בדף הזה מוסבר איך ליצור מדיניות Active Directory.
לפני שמתחילים
צריך לוודא שאפשר להגיע לשירות Active Directory. אפשר לעיין במאמרים בנושא בקרי דומיין של Active Directory וכללי חומת אש לגישה ל-Active Directory.
מגדירים את Cloud DNS להעברת בקשות DNS לדומיין Windows לשרתי ה-DNS של Windows כדי לאפשר למכונות הווירטואליות של Google Cloud Compute Engine לפתור שמות מארחים של Active Directory, כמו שם Netbios שמשמש את Google Cloud NetApp Volumes. מידע נוסף זמין במאמר בנושא שיטות מומלצות לשימוש באזורי העברה פרטיים ב-Cloud DNS. הפעולה הזו נדרשת גם ל-Active Directory בארגון וגם ל-Active Directory שמבוסס על Compute Engine.
Active Directory מוצא בקרי דומיין באמצעות חיפוש רשומות של שירות DNS (SRV). אם אתם משתמשים ב-DNS משולב של Active Directory, בקרי הדומיין יוצרים ומעדכנים את הרשומות האלה באופן אוטומטי. אם אתם משתמשים בשרת DNS של צד שלישי, כמו Infoblox, עבור הדומיין שלכם, ודאו שהשרת מכיל את רשומות ה-SRV הנדרשות.
כשיוצרים נפחי SMB, NetApp Volumes משתמשת בעדכוני DNS דינמיים מאובטחים כדי לרשום את שם המארח שלה. התהליך הזה פועל היטב כשמשתמשים ב-DNS של Active Directory. אם אתם משתמשים בשירות DNS של צד שלישי כדי לארח את האזור של דומיין Windows, אתם צריכים לוודא שהוא מוגדר לתמיכה בעדכוני DDNS מאובטחים. אחרת, יצירת נפח האחסון ברמת השירות Flex File תיכשל. אם אתם משתמשים ב-Infoblox, חשוב לוודא שהגדרת ה-DDNS המאובטח ועדכוני רשומות ה-DNS שקשורים אליה מוגדרים בצורה נכונה, כי טעויות בהגדרות גורמות לרוב לכשלים בהקצאת ההרשאות.
הגדרות המדיניות של Active Directory לא חלות עד שיוצרים את עוצמת הקול הראשונה שדורשת Active Directory באזור שצוין. במהלך יצירת אמצעי האחסון, הגדרות שגויות עלולות לגרום לכשלים ביצירת אמצעי האחסון. איך מדיניות Active Directory מצטרפת לדומיין
מאגרי אחסון מאוחדים של Flex במצב ONTAP לא משתמשים במדיניות של Active Directory. מידע נוסף על ההוראות זמין בכרטיסייה ONTAP-mode בקטע הבא.
יצירת מדיניות Active Directory
כדי ליצור מדיניות של Active Directory באמצעות מסוףGoogle Cloud , Google Cloud CLI או מצב ONTAP, פועלים לפי ההוראות הבאות.
המסוף
כדי ליצור מדיניות Active Directory במסוףGoogle Cloud :
נכנסים לדף NetApp Volumes במסוף Google Cloud .
בוחרים באפשרות מדיניות Active Directory.
לוחצים על יצירה.
בתיבת הדו-שיח Create Active Directory Policy (יצירת מדיניות של Active Directory), ממלאים את השדות שמופיעים בטבלה הבאה.
שדות חובה מסומנים בכוכבית (*).
שדה תיאור רלוונטי ל-NFS רלוונטי לעסקים קטנים ובינוניים רלוונטי לפרוטוקול כפול שם המדיניות של Active Directory* השם של המזהה הייחודי של המדיניות תיאור אופציונלי: אפשר להזין תיאור למדיניות אזור אזור* משייך את Active Directory לכל אמצעי האחסון באזור שצוין. פרטי החיבור ל-Active Directory שם הדומיין* שם הדומיין שמוגדר במלואו עבור דומיין Active Directory. שרתי DNS* רשימה מופרדת בפסיקים של עד שלוש כתובות IP של שרתי DNS שמשמשות לזיהוי של בקרי דומיין שמבוסס על DNS. אתר מציין אתר Active Directory לניהול הבחירה של בקר הדומיין.
