запись компьютера) (обязательно)
     Это префикс для имен новых учетных записей компьютеров, созданных в AD DS для Azure NetApp Files с поддержкой SMB, двойного протокола и томов Kerberos NFSv4.1.

     Например, если стандарт именования, используемый вашей организацией для файловых служб, это NAS-01, NAS-02 и так далее, то вы будете использовать NAS для префикса.

     Azure NetApp Files создаст дополнительные учетные записи компьютеров в AD DS по мере необходимости.

     Important

     Переименование префикса сервера SMB после создания подключения Active Directory вносит помехи. После переименования префикса сервера SMB необходимо повторно подключить существующие общие папки SMB.

   • Путь организационной единицы
     Это путь LDAP для подразделения ,где будут созданы учетные записи сервера SMB. то есть OU=second level, OU=first level. Например, если вы хотите использовать OU, созданное ANF в корне домена, значение будет равно OU=ANF.

     Если значение не указано, Azure NetApp Files использует CN=Computers контейнер.

     Если вы используете Azure NetApp Files с доменными службами Microsoft Entra, путь к организационной единице — OU=AADDC Computers

     

   • Шифрование AES
     Этот параметр включает поддержку проверки подлинности шифрования AES для учетной записи администратора подключения AD.

     

     См. Требования к подключениям Active Directory для получения информации о требованиях.

   • Добавление подписи LDAP

     Этот параметр включает подписывание LDAP. Эта функция обеспечивает проверку целостности для привязок LDAP с использованием уровня простой аутентификации и безопасности (SASL) из Azure NetApp Files и контроллеров домена Active Directory Domain Services, указанных пользователем.

     Azure NetApp Files поддерживает привязку канала LDAP, если параметры подписи LDAP и LDAP по протоколу TLS включены в подключении Active Directory. Дополнительные сведения см. в разделе ADV190023 | Руководство Майкрософт по включению привязки каналов LDAP и подписывания LDAP.

     Note

     Записи DNS PTR для учетных записей компьютера AD DS должны быть созданы в Подразделении AD DS, указанном в подключении Azure NetApp Files AD, чтобы работало подписывание LDAP.

     

   • Разрешить локальным пользователям NFS с помощью LDAP Этот параметр позволяет локальным пользователям клиента NFS получать доступ к томам NFS. Этот параметр отключает расширенные группы для томов NFS, что ограничивает количество поддерживаемых групп для пользователя до 16. При включении группы, превышающие ограничение на 16 групп, не учитываются в разрешениях на доступ. Дополнительные сведения см. в разделе "Разрешить локальным пользователям NFS с протоколом LDAP" доступ к тому с двумя протоколами.

   • ПРОТОКОЛ LDAP по протоколу TLS

     Этот параметр включает протокол LDAP по протоколу TLS для безопасного взаимодействия между томом Azure NetApp Files и сервером LDAP Active Directory. Можно включить LDAP через TLS для NFS, SMB и томов с двумя протоколами Azure NetApp Files.

     Note

     LDAP поверх TLS не должен быть включен, если вы используете доменные службы Microsoft Entra. Доменные службы Microsoft Entra используют LDAPS (порт 636) для защиты трафика LDAP вместо LDAP через TLS (порт 389).

     Дополнительные сведения см. в разделе Включение проверки подлинности LDAP служб домена Active Directory (AD DS) для томов NFS.

   • Сертификат корневого центра сертификации сервера

     Этот параметр отправляет сертификат ЦС, используемый с протоколом LDAP по протоколу TLS.

     Дополнительные сведения см. в разделе Включение проверки подлинности LDAP служб домена Active Directory (AD DS) для томов NFS. 

   • Область поиска LDAP, DN пользователя, DN группы и фильтр членства в группах

     Опция область поиска LDAP оптимизирует запросы LDAP в хранилище Azure NetApp Files для использования в больших топологиях AD DS и LDAP с расширенными группами или при стиле безопасности Unix в томах с двойным протоколом Azure NetApp Files.

     Параметры DN пользователя и группы DN позволяют задать базу поиска в AD DS LDAP. Эти параметры ограничивают области поиска запросов LDAP, сокращая время поиска и помогая сократить время ожидания запросов LDAP.

     Параметр "Фильтр членства в группах" позволяет создать пользовательский фильтр поиска для пользователей, являющихся членами определенных групп AD DS.

     

     Дополнительные сведения об этих параметрах см. в статье "Настройка LDAP AD DS с расширенными группами для доступа к томам NFS".

   • Предпочтительный сервер для клиента LDAP

     Предпочтительный сервер для клиента LDAP позволяет отправлять IP-адреса до двух серверов AD в виде разделенного запятыми списка. Вместо того, чтобы последовательно связаться со всеми обнаруженными службами AD для домена, клиент LDAP сначала свяжется с указанными серверами.

   • Зашифрованные подключения SMB к контроллеру домена

     Зашифрованные подключения SMB к контроллеру домена указывают, следует ли использовать шифрование для обмена данными между сервером SMB и контроллером домена. При включении для зашифрованных подключений контроллера домена будет использоваться только SMB3.

