Criar e gerir ligações Active Directory para Azure NetApp Files

Várias funcionalidades do Azure NetApp Files exigem que tenha uma ligação ao Active Directory. Por exemplo, precisa de ter uma ligação Active Directory antes de poder criar um volume SMB, um volume Kerberos NFSv4.1, ou um volume dual-protocol. Este artigo mostra-lhe como criar e gerir ligações ao Active Directory para Azure NetApp Files.

Requisitos e considerações para ligações ao Active Directory

• Uma conta Azure NetApp Files deve ser criada na região onde os volumes Azure NetApp Files serão implementados.

• O Azure NetApp Files suporta uma ligação AD por conta NetApp. Para mais informações, verifique o campo tipo de Active Directory na sua página de conta.

• A conta de administrador da ligação Azure NetApp Files AD deve ter as seguintes propriedades:

  • Deve ser uma conta de utilizador do domínio AD DS no mesmo domínio onde as contas de computador Azure NetApp Files são criadas.
  • Ele deve ter a permissão para criar contas de computador (por exemplo, ingresso no domínio do AD) no caminho da unidade organizacional do AD DS especificado na opção Caminho da unidade organizacional da conexão do AD.
  • Não pode ser uma Conta de Serviço Gerenciado de Grupo.

• A conta de administrador da ligação AD suporta tipos de encriptação Kerberos AES-128 e Kerberos AES-256 para autenticação com AD DS para criação de conta de computador Azure NetApp Files (por exemplo, operações de junção a domínios AD).

• Para ativar a encriptação AES, deve primeiro ativar os tipos de encriptação AES-128, AES-256, RC4 e DES no Active Directory (AD) e depois ativar o AES no plano de controlo. Deve ativar a encriptação no Active Directory primeiro.

• Para ativar o suporte de encriptação AES para a conta de administrador na ligação AD, execute os seguintes comandos PowerShell do Active Directory:

  Get-ADUser -Identity <ANF AD connection account username>
  Set-ADUser -KerberosEncryptionType <encryption_type>
  

  KerberosEncryptionType é um parâmetro de valores múltiplos que suporta os valores DES, RC4, AES-128 e AES-256.

  Para obter mais informações, consulte a documentação Set-ADUser.

• Para ativar a encriptação AES na conta de administrador da ligação Azure NetApp Files AD, deve usar uma conta de utilizador do domínio AD que seja membro de um dos seguintes grupos AD DS:

  • Administradores de Domínio
  • Administradores Empresariais
  • Administrators
  • Operadores de Contas
  • Administradores de Serviços de Domínio do Microsoft Entra (Somente para Serviços de Domínio do Microsoft Entra)
  • Como alternativa, uma conta de utilizador de domínio do AD com msDS-SupportedEncryptionTypes permissão de escrita na conta de administrador de conexão do AD também pode ser utilizada para definir a propriedade do tipo de encriptação Kerberos na conta de administrador de conexão do AD.

  Note

  Quando modificas a definição para ativar o AES na conta de administrador da ligação AD, é uma boa prática usar uma conta de utilizador que tenha permissão de escrita para o objeto AD que não seja o administrador do Azure NetApp Files AD. Pode fazê-lo com outra conta de administrador de domínio ou delegando o controlo a uma conta. Para obter mais informações, consulte Delegando administração usando objetos da UO.

  Se definires tanto a encriptação AES-128 como a AES-256 Kerberos na conta de administrador da ligação AD, o cliente Windows negocia o nível mais alto de encriptação suportado pelo teu AD DS. Por exemplo, se AES-128 e AES-256 são suportados, e o cliente suporta AES-256, então AES-256 será usado.

• Se alterar o endereço IP do Centro de Distribuição Kerberos (KDC) ou o Nome do Servidor AD, deve esperar até que o tempo de vida do ticket Kerberos termine para montar o volume no mesmo cliente NFS Linux. A vida útil do ticket Kerberos pode ser configurada tanto no cliente como no KDC. Por defeito, Microsoft Active Directory define a vida útil do bilhete Kerberos para 600 minutos (10 horas).
Para mais informações, consulte Prazo máximo de vida para bilhete de serviço.

• Se tiver um requisito para ativar e desativar certos tipos de encriptação Kerberos para contas de computador Active Directory para hosts de Windows unidos ao domínio usados com Azure NetApp Files, deve usar a Política de Grupo Network Security: Configure Encryption types allowed for Kerberos.

  Não defina a chave do registo HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters\SupportedEncryptionTypes. Fazer isto irá quebrar a autenticação Kerberos com o Azure NetApp Files para o host do Windows onde esta chave de registo foi definida manualmente.

