Hur ansluter jag en QNAP NAS till en Microsoft Active Directory-domän (AD)?
”Hantera ditt NAS-konto enkelt med AD”
Introduktion
Active Directory® är en Microsoft-katalog som används i Windows-miljöer för att lagra, dela och hantera information och resurser i nätverket på en central plats. Det är ett hierarkiskt datacenter som på en central plats innehåller information om användare, användargrupper och datorer för säker åtkomsthantering.
Fördelar med att ansluta QNAP NAS till Active Directory:
- Lätthanterlig kontoinställning: Genom att ansluta NAS:en till Active Directory så importeras alla användarkonton på AD-servern automatiskt till NAS:en. AD-användarna kan använda samma uppsättning med användarnamn och lösenord för att logga in på NAS:en. Det sparar tid och arbete för serverhanteraren som inte behöver skapa ett användarkonto i taget på NAS:en.
- Effektiv åtkomstkontroll: NAS:en gör det möjligt för serverhanteraren att konfigurera åtkomsträttigheterna (skrivskyddad, läsa/skriva eller neka åtkomst) till de delade nätverksmapparna.
- Krav
- Fliken Avancerade alternativ
- Kontrollera inställningarna
- Uppdatera listorna med domänanvändare och användargrupper i webbgränssnittet
- Anmärkning om Windows 7
Krav
Om du vill ansluta Turbo NAS:en till en Active Directory med Windows Server 2008 R2 måste du uppdatera NAS:ens inbyggda programvara till V3.2.0 eller senare.
Följ stegen här nedanför för att ansluta Turbo NAS till Active Directory (Windows Server 2008).
Logga in på NAS:en som en administratör. Gå till ”Systeminställningar” > ”Allmänna inställningar” > ”Tid”. Ange NAS:ens datum och tid som måste stämma överens med AD-serverns tid. Den maximalt tillåtna tidsskillnaden är 5 minuter.
Ställ därefter in IP-adressen för den primära DNS-servern som IP-adress för Active Directory-servern där DNS-tjänsten är installerad. Det MÅSTE vara IP-adressen för DNS-servern som används för din Active Directory. Om du använder en extern DNS-server kan du inte ansluta till domänen.
a. Detta är ”Domain NetBIOS Name”.
a. Det här är ditt ”AD-servernamn”.
b. Det här är ditt ”domännamn”.
Anteckningar: Ovanstående exempel är baserat på Windows Server 2008. För Windows Server 2003 finns information på bilden här nedanför för att kontrollera ”AD-servernamnet”.
a. I Windows 2003-servrar är AD-servernamnet ”node1”, INTE ”node1.qnap-test.com”.
b. ”Domännamnet” är fortfarande detsamma.
Gå till ”Privilegieinställningar” > ”Domänsäkerhet” > ”Active Directory-autentisering” > ”Manuell konfiguration”. Ange information om AD-domänen.
- Ställ in tid och DNS-information.
- Kontrollera AD-serverns namn och domännamnet.
- Anslut till Active Directory.
- Om du inte kunde ansluta till AD-domänen ber vi dig läsa igenom ”Ställ in tid och DNS-information”:
- Kontrollera tidskillnaden mellan din NAS och din domänkontrollant.
- Kontrollera att DNS-servern för din NAS är samma som domänkontrollantens DNS. Det MÅSTE vara din domäns DNS-server. Om du använder en extern DNS-server kan du inte ansluta till domänen.
- Det finns endast stöd för domäner med tvåvägs transitivt förtroende.
Fliken Avancerade alternativ
Gå till ”Nätverkstjänst” > ”Win/Mac/NFS” > ”Microsoft-nätverk” > ”AD-domänmedlem” > ”Avancerade alternativ”.
Stöd för WINS:
Observera att WINS-serverinställningar i de flesta fall inte behövs. I en Active Directory-miljö är rekommendationen att använda en ren DNS-namnuppslagning.
(1) Åtkomst till Windowsresurser: domainusername
(2) FTP: domän + användarnamn
(3) Webbfilhanterare: domän + användarnamn
(4) AFP: domän + användarnamn
För att exempelvis komma åt en delad mapp med Webbfilhanteraren med ett domänanvändarkonto så måste du autentisera med domän + användarnamn om alternativet inte är aktiverat.
Om det här alternativet är aktiverat så använder alla tjänster samma format på användarnamn.
(1) Windowsresurser: domänanvändarnamn
(2) FTP: domänanvändarnamn
(3) Webbfilhanterare
: domänanvändarnamn (4) AFP: domänanvändarnamn
Om du till exempel vill komma åt en delad mapp i Webbfilhanteraren genom att använda ett domänanvändarkonto måste du autentisera med domänanvändarnamnet om det alternativet är aktiverat.
- Aktivera WINS-server: Det här alternativet måste bara vara aktiverat om du inte har en WINS-server i ditt nätverk och om några av dina datorer finns på ett annat subnät. I sådant fall måste du ställa in att alla dina datorer ska använda den här WINS-servern. Observera att det endast får finnas en WINS-server i nätverket. Alla klienter måste vara konfigurerade för att använda samma WINS-server. Om du inte är säker på inställningen ska du inte aktivera den.