     Эта функция в настоящее время доступна для предварительного ознакомления. Если вы впервые используете зашифрованные подключения SMB к контроллеру домена, необходимо зарегистрировать его:

     Register-AzProviderFeature -ProviderNamespace Microsoft.NetApp -FeatureName  ANFEncryptedSMBConnectionsToDC 
     

     Проверка состояния регистрации функции.

     Note

     RegistrationState может находиться в состоянии Registering до 60 минут, прежде чем изменится на Registered. Подождите, пока состояние не станет Registered, прежде чем продолжить.

     Get-AzProviderFeature -ProviderNamespace Microsoft.NetApp -FeatureName  ANFEncryptedSMBConnectionsToDC 
     

     Вы также можете использовать команды Azure CLIaz feature register и az feature show, чтобы зарегистрировать эту функцию и отобразить состояние регистрации.

   • Пользователи политики резервного копирования Этот параметр предоставляет дополнительные права безопасности пользователям или группам доменных служб AD DS, которым требуются повышенные привилегии резервного копирования для поддержки рабочих процессов резервного копирования, восстановления и миграции в Azure NetApp Files. Указанные учетные записи или группы пользователей AD DS будут иметь разрешения NTFS с повышенными привилегиями на уровне файла или папки.

     

     Следующие привилегии применяются при использовании настройки пользователи политики резервного копирования:

     Privilege	Description
     SeBackupPrivilege	Резервное копирование файлов и каталогов с переопределением всех списков управления доступом (ACL).
     SeRestorePrivilege	Восстановите файлы и каталоги, переопределяя любые ACL. Задайте допустимый идентификатор пользователя или группы в качестве владельца файла.
     SeChangeNotifyPrivilege	Обход проверки. Пользователям с этой привилегией не требуется иметь разрешения на просмотр (x), чтобы переходить по папкам или символическим ссылкам.

   • Пользователи привилегий безопасности
     Этот параметр предоставляет пользователям или группам доменных служб AD DS привилегииSeSecurityPrivilege безопасности, которым требуются повышенные привилегии для доступа к томам Azure NetApp Files. Указанные пользователи или группы AD DS могут выполнять определенные действия для общих папок SMB, требующих привилегий безопасности, не назначенных по умолчанию пользователям домена.

     

     При использовании параметра "Пользователи привилегий безопасности" применяются следующие привилегии :

     Privilege	Description
     SeSecurityPrivilege	Управление журналом.

     Эта функция используется для установки SQL Server в определенных сценариях, когда учетная запись домена AD DS не администратора должна временно предоставляться повышенным привилегиям безопасности.

     Note

     Использование функции "Пользователи привилегий безопасности" зависит от функции "Общие папки непрерывной доступности SMB". Непрерывная доступность SMB не поддерживается в приложениях на заказ. Она поддерживается только для рабочих нагрузок с помощью citrix App Layering, контейнеров профилей пользователей FSLogix и Microsoft SQL Server (не Linux SQL Server).

     Important

     Эта функция является необязательной и поддерживается только с SQL Server. Учетная запись домена AD DS, используемая для установки SQL Server, уже должна существовать, прежде чем добавлять ее в параметр "Пользователи привилегий безопасности". При добавлении учетной записи установщика SQL Server в параметр "Пользователи с привилегиями безопасности", служба Azure NetApp Files может проверить учетную запись, связываясь с контроллером домена AD DS. Это действие может завершиться ошибкой, если Azure NetApp Files не может связаться с контроллером домена AD DS.

     Дополнительные сведения о SeSecurityPrivilege и SQL Server см. в статье Сбои установки SQL Server, если учетная запись установки не имеет определенных прав пользователя.

   • Администраторы предоставляют привилегии пользователям

     Этот параметр предоставляет дополнительные права безопасности пользователям или группам домена AD DS, которым требуются повышенные привилегии для доступа к томам Azure NetApp Files. Указанные учетные записи будут иметь разрешения с повышенными привилегиями на уровне файла или папки.

     Note

     Администраторы домена автоматически добавляются в группу привилегированных пользователей администраторов.

     

     Note

     Эта привилегия полезна для миграции данных.

     При использовании параметра "Администраторы привилегий" применяются следующие привилегии:

     Privilege	Description
     SeBackupPrivilege	Резервное копирование файлов и каталогов с переопределением всех списков управления доступом (ACL).
     SeRestorePrivilege	Восстановите файлы и каталоги, переопределяя любые ACL. Задайте допустимый идентификатор пользователя или группы в качестве владельца файла.
     SeChangeNotifyPrivilege	Обход проверки. Пользователи с этой привилегией не должны иметь разрешения на обход (x) для обхода папок или симлинков.
     SeTakeOwnershipPrivilege	Возьмите на себя владение файлами или другими объектами.
     SeSecurityPrivilege	Управление журналом.
     SeChangeNotifyPrivilege	Обход проверки. Пользователи с этой привилегией не должны иметь разрешения на обход (x) для обхода папок или симлинков.

