Домен даних: Посібник з Active Directory

Операційне середовище Data Domain та PowerProtect забезпечують безпечне адміністрування через DD System Manager за допомогою HTTPS або SSH для CLI. Обидва методи підтримують локально визначених користувачів, користувачів Network Information Service (NIS), Lightweight Directory Access Protocol (LDAP), користувачів домену Microsoft Active Directory (AD) та єдиного входу (SSO

).Системи домену даних і PowerProtect можуть використовувати проходну автентифікацію Microsoft Active Directory для користувачів або серверів. Адміністратори можуть надати певним доменам і групам користувачів доступ до файлів, що зберігаються в системі. Рекомендується налаштувати Kerberos. Також системи підтримують Microsoft Windows NT LAN Managers, NTLMv1 та NTLMv2. Однак NTLMv2 є більш безпечним і призначений для заміни NTLMv1.

Перегляд інформації про Active Directory та Kerberos

Конфігурація Active Directory/Kerberos визначає методи, які клієнти CIFS і NFS використовують для автентифікації.
Панель автентифікації Active Directory/Kerberos відображає цю конфігурацію.

Кроки:

1. Виберіть Аутентифікація доступу до > адміністрування>.
2. Розгорніть панель автентифікації Active Directory/Kerberos.

Налаштування Active Directory та автентифікації Kerberos

Налаштування автентифікації в Active Directory робить систему захисту частиною сфери Windows Active Directory.
Клієнти CIFS і NFS використовують автентифікацію Kerberos.

Кроки:

1. Виберіть Аутентифікація доступу до > адміністрування>. З'являється огляд автентифікації.
2. Розгорніть панель автентифікації Active Directory/Kerberos .
3. Натисніть «Налаштувати » поруч із Режимом , щоб запустити майстер налаштування. З'являється діалог автентифікації Active Directory/Kerberos .
4. Виберіть Windows/Active Directory і натисніть Далі.
5. Введіть повну назву системи (наприклад; domain1.local), ім'я користувача та пароль системи.
6. Натисніть Далі.

7. Виберіть стандартне ім'я сервера CIFS або виберіть Manual і введіть ім'я сервера CIFS.
8. Щоб вибрати Domain Controllers, виберіть Automatic Assign або Manual і введіть до трьох імен доменних контролерів. Введіть повністю кваліфіковані доменні імена, хост-імена або IP-адреси (IPv4 або IPv6).
9. Щоб обрати організаційний підрозділ, оберіть «Використовувати стандартні комп'ютери» або виберіть «Ручний» і введіть назву організаційного підрозділу.

10. Натисніть Далі. З'являється сторінка Summary для конфігурації.
11. Натисніть кнопку Завершити. Система відображає інформацію про конфігурацію у режимі автентифікації.
12. Натисніть «Увімкнути » праворуч від Active Directory Administrative Access, щоб увімкнути адміністративний доступ.

Вибір режимів автентифікації

Вибір режиму автентифікації визначає, як клієнти CIFS та NFS автентифікуються за допомогою підтримуваних комбінацій Active Directory, Workgroup та Kerberos.
Щодо цього завдання, DDOS підтримує такі опції автентифікації.

• Вимкнено: Автентифікація Kerberos вимкнена для клієнтів CIFS та NFS. Клієнти CIFS використовують автентифікацію Workgroup.
• Windows/Active Directory: Аутентифікація Kerberos увімкнена для клієнтів CIFS та NFS. Клієнти CIFS використовують автентифікацію Active Directory.
• UNIX: Автентифікація Kerberos увімкнена лише для NFS-клієнтів. Клієнти CIFS використовують автентифікацію Workgroup.

Управління адміністративними групами для Active Directory

Використовуйте панель автентифікації Active Directory/Kerberos для створення, зміни та видалення груп Active Directory (Windows) та призначення керуючих ролей (адміністратор, оператор резервного копіювання тощо) цим групам.

Щоб підготуватися до керування групами, оберіть Administration > > Access Authentication, розгорніть панель автентифікації Active Directory/Kerberos і натисніть кнопку Active Directory Administrative Access Enable (Увімкнути адміністративний доступ до Active Directory).

Створення адміністративних груп для Active Directory

Створіть адміністративну групу для призначення керівної ролі всім користувачам, налаштованим у групі Active Directory.
Передумови: Увімкніть адміністративний доступ Active Directory на панелі автентифікації Active Directory/Kerberos на сторінці автентифікації доступу > до адміністрування>.

Кроки:

1. Натисніть «Створити»
2. Введіть назву домену та групи, розділені косою косою рисою.

3. Виберіть роль управління для групи у випадаючому меню.
4. Натисніть ОК.

Модифікація адміністративних груп для Active Directory

Модифікуйте адміністративну групу, коли хочете змінити адміністративне доменне ім'я або групу, налаштоване для групи Active Directory.
Передумови: Увімкніть адміністративний доступ Active Directory на панелі автентифікації Active Directory/Kerberos на сторінці автентифікації доступу > до адміністрування>.

