Comment joindre un NAS QNAP à un domaine Microsoft Active Directory (AD) ?
« Gérez facilement votre compte NAS avec AD »
Introduction
Active Directory® est un annuaire Microsoft utilisé dans les environnements Windows pour stocker, partager et gérer de manière centralisée les informations et les ressources sur votre réseau. Il s’agit d’un centre de données hiérarchisées qui contient des informations centralisées pour les utilisateurs, les groupes d’utilisateurs et les ordinateurs pour gérer les accès de manière sécurisée.
Avantages de la connexion du NAS QNAP à Active Directory :
- Configuration du compte pratique : En connectant le NAS à Active Directory, tous les comptes d’utilisateurs du serveur AD seront automatiquement importés vers le NAS. Les utilisateurs AD peuvent utiliser le même ensemble de nom d'utilisateur et de mot de passe pour se connecter au NAS. Cela permet au gestionnaire de serveur d'économiser du temps et des efforts pour créer les comptes d'utilisateurs un par un sur le NAS.
- Contrôle d'accès efficace : le NAS permet au gestionnaire du serveur de configurer les droits d'accès (lecture seule, lecture/écriture ou refus d'accès) aux dossiers de partage réseau.
- Prérequis
- Onglet Options avancées
- Vérifier les paramètres
- Actualiser les listes d'utilisateurs du domaine et de groupes d'utilisateurs sur l'interface Web
- Remarque concernant Windows 7
Prérequis
Pour connecter le Turbo NAS à un Active Directory avec Windows Server 2008 R2, vous devez mettre à jour le firmware du NAS vers la version 3.2.0 ou supérieure.
Suivez les étapes ci-dessous pour connecter le Turbo NAS à Active Directory (Windows Server 2008).
Connectez-vous au NAS en tant qu'administrateur. Allez dans « Panneau système » > « Paramètres généraux » > « Heure ». Définissez la date et l’heure de synchronisation du NAS qui doivent être cohérentes avec l'heure du serveur AD. La durée maximale de différence tolérée est de 5 minutes.
Ensuite, définissez l'adresse IP du serveur DNS principal comme IP du serveur Active Directory qui contient le service DNS. Il DOIT s'agir de l'adresse IP du serveur DNS qui est utilisé pour votre Active Directory. Si vous utilisez un serveur DNS externe, vous ne pourrez pas rejoindre le domaine.
a. Il s'agit du « Nom de domaine NetBIOS ».
a. Il s'agit de votre « Nom de serveur AD ».
b. Il s'agit de votre « Nom de domaine ».
Remarques : L'exemple ci-dessus est basé sur Windows Server 2008. Pour Windows Server 2003, veuillez consulter l'image ci-dessous pour vérifier le « Nom du serveur AD ».
a. Sur les serveurs Windows 2003, le nom du serveur AD est « node1 », et NON « node1.qnap-test.com ».
b. Le « Nom de domaine » reste le même.
Allez dans « Paramètres de privilèges » > « Sécurité du domaine » > « Authentification Active Directory » > « Configuration manuelle ». Saisissez les informations du domaine AD.
- Configurez l’heure et les informations DNS.
- Vérifiez le nom du serveur AD et le nom de domaine.
- Rejoignez l'Active Directory.
- Si vous n'avez pas réussi à rejoindre le domaine AD, veuillez consulter « Configurer l'heure et les informations DNS » :
- Vérifiez la différence d'heure entre votre NAS et votre contrôleur de domaine.
- Vérifiez que le serveur DNS de votre NAS est le même que le DNS de votre contrôleur de domaine. Il DOIT s'agir du serveur DNS de votre domaine. Si vous utilisez un serveur DNS externe, vous ne pourrez pas rejoindre le domaine.
- Seuls les domaines avec approbation transitive bidirectionnelle sont pris en charge.
Onglet Options avancées
Accédez à « Service réseau » > « Win/Mac/NFS » > « Réseau Microsoft » > « Membre du domaine AD » > « Options avancées ».
Prise en charge de WINS :
notez que dans la plupart des cas, il n'est pas nécessaire de saisir les paramètres du serveur WINS. Dans un environnement Active Directory, il est suggéré d'utiliser une résolution de nom DNS pure.
(1) Accès aux partages Windows : nom d'utilisateur de domaine
(2) FTP : domaine + nom d'utilisateur
(3) Web File Manager : domaine + nom d'utilisateur
(4) AFP : domaine + nom d'utilisateur
Par exemple, pour accéder à un dossier partagé par Web File Manager avec un compte utilisateur de domaine, vous devez vous authentifier avec domaine + nom d'utilisateur si l'option n'est pas activée.
Si cette option est activée, tous les services utiliseront le même format de nom d'utilisateur.
(1) Partages Windows : nom d'utilisateur de domaine
(2) FTP : nom d'utilisateur du domaine
(3) Web File Manager : nom d'utilisateur de domaine
(4) AFP : nom d'utilisateur du domaine
Par exemple, pour accéder à un dossier partagé par Web File Manager avec un compte d'utilisateur de domaine, vous devez vous authentifier avec le nom d'utilisateur de domaine si l'option est activée.
- Activer le serveur WINS : Cette option doit être activée uniquement si vous n'avez pas de serveur WINS sur votre réseau, et que certains de vos ordinateurs se trouvent sur un sous-réseau différent. Dans ce cas, vous devrez configurer tous vos ordinateurs pour utiliser ce serveur WINS. Notez qu'il ne doit y avoir qu'un seul serveur WINS sur le réseau. Tous les clients doivent être configurés pour utiliser le même serveur WINS. Si vous n'êtes pas sûr de la configuration, ne l'activez pas.
