Berechtigungen und Apps mit Domänenbenutzer steuern Active Directory auf QNAP-NAS einrichten und verwalten

QNAP-NAS-Systeme lassen sich in Active-Directory-Umgebungen einbinden. Dadurch können Admins Berechtigungen für Ordner, Apps oder auch Workloads für Domänenbenutzer steuern. Auch die Konfiguration eines NAS als Domänencontroller ist möglich.

QNAP-NAS lassen sich in bestehende Microsoft Active Directory-Domänen einbinden. Unternehmen profitieren dadurch von einheitlichen Anmeldedaten, konsistenter Berechtigungsvergabe für Ordner und Apps sowie einer zentral steuerbaren Zugriffsarchitektur. Statt lokale NAS-Accounts separat zu pflegen, übernehmen Domänencontroller diese Aufgabe, samt Synchronisierung von Passwörtern, Gruppenrichtlinien und Benutzerlisten.

73 Zero-Days bei Pwn2Own in Irland

Samsung, QNAP, Synology und Sonos erfolgreich gehackt

Grundvoraussetzungen vor dem Domänenbeitritt

Die Firmware des NAS muss mindestens Version 3.2.0 haben, ideal ist natürlich eine möglichst aktuelle Version. Vor dem Beitritt zur Domäne ist sicherzustellen, dass Uhrzeit und Datum des NAS mit den bereits vorhandenen Domänencontrollern möglichst übereinstimmen. Die zulässige Zeitabweichung beträgt maximal fünf Minuten. Ansonsten verlieren die Kerberos-Tickets in Active Directory ihre Gültigkeit und Anmeldungen sowie Zugriffe funktionieren nicht richtig. Die Einstellung erfolgt unter „Systemsteuerung“ > „Allgemeine Einstellungen“ > „Uhrzeit“. Ohne diese Synchronität verweigert der Domänencontroller die Authentifizierung und es kommt zu unvorhersehbaren Problemen. Sinnvoll ist es an dieser Stelle auch, die Option „Automatisch mit einem Zeitserver synchronisieren“ zu aktivieren und hier den gleichen Zeitserver zu verwenden wie für die Domänencontroller in Active Directory. Es ist auch möglich den Standard-Server „pool.ntp.org“ zu verwenden. Die erfolgreiche Synchronisierung lässt sich an dieser Stelle ebenfalls mit „Verbindung testen“ prüfen.

Bildergalerie

Bildergalerie mit 11 Bildern

Anschließend wird unter „Systemsteuerung“ > „Netzwerk“ der primäre DNS-Server auf die IP-Adresse eines bereits vorhandenen Domänencontrollers setzt, der die Namensauflösung für die Active Directory-Domäne umsetzen kann. Die Namensauflösung spielt in Active Directory natürlich auch bei der Anbindung von NAS-Systemen eine wichtige Rolle.

NAS als Domänencontroller

So binden Sie Ihr Synology-NAS an das Active Directory an

Verbindungsaufbau zu Active Directory

Im Menü „Systemsteuerung > Berechtigung“ unter „Domänensicherheit“ lässt sich über „AD-Authentifizierung“ die Option „Manuelle Konfiguration“ auswählen. Eingetragen werden hier der „NetBIOS-Name der Domäne“, der „AD-Server-Name“ sowie der „Domänenname“. Mit „AD-Server-Name“ meint QNAP einen Domänencontroller in der AD-Domäne. Wenn alle Angaben korrekt vorliegen und Zeit- sowie DNS-Konfiguration stimmen, lässt sich der Beitritt zur Domäne initialisieren. Fehler in der Verbindung deuten fast immer auf falsche DNS-Einträge oder Zeitabweichungen hin. Diese Einstellungen müssen exakt mit der AD-Struktur übereinstimmen. Im Rahmen der Anbindung lässt sich das NAS auch gleich mit einer OU verbinden. Nur Benutzer innerhalb der ausgewählten OU dürfen sich am NAS anmelden. Das ist aber nur optional. Sobald die Integration in Active Directory erfolgreich abgeschlossen ist, erscheint eine entsprechende Meldung.

Sichere Speicherlösung

Daten im Network Attached Storage schützen – das braucht's dazu

Erweiterte Optionen nutzen

Die Feinjustierung erfolgt unter „Netzwerkdienst und Dateidienste“ > „Win/Mac/NFS/WebDAV“ > „Microsoft-Networking“ > „AD-Domänenmitglied“ > „Erweiterte Optionen“. Dort entscheidet die Option „Alternativer Anmeldestil“, ob Dienste wie FTP oder Web File Manager zusätzlich zur Windows-Freigabe ein einheitliches Anmeldeformat verwenden. Aktiviert man die Option, genügt der „Domänen-Benutzername“ für alle Dienste. Andernfalls ist das Format „Domäne + Benutzername“ erforderlich.

Die Funktion „Automatisch im DNS registrieren“ sorgt dafür, dass sich das NAS automatisch mit dem DNS-Server der Domäne registriert und seine IP dort einträgt. Bei einer späteren IP-Änderung erfolgt ein automatisches Update, was die Erreichbarkeit über Hostnamen sicherstellt. Dazu muss das dynamische DNS in Active Directory entsprechend konfiguriert sein.

Die Option „Nur NTLMv2-Authentifizierung erlauben“ erhöht die Sicherheit, indem veraltete Authentifizierungsprotokolle wie LM und NTLM blockiert werden. Diese Einstellung sollte jedoch nur gewählt werden, wenn sämtliche Clients im Netz NTLMv2 vollständig unterstützen.

NAS im Unternehmenseinsatz

Synology-Apps stärken Sicherheit und Betrieb auf dem NAS

Domänenintegration überprüfen und Benutzerlisten aktualisieren

Nach erfolgreicher Integration erscheinen unter „Berechtigung“ > „Benutzer“ sowie „Benutzergruppen“ die neuen Abschnitte „Domänenbenutzer“ und „Domänengruppen“. Die Anzeige lässt sich über die Schaltfläche „Neu laden“ aktualisieren, sobald im Active Directory neue Accounts oder Gruppen erstellt wurden. Diese Aktualisierung betrifft ausschließlich die Weboberfläche. Die tatsächlichen Rechteabgleiche erfolgen im Hintergrund über das AD in Echtzeit.

Sobald die Verbindung aktiv ist, greifen alle Rechtekonzepte des AD auch auf dem NAS. NTFS-ähnliche Freigabeberechtigungen lassen sich damit direkt an Domänenbenutzer oder Gruppen binden, mit exakt demselben Login wie im Windows-Netzwerk.

Verhalten der Dienste nach der Integration

Für den Zugriff auf Windows-Freigaben genügt die Angabe des „Domänen-Benutzernamens“. Bei AFP, FTP und dem Web File Manager wird dagegen „Domäne + Benutzername“ als Format vorausgesetzt, sofern nicht der einheitliche Anmeldestil über die erweiterten Optionen aktiviert wurde. Der Zugriff via WebDAV bleibt lokalen Benutzern vorbehalten.

Qsirch bringt Retrieval-Augmented-Generation-Suche auf NAS-Geräte

KI-Suche auf QNAP-NAS-Geräten

(ID:50673877)