Erstellen und Verwalten von Active Directory-Verbindungen für Azure NetApp Files

Für einige Features von Azure NetApp Files ist eine Active Directory-Verbindung erforderlich. Sie benötigen beispielsweise eine Active Directory-Verbindung, damit Sie ein SMB-Volume, ein NFSv4.1-Kerberos-Volume oder ein Dual-Protokoll-Volume erstellen können. In diesem Artikel wird das Erstellen und Verwalten von Active Directory-Verbindungen für Azure NetApp Files erläutert.

Anforderungen und Überlegungen zu Active Directory-Verbindungen

Important

Befolgen Sie die Leitfäden unter Grundlegendes zu Richtlinien für Active Directory Domain Services-Websitedesign und -planung für Azure NetApp Files für Active Directory Domain Services (AD DS) oder Microsoft Entra Domain Services mit Azure NetApp Files.

Informieren Sie sich vor dem Erstellen der AD-Verbindung im Artikel Ändern von Active Directory-Verbindungen für Azure NetApp Files darüber, welche Auswirkungen Änderungen an den AD-Verbindungskonfigurationsoptionen nach der Erstellung der AD-Verbindung haben. Änderungen an den AD-Verbindungskonfigurationsoptionen sind störend für den Clientzugriff, und einige Optionen können überhaupt nicht geändert werden.

• Ein Azure NetApp Files-Konto muss in der Region erstellt werden, in der die Azure NetApp Files Volumes bereitgestellt werden sollen.

• Azure NetApp Files lässt standardmäßig eine Active Directory(AD)-Verbindung pro Abonnement und Konto zu. Sie können die Standardeinstellung ändern, um eine Active Directory-Verbindung pro NetApp-Konto zu erstellen.

• Das Administratorkonto für die AD-Verbindung von Azure NetApp Files muss folgende Eigenschaften besitzen:

  • Es muss sich um ein AD DS-Domänenbenutzerkonto in der gleichen Domäne handeln, in der auch die Azure NetApp Files Computerkonten erstellt werden.
  • Es muss über die Berechtigung zum Erstellen von Computerkonten (z. B. AD-Domänenbeitritt) in dem AD DS-Organisationseinheitenpfad verfügen, der in der Option Pfad der Organisationseinheit der AD-Verbindung angegeben ist.
  • Es kann sich nicht um ein Gruppenverwaltetes Dienstkonto handeln.

• Das Administratorkonto für die AD-Verbindung unterstützt die Verschlüsselungstypen Kerberos AES-128 und Kerberos AES-256 für die Authentifizierung mit AD DS für die Azure NetApp Files-Computerkontenerstellung (z. B. AD-Domänenbeitrittsvorgänge).

• Um die AES-Verschlüsselung zu aktivieren, sollten Sie zuerst AES-128, AES-256, RC4 und DES-Verschlüsselungstypen in Active Directory (AD) aktivieren und dann AES auf der Steuerungsebene aktivieren. Sie müssen zuerst die Verschlüsselung in Active Directory aktivieren.

Important

Die AES-256-Verschlüsselung ist erforderlich, wenn Sie beabsichtigen, Windows Server 2025-Domänencontroller in Ihrer Active Directory-Umgebung zu verwenden.

• Führen Sie die folgenden Active Directory-PowerShell-Befehle aus, um die AES-Verschlüsselungsunterstützung für das Administratorkonto in der AD-Verbindung zu aktivieren:

  Get-ADUser -Identity <ANF AD connection account username>
  Set-ADUser -KerberosEncryptionType <encryption_type>
  

  KerberosEncryptionType ist ein mehrwertiges Parameter, der die Werte DES, RC4, AES-128 und AES-256 unterstützt.

  Weitere Informationen finden Sie in der Dokumentation zu „Set-ADUser“.

• Zum Aktivieren der AES-Verschlüsselung für das Administratorkonto der AD-Verbindung von Azure NetApp Files muss ein AD-Domänenbenutzerkonto verwendet werden, das einer der folgenden AD DS-Gruppen angehört:

  • Domänenadministratoren
  • Organisationsadministratoren
  • Administrators
  • Konten-Operatoren
  • Microsoft Entra Domain Services-Administratoren (nur Microsoft Entra Domain Services)
  • Alternativ kann auch ein AD-Domänenbenutzerkonto mit Schreibberechtigung vom Typ msDS-SupportedEncryptionTypes für das Administratorkonto der AD-Verbindung verwendet werden, um die Kerberos-Verschlüsselungstypeigenschaft für das Administratorkonto der AD-Verbindung festzulegen.

