Integrazione di Active Directory con Google Cloud NetApp Volumes

Questa pagina spiega come Google Cloud NetApp Volumes si integra con Active Directory per fornire identità e autenticazione per i volumi Server Message Block (SMB) e Network File System (NFS). Comprendere questa integrazione ti aiuta a configurare l'accesso sicuro alle condivisioni file.

Informazioni sull'integrazione

NetApp Volumes utilizza Active Directory per gestire l'identità e l'autenticazione degli utenti per i volumi SMB e NFS. Active Directory fornisce i seguenti servizi di directory per la condivisione di file:

  • LDAP: trova utenti, gruppi e account computer

  • DNS: risolve i nomi host e individua i controller di dominio

  • Kerberos: autentica client e servizi

Un criterio di Active Directory è un modello di configurazione che definisce la modalità di connessione di NetApp Volumes al tuo dominio. Collega una policy a un pool di archiviazione. L'aggiunta al dominio e la creazione dell'account computer avvengono successivamente, in base al livello di servizio del pool di archiviazione e ai volumi che crei. Per ulteriori informazioni, consulta Come le policy di Active Directory si uniscono al dominio.

Le policy di Active Directory sono specifiche per ogni regione. Puoi configurare fino a cinque policy per regione. Per saperne di più, consulta le best practice per l'esecuzione di Active Directory su Google Cloud.

Casi d'uso di Active Directory

NetApp Volumes utilizza Active Directory per diversi casi d'uso:

  • Fornisce servizio di dominio e autenticazione SMB: Active Directory funge da servizio di dominio centrale per SMB, che NetApp Volumes utilizza per l'autenticazione e le ricerche di identità per utenti e gruppi. NetApp Volumes entra a far parte del tuo dominio come membro, ma non supporta SMB in modalità gruppo di lavoro.

  • Fornisce il supporto dei gruppi estesi per NFSv3: per NFSv3 con supporto dei gruppi estesi, Active Directory fornisce il server LDAP necessario per cercare oggetti come utenti, gruppi o account macchina.

    • In particolare, le ricerche di ID utente e ID gruppo richiedono un server LDAP conforme a RFC2307bis.

    • Il supporto LDAP è abilitato sui pool di archiviazione durante la creazione del pool.

    • Il supporto dei gruppi estesi ignora tutti gli ID gruppo inviati dal client NFS in una chiamata NFS. Prende invece l'ID utente della richiesta e cerca tutti gli ID gruppo per l'ID utente specificato dal server LDAP per i controlli delle autorizzazioni dei file.

    Per saperne di più, vedi Gestire gli attributi LDAP RFC2307bis POSIX.

  • Mappa i principal di sicurezza agli ID utente e di gruppo per NFSv4.x: NetApp Volumes utilizza Active Directory per mappare i principal di sicurezza agli ID utente e di gruppo per NFSv4.x.

    • NFSv4.x utilizza un modello di autenticazione basato su principal, in cui i principal di sicurezza identificano gli utenti nel formato user@dns_domain, come descritto in RFC 7530 security considerations, anziché ID utente e ID gruppo. Per mappare i principal di sicurezza agli ID utente e agli ID gruppo quando accedi al volume con un protocollo NFSv4.x, NetApp Volumes richiede un server LDAP conforme a RFC2307bis. NetApp Volumes supporta solo i server LDAP di Active Directory. Il supporto LDAP è abilitato sui pool di archiviazione durante la creazione del pool.

    • Per utilizzare i principal di sicurezza, devono essere soddisfatti i seguenti requisiti:

    • dns_domain è il nome del dominio Active Directory e user è il nome dell'utente Active Directory. Utilizza questi valori quando imposti gli attributi LDAP POSIX.

    • Utilizzo di ID numerici per NFSv4.1: per utilizzare NFSv4.1 senza mappatura degli ID e utilizzare solo ID utente e ID gruppo simili a NFSv3, utilizza ID numerici per ignorare i principal di sicurezza. NetApp Volumes supporta gli ID numerici. I client NFS utilizzano gli ID numerici per impostazione predefinita se la mappatura degli ID non è configurata.

  • Fornisce l'autenticazione Kerberos per NFSv4.x: se utilizzi Kerberos con NFSv4.x, devi utilizzare Active Directory come server LDAP per le ricerche di entità di sicurezza. Le entità Kerberos vengono utilizzate come identificatori di sicurezza. Il centro di distribuzione chiavi Kerberos utilizza Active Directory.

