Membuat kebijakan Active Directory

Halaman ini menjelaskan cara membuat kebijakan Active Directory.

Sebelum memulai

  • Pastikan layanan Active Directory dapat dijangkau. Lihat Pengontrol domain Active Directory dan Aturan firewall untuk akses Active Directory.

  • Konfigurasi Cloud DNS untuk meneruskan permintaan DNS untuk domain Windows Anda ke server DNS Windows Anda agar mesin virtual Google Cloud Compute Engine Anda dapat me-resolve nama host Active Directory, seperti nama Netbios yang digunakan oleh Google Cloud NetApp Volumes. Untuk mengetahui informasi selengkapnya, lihat Praktik terbaik untuk menggunakan zona penerusan pribadi Cloud DNS. Hal ini diperlukan untuk Active Directory lokal serta Active Directory yang dibuat di Compute Engine.

  • Active Directory menemukan pengontrol domain dengan mencari data Layanan DNS (SRV). Jika Anda menggunakan DNS terintegrasi Active Directory, pengontrol domain akan otomatis membuat dan memperbarui data ini. Jika Anda menggunakan server DNS pihak ketiga, seperti Infoblox, untuk domain Anda, pastikan server tersebut berisi data SRV yang diperlukan.

  • Saat membuat volume SMB, NetApp Volumes menggunakan pembaruan DNS dinamis yang aman untuk mendaftarkan nama host-nya. Proses ini berfungsi dengan baik saat Anda menggunakan DNS Active Directory. Jika Anda menggunakan layanan DNS pihak ketiga untuk menghosting zona untuk domain Windows Anda, pastikan layanan tersebut dikonfigurasi untuk mendukung pembaruan DDNS yang aman. Jika tidak, pembuatan volume untuk tingkat layanan Flex File akan gagal. Jika Anda menggunakan Infoblox, verifikasi konfigurasi DDNS yang aman dan pembaruan data DNS terkait dengan cermat, karena kesalahan konfigurasi sering kali menyebabkan kegagalan penyediaan.

Setelan kebijakan Active Directory tidak akan berlaku hingga Anda membuat volume pertama yang memerlukan Active Directory di region yang ditentukan. Selama pembuatan volume tersebut, setelan yang salah dapat menyebabkan kegagalan pembuatan volume. Untuk mengetahui informasi selengkapnya, lihat Cara kebijakan Active Directory bergabung dengan domain.

Kumpulan penyimpanan Terpadu Flex dalam mode ONTAP tidak menggunakan kebijakan Active Directory. Untuk mengetahui informasi selengkapnya tentang petunjuk, lihat tab mode ONTAP di bagian berikut.

Membuat kebijakan Active Directory

Gunakan petunjuk berikut untuk membuat kebijakan Active Directory menggunakan Google Cloud konsol atau Google Cloud CLI atau mode ONTAP.

Konsol

Gunakan petunjuk berikut untuk membuat kebijakan Active Directory di Google Cloud konsol:

  1. Buka halaman NetApp Volumes di Google Cloud konsol.

    Buka NetApp Volumes

  2. Pilih Active Directory policies.

  3. Klik Create.

  4. Dalam dialog Create Active Directory Policy, isi kolom yang ditampilkan dalam tabel berikut.

    Kolom yang wajib diisi ditandai dengan tanda bintang (*).

    Kolom Deskripsi Berlaku untuk NFS Berlaku untuk SMB Berlaku untuk protokol ganda
    Nama kebijakan Active Directory* Nama ID unik untuk kebijakan
    Deskripsi Opsional: Anda dapat memasukkan deskripsi untuk kebijakan
    Wilayah
    Wilayah* Mengaitkan Active Directory ke semua volume di region yang ditentukan.
    Detail koneksi Active Directory
    Nama domain* Nama domain yang sepenuhnya memenuhi syarat untuk domain Active Directory.
    Server DNS* Daftar alamat IP server DNS yang dipisahkan koma dengan maksimum tiga alamat IP yang digunakan untuk penemuan pengontrol domain berbasis DNS.
    Situs Menentukan situs Active Directory untuk mengelola pemilihan pengontrol domain.

