Halaman ini menjelaskan cara Google Cloud NetApp Volumes terintegrasi dengan Active Directory untuk menyediakan identitas dan autentikasi bagi volume Server Message Block (SMB) dan Network File System (NFS) Anda. Memahami integrasi ini akan membantu Anda mengonfigurasi akses aman ke berbagi file.
Tentang integrasi
NetApp Volumes menggunakan Active Directory untuk mengelola identitas dan autentikasi pengguna untuk volume SMB dan NFS. Active Directory menyediakan layanan direktori berikut untuk berbagi file:
LDAP: menemukan pengguna, grup, dan akun komputer
DNS: me-resolve nama host dan menemukan pengontrol domain
Kerberos: mengautentikasi klien dan layanan
Kebijakan Active Directory adalah template konfigurasi yang menentukan cara NetApp Volumes terhubung ke domain Anda. Anda melampirkan kebijakan ke penyimpanan gabungan. Penggabungan domain dan pembuatan akun komputer terjadi setelahnya, berdasarkan tingkat layanan penyimpanan gabungan dan volume yang Anda buat. Untuk mengetahui informasi selengkapnya, lihat Cara kebijakan Active Directory bergabung dengan domain.
Kebijakan Active Directory bersifat spesifik untuk setiap region. Anda dapat mengonfigurasi hingga lima kebijakan per region. Untuk mengetahui informasi selengkapnya, lihat Praktik terbaik untuk menjalankan Active Directory di Google Cloud.
Kasus penggunaan untuk Active Directory
NetApp Volumes menggunakan Active Directory untuk beberapa kasus penggunaan:
Menyediakan layanan dan autentikasi domain SMB: Active Directory berfungsi sebagai layanan domain pusat untuk SMB, yang digunakan NetApp Volumes untuk autentikasi dan pencarian identitas bagi pengguna dan grup. NetApp Volumes bergabung dengan domain Anda sebagai anggota, tetapi tidak mendukung SMB dalam mode grup kerja.
Menyediakan dukungan grup yang diperluas untuk NFSv3: untuk NFSv3 dengan dukungan grup yang diperluas, Active Directory menyediakan server LDAP yang diperlukan untuk mencari objek seperti pengguna, grup, atau akun mesin.
Secara khusus, pencarian ID pengguna dan ID grup memerlukan server LDAP yang sesuai dengan
RFC2307bis.Dukungan LDAP diaktifkan di penyimpanan gabungan selama pembuatan gabungan.
Dukungan grup yang diperluas mengabaikan semua ID grup yang dikirim oleh klien NFS dalam panggilan NFS. Sebagai gantinya, dukungan grup yang diperluas mengambil ID pengguna permintaan dan mencari semua ID grup untuk ID pengguna yang diberikan dari server LDAP untuk pemeriksaan izin file.
Untuk mengetahui informasi selengkapnya, lihat Mengelola atribut POSIX
RFC2307bisLDAP.Memetakan akun utama keamanan ke ID pengguna dan grup untuk NFSv4.x: NetApp Volumes menggunakan Active Directory untuk memetakan akun utama keamanan ke ID pengguna dan ID grup untuk NFSv4.x.
NFSv4.x menggunakan model autentikasi berbasis akun utama, tempat akun utama keamanan mengidentifikasi pengguna dalam format
user@dns_domain, seperti yang dijelaskan dalam pertimbangan keamanan RFC 7530, bukan ID pengguna dan ID grup. Untuk memetakan akun utama keamanan ke ID pengguna dan ID grup saat Anda mengakses volume dengan protokol NFSv4.x, NetApp Volumes memerlukan server LDAP yang sesuai denganRFC2307bis. NetApp Volumes hanya mendukung server LDAP Active Directory. Dukungan LDAP diaktifkan di penyimpanan gabungan selama pembuatan gabungan.Untuk menggunakan akun utama keamanan, persyaratan berikut harus dipenuhi:
Klien dan server NFS harus terhubung ke sumber LDAP yang sama.
Anda harus mengonfigurasi file
idmapd.confdi klien NFS. Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi fileidmapd.conf, lihat dokumentasi Ubuntu tentang cara mengonfigurasi fileidmapd.confuntuklibnfsidmap.
dns_domainadalah nama domain Active Directory, danuseradalah nama pengguna Active Directory. Gunakan nilai ini saat Anda menetapkan atribut POSIX LDAP.Menggunakan ID numerik untuk NFSv4.1: untuk menggunakan NFSv4.1 tanpa pemetaan ID dan hanya menggunakan ID pengguna dan ID grup yang mirip dengan NFSv3, gunakan ID numerik untuk mengabaikan akun utama keamanan. NetApp Volumes mendukung ID numerik. Klien NFS menggunakan ID numerik secara default jika pemetaan ID tidak dikonfigurasi.