  Note

  A configuração de política padrão para Network Security: Configure Encryption types allowed for Kerberos é Not Defined. Quando esta definição de política estiver definida como Not Defined, todos os tipos de encriptação, exceto DES, estarão disponíveis para encriptação Kerberos. Você tem a opção de habilitar o suporte para apenas determinados tipos de criptografia Kerberos (por exemplo, AES128_HMAC_SHA1 ou AES256_HMAC_SHA1). No entanto, a política padrão deverá ser suficiente na maioria dos casos ao ativar o suporte à encriptação AES com o Azure NetApp Files.

  Para mais informações, consulte Segurança de rede: Configurar tipos de encriptação permitidos para Kerberos ou Windows Configurações para Tipos de Encriptação Suportados por Kerberos

• As consultas LDAP têm efeito apenas no domínio especificado nas ligações Active Directory (o campo AD DNS Domain Name). Esse comportamento se aplica a volumes NFS, SMB e de protocolo duplo.

• Limites de tempo de consulta LDAP

  Por padrão, as consultas LDAP expiram se não puderem ser concluídas em tempo hábil. Se uma consulta LDAP falhar devido a um timeout, a consulta do utilizador e/ou do grupo falhará e o acesso ao volume Azure NetApp Files poderá ser negado, dependendo das definições de permissões do volume.

  Os tempos limite de consulta podem ocorrer em grandes ambientes LDAP com muitos objetos de usuário e grupo, em conexões WAN lentas e se um servidor LDAP for sobreutilizado com solicitações. A definição de time-out do Azure NetApp Files para consultas LDAP está definida para 10 segundos. Considere aproveitar as funcionalidades de DN de utilizador e grupo na Conexão do Active Directory para o servidor LDAP, para filtrar pesquisas, caso esteja a enfrentar problemas de expiração de tempo nas consultas LDAP.

Contas NetApp e tipo Active Directory

Pode usar a página de visão geral da conta NetApp para confirmar o tipo de conta do Active Directory (tipo AD). Existem dois valores para o tipo DA:

• Multi AD: a conta NetApp suporta uma configuração AD em cada conta NetApp dentro da assinatura. Esta configuração permite mais do que uma ligação AD por subscrição ao usar múltiplas contas NetApp.
• AD compartilhado: a conta NetApp suporta apenas uma configuração do AD por assinatura e região, mas a configuração é compartilhada entre contas NetApp na assinatura e na região. Este tipo só está disponível em contas NetApp criadas durante a pré-visualização do AD Partilhado.

Para mais informações sobre a relação entre contas NetApp e subscrições, consulte Hierarquia de armazenamento de Azure NetApp Files.

Criar uma ligação ao Active Directory

1. A partir da sua conta NetApp, selecione conexões do Active Directory depois Aderir.

   

2. Na janela Juntar-se ao Active Directory, forneça a seguinte informação, com base nos Serviços de Domínio que pretende utilizar:

   • DNS primário (obrigatório)
     Este é o endereço IP do servidor DNS primário que é necessário para operações de junção de domínios do Active Directory, autenticação SMB, Kerberos e operações LDAP.

   • DNS secundário
     Este é o endereço IP do servidor DNS secundário necessário para operações de junção ao domínio do Active Directory, autenticação SMB, Kerberos e operações LDAP.

     Note

     É recomendável configurar um servidor DNS secundário. Consulte Compreenda as diretrizes para o design e planeamento do site nos Serviços de Domínio do Active Directory para o Azure NetApp Files. Certifique-se de que a configuração do seu servidor DNS cumpre os requisitos para o Azure NetApp Files. Caso contrário, operações de serviço Azure NetApp Files, autenticação SMB, Kerberos ou operações LDAP podem falhar.

     Se usar o Microsoft Entra Domain Services, utilize os endereços IP dos controladores de domínio Microsoft Entra Domain Services para DNS Primário e DNS Secundário, respetivamente.

   • Nome de Domínio DNS do AD (obrigatório)
     Este é o nome de domínio totalmente qualificado do AD DS usado com Azure NetApp Files (por exemplo, contoso.com).

   • Nome do Site do AD (obrigatório)
     Este é o nome do site AD DS que o Azure NetApp Files usa para a descoberta de controladores de domínio.

     O nome padrão do site tanto para AD DS como para Microsoft Entra Domain Services é Default-First-Site-Name. Siga as convenções de nomenclatura para nomes de sites se quiser renomear o nome do site.