   • Учетные данные, включая имя пользователя и пароль.

     

     Important

     Хотя Active Directory поддерживает 256-символьные пароли, пароли Active Directory с Azure NetApp Files не могут превышать 64 символов.

3. Выберите Присоединиться.

   Откроется созданное подключение Active Directory.

   

Создание одного подключения Active Directory для учетной записи NetApp

Текущее поведение по умолчанию Azure NetApp Files поддерживает одно подключение AD для каждой подписки и региона. При включении этой функции, вы изменяете настройки, чтобы каждая учетная запись NetApp в подписке Azure может иметь собственное подключение к Active Directory. Если эта функция включена, только что созданные учетные записи NetApp поддерживают собственное подключение AD.

После настройки подключение AD учетной записи NetApp используется при создании тома SMB, тома NFSv4.1 Kerberos или тома с двумя протоколами. Это означает, что Azure NetApp Files поддерживает более одного подключения к Active Directory на одну подписку Azure при использовании нескольких учетных записей NetApp.

зарегистрируйте функцию

Общедоступна возможность создания одного подключения AD для каждой учетной записи NetApp. Если эта функция используется впервые, ее необходимо сначала зарегистрировать. После регистрации эта функция будет включена и начнет работать в фоновом режиме.

1. Зарегистрируйте функцию.

   Register-AzProviderFeature -ProviderNamespace Microsoft.NetApp -FeatureName ANFMultipleActiveDirectory
   

2. Проверка состояния регистрации функции.

   Note

   RegistrationState может находиться в состоянии Registering до 60 минут, прежде чем изменится на Registered. Перед продолжением подождите, пока состояние не изменится на Зарегистрировано.

   Get-AzProviderFeature -ProviderNamespace Microsoft.NetApp -FeatureName ANFMultipleActiveDirectory
   

   Вы также можете использовать команды Azure CLIaz feature register и az feature show, чтобы зарегистрировать эту функцию и отобразить состояние регистрации.

Сопоставьте несколько учетных записей NetApp в одной подписке и регионе с одним подключением Active Directory (предварительная версия)

Функция Shared AD позволяет всем учетным записям NetApp совместно использовать подключение AD, созданное одной из учетных записей NetApp, принадлежащих одной подписке и одному региону. К примеру, с помощью этой функции все учетные записи NetApp в одной подписке и регионе могут использовать общую конфигурацию AD для создания тома SMB, тома NFSv4.1 Kerberos или тома с двумя протоколами. При использовании этой функции подключение AD отображается во всех учетных записях NetApp, которые находятся в одной подписке и одном регионе.

С введением функции для создания одного подключения AD для каждой учетной записи NetApp новые регистрации компонентов для функции Shared AD не принимаются.

Сброс пароля учетной записи компьютера Active Directory

Если вы случайно сбросили пароль учетной записи компьютера AD на сервере AD или сервер AD недоступен, вы можете безопасно сбросить пароль учетной записи компьютера, чтобы сохранить подключение к вашим томам. Сброс влияет на все тома на сервере SMB.

зарегистрируйте функцию

Функция сброса пароля учетной записи компьютера Active Directory сейчас доступна в общедоступной предварительной версии. Если вы используете эту функцию впервые, сначала необходимо зарегистрировать эту функцию.

1. Зарегистрируйте функцию сброса пароля учетной записи компьютера Active Directory.

Register-AzProviderFeature -ProviderNamespace Microsoft.NetApp -FeatureName ANFResetADAccountForVolume

2. Проверьте состояние регистрации компонента. RegistrationState может находиться в состоянии Registering до 60 минут, прежде чем изменится на Registered. Подождите, пока состояние не станет Registered, прежде чем продолжить.

Get-AzProviderFeature -ProviderNamespace Microsoft.NetApp -FeatureName ANFResetADAccountForVolume

Вы также можете использовать команды Azure CLIaz feature register и az feature show, чтобы зарегистрировать эту функцию и отобразить состояние регистрации.

Steps

1. Перейдите в раздел Обзор. Выберите Сброс учетной записи Active Directory. Или перейдите в меню томов. Определите том, для которого требуется сбросить учетную запись Active Directory, и выберите три точки (...) в конце строки. Выберите Сброс учетной записи Active Directory.
2. Появится предупреждение, объясняющее последствия этого действия. Введите да в текстовом поле, чтобы продолжить.

Дальнейшие шаги

• Рекомендации по проектированию и планированию сайтов служб домен Active Directory для Azure NetApp Files
• Изменение подключений Active Directory
• Создание тома SMB
• Создание тома с двумя протоколами
• Настройка шифрования Kerberos NFSv4.1
• Установка нового леса Active Directory с помощью Azure CLI
• Включить LDAP-аутентификацию служб домена Active Directory (AD DS) для томов NFS
• LDAP AD DS с группами расширенного доступа для тома NFS