  Note

  Wenn Sie die Einstellung so ändern, dass AES für das AD-Verbindungsadministratorkonto aktiviert wird, empfiehlt es sich, ein Benutzerkonto zu verwenden, das über schreibberechtigungen für das AD-Objekt verfügt, das nicht der Azure NetApp Files AD-Administrator ist. Dazu können Sie ein anderes Domänenadministratorkonto verwenden oder die Kontrolle an ein Konto delegieren. Weitere Informationen finden Sie unter Delegieren der Verwaltung mit Organisationseinheitenobjekten.

  Wenn Sie sowohl die Kerberos-Verschlüsselung AES-128 als auch die Kerberos-Verschlüsselung AES-256 für das Administratorkonto der AD-Verbindung festlegen, handelt der Windows-Client die höchste Verschlüsselungsebene aus, die von Ihrer AD DS-Instanz unterstützt wird. Wenn beispielsweise AES-128 und AES-256 unterstützt werden und der Client AES-256 unterstützt, wird AES-256 verwendet.

• Wenn Sie die IP-Adresse des Kerberos Distribution Center (KDC) oder den Namen des AD-Servers ändern, müssen Sie so lange warten, wie das Kerberos-Ticket gültig ist, bevor Sie das Volume auf demselben NFS-Linux-Client einbinden können. Die Kerberos-Ticketlebensdauer kann sowohl auf dem Client als auch auf dem KDC konfiguriert werden. Standardmäßig legt Microsoft Active Directory die Kerberos-Ticketlebensdauer auf 600 Minuten (10 Stunden) fest.
Weitere Informationen finden Sie unter "Maximale Lebensdauer für Serviceticket".

• Wenn Sie die Anforderung haben, bestimmte Kerberos-Verschlüsselungstypen für Active Directory-Computerkonten für in Domänen eingebundene Windows-Hosts, die mit Azure NetApp Files verwendet werden, aktivieren und deaktivieren zu können, müssen Sie die Gruppenrichtlinie Network Security: Configure Encryption types allowed for Kerberos verwenden.

  Legen Sie nicht den Registrierungsschlüssel HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters\SupportedEncryptionTypes fest. Dadurch wird die Kerberos-Authentifizierung mit Azure NetApp Files für den Windows-Host, auf dem dieser Registrierungsschlüssel manuell festgelegt wurde, unterbrochen.

  Note

  Die Standardrichtlinieneinstellung für Network Security: Configure Encryption types allowed for Kerberos ist Not Defined. Wenn diese Richtlinieneinstellung auf Not Defined festgelegt ist, sind alle Verschlüsselungstypen außer DES für die Kerberos-Verschlüsselung verfügbar. Sie haben die Möglichkeit, die Unterstützung nur für bestimmte Kerberos-Verschlüsselungstypen zu aktivieren (z. B. AES128_HMAC_SHA1 oder AES256_HMAC_SHA1). Die Standardrichtlinie sollte jedoch in den meisten Fällen ausreichend sein, wenn die AES-Verschlüsselungsunterstützung mit Azure NetApp Files aktiviert wird.

  Weitere Informationen finden Sie unter Netzwerksicherheit: Konfigurieren von Verschlüsselungstypen, die für Kerberos zulässig sind oder Windows-Konfigurationen für von Kerberos unterstützte Verschlüsselungstypen.

• LDAP-Abfragen gelten nur in der Domäne, die in den Active Directory-Verbindungen angegeben ist (das Feld AD-DNS-Domänenname). Dieses Verhalten gilt für NFS- und SMB-Volumes und solche mit beiden Protokollen.

• LDAP-Abfragetimeouts

  Standardmäßig werden LDAP-Abfragen abgebrochen, wenn sie nicht in einem angemessenen Zeitrahmen abgeschlossen werden können. Wenn eine LDAP-Abfrage aufgrund eines Timeouts Fehler verursacht, schlägt die Benutzer- und/oder Gruppensuche fehl, und der Zugriff auf das Azure NetApp Files-Volume wird je nach Berechtigungseinstellungen des Volumes möglicherweise verweigert.

