共用方式為

修改 Azure NetApp Files 的 Active Directory 連線

  • 發行項

在 Azure NetApp Files 中建立了 Active Directory 連線之後，您就可以加以修改。 修改 Active Directory 連線時，並非所有組態都可以修改。

如需詳細資訊，請參閱瞭解 Azure NetApp Files Active Directory 網域服務網站設計和規劃的指導方針 (部分機器翻譯)。

修改 Active Directory 連線

  1. 選取 [Active Directory 連線]。 然後，選取 [編輯] 以編輯現有的 AD 連線。

  2. 在出現的 [編輯 Active Directory] 視窗中，視需要修改 Active Directory 連線設定。 如需可修改哪些欄位的說明，請參閱 Active Directory 連線的選項。

Active Directory 連線的選項

欄位名稱 內容 可修改嗎？ 考量與影響 影響
主要 DNS Active Directory 網域的主要 DNS 伺服器 IP 位址。 Yes 無* 新的 DNS IP 用於 DNS 解析。
次要 DNS Active Directory 網域的次要 DNS 伺服器 IP 位址。 Yes 無* 若主要 DNS 失敗，新的 DNS IP 將用於 DNS 解析。
AD DNS 網域名稱 您想要加入的 Active Directory Domain Services 網域名稱。  No None N/A
AD 網站名稱 只能在其中進行網域控制站探索的網站。 Yes 這應符合 Active Directory 網站和服務中的網站名稱。 請參閱註腳。* 網域探索僅限於新的網站名稱。 如果未指定，則會使用 "Default-First-Site-Name"。
SMB 伺服器 (電腦帳戶) 前置詞 Active Directory 中電腦帳戶的命名前置詞，Azure NetApp Files 會使用該前置詞來建立新帳戶。 請參閱註腳。* Yes 必須再次掛接現有的磁碟區，因為 SMB 共用和 NFS Kerberos 磁碟區的掛接已變更。* 在建立 Active Directory 連線之後重新命名 SMB 伺服器會造成干擾。 在重新命名 SMB 伺服器前置詞之後，您必須重新掛接現有的 SMB 共用和 NFS Kerberos 磁碟區，因為掛接路徑將會變更。
組織單位路徑 組織單位 (OU) 的 LDAP 路徑，將在這裡建立 SMB 伺服器電腦帳戶。 OU=second level, OU=first level No 若搭配使用 Azure NetApp Files 與 Microsoft Entra Domain Services，在為 NetApp 帳戶設定 Active Directory 時，組織路徑是 OU=AADDC Computers。 電腦帳戶將會放在指定的 OU 底下。 如果未指定，預設會使用 OU=Computers 的預設值。
AES 加密 若要搭配 Kerberos 型通訊利用最強安全性，您可以在 SMB 伺服器上啟用 AES-256 和 AES-128 加密。 Yes 如果您啟用 AES 加密，用來加入 Active Directory 的使用者認證必須啟用最高對應的帳戶選項，符合針對 Active Directory 啟用的功能。 例如，如果您的 Active Directory 只啟用 AES-128，您必須針對使用者認證啟用 AES-128 帳戶選項。 如果您的 Active Directory 具有 AES-256 功能，您必須啟用 AES-256 帳戶選項 (也支援 AES-128)。 若 Active Directory 沒有任何 Kerberos 加密功能，Azure NetApp Files 預設會使用 DES。* 啟用 AES 加密進行 Active Directory 驗證
LDAP 簽署 此功能會在 Azure NetApp Files 服務與使用者指定的 Active Directory Domain Services 網域控制站之間啟用安全的 LDAP 查詢。 Yes LDAP 簽署需要登入群組原則* 這個選項會提供一些方法，以提高 LDAP 用戶端與 Active Directory 網域控制站之間的通訊安全性。
允許具有 LDAP 的本機 NFS 使用者 如果已啟用，此選項會管理本機使用者和 LDAP 使用者的存取。 Yes 這個選項允許本機使用者的存取。 不建議這麼做，而且如果啟用，則只應在有限的時間內使用，稍後將其停用。 如果已啟用，此選項將會允許本機使用者和 LDAP 使用者的存取權。 若組態只需要 LDAP 使用者的存取權，就必須停用此選項。
LDAP over TLS 如果已啟用，則會將 LDAP over TLS 設定為支援 Active Directory 的安全 LDAP 通訊。 Yes 無 如果已啟用 LDAP over TLS，且伺服器根 CA 憑證已存在於資料庫中，則 CA 憑證會保護 LDAP 流量。 如果傳入新的憑證，將會安裝該憑證。
伺服器根 CA 憑證 啟用 LDAP over SSL/TLS 時，LDAP 用戶端必須具有 base64 編碼的 Active Directory 憑證服務自我簽署根憑證。 Yes 無* 只有在啟用 LDAP over TLS 時，才會使用新的憑證保護 LDAP 流量
LDAP 搜尋範圍 請參閱建立和管理 Active Directory 連線 (部分機器翻譯) Yes - -
LDAP 用戶端的慣用伺服器 您可以指定最多兩部 AD 伺服器，讓 LDAP 先嘗試連線。 請參閱瞭解 Active Directory 網域服務網站設計和規劃的指導方針 (部分機器翻譯) Yes 無* 在 LDAP 用戶端嘗試連線到 AD 伺服器時，可能會妨礙逾時。
已加密 SMB 與網域控制站的連線 這個選項會指定加密是否應該用於 SMB 伺服器與網域控制站之間的通訊。 如需使用此功能的詳細資料，請參閱建立 Active Directory 連線。 Yes 如果網域控制站不支援 SMB3，則無法使用已啟用 SMB、Kerberos 和 LDAP 的磁碟區建立 對於加密的網域控制站連線僅限使用 SMB3。
備份原則使用者 您可以將需要更高權限的更多帳戶，納入為了使用 Azure NetApp Files 而建立的電腦帳戶。 如需詳細資訊，請參閱建立和管理 Active Directory 連線。 Yes 無* 指定的帳號可允許在檔案或資料夾層級變更 NTFS 權限。
系統管理員 指定要授與磁碟區系統管理員權限的使用者或群組 Yes 無 使用者帳戶會收到管理員權限
使用者名稱 Active Directory 網域管理員的使用者名稱 Yes 無* 連絡 DC 發生認證變更
密碼 Active Directory 網域管理員的密碼 Yes 無*

