将SMB文件系统挂载点接入AD域

登录需要安装AD域控制器和DNS服务的ECS服务器。

在PowerShell工具或者PowerShell ISE工具中执行以下命令下载脚本。

Invoke-WebRequest https://nas-client-tools.oss-cn-hangzhou.aliyuncs.com/windows_client/alinas_smb_windows_inspection.ps1 -OutFile alinas_smb_windows_inspection.ps1

执行以下命令自动安装AD域控制器和DNS服务，生成Keytab文件。

.\alinas_smb_windows_inspection.ps1 -MountAddress file-system-id.region.nas.aliyuncs.com -ConfigAD $true -Userdomain "example.com" -Username "administrator" -Password "password" -Locale zh-CN

安装并启用AD域服务及DNS服务。具体操作，请参见安装AD域控制器。

登录AD控制器所在的ECS服务器。

打开CMD命令窗口，执行以下命令为SMB文件系统创建服务账号。

dsadd user CN=<AD服务账号名>,DC=<AD域域名>,DC=com
  -samid <AD服务账号名>
  -display <用户描述文字>
  -pwd <用户密码>
  -pwdneverexpires yes

示例：

dsadd user CN=alinas,DC=EXAMPLE,DC=com -samid alinas -display "Alibaba Cloud NAS Service Account" -pwd tHeRd123**** -pwdneverexpires yes

如果登录账号为普通账号，则需要管理员用户为其设置读取/写入ServicePrincipalName的权限，然后再为SMB文件系统创建服务账号。命令如下所示。

dsacls "CN=<AD服务账号名>,DC=<AD域域名>,DC=com" /I:T /G "<AD服务账号名>:RPWP;servicePrincipalName"

示例：

dsacls "CN=alinas,DC=cdbptest01,DC=com" /I:T /G "alinas:RPWP;servicePrincipalName"

其中，RP为读权限，WP为写权限。

执行以下命令，为SMB文件系统挂载点注册并添加服务主体。

• 执行命令

  setspn -S cifs/<SMB协议NAS文件系统挂载点地址> <AD服务账号名>

  示例

  setspn -S cifs/****-****.cn-hangzhou.nas.aliyuncs.com alinas

  说明

  • 挂载点地址格式为file-system-id.region.nas.aliyuncs.com，请根据实际值替换。您可以在文件存储NAS控制台文件系统列表页面，单击目标文件系统后的管理，进入挂载使用页面获取挂载地址。

  • 请勿将挂载目录写在挂载点后地址中误写成file-system-id.region.nas.aliyuncs.com/myshare。

• 返回示例

  如果返回如下类似信息，则说明SMB文件系统挂载服务主体已添加成功。

检查Windows AD服务器或Windows客户端的setspn配置。

setspn alinas

在AD域服务器上，打开CMD命令窗口，执行以下命令为SMB文件系统挂载点生成Keytab密钥表文件。

ktpass
  -princ cifs/<SMB文件系统挂载点地址>@<AD域>
  -ptype KRB5_NT_PRINCIPAL
  -crypto All
  -out <生成的密钥表文件的文件路径>
  -pass <用户密码>

ktpass -princ cifs/****-****.cn-hangzhou.nas.aliyuncs.com@EXAMPLE.com -ptype KRB5_NT_PRINCIPAL -crypto All -out c:\nas-mount-target.keytab -pass tHeP****d123

如果需要验证Keytab密钥表文件的正确性，您可以参照如何验证Keytab文件正确性？进行验证。