  Abfragetimeouts können in großen LDAP-Umgebungen mit vielen Benutzer- und Gruppenobjekten und bei langsamen WAN-Verbindungen auftreten und wenn ein LDAP-Server mit Anforderungen überlastet ist. Das Timeout von Azure NetApp Files für LDAP-Abfragen ist auf 10 Sekunden festgelegt. Erwägen Sie die Nutzung der Benutzer- und Gruppen-DN-Funktionen für die Active Directory-Verbindung des LDAP-Servers, um Suchvorgänge zu filtern, wenn Timeoutprobleme bei LDAP-Abfragen auftreten.

NetApp-Konten und Active Directory-Typ

Sie können die Übersichtsseite des NetApp-Kontos verwenden, um den Active Directory-Kontotyp zu bestätigen. Es gibt drei Werte für den AD-Typ:

• NA: Vorhandenes NetApp-Konto, das nur eine AD-Konfiguration pro Abonnement und Region unterstützt. Die AD-Konfiguration wird nicht für andere NetApp-Konten im Abonnement freigegeben.

• Multi-AD: Das NetApp-Konto unterstützt eine AD-Konfiguration in jedem NetApp-Konto im Abonnement. Dies ermöglicht mehr als eine AD-Verbindung pro Abonnement bei Verwendung mehrerer NetApp-Konten.

  Note

  Stellen Sie sicher, dass Sie API Version 2024-11-01 oder höher verwenden, um Multi AD zu verwenden.

• Freigegebenes AD: Das NetApp-Konto unterstützt nur eine AD-Konfiguration pro Abonnement und Region, die Konfiguration wird jedoch für NetApp-Konten im Abonnement und in der Region freigegeben.

Weitere Informationen zur Beziehung zwischen NetApp-Konten und -Abonnements finden Sie unter Speicherhierarchie von Azure NetApp Files.

Erstellen einer Active Directory-Verbindung

1. Wählen Sie über Ihr NetApp-Konto Active Directory-Verbindungen und dann Verbinden aus.

   

   Note

   Standardmäßig unterstützt Azure NetApp Files nur eine Active Directory-Verbindung innerhalb derselben Region und desselben Abonnements. Sie können diese Einstellung ändern, um eine Active Directory-Verbindung pro NetApp-Konto zu erstellen.

2. Geben Sie im Fenster „Active Directory beitreten“ basierend auf den zu verwendenden Domänendiensten die folgenden Informationen an:

   • Primäres DNS (erforderlich)
     Dies ist die IP-Adresse des primären DNS-Servers, der für Active Directory-Domänenbeitrittsvorgänge sowie für SMB-Authentifizierungs-, Kerberos- und LDAP-Vorgänge erforderlich ist.

   • Sekundäres DNS
     Dies ist die IP-Adresse des sekundären DNS-Servers, der für Active Directory-Domänenbeitrittsvorgänge sowie für SMB-Authentifizierungs-, Kerberos- und LDAP-Vorgänge erforderlich ist.

     Note

     Es wird empfohlen, einen sekundären DNS-Server zu konfigurieren. Weitere Informationen finden Sie unter Grundlegendes zu Richtlinien für Active Directory Domain Services-Websitedesign und -planung für Azure NetApp Files. Stellen Sie sicher, dass Ihre DNS-Serverkonfiguration die Anforderungen für Azure NetApp Files erfüllt. Andernfalls sind Azure NetApp Files-Dienstvorgänge sowie SMB-Authentifizierungs-, Kerberos- oder LDAP-Vorgänge möglicherweise nicht erfolgreich.

     Wenn Sie Microsoft Entra Domain Services verwenden, verwenden Sie die IP-Adressen der Domänencontroller von Microsoft Entra Domain Services für primäres DNS bzw. sekundäres DNS.

   • AD DNS-Domänenname (erforderlich)
     Dies ist der vollqualifizierte Domänenname der AD DS-Instanz, die mit Azure NetApp Files verwendet wird (z. B. contoso.com).

   • AD-Standortname (erforderlich)
     Dies ist der AD DS-Standortname, der von Azure NetApp Files für die Domänencontrollerermittlung verwendet wird.