האפשרות הזו מתאימה אם הוגדרו בקרי דומיין של Active Directory בכמה אזורים. אם השדה יישאר ריק, ברירת המחדל תהיה Default-First-Site-Name.יחידה ארגונית השם של היחידה הארגונית שבה רוצים ליצור את חשבון המחשב עבור NetApp Volumes.
אם לא מציינים ערך, ברירת המחדל היא CN=Computers.קידומת של שם NetBIOS* קידומת של שם NetBIOS של השרת שיוצרים.
מזהה אקראי בן חמישה תווים נוצר באופן אוטומטי, לדוגמה,-6f9a, ומצורף לקידומת. הנתיב המלא של שיתוף UNC הוא בפורמט הבא:
\\<NetBIOS_PREFIX>-<4-random-hexletters>.<DOMAIN_NAME>\<SHARE_NAME>.הפעלת הצפנת AES לאימות Active Directory הגדרה שמאפשרת הצפנת AES-128 ו-AES-256 לתקשורת מבוססת Kerberos עם Active Directory פרטי כניסה ל-Active Directory שם משתמש* וסיסמה* פרטי הכניסה לחשבון Active Directory עם הרשאות ליצירת חשבון מחשוב ביחידה הארגונית שצוינה.
שם המשתמש צריך להיות שם החשבון במנהל חשבונות האבטחה (SAM), שכולל עד 20 תווים.הגדרות SMB אדמינים חשבונות משתמשים בדומיין שיוספו לקבוצת האדמינים המקומית של שירות ה-SMB.
מזינים רשימה של משתמשים או קבוצות בדומיין, מופרדים בפסיקים. קבוצת האדמינים של הדומיין מתווספת אוטומטית כשהשירות מצטרף לדומיין כקבוצה מוסתרת.
אדמינים משתמשים רק בשם החשבון של Security Account Manager (SAM). שם החשבון ב-SAM יכול להכיל עד 20 תווים לשם המשתמש ועד 64 תווים לשם הקבוצה.
אופרטורים של גיבוי חשבונות משתמשים בדומיין שיוספו לקבוצת מפעילי הגיבוי של שירות ה-SMB. הקבוצה 'מפעילי גיבוי' מאפשרת לחברים בה לגבות ולשחזר קבצים, ללא קשר לגישת הקריאה או הכתיבה שלהם לקבצים.
מזינים רשימה של משתמשים או קבוצות בדומיין, מופרדים בפסיקים.
מפעילים של גיבוי משתמשים רק בשם החשבון של Security Account Manager (SAM). שם החשבון ב-SAM יכול להכיל עד 20 תווים לשם המשתמש ועד 64 תווים לשם הקבוצה.משתמשים עם הרשאות אבטחה חשבונות בדומיין שדורשים הרשאות מורחבות, כמו SeSecurityPrivilege, כדי לנהל יומני אבטחה.
צריך לספק רשימה של משתמשים או קבוצות בדומיין, מופרדים בפסיקים. ההרשאה הזו נדרשת במיוחד להתקנה של SQL Server שבה קבצים בינאריים ומסדי נתונים של המערכת מאוחסנים בשיתוף SMB. האפשרות הזו לא נדרשת אם משתמשים בחשבון אדמין במהלך ההתקנה.הגדרות NFS שם המארח של שרת חלוקת המפתחות של Kerberos שם המארח של שרת Active Directory שמשמש כמרכז להפצת מפתחות של Kerberos NFSv4.1 עם Kerberos SMB ו-NFSv4.1 עם Kerberos כתובת ה-IP של KDC כתובת ה-IP של שרת Active Directory שמשמש כמרכז להקצאת מפתחות של Kerberos NFSv4.1 עם Kerberos SMB ו-NFSv4.1 עם Kerberos מתן גישה למשתמשי NFS מקומיים עם LDAP משתמשי UNIX מקומיים בלקוחות ללא פרטי משתמש תקינים ב-Active Directory לא יכולים לגשת לכרכים עם LDAP.