密碼不能超過 64 個字元。		 連絡 DC 發生認證變更
Kerberos 領域：AD 伺服器名稱 Active Directory 機器的名稱。 僅在建立 Kerberos 磁碟區時，才會使用此選項。 Yes 無*
Kerberos 領域：KDC IP 指定 Kerberos 散發中心 (KDC) 伺服器的 IP 位址。 Azure NetApp Files 中的 KDC 是 Active Directory 伺服器 Yes 無 將會使用新的 KDC IP 位址
區域 Active Directory 認證相關聯的區域 No None N/A
使用者 DN 使用者網域名稱，其會覆寫使用者查閱的基準 DN。您可以採用 OU=subdirectory, OU=directory, DC=domain, DC=com 格式指定巢狀 userDN。 Yes 無* 使用者搜尋範圍限制為使用者 DN，而不是基準 DN。
群組 DN 群組網域名稱。 groupDN 會覆寫群組查閱的基準 DN。 您可以採用 OU=subdirectory, OU=directory, DC=domain, DC=com 格式指定巢狀 groupDN。 Yes 無* 群組搜尋範圍限制為群組 DN，而不是基準 DN。
群組成員資格篩選 從 LDAP 伺服器查詢群組成員資格時要使用的自訂 LDAP 搜尋篩選條件。可以使用 (gidNumber=*) 格式來指定 groupMembershipFilter。 Yes 無* 從 LDAP 伺服器查詢使用者的群組成員資格時，將會使用群組成員資格篩選。
安全性權限使用者 您可以將安全性權限 (SeSecurityPrivilege) 授與需要較高的權限才能存取 Azure NetApp Files 磁碟區的使用者。 將允許指定的使用者帳戶在 Azure NetApp Files SMB 共用 (需要預設未指派給網域使用者的安全性權限) 上執行某些動作。 如需詳細資訊，請參閱建立和管理 Active Directory 連線。 Yes 使用此功能是選擇性的，且僅 SQL Server 才支援這樣做。 用於安裝 SQL Server 的網域帳戶必須已經存在之後，您才能將其新增至 [安全性權限使用者] 欄位。 當您將 SQL Server 安裝程式的帳戶新增至安全性權限使用者時，Azure NetApp Files 服務可能會連絡網域控制站來驗證該帳戶。 如果無法連絡網域控制站，命令可能會失敗。 如需 SeSecurityPrivilege 和 SQL Server 的相關資訊，請參閱如果安裝程式帳戶沒有特定使用者權限，則 SQL Server 安裝會失敗 (英文)。* 允許非管理員帳戶在 ANF 磁碟區之上使用 SQL Sever。

*只有在正確輸入修改時，才不會對修改的項目造成任何影響。 如果您未正確地輸入資料，使用者和應用程式將會失去存取權。

後續步驟