     Der Standardwebsitename lautet sowohl für AD DS als auch für Microsoft Entra Domain Services Default-First-Site-Name. Befolgen Sie die Benennungskonventionen für Websitenamen, wenn Sie den Websitenamen umbenennen möchten.

     Note

     Weitere Informationen finden Sie unter Grundlegendes zu Richtlinien für Active Directory Domain Services-Websitedesign und -planung für Azure NetApp Files. Stellen Sie sicher, dass Ihr AD DS-Standortentwurf und die zugehörige Konfiguration die Anforderungen für Azure NetApp Files erfüllen. Andernfalls sind Azure NetApp Files-Dienstvorgänge sowie SMB-Authentifizierungs-, Kerberos- oder LDAP-Vorgänge möglicherweise nicht erfolgreich.

   • Präfix des SMB-Servers (Computerkonto)(erforderlich)
     Dies ist das Namenspräfix für neue Computerkonten, die in AD DS für SMB-, Dual Protocol- und NFSv4.1-Kerberos-Volumes von Azure NetApp Files erstellt werden.

     Wenn also für Dateidienste in Ihrer Organisation beispielsweise der Benennungsstandard NAS-01, NAS-02 usw. verwendet wird, verwenden Sie NAS als Präfix.

     Zusätzliche Computerkonten in AD DS werden von Azure NetApp Files nach Bedarf erstellt.

     Important

     Das Umbenennen des SMB-Serverpräfixes nach dem Erstellen der Active Directory-Verbindung sorgt für Unterbrechungen. Sie müssen vorhandene SMB-Freigaben nach dem Umbenennen des SMB-Serverpräfixes erneut einbinden.

   • Pfad der Organisationseinheit
     Dies ist der LDAP-Pfad für die Organisationseinheit, in der Computerkonten für SMB-Server erstellt werden. Das heißt, sie erfüllen die Bedingung OU=second level, OU=first level. Wenn Sie also z. B. eine im Stammverzeichnis der Domäne erstellte Organisationseinheit namens ANF verwenden möchten, lautet der Wert OU=ANF.

     Ohne Angabe verwendet Azure NetApp Files den Container CN=Computers.

     Wenn Sie Azure NetApp Files mit Microsoft Entra Directory Domain Services verwenden, lautet der Pfad der Organisationseinheit OU=AADDC Computers.

     

   • AES-Verschlüsselung
     Diese Option aktiviert die Unterstützung der Authentifizierung mit AES-Verschlüsselung für das Administratorkonto der AD-Verbindung.

     

     Informationen zu Anforderungen finden Sie unter Anforderungen für Active Directory-Verbindungen.

   • LDAP-Signatur

     Mit dieser Option kann die LDAP-Signatur aktiviert werden. Diese Funktion ermöglicht Integritätsüberprüfungen für SASL-LDAP-Bindungen (Simple Authentication and Security Layer) von Azure NetApp Files und benutzerseitig angegebenen Active Directory Domain Services-Domänencontrollern.

     Azure NetApp Files unterstützt LDAP-Kanalbindungen, wenn in der Active Directory-Verbindung sowohl die Einstellungsoption „LDAP-Signatur“ als auch die Einstellungsoption „LDAP über TLS“ aktiviert ist. Weitere Informationen finden Sie unter ADV190023 | Microsoft-Leitfaden zum Aktivieren der LDAP-Kanalbindung und der LDAP-Signatur.

     Note

     Die DNS-PTR-Einträge für die AD DS-Computerkonten müssen in der AD DS-Organisationseinheit erstellt werden, die in der AD-Verbindung von Azure NetApp Files angegeben ist, damit das Signieren mit LDAP funktioniert.

     

   • Lokale NFS-Benutzer mit LDAP zulassen Mit dieser Option können lokale NFS-Clientbenutzer auf NFS-Volumes zugreifen. Wenn Sie diese Option festlegen, werden erweiterte Gruppen für NFS-Volumes deaktiviert, wodurch die Anzahl der unterstützten Gruppen für einen Benutzer auf 16 beschränkt wird. Wenn diese Option aktiviert ist, werden Gruppen, die über das Limit von 16 Gruppen hinausgehen, in Zugriffsberechtigungen nicht berücksichtigt. Weitere Informationen finden Sie unter Lokalen NFS-Benutzern mit LDAP den Zugriff auf ein Doppelprotokollvolume gestatten.