באמצעות האפשרות הזו אפשר להעביר זמנית נפחים כאלה לAUTH_SYSאימות (מזהה משתמש + 1-16 קבוצות).תוויות תוויות אופציונלי: הוספת תוויות רלוונטיות לוחצים על יצירה. במהדורות Flex Unified, Standard, Premium ו-Extreme: אחרי שיוצרים מדיניות Active Directory ומצרפים אותה למאגר אחסון, צריך לבדוק את החיבור לשירות Active Directory.
gcloud
יצירת מדיניות Active Directory:
gcloud netapp active-directories create CONFIG_NAME \ --project=PROJECT_ID \ --location=LOCATION \ --dns=DNS_LIST \ --domain=DOMAIN_NAME \ --net-bios-prefix=NetBIOS_PREFIX \ --username=USERNAME \ --password=PASSWORD \ --enable-aes=true
מחליפים את המידע הבא:
CONFIG_NAME: השם של ההגדרה שרוצים ליצור. שם ההגדרה צריך להיות ייחודי לכל אזור.
PROJECT_ID: מזהה הפרויקט שבו אתם יוצרים את מדיניות Active Directory.
LOCATION: האזור שבו רוצים ליצור את ההגדרה. ב-Google Cloud NetApp Volumes יש תמיכה רק בהגדרה אחת לכל אזור.
DNS_LIST: רשימה מופרדת בפסיקים של עד שלוש כתובות IPv4 של שרתי DNS של Active Directory.
DOMAIN_NAME: שם הדומיין המלא של Active Directory.
NetBIOS_PREFIX: הקידומת של שם NetBIOS של השרת שרוצים ליצור. מזהה אקראי בן חמישה תווים נוצר באופן אוטומטי, כמו-6f9a, ומצורף לקידומת.הפורמט של נתיב השיתוף המלא של UNC הוא:
\\<NetBIOS_PREFIX>-<4-random-hexletters>.<DOMAIN_NAME>\<SHARE_NAME>.
USERNAME: השם של משתמש בדומיין עם הרשאה להצטרף לדומיין.
PASSWORD: הסיסמה של שם המשתמש.
מידע נוסף על הפרמטרים השונים זמין בהוראות שבכרטיסייה Console.
מידע נוסף על דגלים אופציונליים נוספים זמין במאמרי העזרה בנושא Google Cloud SDK בנושא יצירת Active Directory.
מצב ONTAP
כדי להשתמש ב-Active Directory, צריך לצרף את המכונה הווירטואלית (SVM) של האחסון במצב ONTAP לדומיין של Windows. מזהים את פקודות ONTAP הנדרשות במסמכי התיעוד של ONTAP.
הדרישות המוקדמות הבאות כבר מוגדרות מראש למאגרי ONTAP-mode:
מערכת SVM או שרת וירטואלי קיימים וצבירות
Network Time Protocol (NTP)
ממשקים לוגיים של נתונים (LIF), שהם ממשקי רשת, כדי לשרת בקשות SMB או NFS
כך עושים את זה:
יוצרים שרת SMB. בוחרים באחד מהמצבים הבאים:
במצב דומיין, צריך לוודא שאפשר להגיע לבקרי הדומיין.
במצב ONTAP אפשר גם להתחבר לשרתי LDAP שאינם Active Directory, למשל, כדי לקבל תמיכה מורחבת בקבוצות. מידע נוסף זמין במאמר מידע על LDAP עבור ONTAP NFS SVMs.
אחרי שמזהים את הפקודות הנדרשות, אפשר לעיין במאמר בנושא מצב ONTAP כדי לקבל הוראות לשליחת פקודות ONTAP למאגר האחסון.
המאמרים הבאים
בדיקת החיבור למדיניות של Active Directory