     Note

     Consulte Compreenda as diretrizes para o design e planeamento do site nos Serviços de Domínio do Active Directory para o Azure NetApp Files. Certifique-se de que o design e configuração do seu site AD DS cumprem os requisitos do Azure NetApp Files. Caso contrário, operações de serviço Azure NetApp Files, autenticação SMB, Kerberos ou operações LDAP podem falhar.

   • Prefixo do servidor SMB (conta de computador) (obrigatório)
     Este é o prefixo de nomenclatura para novas contas de computador criadas no AD DS para volumes de SMB do Azure NetApp Files, protocolo dual, e volumes de Kerberos NFSv4.1.

     Por exemplo, se o padrão de nomenclatura que sua organização usa para serviços de arquivo for NAS-01, NAS-02e assim por diante, você usaria NAS para o prefixo.

     O Azure NetApp Files criará contas de computador adicionais no AD DS conforme necessário.

     Important

     Renomear o prefixo do servidor SMB depois de criar a ligação ao Active Directory é disruptivo. Você precisa remontar as partilhas SMB existentes depois de renomear o prefixo do servidor SMB.

   • Caminho da unidade organizacional
     Este é o caminho LDAP para a unidade organizacional (UO) onde as contas de computador do servidor SMB serão criadas. Ou seja, OU=second level, OU=first level. Por exemplo, se você quiser usar uma UO chamada ANF criada na raiz do domínio, o valor será OU=ANF.

     Se não for fornecido valor, Azure NetApp Files utiliza o contentor CN=Computers.

     Se estiveres a usar Azure NetApp Files com Microsoft Entra Domain Services, o caminho da unidade organizacional é OU=AADDC Computers

     

   • Encriptação AES
     Esta opção habilita o suporte à autenticação de criptografia AES para a conta de administrador da conexão AD.

     

     Consulte Requisitos para ligações Active Directory para requisitos.

   • Assinatura LDAP

     Esta opção permite a assinatura LDAP. Esta funcionalidade permite a verificação de integridade para ligações LDAP da Camada Simples de Autenticação e Segurança (SASL) a partir de Azure NetApp Files e dos controladores de domínio Active Directory Domain Services especificados pelo utilizador.

     O Azure NetApp Files suporta a associação de canal LDAP se as opções de assinatura LDAP e LDAP sobre TLS estiverem ativadas na ligação do Active Directory. Para mais informações, veja ADV190023 | Microsoft Diretrizes para Ativar Ligação de Canal LDAP e Assinatura LDAP.

     Note

     Os registos DNS PTR para as contas de computadores AD DS devem ser criados na AD DS Unidade Organizacional especificada na ligação Azure NetApp Files AD para permitir o funcionamento da assinatura LDAP.

     

   • Permitir usuários NFS locais com LDAP Esta opção permite que usuários locais do cliente NFS acessem volumes NFS. A definição dessa opção desabilita grupos estendidos para volumes NFS, o que limita o número de grupos suportados por um usuário a 16. Quando ativado, os grupos além do limite de 16 grupos não são considerados nas permissões de acesso. Para obter mais informações, consulte Permitir que usuários locais de NFS com LDAP acessem um volume de protocolo duplo.

   • LDAP sobre TLS

     Esta opção permite LDAP sobre TLS para comunicação segura entre um volume Azure NetApp Files e o servidor LDAP do Active Directory. Pode ativar LDAP sobre TLS para volumes NFS, SMB e de protocolo duplo do Azure NetApp Files.

     Note

     O LDAP sobre TLS não deve estar ativado se estiver a usar o Microsoft Entra Domain Services. O Microsoft Entra Domain Services utiliza LDAPS (porta 636) para proteger o tráfego LDAP em vez de LDAP sobre TLS (porta 389).

     Para mais informações, consulte Ativar os Serviços de Domínio do Active Directory (AD DS) para autenticação LDAP em volumes NFS.

   • Certificado de CA raiz do servidor

     Esta opção faz o upload do certificado da autoridade de certificação (CA) utilizado com LDAP sobre TLS.

     Para mais informações, consulte Ativar os Serviços de Domínio do Active Directory (AD DS) para autenticação LDAP em volumes NFS. 

   • Escopo de Pesquisa LDAP, DN do Usuário, DN do Grupo e Filtro de Associação de Grupo

     A opção de escopo de pesquisa LDAP otimiza as consultas LDAP de armazenamento Azure NetApp Files para uso com grandes topologias AD DS e LDAP com grupos estendidos ou estilo de segurança Unix com um volume Azure NetApp Files de duplo protocolo.

     As opções DN do usuário e DN do grupo permitem definir a base de pesquisa no AD DS LDAP. Estas opções limitam as áreas de pesquisa para consultas LDAP, reduzindo o tempo de pesquisa e ajudando a diminuir os tempos de espera das consultas LDAP.

