Active Directory-Richtlinie erstellen

Auf dieser Seite wird beschrieben, wie Sie eine Active Directory-Richtlinie erstellen.

Hinweis

  • Prüfen Sie, ob der Active Directory-Dienst erreichbar ist. Weitere Informationen finden Sie unter Active Directory-Domaincontroller und Firewallregeln für den Active Directory-Zugriff.

  • Konfigurieren Sie Cloud DNS so, dass DNS-Anfragen für Ihre Windows-Domain an Ihre Windows-DNS-Server weitergeleitet werden, damit Ihre Google Cloud Compute Engine VMs Active Directory-Hostnamen auflösen können, z. B. den NetBIOS- Namen, der von Google Cloud NetApp Volumes verwendet wird. Weitere Informationen finden Sie unter Best Practices für die Verwendung privater Cloud DNS-Weiterleitungszonen. Dies ist sowohl für lokales Active Directory als auch für Active Directory, das auf Compute Engine basiert, erforderlich.

  • Active Directory sucht nach Domaincontrollern, indem es DNS-Dienstdatensätze (SRV) abfragt. Wenn Sie Active Directory-integriertes DNS verwenden, werden diese Datensätze automatisch von den Domaincontrollern erstellt und aktualisiert. Wenn Sie einen DNS Server eines Drittanbieters wie Infoblox für Ihre Domain verwenden, muss der Server die erforderlichen SRV-Datensätze enthalten.

  • Beim Erstellen von SMB-Volumes verwendet NetApp Volumes sichere dynamische DNS-Updates, um den Hostnamen zu registrieren. Dieser Prozess funktioniert gut, wenn Sie Active Directory DNS verwenden. Wenn Sie einen DNS-Dienst eines Drittanbieters verwenden, um die Zone für Ihre Windows-Domain zu hosten, muss er so konfiguriert sein, dass er sichere DDNS-Updates unterstützt. Andernfalls schlägt die Volume-Erstellung für das Flex File-Servicelevel fehl. Wenn Sie Infoblox verwenden, prüfen Sie die sichere DDNS-Konfiguration und die zugehörigen DNS-Datensatzaktualisierungen sorgfältig, da Fehlkonfigurationen häufig zu Bereitstellungsfehlern führen.

Die Einstellungen für die Active Directory-Richtlinie werden erst angewendet, wenn Sie das erste Volume erstellen, für das Active Directory in der angegebenen Region erforderlich ist. Bei der Volume-Erstellung können falsche Einstellungen zu Fehlern führen. Weitere Informationen finden Sie unter So werden Active Directory-Richtlinien mit der Domain verknüpft.

Für Flex Unified-Speicherpools im ONTAP-Modus werden keine Active Directory-Richtlinien verwendet. Weitere Informationen finden Sie im folgenden Abschnitt auf dem Tab **ONTAP-Modus**.

Active Directory-Richtlinie erstellen

Folgen Sie der Anleitung, um eine Active Directory-Richtlinie über die Google Cloud Console, die Google Cloud CLI oder den ONTAP-Modus zu erstellen.

Console

So erstellen Sie eine Active Directory-Richtlinie in der Google Cloud Console:

  1. Rufen Sie in der Google Cloud Console die Seite NetApp Volumes auf.

    Zu NetApp Volumes

  2. Wählen Sie Active Directory-Richtlinien aus.

  3. Klicken Sie auf Erstellen.

  4. Füllen Sie im Dialogfeld Active Directory-Richtlinie erstellen die Felder aus, die in der folgenden Tabelle aufgeführt sind.

    Pflichtfelder sind mit einem Sternchen (*) gekennzeichnet.

    Feld Beschreibung Gilt für NFS Gilt für SMB Gilt für Dual-Protokoll
    Name der Active Directory-Richtlinie* Der eindeutige Name der Richtlinie
    Beschreibung Optional: Sie können eine Beschreibung für die Richtlinie eingeben.
    Region
    Region* Verknüpft Active Directory mit allen Volumes in der angegebenen Region.
    Details zur Active Directory-Verbindung
    Domain name* Voll qualifizierter Domainname für die Active Directory-Domain.
    DNS-Server* Durch Kommas getrennte Liste mit maximal drei IP-Adressen von DNS-Servern die für die DNS-basierte Suche nach Domaincontrollern verwendet werden.
    Website Gibt eine Active Directory-Website an, um die Auswahl des Domaincontrollers zu verwalten.