   • LDAP über TLS

     Diese Option ermöglicht die Verwendung von LDAP über TLS, um die Kommunikation zwischen einem Azure NetApp Files-Volume und dem Active Directory-LDAP-Server zu schützen. Sie können LDAP über TLS für NFS-, SMB- und Dualprotokollvolumes von Azure NetApp Files aktivieren.

     Note

     LDAP über TLS darf nicht aktiviert werden, wenn Sie Microsoft Entra Domain Services verwenden. Microsoft Entra Domain Services verwendet LDAPS (Port 636) anstelle von LDAP über TLS (Port 389), um LDAP-Datenverkehr zu schützen.

     Weitere Informationen finden Sie unter Aktivieren der LDAP-Authentifizierung in Active Directory Domain Services (AD DS) für NFS-Volumes.

   • Serverzertifikat von Stammzertifizierungsstelle

     Diese Option dient zum Hochladen des Zertifizierungsstellenzertifikats, das mit LDAP über TLS verwendet wird.

     Weitere Informationen finden Sie unter Aktivieren der LDAP-Authentifizierung in Active Directory Domain Services (AD DS) für NFS-Volumes. 

   • LDAP-Suchbereich, Benutzer-DN, Gruppen-DN und Gruppenmitgliedschaftsfilter

     Die Option LDAP-Suchbereich optimiert LDAP-Abfragen für Azure NetApp Files-Speicher für die Verwendung mit großen AD DS-Topologien und LDAP mit erweiterten Gruppen oder Unix-Sicherheitsstil mit einem Dual-Protokoll-Volume von Azure NetApp Files.

     Mit den Optionen Benutzer-DN und Gruppen-DN können Sie die Suchbasis in AD DS-LDAP festlegen. Diese Optionen beschränken die Suchbereiche für LDAP-Abfragen, reduzieren die Suchzeit und tragen dazu bei, LDAP-Abfragetimeouts zu reduzieren.

     Mit der Option Gruppenmitgliedschaftsfilter können Sie einen benutzerdefinierten Suchfilter für Benutzer erstellen, die Mitglieder bestimmter AD DS-Gruppen sind.

     

     Informationen zu diesen Optionen finden Sie unter Konfigurieren von AD DS LDAP mit erweiterten Gruppen für den NFS-Volumezugriff.

   • Bevorzugter Server für LDAP-Client

     Mit der Option Bevorzugter Server für LDAP-Client können Sie die IP-Adressen von bis zu zwei AD-Servern als durch Trennzeichen getrennte Liste übermitteln. Anstatt nacheinander alle ermittelten AD-Dienste für eine Domäne zu kontaktieren, wendet sich der LDAP-Client zuerst an die angegebenen Server.

   • Verschlüsselte SMB-Verbindungen zum Domänencontroller

     Verschlüsselte SMB-Verbindungen mit Domänencontroller gibt an, ob für die Kommunikation zwischen einem SMB-Server und dem Domänencontroller Verschlüsselung verwendet werden soll. Bei einer Aktivierung wird für verschlüsselte Verbindungen mit Domänencontrollern nur SMB3 verwendet.

     Diese Funktion steht derzeit als Vorschau zur Verfügung. Wenn Sie zum ersten Mal verschlüsselte SMB-Verbindungen mit dem Domänencontroller verwenden, müssen Sie ihn registrieren:

     Register-AzProviderFeature -ProviderNamespace Microsoft.NetApp -FeatureName  ANFEncryptedSMBConnectionsToDC 
     

     Überprüfen Sie den Status der Funktionsregistrierung:

     Note

     Der RegistrationState kann bis zu 60 Minuten lang den Wert Registering aufweisen, bevor er sich in Registered ändert. Warten Sie, bis der Status Registered lautet, bevor Sie fortfahren.

     Get-AzProviderFeature -ProviderNamespace Microsoft.NetApp -FeatureName  ANFEncryptedSMBConnectionsToDC 
     

     Sie können auch die Azure CLI-Befehleaz feature register und az feature show verwenden, um das Feature zu registrieren und den Registrierungsstatus anzuzeigen.