    Gunakan saat pengontrol domain Active Directory di beberapa region dikonfigurasi. Nilai defaultnya adalah Default-First-Site-Name jika dibiarkan kosong.
    Unit Organisasi Nama Unit Organisasi tempat Anda ingin membuat akun komputer untuk NetApp Volumes.

    Nilai defaultnya adalah CN=Computers jika dibiarkan kosong.
    Awalan Nama NetBIOS* Awalan nama NetBIOS server yang akan dibuat.

    ID acak lima karakter dibuat secara otomatis, misalnya, -6f9a, dan ditambahkan ke awalan. Jalur berbagi UNC lengkap memiliki format berikut:

    \\<NetBIOS_PREFIX>-<4-random-hexletters>.<DOMAIN_NAME>\<SHARE_NAME>.
    Aktifkan Enkripsi AES untuk autentikasi Active Directory Mengaktifkan enkripsi AES-128 dan AES-256 untuk komunikasi berbasis Kerberos dengan Active Directory
    Kredensial Active Directory
    Nama Pengguna* dan Sandi* Kredensial untuk akun Active Directory dengan izin untuk membuat akun komputasi dalam unit organisasi yang ditentukan.

    Nama pengguna memerlukan nama akun Security Account Manager (SAM), yang mendukung maksimum 20 karakter.
    Setelan SMB
    Administrator Akun pengguna domain yang akan ditambahkan ke grup Administrator lokal layanan SMB.

    Berikan daftar pengguna atau grup domain yang dipisahkan koma. Grup Admin Domain otomatis ditambahkan saat layanan bergabung dengan domain Anda sebagai grup tersembunyi.

    Administrator hanya menggunakan nama Akun Security Account Manager (SAM). Nama Akun SAM mendukung maksimum 20 karakter untuk nama pengguna Anda dan 64 karakter untuk nama grup Anda.

    Operator Cadangan Akun pengguna domain yang akan ditambahkan ke grup Operator Cadangan layanan SMB. Grup Operator Cadangan memungkinkan anggota mencadangkan dan memulihkan file, terlepas dari apakah mereka memiliki akses baca atau tulis ke file tersebut.

    Berikan daftar pengguna atau grup domain yang dipisahkan koma.

    Operator Cadangan hanya menggunakan nama Akun Security Account Manager (SAM). Nama Akun SAM mendukung maksimum 20 karakter untuk nama pengguna Anda dan 64 karakter untuk nama grup Anda.
    Pengguna Hak Istimewa Keamanan Akun domain yang memerlukan hak istimewa yang ditingkatkan seperti SeSecurityPrivilege untuk mengelola log keamanan.

    Berikan daftar pengguna atau grup domain yang dipisahkan koma. Hal ini khususnya diperlukan untuk penginstalan SQL Server tempat file biner dan database sistem disimpan di berbagi SMB. Opsi ini tidak diperlukan jika Anda menggunakan pengguna administrator selama penginstalan.
    Setelan NFS
    Nama Host Distribusi Kunci Kerberos Nama host server Active Directory yang digunakan sebagai Pusat Distribusi Kunci Kerberos NFSv4.1 dengan Kerberos SMB dan NFSv4.1 dengan Kerberos
    IP KDC Alamat IP server Active Directory yang digunakan sebagai Pusat Distribusi Kunci Kerberos NFSv4.1 dengan Kerberos SMB dan NFSv4.1 dengan Kerberos
    Izinkan pengguna NFS lokal dengan LDAP Pengguna UNIX lokal di klien tanpa informasi pengguna yang valid di Active Directory diblokir aksesnya ke volume yang mengaktifkan LDAP.