     A opção Filtro de Associação de Grupo permite criar um filtro de pesquisa personalizado para usuários que são membros de grupos específicos do AD DS.

     

     Consulte Configurar o LDAP do AD DS com grupos estendidos para acesso ao volume NFS para obter informações sobre essas opções.

   • Servidor preferencial para cliente LDAP

     A opção Servidor preferencial para cliente LDAP permite enviar os endereços IP de até dois servidores AD como uma lista separada por vírgula. Em vez de entrar em contato sequencialmente com todos os serviços do AD descobertos para um domínio, o cliente LDAP entrará em contato primeiro com os servidores especificados.

   • Conexões SMB criptografadas com o Controlador de Domínio

     Conexões SMB criptografadas com o Controlador de Domínio especifica se a criptografia deve ser usada para comunicação entre um servidor SMB e um controlador de domínio. Quando habilitado, somente o SMB3 será usado para conexões criptografadas do controlador de domínio.

     Esta funcionalidade está atualmente em pré-visualização. Se esta for a primeira vez que você usa conexões SMB criptografadas com o controlador de domínio, você deve registrá-lo:

     Register-AzProviderFeature -ProviderNamespace Microsoft.NetApp -FeatureName  ANFEncryptedSMBConnectionsToDC 
     

     Verifique o estado do registo da funcionalidade:

     Note

     O RegistrationState pode estar no Registering estado por até 60 minutos antes de mudar paraRegistered. Aguarde até que o status esteja Registered antes de continuar.

     Get-AzProviderFeature -ProviderNamespace Microsoft.NetApp -FeatureName  ANFEncryptedSMBConnectionsToDC 
     

     Também pode usar os comandos CLI do Azureaz feature register e az feature show para registar a funcionalidade e mostrar o estado do registo.

   • Backup policy users Esta opção concede privilégios de segurança adicionais a utilizadores ou grupos de domínio AD DS que necessitem de privilégios elevados de backup para suportar fluxos de trabalho de backup, restauração e migração em Azure NetApp Files. As contas de usuário ou grupos do AD DS especificados terão permissões NTFS elevadas no nível de arquivo ou pasta.

     

     Os seguintes privilégios aplicam-se quando se usa a configuração Usuários da política de backup:

     Privilege	Description
     SeBackupPrivilege	Efetue cópias de segurança de ficheiros e diretórios, ignorando quaisquer ACLs.
     SeRestorePrivilege	Restaure arquivos e diretórios, substituindo quaisquer ACLs. Defina qualquer SID de usuário ou grupo válido como o proprietário do arquivo.
     SeChangeNotifyPrivilege	Ignore a verificação transversal. Utilizadores com este privilégio não precisam ter permissões de travessiax para atravessar pastas ou links simbólicos.

   • Usuários com privilégios de segurança
     Esta opção concede privilégio de segurança (SeSecurityPrivilege) a utilizadores ou grupos de domínio AD DS que necessitem de privilégios elevados para aceder a Azure NetApp Files volumes. Os usuários ou grupos do AD DS especificados terão permissão para executar determinadas ações em compartilhamentos SMB que exigem privilégios de segurança não atribuídos por padrão aos usuários do domínio.

     

     O seguinte privilégio se aplica quando você usa a configuração Usuários com privilégios de segurança:

     Privilege	Description
     SeSecurityPrivilege	Gerencie operações de log.

     Esta funcionalidade é usada para instalar o SQL Server em certos cenários em que uma conta de domínio AD DS não administradora deve receber temporariamente privilégio de segurança elevado.

     Note

     Usar o recurso Usuários com privilégios de segurança depende do recurso de Compartilhamentos de Disponibilidade Contínua SMB. A disponibilidade contínua SMB não é suportada em aplicações personalizadas. Só é suportado para cargas de trabalho usando Citrix App Layering, FSLogix user profile containers e Microsoft SQL Server (não Linux SQL Server).

     Important

     Esse recurso é opcional e tem suporte apenas com o SQL Server. A conta de domínio do AD DS usada para instalar o SQL Server já deve existir antes de ser adicionada à opção Usuários com privilégios de segurança. Quando adiciona a conta do instalador SQL Server à opção Security privilege users, o serviço Azure NetApp Files pode validar a conta contactando um controlador de domínio AD DS. Esta ação pode falhar se o Azure NetApp Files não conseguir contactar o controlador de domínio AD DS.

     Para mais informações sobre SeSecurityPrivilege e SQL Server, consulte A instalação do SQL Server falha se a conta de configuração não tiver certas permissões de utilizador.