   • Sicherungsrichtlinienbenutzer: Diese Option gewährt zusätzliche Sicherheitsberechtigungen für AD DS-Domänenbenutzer oder -Gruppen, die erhöhte Sicherungsrechte benötigen, um Sicherungs-, Wiederherstellungs- und Migrationsworkflows in Azure NetApp Files zu unterstützen. Die angegebenen AD DS-Benutzerkonten oder -Gruppen erhalten erhöhte NTFS-Berechtigungen auf Datei- oder Ordnerebene.

     

     Bei Verwendung der Einstellung Sicherungsrichtlinienbenutzer gelten die folgenden Berechtigungen:

     Privilege	Description
     SeBackupPrivilege	Sichern von Dateien und Verzeichnissen und Überschreiben aller ACLs
     SeRestorePrivilege	Wiederherstellen von Dateien und Verzeichnissen und Überschreiben aller ACLs. Festlegen einer gültigen Benutzer- oder Gruppen-SID als Dateibesitzer.
     SeChangeNotifyPrivilege	Umgehen Sie die Traversierungsüberprüfung. Benutzer mit dieser Berechtigung müssen nicht über Berechtigungen zum Durchlaufen (x) verfügen, um Ordner oder symbolische Verknüpfungen zu durchlaufen.

   • Benutzer mit Sicherheitsberechtigungen
     Diese Option gewährt AD DS-Domänenbenutzern oder -Gruppen, die erhöhte Rechte für den Zugriff auf Azure NetApp Files-Volumes benötigen, Sicherheitsberechtigungen (SeSecurityPrivilege). Die angegebenen AD DS-Benutzer oder -Gruppen dürfen bestimmte Aktionen für SMB-Freigaben ausführen, für die Sicherheitsberechtigungen erforderlich sind, die Domänenbenutzern standardmäßig nicht zugewiesen sind.

     

     Bei Verwendung der Einstellung Security privilege users (Benutzer mit Sicherheitsberechtigungen) gilt die folgende Berechtigung:

     Privilege	Description
     SeSecurityPrivilege	Verwalten von Protokollvorgängen.

     Dieses Feature wird zum Installieren von SQL Server in bestimmten Szenarien verwendet, in denen einem AD DS-Domänenkonto ohne Administratorrechte vorübergehend erhöhte Sicherheitsrechte gewährt werden müssen.

     Note

     Die Verwendung des Features „Sicherheitsberechtigungen“ basiert auf dem Feature SMB-Freigaben für fortlaufende Verfügbarkeit. Kontinuierliche Verfügbarkeit von SMB wird für benutzerdefinierte Anwendungen nicht unterstützt. Es wird nur für Workloads mit Citrix App Layering, FSLogix-Benutzerprofilcontainern und Microsoft SQL Server (nicht Linux SQL Server) unterstützt.

     Important

     Dieses Feature ist optional und wird nur für SQL Server unterstützt. Das für die Installation von SQL Server verwendete AD DS-Domänenkonto muss bereits vorhanden sein, um es der Option Benutzer mit Sicherheitsberechtigungen hinzufügen zu können. Wenn Sie das Konto des SQL Server-Installers der Option Benutzer mit Sicherheitsberechtigungen hinzufügen, überprüft der Azure NetApp Files-Dienst möglicherweise das Konto, indem er eine Verbindung mit einem AD DS-Domänencontroller herstellt. Diese Aktion schlägt möglicherweise fehl, wenn Azure NetApp Files keinen Kontakt mit dem AD DS-Domänencontroller aufnehmen kann.

     Weitere Informationen zu SeSecurityPrivilege und SQL Server finden Sie unter SQL Server-Installation schlägt fehl, wenn das Einrichtungskonto nicht über bestimmte Benutzerrechte verfügt.

   • Benutzer*innen mit Administratorberechtigungen

     Diese Option gewährt AD DS-Domänenbenutzern oder -Gruppen, die erhöhte Rechte für den Zugriff auf die Azure NetApp Files-Volumes benötigen, zusätzliche Sicherheitsberechtigungen. Die angegebenen Konten erhalten erhöhte Rechte auf Datei- oder Ordnerebene.

     Note

     Die Domänenadministratoren und -administratorinnen werden der Berechtigungsgruppe „Administratoren“ automatisch hinzugefügt.

     

     Note

     Diese Berechtigung ist für Datenmigrationen nützlich.