Кроки:

1. Виберіть групу для зміни у розділі Active Directory Administrative Access.
2. Натисніть Змінити
3. Змініть домен і назву групи, а також використайте косу косу « \ » для їх розділення. Приклад: domainname\groupname

Видалення адміністративних груп для Active Directory

Видалити адміністративну групу для завершення доступу до системи для всіх користувачів, налаштованих у групі Active Directory.
Передумови: Увімкніть адміністративний доступ Active Directory на панелі автентифікації Active Directory/Kerberos на сторінці автентифікації доступу > до адміністрування>.

Кроки:

1. Виберіть групу для видалення у заголовку Active Directory Administrative Access.
2. Натисніть кнопку Видалити.

Системний годинник

При використанні режиму active directory для доступу до CIFS часовий час тактового сигналу системи може відрізнятися не більше ніж на п'ять хвилин від часу контролера домену.
При налаштуваннях автентифікації в Active Directory система регулярно синхронізує час із контролером домену Windows. 
Тому, щоб контролер домену міг отримати час із надійного джерела часу, дивіться документацію Microsoft для версії операційної системи Windows, щоб налаштувати контролер домену з джерелом часу.

Команди клавіш Active Directory

Перед приєднанням до домену
перевірте та налаштуйте ідентифікацію мережі:

# net show dns
# net set dns <ip> <ip> <ip>
# net set hostname <hostname>
# net set domainname <realm>

Перевірте, чи увімкнена автентифікація CIFS:

# adminaccess authentication show

Якщо автентифікація вимкнена:

# adminaccess authentication add cifs

Перегляньте опції CIFS та налаштування Active Directory:

# cifs option show all

Налаштуйте адміністративні групи Active Directory:

# cifs option set "dd admin group1" "<domain\group>"
# cifs option set "dd admin group2" "<domain\group>"

Налаштуйте нестандартний організаційний блок для об'єкта домену даних:

# cifs option set organizational-unit "ParentOU/ChildOU"

Приєднання до домену

Приєднуйтесь до Active Directory:

# cifs set authentication active-directory <realm> { [dc1 [dc2 ...]] | * }

Після приєднання до домену

Перевірте режим роботи CIFS:

# cifs show config

Перевірка доменної зв'язності та довірених доменів:

# cifs troubleshooting domaininfo

Запит до інформації Active Directory для користувача:

# cifs troubleshooting user <domain\\user>

Результат включає групові членства Active Directory, пов'язані з зазначеним користувачем.

Увімкнення адміністративної автентифікації

Приєднання до Active Directory не автоматично активує адміністративні логини за допомогою доменних облікових даних.
Перевірте статус автентифікації:

# adminaccess authentication show

Увімкнути автентифікацію CIFS:

# adminaccess authentication add cifs

Призначте адміністративні групи:

# cifs option set "dd admin group1" "domain\group"
# cifs option set "dd admin group2" "domain\group"

Призначте групи користувачів:

# cifs option set "dd user group1" "domain\group"
# cifs option set "dd user group2" "domain\group"

Приклад:

# cifs option set "dd admin group1" "CORP\Backup_Admins"

Нотатки про автентифікацію CIFS

Розширене усунення несправностей

Тимчасово збільшуйте журналування CIFS під час усунення несправностей:

# cifs option set loglevel 5

Поверніть логування на стандартний рівень одразу після тестування:

# cifs option reset loglevel

Перегляньте журнал CIFS:

# log view debug/cifs/cifs.log

Поширені навігаційні ключі в переглядачі журналів:

g = початок файлу
G = кінець файлу
q = вийти

Скинути кеш служб автентифікації CIFS

Використовуйте їх після значних змін у Active Directory, таких як оновлення DNS, переміщення OU, або при командах з усунення несправностей, що повертає застарілу інформацію.

# cifs disable
# cifs option reset auth-services
# cifs enable

Порти для Active Directory 

Active Directory

Active Directory не відповідає вимогам FIPS.
Active Directory продовжує працювати, коли його налаштували і коли FIPS увімкнено.

Конфігурація автентифікації

Інформація в панелі автентифікації змінюється залежно від типу налаштованої автентифікації.
Натисніть на посилання «Налаштувати» ліворуч від мітки «Автентифікація» у вкладці «Налаштування». Система переходить на сторінку автентифікації доступу > адміністрації>, де можна налаштувати автентифікацію для Active Directory, Kerberos, Workgroups та NIS.

Інформація конфігурації Active Directory 

Конфігурація робочої групи 

Пов'язані статті:

• Неможливість приєднати домен даних до конкретного організаційного підрозділу (OU) Active Directory

Наступні пов'язані статті можна переглянути лише, увійшовши в службу підтримки Dell як зареєстрований користувач:

• Доступ до PowerProtect DD System Manager (DDSM) та Data Domain Management Server (DDMC) не працює при автентифікації AD
• Автентифікація Active Directory, яка не працює як GC, вимкнена в домені даних
• Домен даних: Неможливо отримати доступ до системи домену даних з CIFS у режимі Active Directory
• Домен даних: Використання команди CIFS «Set Authentication Active-Directory»
• Об'єднати домен даних з Active Directory до конкретного організаційного підрозділу (OU)