    Per utilizzare Kerberos con NFSv4.x, devi anche completare i seguenti passaggi:

    • Collega al pool una policy Active Directory che contenga le impostazioni Kerberos.

    • Abilita il supporto LDAP in un pool di archiviazione quando lo crei.

Come le policy Active Directory vengono aggiunte al dominio

Questa sezione descrive quando NetApp Volumes si unisce al tuo dominio Active Directory, come crea gli account computer e come il servizio esegue l'autenticazione dopo l'unione al dominio. Per una panoramica e i casi d'uso comuni, consulta Integrazione di Google Cloud NetApp Volumes Active Directory.

Un criterio di Active Directory è un modello di configurazione. La creazione di un criterio non comporta l'aggiunta a un dominio o la creazione di account computer. Il criterio ha effetto solo dopo che lo hai collegato a un pool di archiviazione e il servizio si unisce al dominio per quel pool.

Collega una policy di Active Directory a un pool di archiviazione

Puoi collegare una policy di Active Directory nelle seguenti situazioni:

  1. Quando crei un pool di archiviazione.

  2. Quando utilizzi un pool di archiviazione esistente che non ha ancora una policy di Active Directory.

Determinare quando avviene l'aggiunta al dominio

Il momento dell'unione al dominio dipende dal livello di servizio del pool di archiviazione:

  • Livelli di servizio Flex Unified, Standard, Premium ed Extreme: NetApp Volumes si unisce al dominio e crea un account computer quando crei il primo volume che richiede Active Directory. Sono inclusi volumi SMB, NFSv3 con gruppi estesi e NFSv4.x con entità di sicurezza o Kerberos. Per l'elenco completo, vedi Casi d'uso per Active Directory.

  • Livello di servizio Flex File: NetApp Volumes entra a far parte del dominio quando colleghi la policy di Active Directory al pool, anche durante la creazione del pool.

Account computer

NetApp Volumes crea account computer Active Directory per consentire ai file server di autenticare i client e comunicare con i domain controller.

  • Pool Flex Unified e Flex File: crea un account computer per ogni pool di archiviazione.

  • Pool standard, premium ed estremi: crea più account computer in base alle tue esigenze. Ad esempio, potrebbe creare account separati per NFSv4.1 con Kerberos e per SMB nello stesso pool.

Dopo che NetApp Volumes crea un account computer, lo utilizza per comunicare con Active Directory. Non continua a utilizzare le credenziali utente di aggiunta al dominio dalla policy di Active Directory, a meno che non debba creare un nuovo account computer.

La pulizia degli account computer dipende dalla possibilità dell'utente di unire il dominio di eliminare gli account computer:

  • Autorizzazione di eliminazione concessa: NetApp Volumes elimina automaticamente gli account computer creati dal servizio quando elimini l'ultimo volume che li utilizza.

  • Autorizzazione di eliminazione non concessa: gli account computer rimangono in Active Directory dopo l'eliminazione dei volumi. Un amministratore di dominio deve eliminare manualmente gli account inutilizzati.

Per saperne di più su come delegare le autorizzazioni per la creazione e l'eliminazione di account computer, consulta Autorizzazioni necessarie per creare account macchina Active Directory.

Tipi di crittografia Kerberos

NetApp Volumes annuncia i tipi di crittografia Kerberos (enctypes) nei suoi account computer Active Directory. L'autenticazione Kerberos ha esito positivo solo se il client, il domain controller e l'account computer supportano almeno un tipo di crittografia comune.

Per impostazione predefinita, i NetApp Volumes pubblicizzano i seguenti tipi di crittografia:

  • DES

  • RC4-HMAC

Quando selezioni Abilita la crittografia AES per l'autenticazione di Active Directory nel criterio di Active Directory, NetApp Volumes annuncia anche i seguenti tipi di crittografia:

  • AES-128

  • AES-256

Durante l'autenticazione Kerberos, il Key Distribution Center (KDC) seleziona l'enctype più sicuro supportato dal client, dal controller di dominio e dall'account computer NetApp Volumes. Per richiedere tipi di crittografia specifici sui computer client, utilizza Criteri di gruppo di Active Directory. Per saperne di più, consulta Configurazione dei tipi di crittografia consentiti per Kerberos.