Menyediakan autentikasi Kerberos untuk NFSv4.x: jika Anda menggunakan Kerberos dengan NFSv4.x, Anda harus menggunakan Active Directory sebagai server LDAP untuk pencarian akun utama keamanan. Akun utama Kerberos digunakan sebagai ID keamanan. Key Distribution Center Kerberos menggunakan Active Directory.
Untuk menggunakan Kerberos dengan NFSv4.x, Anda juga harus menyelesaikan langkah-langkah berikut:
Lampirkan kebijakan Active Directory yang berisi setelan Kerberos ke gabungan.
Aktifkan dukungan LDAP di penyimpanan gabungan saat Anda membuat gabungan.
Cara kebijakan Active Directory bergabung dengan domain
Bagian ini menjelaskan kapan NetApp Volumes bergabung dengan domain Active Directory Anda, cara membuat akun komputer, dan cara layanan melakukan autentikasi setelah bergabung dengan domain. Untuk mengetahui ringkasan dan kasus penggunaan umum, lihat Integrasi Active Directory Google Cloud NetApp Volumes.
Kebijakan Active Directory adalah template konfigurasi. Membuat kebijakan tidak akan menggabungkan domain atau membuat akun komputer. Kebijakan hanya berlaku setelah Anda melampirkannya ke penyimpanan gabungan dan layanan bergabung dengan domain untuk gabungan tersebut.
Melampirkan kebijakan Active Directory ke penyimpanan gabungan
Anda dapat melampirkan kebijakan Active Directory dalam situasi berikut:
Saat Anda membuat penyimpanan gabungan.
Saat Anda menggunakan penyimpanan gabungan yang sudah ada dan belum memiliki kebijakan Active Directory.
Menentukan kapan penggabungan domain terjadi
Waktu penggabungan domain bergantung pada tingkat layanan penyimpanan gabungan:
Tingkat layanan Flex Unified, Standar, Premium, dan Ekstrem: NetApp Volumes bergabung dengan domain dan membuat akun komputer saat Anda membuat volume pertama yang memerlukan Active Directory. Hal ini mencakup volume SMB, NFSv3 dengan grup yang diperluas, dan NFSv4.x dengan akun utama keamanan atau Kerberos. Untuk mengetahui daftar lengkapnya, lihat Kasus penggunaan untuk Active Directory.
Tingkat layanan Flex File: NetApp Volumes bergabung dengan domain saat Anda melampirkan kebijakan Active Directory ke gabungan, termasuk selama pembuatan gabungan.
Akun komputer
NetApp Volumes membuat akun komputer Active Directory untuk memungkinkan server file mengautentikasi klien dan berkomunikasi dengan pengontrol domain.
Gabungan Flex Unified dan Flex File: membuat satu akun komputer per penyimpanan gabungan.
Gabungan Standar, Premium, dan Ekstrem: membuat beberapa akun komputer sesuai kebutuhan. Misalnya, gabungan ini dapat membuat akun terpisah untuk NFSv4.1 dengan Kerberos dan untuk SMB di gabungan yang sama.
Setelah membuat akun komputer, NetApp Volumes akan menggunakan akun tersebut untuk berkomunikasi dengan Active Directory. NetApp Volumes tidak akan terus menggunakan kredensial pengguna penggabungan domain dari kebijakan Active Directory kecuali jika perlu membuat akun komputer baru.
Pembersihan akun komputer bergantung pada apakah pengguna penggabungan domain dapat menghapus akun komputer:
Izin hapus diberikan: NetApp Volumes otomatis menghapus akun komputer yang dibuat layanan saat Anda menghapus volume terakhir yang menggunakannya.
Izin hapus tidak diberikan: akun komputer tetap ada di Active Directory setelah Anda menghapus volume. Administrator domain harus menghapus akun yang tidak digunakan secara manual.
Untuk mengetahui informasi selengkapnya tentang cara mendelegasikan izin untuk membuat dan menghapus akun komputer, lihat Izin yang diperlukan untuk membuat akun mesin Active Directory.
Jenis enkripsi Kerberos
NetApp Volumes mengiklankan jenis enkripsi Kerberos (enctype) di akun komputer Active Directory. Autentikasi Kerberos hanya berhasil jika klien, pengontrol domain, dan akun komputer mendukung setidaknya satu jenis enkripsi umum.
Secara default, NetApp Volumes mengiklankan jenis enkripsi berikut:
DES
RC4-HMAC
Saat Anda memilih Enable AES Encryption for Active Directory authentication dalam kebijakan Active Directory, NetApp Volumes juga mengiklankan jenis enkripsi berikut:
AES-128
AES-256
Selama autentikasi Kerberos, Key Distribution Center (KDC) memilih enctype terkuat yang didukung oleh klien, pengontrol domain, dan akun komputer NetApp Volumes. Untuk mewajibkan enctype tertentu di komputer klien, gunakan Group Policy Active Directory. Untuk mengetahui informasi selengkapnya, lihat Mengonfigurasi jenis enkripsi yang diizinkan untuk Kerberos.
