Come collegare un QNAP NAS a un dominio Microsoft Active Directory (AD)?

"Gestisci facilmente il tuo account NAS con AD"

Introduzione
Active Directory® è una directory Microsoft utilizzata negli ambienti Windows per archiviare, condividere e gestire centralmente le informazioni e le risorse sulla rete. Questo data center gerarchico conserva a livello centrale le informazioni di utenti, gruppi di utenti e computer per una gestione sicura degli accessi.

Vantaggi dell'aggiunta di QNAP NAS ad Active Directory:

1. Comoda configurazione account: Aggiungendo il NAS ad Active Directory, tutti gli account utente del server AD saranno importate automaticamente nel NAS. Gli utenti AD possono utilizzare lo stesso set di nome utente e password per accedere al NAS. In questo modo si ottimizza la creazione degli account utente sul NAS da parte del server manager.
2. Controllo efficiente dell'accesso: Il NAS consente al server manager di configurare i diritti di accesso (sola lettura, lettura/scrittura o negazione dell'accesso) alle cartelle di condivisione di rete.

• Prerequisiti
• Scheda Opzioni avanzate
• Verificare le impostazioni
• Aggiornare gli elenchi di utenti e gruppi di utenti del dominio sull'interfaccia Web
• Nota su Windows 7

Prerequisiti

Per collegare Turbo NAS a Active Directory con Windows Server 2008 R2, è necessario aggiornare il firmware NAS alla versione V3.2.0 o successiva.
Attenersi alla procedura riportata di seguito per collegare Turbo NAS ad Active Directory (Windows Server 2008).

Accedere al NAS come amministratore. Andare su “Impostazioni di sistema” > “Impostazioni generali” > “Orario”. Impostare la data e l'ora del NAS affinché sia coerente con l'ora del server AD. La differenza di tempo massima tollerata è di 5 minuti.

Quindi, impostare l'IP del server DNS primario come IP del server Active Directory contenente il servizio DNS. DEVE essere l'IP del server DNS usato per Active Directory. Se si utilizza un server DNS esterno, non sarà possibile unirsi al dominio.

a. Questo è il "Nome NetBIOS dominio".

a. Questo è il "Nome server AD".
b. Questo è il "Nome dominio".

Nota: L'esempio riportato sopra si basa su Windows Server 2008. Per Windows Server 2003, vedere l'immagine riportata di seguito per controllare il "Nome server AD".

a. Nei server Windows 2003, il nome del server AD è "node1", NON "node1.qnap-test.com".
b. Il "Nome dominio" rimane invariato.

Andare a "Impostazione privilegi" > "Sicurezza Dominio" > "Autenticazione Active Directory" > "Configurazione manuale". Inserire le informazioni del dominio AD.

1. Impostare l'ora e le informazioni DNS.
2. Controllare il nome del server AD e il nome di dominio.
3. Aggiungere Active Directory.

Scheda Opzioni avanzate

Andare a "Servizio di rete" > "Win/Mac/NFS" > "Servizi di rete Microsoft" > "Membro dominio AD" > "Opzioni avanzate".

Supporto WINS:
Nella maggior parte dei casi, non è necessario immettere l'impostazione del server WINS. In un ambiente Active Directory, si consiglia di utilizzare una risoluzione del nome DNS puro.

(1) Windows Shares Access: domainusername
(2) FTP: dominio + nome utente
(3) Web File Manager: dominio + nome utente
(4) AFP: dominio + nome utente

Ad esempio, per accedere a una cartella condivisa da Gestione file Web con un account utente di dominio, è necessario eseguire l'autenticazione con dominio + nome utente se l'opzione non è attivata.
Se questa opzione è attivata, tutti i servizi utilizzeranno lo stesso formato del nome utente.

(1) Windows Shares: Domainusername
(2) FTP: Domainusername
(3) Gestione file Web: Domainusername
(4) AFP: Domainusername

Ad esempio, per accedere a una cartella condivisa da Gestione file Web con un account utente di dominio, è necessario eseguire l'autenticazione con nome utente dominio se l'opzione è attivata.