     Bei Verwendung der Einstellung Administrators privilege users (Benutzer mit Administratorberechtigungen) gelten folgende Berechtigungen:

     Privilege	Description
     SeBackupPrivilege	Sichern von Dateien und Verzeichnissen und Überschreiben aller ACLs
     SeRestorePrivilege	Wiederherstellen von Dateien und Verzeichnissen und Überschreiben aller ACLs. Festlegen einer gültigen Benutzer- oder Gruppen-SID als Dateibesitzer.
     SeChangeNotifyPrivilege	Umgehen Sie die Traversierungsüberprüfung. Benutzer*innen mit dieser Berechtigung müssen nicht über Berechtigungen zum Durchlaufen (x) verfügen, um Ordner oder symbolische Verknüpfungen zu durchlaufen.
     SeTakeOwnershipPrivilege	Übernehmen Sie den Besitz von Dateien und Objekten.
     SeSecurityPrivilege	Verwalten von Protokollvorgängen.
     SeChangeNotifyPrivilege	Umgehen Sie die Traversierungsüberprüfung. Benutzer*innen mit dieser Berechtigung müssen nicht über Berechtigungen zum Durchlaufen (x) verfügen, um Ordner oder symbolische Verknüpfungen zu durchlaufen.

   • Anmeldeinformationen, einschließlich Benutzername und Kennwort

     

     Important

     Obwohl Active Directory Kennwörter mit 256 Zeichen unterstützt, dürfen Active Directory-Kennwörter bei Azure NetApp Files 64 Zeichen nicht überschreiten.

3. Wählen Sie Beitreten.

   Die von Ihnen erstellte Active Directory-Verbindung wird angezeigt.

   

Erstellen einer Active Directory-Verbindung pro NetApp-Konto

Das aktuelle Standardverhalten von Azure NetApp Files unterstützt eine AD-Verbindung pro Abonnement und Region. Durch aktivieren dieses Feature ändern Sie das Verhalten, sodass jedes NetApp-Konto innerhalb eines Azure-Abonnements über eine eigene AD-Verbindung verfügen kann. Wenn dieses Feature aktiviert ist, verwalten neu erstellte NetApp-Konten ihre eigene AD-Verbindung.

Nach der Konfiguration wird die AD-Verbindung des NetApp-Kontos verwendet, wenn Sie ein SMB-Volume, ein NFSv4.1 Kerberos-Volume oder ein Dual-Protokoll-Volume erstellen. Das bedeutet, dass Azure NetApp Files mehr als eine AD-Verbindung pro Azure-Abonnement unterstützt, wenn mehrere NetApp-Konten verwendet werden.

Note

Wenn bei einem Abonnement sowohl diese Funktion als auch die Funktion "Freigegebenes Active Directory" aktiviert sind, teilen die vorhandenen Konten weiterhin die AD-Konfiguration. Alle neuen NetApp-Konten, die im Abonnement erstellt wurden, können ihre eigenen AD-Konfigurationen verwenden. Sie können Ihre Konfiguration auf der Kontoübersichtsseite im Feld AD-Typ nachsehen.

Important

Der Umfang jeder AD-Konfiguration ist auf das übergeordnete NetApp-Konto beschränkt.

Registrieren der Funktion

Die Möglichkeit zum Erstellen einer AD-Verbindung pro NetApp-Konto ist allgemein verfügbar. Sie müssen das Feature registrieren, bevor Sie sie zum ersten Mal verwenden. Nach der Registrierung ist das Feature aktiviert und funktioniert im Hintergrund.

1. Registrieren Sie die Funktion:

   Register-AzProviderFeature -ProviderNamespace Microsoft.NetApp -FeatureName ANFMultipleActiveDirectory
   

2. Überprüfen Sie den Status der Funktionsregistrierung:

   Note

   Der RegistrationState kann bis zu 60 Minuten lang den Wert Registering aufweisen, bevor er sich in Registered ändert. Warten Sie, bis der Status Registriert lautet, bevor Sie fortfahren.

   Get-AzProviderFeature -ProviderNamespace Microsoft.NetApp -FeatureName ANFMultipleActiveDirectory
   

   Sie können auch die Azure CLI-Befehleaz feature register und az feature show verwenden, um das Feature zu registrieren und den Registrierungsstatus anzuzeigen.