Untuk mengetahui informasi selengkapnya tentang cara memverifikasi enctype yang digunakan klien, memeriksa atribut akun komputer, atau memecahkan masalah kegagalan autentikasi terkait cipher yang lemah atau tidak cocok, lihat Memecahkan masalah jenis enkripsi Kerberos untuk Active Directory.
Menguji koneksi kebijakan Active Directory
Fitur Test Active Directory policy connection memvalidasi penggabungan domain dengan membuat akun komputer sementara di domain Anda.
Izin hapus diberikan: NetApp Volumes menghapus akun sementara segera setelah pengujian.
Izin hapus tidak diberikan: Akun sementara tetap ada di Active Directory. Administrator domain harus menghapus akun secara manual. Untuk mengetahui prasyarat dan langkah-langkah pengujian, lihat Menguji koneksi kebijakan Active Directory.
Izin yang diperlukan untuk membuat akun mesin Active Directory
Untuk menggunakan Active Directory, NetApp Volumes harus menggabungkan satu atau beberapa server file virtual ke domain Anda sebagai akun komputer. Untuk bergabung dengan domain, Anda harus memberikan kredensial pengguna domain yang memiliki izin untuk menggabungkan komputer ke domain Anda. Secara default, hanya anggota grup Domain Admins yang dapat
menggabungkan komputer ke domain, tetapi Active Directory memiliki kemampuan untuk
mendelegasikan izin yang diperlukan
kepada pengguna atau grup tertentu di tingkat domain penuh atau unit organisasi (OU)
Untuk NetApp Volumes, sebaiknya buat akun layanan domain khusus. Delegasikan hanya izin yang diperlukan untuk menggabungkan komputer baru ke OU tertentu. Setelah pengguna dengan keanggotaan grup Domain User atau Domain Guest dibuat, gunakan petunjuk berikut untuk mendelegasikan izin yang diperlukan.
Login ke sistem Anda sebagai administrator domain untuk domain Active Directory.
Buka snap-in MMC Active Directory Users and Computers.
Dari menu bar, pilih View dan pastikan Advanced Features diaktifkan.
Tanda centang akan ditampilkan jika Advanced Features diaktifkan.
Di panel tugas, luaskan node domain.
Temukan OU yang ingin Anda ubah, klik kanan, lalu pilih Properties dari menu konteks.
Di jendela OU properties, pilih tab Security.
Di bagian Security, klik Advanced, lalu klik Add.
Di dialog Permission Entry, selesaikan langkah-langkah berikut:
Klik Select a principal.
Masukkan nama akun layanan atau grup Anda, lalu klik OK.
Untuk Applies to:, pilih This object and all descendant objects.
Pastikan izin berikut dipilih:
Modify permissions
Create computer objects
Delete computer objects
Centang kotak Apply, lalu klik OK.
Tutup snap-in MMC Active Directory Users and Computers.
Setelah akun layanan didelegasikan, Anda dapat memberikan nama pengguna dan sandi sebagai kredensial kebijakan Active Directory.
Untuk keamanan tambahan, selama kueri dan pembuatan objek akun mesin, nama pengguna dan sandi yang diteruskan ke domain Active Directory menggunakan enkripsi Kerberos.
Pengontrol domain Active Directory
Untuk menghubungkan NetApp Volumes ke domain Anda, layanan ini menggunakan penemuan berbasis DNS untuk mengidentifikasi daftar pengontrol domain yang tersedia untuk digunakan.
Layanan ini menjalankan langkah-langkah berikut untuk menemukan pengontrol domain yang akan digunakan:
Penemuan Situs Active Directory: NetApp Volumes menggunakan ping LDAP ke IP server DNS yang ditentukan dalam kebijakan Active Directory untuk mengambil informasi subnet Situs Active Directory. Layanan ini menampilkan daftar CIDR dan Situs Active Directory yang ditetapkan ke CIDR tersebut.
