QNAP NAS を Microsoft Active Directory (AD) ドメインに参加させる手順
「AD で NAS アカウントを簡単に管理」
説明
Active Directory® は、お客様のネットワークにある情報やリソースを一元的に保管、共有、管理する Windows 環境の Microsoft ディレクトリです。これは、ユーザー、ユーザーグループ、コンピュータの情報を、集中的に保持する階層的なデータセンターであり、セキュアなアクセス管理が行えます。
QNAP NAS を Active Directory に連携させることの利点:
- 便利なアカウントのセットアップ: NAS を Active Directory に参加させることにより、AD サーバのすべてのユーザーアカウントが自動的に NAS にインポートされます。AD ユーザーは、同じユーザー名とパスワードを使用して NAS にログインできます。これにより、サーバ管理者は、NAS 上のユーザーアカウントを一つずつ作成する手間が省けます。
- 効率的なアクセス管理: NAS では、サーバ管理者は、ネットワーク共有フォルダへのアクセス権の設定 (読み取り専用、読み取り/書き込み、アクセス拒否) が行えます。
前提条件
Turbo NAS を Windows サーバー 2008 R2 で Active Directory に参加させるには、NAS ファームウェアを V3.2.0 以上に更新する必要があります。
Turbo NAS を Active Directory (Windows Server 2008) に参加させるには、以下の手順に従ってください。
管理者として NAS にログインします。［システム設定］>［一般設定］> ［時間］に進みます。AD サーバーの時間と同じになるよう NAS の日付と時間を設定します。 最大許容誤差時間は 5 分です。
次に、プライマリ DNS サーバの IP を、DNS サーバーを含む Active Directory サーバーの IP として設定します。それは、Active Directory で使われる DNS サーバーのIP でなければなりません。外部 DNS サーバーを使用する場合には、ドメインに参加することができません。
a. これは、「ドメイン NetBIOS 名」です。
a. これは、「AD サーバー名」です。
b.これは、「ドメイン名」です。
注記: 上記の例は、Windows Server 2008 の場合です。Windows Server 2003 の場合は、「AD サーバー名」の確認のために下図をご覧ください。
A. Windows 2003 Server では、AD サーバー名は、"node1.qnap-test.com" でなく"node1"です。
b.「ドメイン名」は、同じ名前のままです。
［権限設定］ > ［ドメインセキュリティ］ > ［Active Directory 認証］ > ［マニュアル設定］に進みます。AD ドメインの情報を入力します。
- 時間と DNS 情報を設定します。
- AD サーバー名とドメイン名を確認します。
- Active Directory に参加します。
- AD ドメインに参加できなかった場合は、「時間と DNS 情報を設定」をもう一度確認してください：
- ご使用の NAS とドメインコントローラの時間の差異を確認してください。
- NAS の DNS サーバーがドメインコントローラの DNS と同一であることを確認してください。これはドメイン DNS サーバーである必要があります。外部 DNS サーバーを使用する場合には、ドメインに参加することができません。
- 双方向の推移的信頼をもつドメインだけがサポートされます。
詳細オプションタブ
［ネットワークサービス］ > ［Win/Mac/NFS］ > ［Microsoft ネットワーク］ > ［AD ドメインメンバー］ >［詳細オプション］に進みます。
WINS サポート:
WINS サーバー設定にはいるにはこれは必要ない場合がほとんどです。Active Directory 環境では、純粋な DNS 名前解決を用いることをお勧めします。
(1) Windows 共有アクセス: ドメインユーザー名
(2) FTP: ドメイン + ユーザー名
(3) Web ファイルマネージャ: ドメイン + ユーザー名
(4) AFP: ドメイン + ユーザー名
たとえば、ドメインユーザーアカウントで Web File Manager により共有フォルダーにアクセスする場合に、オプションがオンでない場合は、ドメイン＋ユーザー名で認証されなければなりません。
このオプションがオンの場合は、すべてのサーバーは同じユーザー名形式を使用します。
(1) Windows 共有: ドメインユーザー名
(2) FTP: ドメインユーザー名
(3) Web ファイルマネージャ: ドメインユーザー名
(4) AFP: ドメインユーザー名
たとえば、Web File Manager でドメインユーザーアカウントにより共有フォルダーにアクセスするには、オプションがオンの場合は、ドメインユーザー名で認証されなければなりません。
- WINS サーバーを有効にする: このオプションは、ネットワークに WINS サーバーがなく、コンピューターの一部が異なるサブネット上にある場合にのみ利用します。そのような場合、すべてのコンピューターで、この WINS サーバーを使用する設定を行います。ネットワーク上にはひとつの WINS サーバーしか存在してはいけないことにご注意ください。クライアントはすべて、同じ WINS サーバーを使用する設定にしなければなりません。この設定について不明な場合は、有効にしないでください。
- 指定の WINS サーバーを使用する: このオプションは、ネットワークに WINS サーバーがある場合にのみ利用し、NAS は WINS クライアントになります。WINS サーバーの IP アドレスを指定します