Per ulteriori informazioni su come verificare quali enctypes utilizzano i client, esaminare gli attributi dell'account computer o risolvere i problemi di autenticazione correlati a cifrari deboli o non corrispondenti, consulta Risolvere i problemi relativi ai tipi di crittografia Kerberos per Active Directory.

Testare una connessione di policy Active Directory

La funzionalità Testa connessione criteri Active Directory convalida l'unione al dominio creando un account computer temporaneo nel tuo dominio.

  • Autorizzazione di eliminazione concessa: NetApp Volumes elimina l'account temporaneo immediatamente dopo il test.

  • Autorizzazione di eliminazione non concessa: l'account temporaneo rimane in Active Directory. Un amministratore del dominio deve eliminare l'account manualmente. Per i prerequisiti e i passaggi del test, vedi Testare la connessione della policy Active Directory.

Autorizzazioni richieste per creare account macchina Active Directory

Per utilizzare Active Directory, i NetApp Volumes devono unirsi a uno o più file server virtuali al tuo dominio come account computer. Per partecipare al dominio, devi fornire le credenziali di un utente del dominio che disponga dell'autorizzazione per unire computer al tuo dominio. Per impostazione predefinita, solo i membri del gruppo Domain Admins possono unire computer al dominio, ma Active Directory ha la capacità di delegare le autorizzazioni richieste a singoli utenti o gruppi a livello di dominio completo o unità organizzativa.

Per i volumi NetApp, ti consigliamo di creare un account di servizio di dominio dedicato. Delega solo le autorizzazioni necessarie per aggiungere nuovi computer a una UO specifica. Una volta creato un utente con l'appartenenza al gruppo Domain User o Domain Guest, segui le istruzioni riportate di seguito per delegare le autorizzazioni richieste.

  1. Accedi al sistema come amministratore di dominio per il dominio Active Directory.

  2. Apri lo snap-in MMC Utenti e computer di Active Directory.

  3. Dalla barra dei menu, seleziona Visualizza e assicurati che l'opzione Funzionalità avanzate sia attivata.

    Se le funzionalità avanzate sono attive, viene visualizzato un segno di spunta.

  4. Nel riquadro delle attività, espandi il nodo del dominio.

  5. Individua l'unità organizzativa che vuoi modificare, fai clic con il tasto destro del mouse e seleziona Proprietà dal menu contestuale.

  6. Nella finestra Proprietà unità organizzativa, seleziona la scheda Sicurezza.

  7. In Sicurezza, fai clic su Avanzate e poi su Aggiungi.

  8. Nella finestra di dialogo Voce di autorizzazione, completa i seguenti passaggi:

    1. Fai clic su Seleziona un'entità.

    2. Inserisci il nome del tuo account di servizio o gruppo e fai clic su Ok.

    3. Per Si applica a:, seleziona Questo oggetto e tutti gli oggetti discendenti.

    4. Assicurati che siano selezionate le seguenti autorizzazioni:

      • Modificare le autorizzazioni

      • Creare oggetti computer

      • Eliminare oggetti computer

  9. Seleziona la casella di controllo Applica e poi fai clic su Ok.

  10. Chiudi lo snap-in MMC Utenti e computer di Active Directory.

Dopo la delega del account di servizio, puoi fornire il nome utente e la password come credenziali del criterio Active Directory.

Per una maggiore sicurezza, durante la query e la creazione dell'oggetto account macchina, il nome utente e la password passati al dominio Active Directory utilizzano la crittografia Kerberos.

Domain controller di Active Directory

Per connettere NetApp Volumes al tuo dominio, il servizio utilizza il rilevamento basato su DNS per identificare un elenco di domain controller disponibili da utilizzare.

Il servizio esegue i seguenti passaggi per trovare un domain controller da utilizzare:

  1. Rilevamento del sito Active Directory: NetApp Volumes utilizza un ping LDAP all'IP del server DNS specificato nella policy di Active Directory per recuperare le informazioni sulla subnet del sito Active Directory. Restituisce un elenco di CIDR e i siti Active Directory assegnati a questi CIDR.

    Get-ADReplicationSubnet -Filter * | Select-Object Name,Site

  2. Definisci i nomi dei siti: se l'indirizzo IP del volume corrisponde a una delle subnet definite, viene utilizzato il nome del sito associato. Le corrispondenze con subnet più piccole hanno la precedenza su quelle con subnet più grandi. Se l'indirizzo IP del volume è sconosciuto, crea manualmente un volume temporaneo con il tipo di protocollo NFS per determinare il CIDR /28 utilizzato.