Zuordnen mehrerer NetApp-Konten im selben Abonnement und derselben Region zu einer AD-Verbindung (Vorschau)

Dank des Features „Freigegebenes“ AD kann von allen NetApp-Konten, die über eines der zu einem Abonnement und einer Region gehörenden NetApp-Konten erstellt wurden, eine AD-Verbindung gemeinsam genutzt werden. Bei Verwendung dieses Features kann beispielsweise von allen zu einem Abonnement und einer Region gehörenden NetApp-Konten die allgemeine AD-Konfiguration verwendet werden, um ein SMB-Volume, ein NFSv4.1-Kerberos-Volume oder ein Dual-Protokoll-Volume zu erstellen. Wenn Sie dieses Feature verwenden, ist die AD-Verbindung in allen zu einem Abonnement und einer Region gehörenden NetApp-Konten sichtbar.

Mit der Einführung des Features zum Erstellen einer AD-Verbindung pro NetApp-Konto werden neue Featureregistrierungen für das Feature "Freigegebenes AD" nicht akzeptiert.

Note

Sie können sich registrieren, um eine AD-Verbindung pro NetApp-Konto zu verwenden, wenn Sie bereits in der Vorschauversion für freigegebenes AD registriert sind. Wenn Sie derzeit das Limit von zehn NetApp-Konten pro Azure-Region pro Abonnement ausgereizt haben, müssen Sie eine Supportanfrage stellen, um das Limit zu erhöhen. Sie können Ihre Konfiguration auf der Kontoübersichtsseite im Feld AD-Typ nachsehen.

Zurücksetzen des Kennworts für das Active Directory-Computerkonto

Wenn Sie versehentlich das Kennwort des AD-Computerkontos auf dem AD-Server zurückgesetzt haben oder der AD-Server nicht erreichbar ist, können Sie das Kennwort des Computerkontos gefahrlos zurücksetzen, um die Konnektivität mit Ihren Volumes aufrechtzuerhalten. Die Zurücksetzung wirkt sich auf alle Volumes auf dem SMB-Server aus.

Registrieren der Funktion

Das Feature zum Zurücksetzen des Kennwortfeatures für das Active Directory-Computerkonto befindet sich derzeit in der Public Preview-Phase. Wenn Sie diese Funktion zum ersten Mal verwenden, müssen Sie sie zuerst registrieren.

1. Registrieren Sie das Feature Kennwort des Active Directory-Computerkontos zurücksetzen:

Register-AzProviderFeature -ProviderNamespace Microsoft.NetApp -FeatureName ANFResetADAccountForVolume

2. Überprüfen Sie den Status der Featureregistrierung. Der RegistrationState kann bis zu 60 Minuten lang den Wert Registering aufweisen, bevor er sich in Registered ändert. Warten Sie, bis der Status Registered lautet, bevor Sie fortfahren.

Get-AzProviderFeature -ProviderNamespace Microsoft.NetApp -FeatureName ANFResetADAccountForVolume

Sie können auch die Azure CLI-Befehleaz feature register und az feature show verwenden, um das Feature zu registrieren und den Registrierungsstatus anzuzeigen.

Steps

1. Navigieren Sie zum Menü Übersicht für das Volume. Wählen Sie Active Directory-Konto zurücksetzen aus. Navigieren Sie alternativ zum Menü Volumes. Identifizieren Sie das Volume, für das Sie das Active Directory-Konto zurücksetzen möchten, und wählen Sie die drei Punkte (...) am Ende der Zeile aus. Wählen Sie Active Directory-Konto zurücksetzen aus.
2. Eine Warnmeldung mit Informationen zu den Auswirkungen dieser Aktion wird angezeigt. Geben Sie Ja in das Textfeld ein, um den Vorgang fortzusetzen.

Nächste Schritte

• Grundlegendes zu Richtlinien für Active Directory Domain Services-Websitedesign und -planung für Azure NetApp Files
• Ändern von Active Directory-Verbindungen
• Erstellen eines SMB-Volumes
• Erstellen eines Dual-Protokoll-Volumes
• Konfigurieren der NFSv4.1-Kerberos-Verschlüsselung
• Installieren einer neuen Active Directory-Gesamtstruktur mit der Azure CLI
• Aktivieren der LDAP-Authentifizierung in Active Directory Domain Services (AD DS) für NFS-Volumes
• Hinzufügen von AD DS LDAP mit erweiterten Gruppen für den NFS-Volumezugriff