- Utiliser le serveur WINS spécifié : Cette option ne doit être activée que si vous avez un serveur WINS sur votre réseau et que votre NAS est un client WINS. Entrez l’adresse IP de votre serveur WINS
- Si vous n'êtes pas sûr de la configuration, ne l'activez pas.
- Navigateur maître local : Cette option permet au NAS d'être un navigateur principal local chargé de maintenir la liste des ordinateurs de votre réseau pour son groupe de travail. Le nom du groupe de travail NAS doit être le même que celui du groupe de travail de votre ordinateur (souvent appelé « groupe de travail »). Ce paramètre est activé par défaut. Si vous le désactivez, le NAS ne conservera pas la liste des ordinateurs et le travail sera effectué par un autre ordinateur du réseau. Le paramètre par défaut est activé.
- Autoriser uniquement l’authentification NTLMv2 : Cette option autorise uniquement l'authentification NTLMv2 et refuse LM et NTLM. Si vous n'êtes pas sûr du paramètre, ne cochez pas cette option. Si vous cochez cette option, assurez-vous que tous les ordinateurs de votre réseau peuvent utiliser NTLMv2.
- Priorité de résolution de nom : Il s'agit de la résolution de nom sur le réseau Windows. Si vous activez WINS (option (1) ou (2)), vous pourrez choisir la priorité de résolution de nom. Le paramètre par défaut est « DNS uniquement » lorsque tous les paramètres WINS sont désactivés. Lorsque WINS est activé, le paramètre par défaut est « WINS d'abord, puis DNS ». Si vous ne rencontrez aucun problème, conservez les valeurs par défaut.
- Style de connexion :
par défaut, dans un environnement Active Directory, les formats de nom d'utilisateur pour les utilisateurs du domaine sont les suivants : - Enregistrer automatiquement dans le DNS : Si cette option est activée, lorsque le NAS est joint à Active Directory, le NAS s'enregistre automatiquement dans le serveur DNS du domaine. Ceci créera une entrée d'hôte DNS pour le NAS dans le serveur DNS. Si l'IP du NAS change, le NAS mettra automatiquement à jour l'IP dans le serveur DNS.
Vérifier les paramètres
Pour vérifier que le NAS a réussi à rejoindre Active Directory, accédez à « Paramètres de privilèges » > « Utilisateurs » ou « Groupes d’utilisateurs ». Une liste d’utilisateurs et de groupes sera affichée respectivement sur les listes « Utilisateurs de domaine » et « Groupes du domaine »
Actualiser les listes d'utilisateurs du domaine et de groupes d'utilisateurs sur l'interface Web
Si vous avez créé de nouveaux utilisateurs ou groupes d'utilisateurs dans le domaine, vous pouvez cliquer sur le bouton « recharger ». Cela rechargera les listes d'utilisateurs et de groupes d'utilisateurs d'Active Directory vers le NAS. Le processus est effectué uniquement pour la liste des utilisateurs de l'interface Web. Les paramètres d’autorisation de l’utilisateur seront synchronisés en temps réel avec le contrôleur de domaine.
- Après avoir joint le NAS à Active Directory, les utilisateurs locaux du NAS qui disposent du droit d'accès au serveur AD doivent utiliser « NAS_name username » pour se connecter ; les utilisateurs AD doivent utiliser leurs propres noms d'utilisateur pour se connecter au serveur AD (nom d'utilisateur de domaine).
- Les utilisateurs NAS locaux et les utilisateurs AD (utilisant le nom de domaine et le nom d'utilisateur) sont autorisés à accéder au NAS via AFP, FTP et Web File Manager avec le firmware 3.2.0 et supérieur. Cependant, avec le firmware antérieur à 3.2.0, seuls les utilisateurs locaux du NAS sont autorisés à accéder à Web File Manager.
- Pour vous connecter au NAS via l'Explorateur Windows, utilisez « DomainUsername » comme nom de connexion.
- Pour vous connecter aux services AFP, FTP et Web File Manager, utilisez « Domain + Username » comme nom de connexion.
- WebDAV est accessible uniquement aux utilisateurs et groupes locaux.
- Pour les séries TS-109/209/409/509, si le serveur AD est basé sur Windows 2008, le firmware du NAS doit être mis à jour vers la version 2.1.2 ou ultérieure.
- Pour vous connecter au NAS par les services AFP, FTP et Web File Manager, utilisez « Domain + Username » comme nom de connexion. Pour pouvoir utiliser un format de connexion Windows standard (DOMAINUSERNAME), vous devez activer l'option « Style de connexion » dans l'onglet « Options avancées » de « Réseau Microsoft » (voir ci-dessus).
Remarque concernant Windows 7
Si vous utilisez un PC Windows 7 qui n'appartient pas à Active Directory, pour accéder à un NAS avec un firmware antérieur à la version V3.2.0 et qui est également membre du domaine AD, veuillez modifier les paramètres de sécurité du PC client comme ci-dessous.
- Sous Windows 7, accédez à « Panneau de configuration » > « Tous les éléments du panneau de configuration » et sélectionnez « Outils d'administration ».
- Sélectionnez « Politique de sécurité locale ».
- Allez dans « Politiques locales » > « Options de sécurité ». Ensuite, sélectionnez « Sécurité réseau : Niveau d’authentification du gestionnaire LAN ».
- Sélectionnez l'onglet « Réglage de la sécurité locale », puis sélectionnez « Envoyer LM et NTLMv2 ; utiliser la sécurité de session NTLMv2 en cas de négociation » dans la liste. Cliquez ensuite sur « OK ».
Après avoir configuré les paramètres sur Windows 7, vous pourrez accéder à votre NAS à partir de celui-ci, même si votre NAS est membre d'un domaine Active Directory.