    Verwenden Sie diese Option, wenn Active Directory-Domaincontroller in mehreren Regionen konfiguriert sind. Wenn Sie diesen Wert nicht angeben, wird standardmäßig Default-First-Site-Name verwendet.
    Organisationseinheit Name der Organisationseinheit, in der Sie das Computerkonto für NetApp Volumes erstellen möchten.

    Wenn Sie diesen Wert nicht angeben, wird standardmäßig CN=Computers verwendet.
    NetBIOS-Namenspräfix* NetBIOS-Namenspräfix des Servers, der erstellt werden soll.

    Automatisch wird eine zufällige ID mit fünf Zeichen generiert, z. B. -6f9a, und an das Präfix angehängt. Der vollständige UNC-Freigabepfad hat das folgende Format:

    \\<NetBIOS_PREFIX>-<4-random-hexletters>.<DOMAIN_NAME>\<SHARE_NAME>.
    AES-Verschlüsselung für Active Directory-Authentifizierung aktivieren Aktiviert die AES-128- und AES-256-Verschlüsselung für die Kerberos-basierte Kommunikation mit Active Directory.
    Active Directory-Anmeldedaten
    Nutzername* und Passwort* Anmeldedaten für das Active Directory-Konto mit Berechtigungen zum Erstellen des Computerkontos in der angegebenen Organisationseinheit.

    Für den Nutzernamen ist der Kontoname des Security Account Manager (SAM) erforderlich, der maximal 20 Zeichen lang sein darf.
    SMB-Einstellungen
    Administratoren Domainnutzerkonten, die der lokalen Administratorgruppe des SMB-Dienstes hinzugefügt werden sollen.

    Geben Sie eine durch Kommas getrennte Liste von Domainnutzern oder -gruppen an. Die Gruppe „Domain-Admins“ wird automatisch hinzugefügt, wenn der Dienst als ausgeblendete Gruppe Ihrer Domain beitritt.

    Administratoren verwenden nur den Kontonamen des Security Account Manager (SAM). Der SAM-Kontoname darf maximal 20 Zeichen für den Nutzernamen und 64 Zeichen für den Gruppennamen enthalten.

    Sicherungsoperatoren Domainnutzerkonten, die der Gruppe „Sicherungsoperatoren“ des SMB-Dienstes hinzugefügt werden sollen. Mitglieder der Gruppe „Sicherungsoperatoren“ können Dateien sichern und wiederherstellen, unabhängig davon, ob sie Lese- oder Schreibzugriff auf die Dateien haben.

    Geben Sie eine durch Kommas getrennte Liste von Domainnutzern oder -gruppen an.

    Sicherungsoperatoren verwenden nur den Kontonamen des Security Account Manager (SAM). Der SAM-Kontoname darf maximal 20 Zeichen für den Nutzernamen und 64 Zeichen für den Gruppennamen enthalten.
    Nutzer mit der Berechtigung „Sicherheit“ Domainkonten, die zum Verwalten von Sicherheitslogs erhöhte Berechtigungen wie SeSecurityPrivilege benötigen.

    Geben Sie eine durch Kommas getrennte Liste von Domainnutzern oder -gruppen an. Dies ist insbesondere für die Installation eines SQL-Servers erforderlich, bei dem Binärdateien und Systemdatenbanken in einer SMB-Freigabe gespeichert sind. Diese Option ist nicht erforderlich, wenn Sie bei der Installation einen Administratornutzer verwenden.
    NFS-Einstellungen
    Kerberos-Schlüsselverteilungshostname Hostname des Active Directory-Servers, der als Kerberos-Schlüsselverteilungscenter verwendet wird NFSv4.1 mit Kerberos SMB und NFSv4.1 mit Kerberos
    KDC-IP IP-Adresse des Active Directory-Servers, der als Kerberos-Schlüsselverteilungscenter verwendet wird NFSv4.1 mit Kerberos SMB und NFSv4.1 mit Kerberos
    Lokale NFS-Nutzer mit LDAP zulassen Lokale UNIX-Nutzer auf Clients ohne gültige Nutzerinformationen in Active Directory werden vom Zugriff auf LDAP-aktivierte Volumes ausgeschlossen.