- Använda den angivna WINS-servern: Det här alternativet ska bara aktiveras om du har en WINS-server i nätverket och din NAS måste vara en WINS-klient. Ange IP-adressen till din WINS-server
- Om du inte är säker på inställningen ska du inte aktivera den.
- Lokal huvudwebbläsare: Det här alternativet gör att NAS:en kan vara en lokal huvudwebbläsare som ansvarar för att upprätthålla listan över arbetsgruppens datorer i nätverket. Namnet på NAS-arbetsgruppen måste vara samma som namnet på din dators arbetsgrupp (kallas ofta för ”arbetsgrupp”). Den här inställningen är som standard aktiverad. Om du inaktiverar den upprätthåller NAS:en inte datorlistan och jobbet utförs av en annan dator i nätverket. Standardinställningen är aktiverad.
- Tillåt endast NTLMv2-autentisering: Det här alternativet tillåter endast NTLMv2-autentisering och nekar LM och NTLM. Om du inte är säker på inställningen ska du inte markera det här alternativet. Om du markerar det här alternativet är det viktigt att du kontrollerar att alla datorer i ditt nätverk kan använda NTLMv2.
- Namnuppslagningsprioritet: Det här avser namnuppslagningen i Windowsnätverket. Om du aktiverar WINS (alternativ (1) eller (2)) kan du välja prioriteten för namnuppslagningen. Standardinställningen är ”endast DNS” när alla WINS-inställningar är inaktiverade. När WINS är aktiverat är standardinställningen ”WINS först och sedan DNS”. Om du inte har några problem så behåller du standardvärdena.
- Inloggningsstil:
I en Active Directory-miljö är formatet på användarnamnet för domänanvändare som standard: - Automatisk registrering i DNS: Om det här alternativet är aktiverat när NAS:en ansluts till Active Directory så registrerar NAS:en automatiskt sig själv i domänens DNS-server. Det skapar en DNS-värdpost för NAS:en i DNS-servern. Om NAS:ens IP-adress ändras uppdaterar NAS:en automatiskt IP-adressen med DNS-servern.
Kontrollera inställningarna
Verifiera att NAS:en har anslutits till Active Directory utan fel genom att gå till ”Privilegieinställningar” > ”Användare” eller ”Användargrupper”. En lista med användare och grupper visas i respektive listorna ”Domänanvändare” och ”Domängrupper”.
Uppdatera listorna med domänanvändare och användargrupper i webbgränssnittet
Om du har skapat nya användare eller användargrupper i domänen kan du klicka på knappen ”Läs in igen”. Det läser in användar- och användargruppslistorna från Active Directory till NAS:en. Behandlingen utförs endast för webbgränssnittets användarlista. Användarbehörighetsinställningarna synkroniseras i realtid med domänkontrollanten.
- När NAS:en har anslutits till Active Directory ska de lokala NAS-användarna som har åtkomsträttigheter till AD-servern använda ”NAS_namn användarnamn” för att logga in; AD-användare ska använda sina egna användarnamn för att logga in på AD-servern (domänanvändarnamn).
- De lokala NAS-användarna och AD-användarna (med domännamn och användarnamn) får åtkomst till NAS:en via AFP, FTP och Webbfilhanteraren med inbyggd programvara 3.2.0 och senare. Med inbyggd programvara före 3.2.0 är det emellertid bara lokala NAS-användare som får åtkomst till Webbfilhanteraren.
- Om du vill logga in på NAS:en med Utforskaren så använder du ”DomainUsername” som inloggningsnamn.
- Om du vill logga in på tjänsterna AFP, FTP och Webbfilhanteringstjänster så använder du domän + användarnamn som inloggningsnamn.
- WebDAV kan endast kommas åt av lokala användare och grupper.
- För serien TS-109/209/409/509 måste NAS:ens inbyggda programvara uppdateras till v2.1.2 eller senare om AD-servern är baserad på Windows 2008.
- Om du vill logga in på NAS:en med AFP-, FTP- och Webbfilhanteringstjänster använder du ”domän + användarnamn” som inloggningsnamn. För att kunna använda ett vanligt Windows-inloggningsformat (DOMAINUSERNAME) måste du aktivera alternativet ”Inloggningsstil” på fliken ”Avancerade alternativ” i ”Microsoft-nätverk” (se här ovanför).
Anmärkning om Windows 7
Om du använder en Windows 7-dator som inte tillhör en Active Directory får du åtkomst till en NAS med inbyggd programvara före V3.2.0 som även är en AD-domänmedlem genom att ändra klientdatorns säkerhetsinställningar enligt nedan.
- I Windows 7: Gå till ”Kontrollpanelen” > ”Alla objekt på Kontrollpanelen” och väljer ”Administrationsverktyg”.
- Välj ”Lokal säkerhetsprincip”.
- Gå till ”Lokala principer” > ”Säkerhetsalternativ”. Välj sedan ”Nätverkssäkerhet: Autentiseringsnivå för LAN-hanterare”.
- Välj fliken ”Lokal säkerhetsinställning” och välj ”Skicka LM och NTLMv2 – Använd NTLMv2-sessionssäkerhet om det förhandlas” i listan. Klicka sedan på ”OK”.
När du har konfigurerat inställningarna på Windows 7 kan du komma åt din NAS från den, även om din NAS är medlem i en Active Directory-domän.