   • Os administradores privilegiam os utilizadores

     Esta opção concede privilégios de segurança adicionais a utilizadores ou grupos de domínio AD DS que necessitem de privilégios elevados para aceder aos volumes Azure NetApp Files. As contas especificadas terão permissões elevadas no nível de arquivo ou pasta.

     Note

     Os administradores de domínio são adicionados automaticamente ao grupo de usuários com privilégios de administradores.

     

     Note

     Esse privilégio é útil para migrações de dados.

     Os seguintes privilégios se aplicam quando você usa a configuração de usuários com privilégios de administradores:

     Privilege	Description
     SeBackupPrivilege	Efetue cópias de segurança de ficheiros e diretórios, ignorando quaisquer ACLs.
     SeRestorePrivilege	Restaure arquivos e diretórios, substituindo quaisquer ACLs. Defina qualquer SID de usuário ou grupo válido como o proprietário do arquivo.
     SeChangeNotifyPrivilege	Ignore a verificação transversal. Os usuários com esse privilégio não precisam ter permissões de travessia (x) para atravessar pastas ou links simbólicos.
     SeTakeOwnershipPrivilege	Assuma a propriedade de arquivos ou outros objetos.
     SeSecurityPrivilege	Gerencie operações de log.
     SeChangeNotifyPrivilege	Ignore a verificação transversal. Os usuários com esse privilégio não precisam ter permissões de travessia (x) para atravessar pastas ou links simbólicos.

   • Credenciais, incluindo o seu nome de utilizador e palavra-passe

     

     Important

     Embora o Active Directory suporte palavras-passe de 256 caracteres, as palavras-passe do Active Directory no Azure NetApp Files não podem exceder 64 caracteres.

3. Selecione Participar.

   A ligação ao Active Directory que criaste aparece.

   

Mapeie várias contas NetApp na mesma assinatura e região numa ligação ao AD (versão prévia)

O recurso AD compartilhado permite que todas as contas NetApp compartilhem uma conexão AD criada por uma das contas NetApp que pertencem à mesma assinatura e à mesma região. Por exemplo, usando esse recurso, todas as contas NetApp na mesma assinatura e região podem usar a configuração comum do AD para criar um volume SMB, um volume Kerberos NFSv4.1 ou um volume de protocolo duplo. Quando usa esta funcionalidade, a ligação AD é visível em todas as contas NetApp que estejam sob a mesma subscrição e região, e o tipo AD de contas NetApp é Shared AD.

Redefinir a palavra-passe da conta do computador do Active Directory

Se você redefinir acidentalmente a senha da conta de computador do AD no servidor AD ou se o servidor AD estiver inacessível, poderá redefinir com segurança a senha da conta do computador para preservar a conectividade com seus volumes. Um reset afeta todos os volumes no servidor SMB.

Registar a funcionalidade

A funcionalidade de redefinir a palavra-passe da conta do computador do Active Directory está atualmente em pré-visualização pública. Se você estiver usando esse recurso pela primeira vez, precisará registrá-lo primeiro.

1. Registar a funcionalidade de repor a palavra-passe da conta de computador do Active Directory:

Register-AzProviderFeature -ProviderNamespace Microsoft.NetApp -FeatureName ANFResetADAccountForVolume

2. Verifique o status do registro do recurso. O RegistrationState pode estar no Registering estado por até 60 minutos antes de mudar paraRegistered. Aguarde até que o status esteja Registered antes de continuar.

Get-AzProviderFeature -ProviderNamespace Microsoft.NetApp -FeatureName ANFResetADAccountForVolume

Também pode usar os comandos CLI do Azureaz feature register e az feature show para registar a funcionalidade e mostrar o estado do registo.

Steps

1. Navegue até o menu Visão geral do volume. Selecione Reiniciar Active Directory Conta. Alternativamente, navegue até ao menu Volumes. Identifique o volume para o qual quer reiniciar a conta Active Directory e selecione os três pontos (...) no final da linha. Selecione Reiniciar Active Directory Conta. Lista de volumes
2. Uma mensagem de aviso que explica as implicações dessa ação aparecerá. Digite sim na caixa de texto para continuar.

Próximos passos

• Compreender as diretrizes para o design e planeamento de sites de Active Directory Domain Services para Azure NetApp Files
• Modificar ligações do Active Directory
• Criar um volume SMB
• Criar um volume de protocolo duplo
• Configurar criptografia Kerberos NFSv4.1
• Instala uma nova floresta Active Directory usando CLI do Azure
• Ativar os Serviços de Domínio do Active Directory (AD DS) para a autenticação LDAP em volumes NFS
• AD DS LDAP com grupos estendidos para acesso ao volume NFS