    Opsi ini dapat digunakan untuk mengalihkan volume tersebut secara sementara ke autentikasi AUTH_SYS (ID pengguna + 1-16 grup).
    Label
    Label Opsional: tambahkan label yang relevan

  5. Klik Create. Untuk tingkat layanan Flex Unified, Standar, Premium, dan Extreme tingkat layanan: setelah membuat kebijakan Active Directory dan melampirkannya dengan kumpulan penyimpanan, Anda harus menguji koneksi ke layanan Active Directory.

gcloud

Buat kebijakan Active Directory:

  gcloud netapp active-directories create CONFIG_NAME \
    --project=PROJECT_ID \
    --location=LOCATION \
    --dns=DNS_LIST \
    --domain=DOMAIN_NAME \
    --net-bios-prefix=NetBIOS_PREFIX \
    --username=USERNAME \
    --password=PASSWORD \
    --enable-aes=true

Ganti informasi berikut:

  • CONFIG_NAME: nama konfigurasi yang ingin Anda buat. Nama konfigurasi harus unik per region.

  • PROJECT_ID: project ID tempat Anda membuat kebijakan Active Directory.

  • LOCATION: region tempat Anda ingin membuat konfigurasi. Google Cloud NetApp Volumes hanya mendukung satu konfigurasi per region.

  • DNS_LIST: daftar yang dipisahkan koma yang terdiri dari maksimum tiga alamat IPv4 server DNS Active Directory.

  • DOMAIN_NAME: nama domain yang sepenuhnya memenuhi syarat dari Active Directory.

  • NetBIOS_PREFIX: awalan nama NetBIOS server yang ingin Anda buat. ID acak lima karakter dibuat secara otomatis, seperti -6f9a, dan ditambahkan ke awalan.

    Jalur berbagi UNC lengkap memiliki format berikut:

    \\<NetBIOS_PREFIX>-<4-random-hexletters>.<DOMAIN_NAME>\<SHARE_NAME>.

  • USERNAME: Nama pengguna domain dengan izin untuk bergabung dengan domain.

  • PASSWORD: Sandi untuk nama pengguna.

Untuk mengetahui informasi selengkapnya tentang setiap parameter, lihat petunjuk di tab Console.

Untuk mengetahui informasi selengkapnya tentang flag opsional tambahan, lihat dokumentasi Google Cloud SDK tentang pembuatan Active Directory.

Mode ONTAP

Untuk menggunakan Active Directory, Anda harus menggabungkan mesin virtual penyimpanan (SVM) mode ONTAP ke domain Windows. Identifikasi perintah ONTAP yang diperlukan dalam dokumentasi ONTAP.

Prasyarat berikut sudah dikonfigurasi sebelumnya untuk kumpulan mode ONTAP:

  • SVM atau vserver dan agregat yang ada

  • Protokol Waktu Jaringan (NTP)

  • Antarmuka Logis Data (LIF), yang merupakan antarmuka jaringan, untuk melayani permintaan SMB atau NFS

Selesaikan langkah-langkah berikut:

  1. Aktifkan DNS untuk resolusi nama host SMB ONTAP.

  2. Buat server SMB. Pilih salah satu mode berikut:

  3. Untuk mode domain, pastikan pengontrol domain dapat dijangkau.

  4. Konfigurasi akses klien SMB ke penyimpanan ONTAP bersama.

Mode ONTAP juga memungkinkan Anda terhubung ke server LDAP non-Active Directory, misalnya, untuk dukungan grup yang diperluas. Untuk mengetahui informasi selengkapnya, lihat Mempelajari LDAP untuk SVM NFS ONTAP.

Setelah Anda mengidentifikasi perintah yang diperlukan, lihat Mode ONTAP untuk mengetahui petunjuk tentang cara mengirimkan perintah ONTAP ke kumpulan penyimpanan.

Langkah berikutnya

Uji koneksi kebijakan Active Directory.