Присоединение NetApp к домену на контроллере домена только для чтения
У меня есть изолированная сеть, в которую я встроил vfiler. Смысл этой сети в том, что это не маршрутизируемая "тестовая" сеть.
Однако существует необходимость в доступе LDAP/Kerberos и CIFS к файлу через учетные записи на уровне домена.
Поэтому у нас развернуты контроллеры домена только для чтения.
Чтобы присоединить коробку Windows к RODC, мы бы:
- создать учетную запись компьютера вручную.
- присоединитесь к домену и укажите пароль учетной записи компьютера на клиенте.
Меня находит точка поиска в Google: https://kb.netapp.com/support/index?page=content&id=1012918
Где совет: сначала направьте файлера на доступный для записи DC.
Я бы предпочел не делать этого, если бы я мог избежать этого - у меня нет преднамеренно доступных для записи контроллеров домена в этой части сети. Что еще более важно - мои vfilers находятся в ipspace, поэтому я даже не могу временно "перепрыгнуть" в сеть с правильным доступом. (Что-то вроде того, я думаю, но даже так...)
Есть ли у кого-нибудь предложение о том, как я могу это сделать - я предполагаю, что мне может понадобиться извлечь некоторую информацию из моего DC и передать ее, например, servicePrincipal. Или, может быть, просто "установите" мой пароль CIFS где-нибудь вручную.
2 ответа
В конце концов я пошел с открытым брандмауэром временно. Альтернативные варианты могли бы настроить новый виртуальный интерфейс, временно добавить его в пространство IP. Это сработало бы, но не в моей среде (я уже использовал VLAN/ интерфейс, который мне нужно было бы переместить).
Однако, как только у вас есть доступ к доступному для записи DC - статья выше не совсем корректна.
Вам нужно;
- установить prefdc с
cifs prefdc add <DC_IP> - установить сервер ldap,
setting options.ldap.preferred(как правило, это будет то же самое, что и DC). - запустите присоединение к домену и создайте учетную запись компьютера.
Измените prefdc и предпочитаемый LDAP обратно на исходный. Бежать cifs resetdc заставить его.
ожидать No Trusted Logon Servers Available а также Client not found in Kerberos database потому что ваши локальные контроллеры домена RODC не воспроизводят правильные данные.
Вам также может понадобиться настроить учетную запись компьютера, чтобы он был участником группы, чтобы она полностью реплицировалась. Частью RODC является то, что они не имеют полной базы данных и пропускают некоторые общие секреты как часть учетной записи компьютера.
Вы можете временно вернуться назад, добавив маршрутизируемый интерфейс в IPSpace, затем вы можете присоединиться к домену и затем удалить этот интерфейс из IPSpace.