CIFS Kerberos 的 ONTAP 要求
适用场景
- ONTAP 9
- Microsoft Windows
- CIFS/SMB
- Kerberos
问题解答
- 检查是否有任何现有会话正在使用 Kerberos
Cluster1::> vserver cifs session show -vserver svm1 -fields authentication-methodnode vserver session-id connection-id auth-mechanism
---------- ------- ---------- ------------ --------------
Cluster-01 svm 9513291262 3060587580 NTLMv2
- 用户必须通过域名而非通过访问共享 IP 地址
- * 从 Windows Server 2016 和 Windows 10 1507 版开始，可以使用 IP 地址和 Kerberos - 请参见 Microsoft 文档Kerberos 客户端允许在服务主体名称（ Service Principal Name ， SPN ）中使用 IPv4 和 IPv6 地址主机名
- 确认 ONTAP 与域控制器之间的时差为 少于 5 分钟（默认时间偏差）
- DNS A 记录应具有 ONTAP CIFS 服务器的名称以及该 SVM 的一个数据 LIF 的 IP 地址。
- 确认 CIFS 计算机帐户存在 SPN （服务主体名称）
C:\> setspn -l <svm_machine_account_name>
- 如果在DC上禁用了RC4密码、则必须在SVM上启用AES。
::> cifs security modify -vserver <svm_name> -is-aes-encryption-enabled true
追加信息
- Kerberos 是一种行业标准，不是 NetApp 特有的
- Microsoft 文档—Kerberos 身份验证概述