    Se non è definito alcun nome del sito in Active Directory, viene utilizzato il nome del sito configurato nel criterio di Active Directory. Se non è configurato alcun nome del sito, i livelli di servizio Standard, Premium ed Extreme utilizzano il sito Default-First-Site-Name. Se il livello di servizio flessibile tenta di utilizzare il sito Default-First-Site-Name, l'operazione non andrà a buon fine e il livello di servizio flessibile utilizzerà invece l'individuazione completa del domain controller. Tieni presente che le modifiche al parametro del sito Active Directory vengono ignorate dai pool di archiviazione con livello di servizio Flex.

  3. Rilevamento del domain controller: acquisite tutte le informazioni necessarie, il servizio identifica i potenziali domain controller utilizzando la seguente query DNS:

    nslookup -type=srv _ldap._tcp.<site_name>._sites.dc._msdcs.<domain-name> <dns-server>

    Per l'individuazione completa del dominio, il servizio utilizza la seguente query DNS:

    nslookup -type=srv _ldap._tcp.dc._msdcs.<domain-name> <dns-server>

  4. Generazione dell'elenco dei domain controller: viene generato un elenco di domain controller. NetApp Volumes li monitora costantemente per verificare la disponibilità. Tra i controller di dominio disponibili, ne seleziona uno per l'unione al dominio e le ricerche. Se il controller di dominio selezionato non è più disponibile, viene utilizzato automaticamente un altro controller di dominio dall'elenco Disponibile. Tieni presente che il domain controller che scegli non è necessariamente il server DNS specificato.

Devi fornire almeno un domain controller accessibile da utilizzare per il servizio. Ne consigliamo diversi per una migliore disponibilità del domain controller. Assicurati che esista un percorso di rete instradato tra NetApp Volumes e i controller di dominio e che le regole firewall sui controller di dominio consentano la connessione di NetApp Volumes.

Per saperne di più, consulta Considerazioni e best practice per la progettazione di Active Directory.

Topologie del controller di dominio Active Directory

Una volta connesso correttamente ai domain controller Active Directory, puoi utilizzare i seguenti protocolli di condivisione file:

  • SMB

  • NFSv3 con gruppi estesi

  • NFSv4 con entità di sicurezza e Kerberos

Gli scenari seguenti descrivono le potenziali topologie. Questi scenari si concentrano sul domain controller utilizzato da NetApp Volumes. Gli altri controller di dominio per lo stesso dominio vengono descritti solo se necessario. Ti consigliamo di eseguire il deployment di almeno due domain controller per la ridondanza e la disponibilità.

Topologia Descrizione
Domain controller Active Directory e volumi in una regione Questo scenario è la strategia di deployment più semplice, in cui un controller di dominio si trova nella stessa regione del volume.
Domain controller Active Directory e volumi in regioni separate Puoi utilizzare un domain controller in una regione diversa da un volume. Questa configurazione potrebbe influire negativamente sulle prestazioni di autenticazione e accesso ai file.
Domain controller Active Directory in più regioni che utilizzano siti AD Se utilizzi volumi in più regioni, ti consigliamo di inserire almeno un domain controller in ogni regione. Sebbene il servizio selezioni automaticamente il domain controller, ti consigliamo di gestire la selezione del domain controller con i siti di Active Directory.
Domain controller Active Directory in una rete on-premise Puoi utilizzare un domain controller on-premise tramite VPN, ma ciò può influire negativamente sull'autenticazione degli utenti finali e sulle prestazioni di accesso ai file. Non aggiungere altri hop di peering Virtual Private Cloud nel percorso di rete. Il peering VPC è soggetto a limitazioni di routing transitivo. Il traffico non viene instradato oltre l'hop di peering VPC già utilizzato da NetApp Volumes.
Domain controller Active Directory in una rete VPC diversa Non puoi posizionare il controller di dominio in un altro VPC perché Google Cloud il peering VPC non consente il routing transitivo. In alternativa, puoi connettere i VPC utilizzando la VPN, collegare i NetApp Volumes a una rete VPC condivisa che ospita i domain controller Active Directory o connettere reti aggiuntive. Se colleghi NetApp Volumes a una rete VPC condivisa, questa configurazione è simile a uno degli scenari precedenti.

Passaggi successivi