1. Abilitare il server WINS: Questa opzione deve essere attivata solo se non si dispone di un server WINS sulla rete e alcuni computer si trovano su una sottorete diversa. In tal caso, è necessario configurare tutti i computer per utilizzare questo server WINS. Sulla rete deve essere presente un solo server WINS. Tutti i client devono essere configurati per utilizzare lo stesso server WINS. In caso di dubbi sull’impostazione, non abilitarla.
2. Utilizzare il server WINS specificato: Questa opzione deve essere attivata solo se si dispone di un server WINS sulla rete e il NAS deve essere un client WINS. Inserire l’indirizzo IP del server WINS.
3. In caso di dubbi sull’impostazione, non abilitarla.
4. Master Browser locale: Questa opzione consente al NAS di essere un browser master locale, responsabile della gestione dell'elenco dei computer sulla rete per il proprio gruppo di lavoro. Il nome del gruppo di lavoro NAS deve essere lo stesso del gruppo di lavoro del computer (spesso chiamato "gruppo di lavoro"). L’impostazione è abilitata per impostazione predefinita. Se viene disattivato, il NAS non manterrà l'elenco dei computer e il lavoro verrà eseguito da un altro computer sulla rete. L'impostazione predefinita è abilitata.
5. Consenti solo autenticazione NTLMv2: Questa opzione consente solo l'autenticazione NTLMv2 e rifiuta LM e NTLM. In caso di dubbi sull’impostazione, non selezionare quest’opzione. Se si seleziona questa opzione, verificare che tutti i computer della rete possano utilizzare NTLMv2.
6. Priorità risoluzione nome: Si riferisce alla risoluzione del nome sulla rete Windows. Se si attiva WINS (opzione (1) o (2)), sarà possibile scegliere la priorità della risoluzione del nome. L'impostazione predefinita è "Solo DNS" quando tutte le impostazioni WINS sono disattivate. Quando WINS è abilitato, l'impostazione predefinita è "Prima WINS, poi DNS". Se non si riscontrano problemi, mantenere i valori predefiniti.
7. Stile di accesso:
   Per impostazione predefinita in un ambiente Active Directory, i formati dei nomi utente per gli utenti del dominio sono:
8. Registra automaticamente nel DNS: Se questa opzione è attiva, quando il NAS è associato a un Active Directory, il NAS eseguirà la registrazione automatica in DNS. In questo modo verrà creata una voce host DNS per il NAS nel server DNS. Se l'IP NAS cambia, il NAS aggiornerà automaticamente l'IP con il server DNS.

Verificare le impostazioni

Per verificare che il NAS sia stato correttamente aggiunto ad Active Directory, andare su "Impostazioni privilegi" > "Utenti" e "Gruppi utenti". Un elenco di utenti e di gruppi sarà mostrato, rispettivamente, negli elenchi "Utenti di dominio" e "Gruppi utenti di dominio".

Aggiornare gli elenchi di utenti e gruppi di utenti del dominio sull'interfaccia Web

Se sono stati creati nuovi utenti o gruppi di utenti nel dominio, è possibile fare clic sul pulsante "ricarica". In questo modo gli elenchi di utenti e gruppi di utenti verranno ricaricati da Active Directory al NAS. Il processo viene eseguito solo per l'elenco utenti dell'interfaccia Web. Le impostazioni di autorizzazione utente saranno sincronizzate in tempo reale con il controller di dominio.

Nota su Windows 7

Se si utilizza un PC Windows 7 non appartenente ad Active Directory per accedere a un NAS con firmware precedente a V3.2.0 e che è anche membro di un dominio AD, modificare le impostazioni di sicurezza del PC client come indicato di seguito.

1. In Windows 7, andare a "Pannello di controllo" > "Tutti gli elementi del pannello di controllo" e selezionare "Strumenti di amministrazione".
2. Selezionare "Politica di sicurezza locale".
3. Andare su "Politiche locali" > "Opzioni di sicurezza". Quindi, selezionare "Sicurezza di rete: Livello di autenticazione LAN Manager".
4. Selezionare la scheda "Impostazione di sicurezza locale" e scegliere "Invia LM & NTLMv2 – usare la sicurezza di sessione NTLMv2 se negoziata" dall'elenco. Poi fare clic su "OK".

Dopo aver configurato le impostazioni su Windows 7, sarà possibile accedere al NAS da esso, anche se il NAS è membro di un dominio Active Directory.