将SMB文件系统挂载点接入AD域

登录需要安装AD域控制器和DNS服务的ECS服务器。

在PowerShell工具或者PowerShell ISE工具中执行以下命令下载脚本。

Invoke-WebRequest https://nas-client-tools.oss-cn-hangzhou.aliyuncs.com/windows_client/alinas_smb_windows_inspection.ps1 -OutFile alinas_smb_windows_inspection.ps1

将脚本alinas_smb_windows_inspection.ps1中的加密方式修改为-crypto RC4-HMAC-NT（仅限Windows Server 2025）

此步骤仅适用于Windows Server 2025环境，其他版本用户可直接跳至第4步。

1. 用记事本打开刚才下载的alinas_smb_windows_inspection.ps1文件。

    notepad .\alinas_smb_windows_inspection.ps1

2. 找到包含-crypto的行（通常在脚本第791行）

3. 将加密方式从-crypto All修改为-crypto RC4-HMAC-NT

   修改前：

       $command = "ktpass -princ cifs/$MountAddress@$domainFullUpper -ptype KRB5_NT_PRINCIPAL -mapuser $SetspnNas@$domainFull -crypto All -out c:\nas-mount-target.keytab -pass tHePaSsWoRd123"

   修改后：

       $command = "ktpass -princ cifs/$MountAddress@$domainFullUpper -ptype KRB5_NT_PRINCIPAL -mapuser $SetspnNas@$domainFull -crypto RC4-HMAC-NT -out c:\nas-mount-target.keytab -pass tHePaSsWoRd123"

4. 按 Ctrl+S 保存并关闭文件。

安装并启用AD域服务及DNS服务。具体操作，请参见安装AD域控制器。

登录AD控制器所在的ECS服务器。

打开CMD命令窗口，执行以下命令为SMB文件系统创建服务账号。

dsadd user CN=<AD服务账号名>,DC=<AD域域名>,DC=com
  -samid <AD服务账号名>
  -display <用户描述文字>
  -pwd <用户密码>
  -pwdneverexpires yes

示例：

dsadd user CN=alinas,DC=EXAMPLE,DC=com -samid alinas -display "Alibaba Cloud NAS Service Account" -pwd tHeRd123**** -pwdneverexpires yes

如果登录账号为普通账号，则需要管理员用户为其设置读取/写入ServicePrincipalName的权限，然后再为SMB文件系统创建服务账号。命令如下所示。

dsacls "CN=<AD服务账号名>,DC=<AD域域名>,DC=com" /I:T /G "<AD服务账号名>:RPWP;servicePrincipalName"

示例：

dsacls "CN=alinas,DC=cdbptest01,DC=com" /I:T /G "alinas:RPWP;servicePrincipalName"

其中，RP为读权限，WP为写权限。

执行以下命令，为SMB文件系统挂载点注册并添加服务主体。

• 执行命令

  setspn -S cifs/<SMB协议NAS文件系统挂载点地址> <AD服务账号名>

  示例

  setspn -S cifs/****-****.cn-hangzhou.nas.aliyuncs.com alinas

  说明

  • 挂载点地址格式为file-system-id.region.nas.aliyuncs.com，请根据实际值替换。您可以在文件存储NAS控制台文件系统列表页面，单击目标文件系统后的管理，进入挂载使用页面获取挂载地址。

  • 请勿将挂载目录写在挂载点后地址中误写成file-system-id.region.nas.aliyuncs.com/myshare。

• 返回示例

  如果返回如下类似信息，则说明SMB文件系统挂载服务主体已添加成功。

检查Windows AD服务器或Windows客户端的setspn配置。

setspn alinas

在AD域服务器上，打开CMD命令窗口，执行以下命令为SMB文件系统挂载点生成Keytab密钥表文件。

• 对于Windows Server 2022 及更早版本

  ktpass
    -princ cifs/<SMB文件系统挂载点地址>@<AD域>
    -ptype KRB5_NT_PRINCIPAL
    -crypto All
    -out <生成的密钥表文件的文件路径>
    -pass <用户密码>

  示例：

  ktpass -princ cifs/****-****.cn-hangzhou.nas.aliyuncs.com@EXAMPLE.com -ptype KRB5_NT_PRINCIPAL -crypto All -out c:\nas-mount-target.keytab -pass tHeP****d123

• 对于Windows Server 2025

  由于windows server 2025不支持 DES，所以生成 keytab 参数 -crypto ALL 需要修改成 -crypto RC4-HMAC-NT

  ktpass
    -princ cifs/<SMB文件系统挂载点地址>@<AD域>
    -ptype KRB5_NT_PRINCIPAL
    -crypto RC4-HMAC-NT
    -out <生成的密钥表文件的文件路径>
    -pass <用户密码>

  示例：

  ktpass -princ cifs/****-****.cn-hangzhou.nas.aliyuncs.com@EXAMPLE.com -ptype KRB5_NT_PRINCIPAL -crypto RC4-HMAC-NT -out c:\nas-mount-target.keytab -pass tHeP****d123

如果需要验证Keytab密钥表文件的正确性，您可以参照如何验证Keytab文件正确性？进行验证。