- この設定について不明な場合は、有効にしないでください。
- ローカルマスターブラウザ: このオプションは、NAS が、ネットワーク上のワークグループに対しコンピューターの一覧を維持する責任をもつローカルマスターブラウザになることを許します。NAS ワークグループの名前は、コンピューターのワークグループのそれと同じでなければなりません (一般には「workgroup」と呼ばれます)。この設定はデフォルトでは有効になっています。それを無効にすると、NAS はコンピューターの一覧を維持しなくなり、そのジョブはネットワーク上の別のコンピューターで行われます。デフォルト設定は有効になっています。
- NTLMv2 認証のみを許可する：このオプションは、NTLMv2 認証だけに有効で、LM および NTLM では拒否されます。この設定について不明な場合は、このオプションにチェックを入れないでください。このオプションにチェックを入れた場合には、ネットワーク上のすべてのコンピューターが NTLMv2 を利用できることを確認してください。
- 名前解決の優先度：これは、Windows ネットワーク上の名前解決のことです。WINS (オプション (1) または (2)) を有効にしている場合、名前解決の優先度を選択することができます。デフォルト設定は、すべての WINS 設定が無効になっている場合は、「DNS only」です。WINS が有効である場合、デフォルト設定は、「WINS then DNS（WINS を試し、その後 DNS を試す）」です。問題が生じなければ、デフォルト値のままで結構です。
- ログインスタイル:
Active Directory 環境では、ドメインユーザのデフォルトログインフォーマットは次の通りです。 - DNS に自動登録する: このオプションが有効な場合、NAS が Active Directory に参加している時には、NAS が自分自身を自動的にドメイン DNS サーバーに登録します。これにより、NAS に対する DNS ホストエントリが DNS サーバーに作成されます。NAS の IP が変更された場合、NAS は、自動的に新しい IP を DNS サーバーで更新します。
設定の確認
NAS が正常に Active Directory に参加したことを確認するには、［権限設定］ > ［ユーザー］または［ユーザーグループ］に進みます。ユーザーおよびユーザーグループの一覧は、それぞれ［ドメインユーザー］と［ドメインユーザーグループ］に表示されます。
ウェブインターフェイス上のドメインユーザーとユーザーグループの一覧を更新
ドメイン内に新しいユーザーまたはユーザーグループを作成した場合は、［再読み込み］ボタンをクリックします。これは、ユーザーとユーザーグループを Active Directory から NAS に再ロードします。この処理は、ウェブインターフェイスユーザーリストに対してのみ行われます。ユーザーの権限設定は、ドメインコントローラーとリアルタイムに同期されます。
- NAS が Active Directory に参加した後は、AD サーバーへのアクセス権を持つローカル NAS ユーザーは、ログインに［NAS_name ユーザー名］を使用し、AD ユーザーは AD サーバーへのログインに自身のユーザー名を使用します (ドメインユーザー名)。
- ローカル NAS ユーザーおよび AD ユーザー (ドメイン名とユーザー名を使用) は、ファームウェア 3.2.0 以降の AFP、FTP、Web ファイルマネージャーで NAS にアクセスすることができます。一方、 3.2.0 以前のファームウェアでは、ローカル NAS ユーザーしか Web ファイルマネージャーにアクセスできません。
- Windows エクスプローラーで NAS にアクセスするには、ログイン名として［ドメインユーザー名］を使用してください。
- AFP、FTP、Web ファイルマネージャーサービスにログインするには、ログイン名として［ドメイン + ユーザー名］を使用してください。
- WebDAV は、ローカルユーザーおよびグループによってのみアクセスが可能です。
- TS-109/209/409/509 シリーズでは、AD サーバーが Windows 2008 ベースの場合には、NAS ファームウェアは 2.1.2 以降にアップロードする必要があります。
- AFP、FTP、Web ファイルマネージャーサービスで NAS にログインするには、ログイン名として［ドメイン + ユーザー名］を使用してください。標準の Windows ログイン形式 (ドメインユーザー名) が使用できるようにするには、Microsoft ネットワークの［詳細オプション］タブにある［ログイン形式］オプションを有効にする必要があります。
Windows 7 について
Active Directory に属していない Windows 7 PC を使用している場合に、ファームウェアバージョンが V3.2.0より前のバージョンの NAS にアクセスするには、クライアント PC のセキュリティ設定を以下のように変更してください。
- Windows 7 で、［コントロールパネル］ > ［すべてのコントロールパネル項目］に進み、［管理ツール］を選択します。
- ［ローカルセキュリティポリシー］を選択します。
- ［ローカルポリシー］>［セキュリティオプション］に進みます。次に、［ネットワークセキュリティ: LAN Manager 認証レベル］を選択します。
- ［ローカルセキュリティ設定］タブを選択し、リストから［LM & NTLMv2 を送信する – ネゴシエーションの場合 NTLMv2 セッションセキュリティを使用］を選択します。 次に、［OK］をクリックします。
Windows 7 の設定を完了したら、NAS が Active Directory ドメインのメンバーであっても、そこから NAS へのアクセスが可能になります。