Get-ADReplicationSubnet -Filter * | Select-Object Name,SiteMenentukan nama situs: jika alamat IP volume cocok dengan salah satu subnet yang ditentukan, nama situs terkait akan digunakan. Kecocokan subnet yang lebih kecil akan diprioritaskan daripada kecocokan subnet yang lebih besar. Jika alamat IP volume tidak diketahui, buat volume sementara secara manual dengan jenis protokol NFS untuk menentukan
/28CIDR yang digunakan.Jika tidak ada nama situs yang ditentukan di Active Directory, nama situs yang dikonfigurasi dalam kebijakan Active Directory akan digunakan. Jika tidak ada nama situs yang dikonfigurasi, tingkat layanan Standar, Premium, dan Ekstrem akan menggunakan situs
Default-First-Site-Name. Jika tingkat layanan Flex mencoba menggunakan situsDefault-First-Site-Name, tindakan tersebut akan gagal dan tingkat layanan Flex akan menggunakan penemuan pengontrol domain penuh. Perhatikan bahwa perubahan pada parameter situs Active Directory diabaikan oleh penyimpanan gabungan tingkat layanan Flex.Penemuan pengontrol domain: dengan semua informasi yang diperlukan diperoleh, layanan ini mengidentifikasi pengontrol domain potensial menggunakan DNS kueri berikut:
nslookup -type=srv _ldap._tcp.<site_name>._sites.dc._msdcs.<domain-name> <dns-server>Untuk penemuan domain penuh, layanan ini menggunakan kueri DNS berikut:
nslookup -type=srv _ldap._tcp.dc._msdcs.<domain-name> <dns-server>Pembuatan daftar pengontrol domain: daftar pengontrol domain dibuat. NetApp Volumes terus memantau semua pengontrol domain untuk ketersediaan. Dari pengontrol domain yang tersedia, NetApp Volumes memilih satu untuk penggabungan dan pencarian domain. Jika pengontrol domain yang dipilih tidak ada, pengontrol domain lain dari daftar Available akan digunakan secara otomatis. Perhatikan bahwa pengontrol domain yang Anda pilih tidak harus merupakan server DNS yang ditentukan.
Anda harus menyediakan setidaknya satu pengontrol domain yang dapat diakses agar layanan dapat digunakan. Sebaiknya sediakan beberapa pengontrol domain untuk ketersediaan pengontrol domain yang lebih baik. Pastikan ada jalur jaringan yang dirutekan antara NetApp Volumes dan pengontrol domain, dan bahwa aturan firewall di pengontrol domain Anda mengizinkan NetApp Volumes untuk terhubung.
Untuk mengetahui informasi selengkapnya, lihat Pertimbangan desain dan praktik terbaik Active Directory.
Topologi pengontrol domain Active Directory
Setelah berhasil terhubung ke pengontrol domain Active Directory, Anda dapat menggunakan protokol berbagi file berikut:
SMB
NFSv3 dengan grup yang diperluas
NFSv4 dengan akun utama keamanan dan Kerberos
Skenario berikut menjelaskan potensi topologi. Skenario ini berfokus pada pengontrol domain yang digunakan oleh NetApp Volumes. Pengontrol domain lain untuk domain yang sama hanya dijelaskan jika diperlukan. Sebaiknya deploy setidaknya dua pengontrol domain untuk redundansi dan ketersediaan.
| Topologi | Deskripsi |
|---|---|
| Pengontrol domain dan volume Active Directory dalam satu region | Skenario ini adalah strategi deployment paling sederhana, tempat pengontrol domain berada di region yang sama dengan volume. |
| Pengontrol domain dan volume Active Directory di region terpisah | Anda dapat menggunakan pengontrol domain di region yang berbeda dari volume. Konfigurasi ini dapat memengaruhi performa autentikasi dan akses file secara negatif. |
| Pengontrol domain Active Directory di beberapa region menggunakan situs AD | Jika Anda menggunakan volume di beberapa region, sebaiknya tempatkan setidaknya satu pengontrol domain di setiap region. Meskipun layanan ini otomatis memilih pengontrol domain, sebaiknya kelola pemilihan pengontrol domain dengan situs Active Directory. |
| Pengontrol domain Active Directory di jaringan lokal | Anda dapat menggunakan pengontrol domain lokal melalui VPN, tetapi hal ini dapat memengaruhi performa autentikasi pengguna akhir dan akses file secara negatif. Jangan tambahkan hop peering Virtual Private Cloud tambahan di jalur jaringan Anda. Peering VPC tunduk pada batasan perutean transitif. Traffic tidak dirutekan di luar hop peering VPC yang sudah digunakan NetApp Volumes. |
| Pengontrol domain Active Directory di jaringan VPC yang berbeda | Anda tidak dapat menempatkan pengontrol domain di VPC yang berbeda karena Google Cloud peering VPC tidak mengizinkan perutean transitif. Atau, Anda dapat menghubungkan VPC menggunakan VPN, melampirkan NetApp Volumes ke jaringan VPC bersama yang menghosting pengontrol domain Active Directory, atau menghubungkan jaringan tambahan. Jika Anda melampirkan NetApp Volumes ke jaringan VPC bersama, konfigurasi ini akan mirip dengan salah satu skenario sebelumnya. |