    Mit dieser Option können Sie solche Volumes vorübergehend auf die AUTH_SYS-Authentifizierung (Nutzer-ID + 1–16 Gruppen) umstellen.
    Labels
    Labels Optional: Fügen Sie relevante Labels hinzu.

  5. Klicken Sie auf Erstellen. Für die Servicelevel „Flex Unified“, „Standard“, „Premium“ und „Extrem“ sollten Sie nach dem Erstellen einer Active Directory-Richtlinie und dem Verknüpfen mit einem Speicherpool die Verbindung zum Active Directory-Dienst testen.

gcloud

So erstellen Sie eine Active Directory-Richtlinie:

  gcloud netapp active-directories create CONFIG_NAME \
    --project=PROJECT_ID \
    --location=LOCATION \
    --dns=DNS_LIST \
    --domain=DOMAIN_NAME \
    --net-bios-prefix=NetBIOS_PREFIX \
    --username=USERNAME \
    --password=PASSWORD \
    --enable-aes=true

Ersetzen Sie die folgenden Informationen:

  • CONFIG_NAME: der Name der Konfiguration, die Sie erstellen möchten. Der Konfigurationsname muss pro Region eindeutig sein.

  • PROJECT_ID: die Projekt-ID, in der Sie die Active Directory-Richtlinie erstellen.

  • LOCATION: die Region, in der Sie die Konfiguration erstellen möchten. Google Cloud NetApp Volumes unterstützt nur eine Konfiguration pro Region.

  • DNS_LIST: eine durch Kommas getrennte Liste mit bis zu drei IPv4-Adressen von Active Directory-DNS-Servern.

  • DOMAIN_NAME: der voll qualifizierte Domainname von Active Directory.

  • NetBIOS_PREFIX: das NetBIOS-Namenspräfix des Servers, den Sie erstellen möchten. Automatisch wird eine zufällige ID mit fünf Zeichen generiert, z. B. -6f9a, und an das Präfix angehängt.

    Der vollständige UNC-Freigabepfad hat das folgende Format:

    \\<NetBIOS_PREFIX>-<4-random-hexletters>.<DOMAIN_NAME>\<SHARE_NAME>.

  • USERNAME: der Name eines Domainnutzers mit der Berechtigung, der Domain beizutreten.

  • PASSWORD: das Passwort für den Nutzernamen.

Weitere Informationen zu den einzelnen Parametern finden Sie auf dem Tab Console.

Weitere Informationen zu zusätzlichen optionalen Flags finden Sie in der Google Cloud SDK-Dokumentation zur Active Directory-Erstellung.

ONTAP-Modus

Wenn Sie Active Directory verwenden möchten, müssen Sie die virtuelle Maschine (SVM) des ONTAP-Modus mit einer Windows-Domain verknüpfen. Die erforderlichen ONTAP-Befehle finden Sie in der ONTAP-Dokumentation.

Die folgenden Voraussetzungen sind für Pools im ONTAP-Modus bereits vorkonfiguriert:

  • Vorhandene SVM oder vServer und Aggregate

  • Network Time Protocol (NTP)

  • Logische Datenschnittstellen (LIFs), die Netzwerkschnittstellen sind, um SMB- oder NFS-Anfragen zu verarbeiten

Gehen Sie folgendermaßen vor:

  1. Aktivieren Sie DNS für die ONTAP-SMB-Hostnamensauflösung.

  2. Erstellen Sie einen SMB-Server. Wählen Sie einen der folgenden Modi aus:

  3. Prüfen Sie im Domainmodus, ob die Domaincontroller erreichbar sind.

  4. Konfigurieren Sie den SMB-Clientzugriff auf freigegebenen ONTAP-Speicher.

Im ONTAP-Modus können Sie auch eine Verbindung zu Nicht-Active Directory-LDAP-Servern herstellen, z. B. für die Unterstützung erweiterter Gruppen. Weitere Informationen finden Sie unter LDAP für ONTAP-NFS-SVMs.

Nachdem Sie die erforderlichen Befehle ermittelt haben, finden Sie unter ONTAP-Modus eine Anleitung zum Senden von ONTAP-Befehlen an den Speicherpool.

Nächste Schritte

Testen Sie die Verbindung zur Active Directory-Richtlinie.