Mobile-Menu

NAS als Domänencontroller So binden Sie Ihr Synology-NAS an das Active Directory an

Von Thomas Joos 4 min Lesedauer

Anbieter zum Thema

Synology GmbH
FTAPI Software GmbH

Benutzer eines Synology-NAS-Systems direkt aus dem Active Directory zu beziehen, erleichtert das Zuteilen von Rechten für Freigaben. Es erspart zudem das Anlegen und Absichern von Benutzerkonten auf dem NAS. Dadurch lassen sich Berechtigungen nicht nur flexibler sondern auf Basis von sicherer Authentifizierung durchführen.

Unternehmen können auf einem Synology NAS direkt einen AD-Domänencontroller betreiben, oder es ganz einfach in eine bestehende AD-Umgebung integrieren.(Bild: © Scanrail - stock.adobe.com)
Unternehmen können auf einem Synology NAS direkt einen AD-Domänencontroller betreiben, oder es ganz einfach in eine bestehende AD-Umgebung integrieren.
(Bild: © Scanrail - stock.adobe.com)

NAS-Geräte von Synology arbeiten auf verschiedenen Wegen mit Active Directory (AD) zusammen. Aber kann ein NAS auch ein Domänencontroller sein? Die Antwort lautet: Ja. Unternehmen können auf dem Network Attached Storage mit dem Synology Directory Server direkt einen AD-Domänencontroller betreiben. Diese ist auch kompatibel mit Domänencontroller auf Basis von Windows Server 2019/2022/2025 und kann gemeinsame Daten replizieren.

Bildergalerie
Bildergalerie mit 5 Bildern

Außerdem ist es möglich, auf dem NAS mit dem Virtual Machine Manager eine Domänencontroller zu virtualisieren. Das geht mit Windows-Servern genauso, wie mit Linux und Samba. Parallel dazu lassen sich Synology-Geräte auch als Client an das Active Directory anbinden. Dadurch lassen sich die Berechtigungen für Freigaben auf Basis von Active-Directory-Benutzern durchführen. Unternehmen profitieren so von mehreren Vorteilen:

  • Kostenersparnis & Konsolidierung, da kein zusätzlicher Server nötig ist. Denn Domänencontroller, Speicher und gegebenenfalls weitere Dienste laufen auf einem einzigen NAS-Gerät.
  • Flexibilität in der Infrastruktur, da Unternehmen wählen können zwischen einem nativen AD-Dienst (Synology Directory Server), einer virtualisierten Lösung (Windows/Linux/Samba) oder einfacher AD-Integration als Client.
  • Zentrale Benutzer- und Rechteverwaltung durch die Anbindung an das Active Directory lassen sich Freigaben und Zugriffsrechte komfortabel und sicher über bestehende AD-Konten steuern.

Mit dem NAS einer Active-Directory-Domäne beitreten

Wer bereits eine bestehende AD-Umgebung betreibt, kann das NAS auch einfach als Client in die Domäne einbinden und so zentral verwaltete Benutzer- und Gruppenrechte nutzen. Wir haben die wichtigsten Hinweise für Sie zusammengefasst, wie Sie mit einem Network Attached Storage einer AD-Domäne beitreten können.

Zunächst sollten dafür auf einem NAS, das Bestandteil einer Active-Directory-Domäne ist, möglichst keine internen Gruppen oder Benutzer vorhanden sein. Das stellt sicher, dass die Vergabe von Berechtigungen direkt aus dem AD stammt und Angreifer nicht über Gruppen oder Nutzer auf dem NAS Daten kompromittieren können. Vor allem identische Konten sollten keine vorhanden sein, damit zwischen lokalen Benutzern und Benutzern sowie Gruppen aus dem Active Directory unterschieden werden kann. Dies dient dem Schutz Ihrer Daten im Network Attached Storage.

Wichtig sind natürlich auch die Netzwerkeinstellungen. Hier muss in der Systemsteuerung bei „Netzwerk“ sichergestellt sein, dass der verwendete DNS-Server auch die Server und Domänencontroller in Active Directory auflösen kann. Das NAS sollte zudem über eine statische IP-Adresse verfügen. Die Eingabe der verwendeten DNS-Server erfolgt allerdings parallel noch einmal im Assistenten zur Domänenaufnahme. Danach werden die Daten festgeschrieben und lassen sich hier nicht mehr ändern, sondern nur in der Systemsteuerung in den Optionen für die Steuerung der Domänenmitgliedschaft.

In der Systemsteuerung steht bei „Domain/LDAP“ der Menüpunkt „Beitreten“ zur Verfügung.

  • Durch den Klick auf „Beitreten“, startet die Einrichtung zur Anbindung an eine Active-Directory-Domäne.
  • Hier geben Sie im Fenster die Domäne an.
  • Außerdem erfolgt hier noch einmal die Angabe der IP-Adressen der verwendeten DNS-Server.
  • Danach folgt die Bestätigung der Eingaben.
  • Kann das NAS den Fully Qualified Domain Name (FQDN) des Domänencontrollers auflösen, erfolgt jetzt die erfolgreiche Aufnahme des NAS in die Domäne.
  • Hinweis: Das NAS hat standardmäßig im Container „Computers“ ein Computerkonto, das dem Namen des NAS-Gerätes entspricht.

Wenn die dynamische Aktualisierung der DNS-Zone in Active Directory aktiviert ist, dann wird auch automatisch ein DNS-Eintrag in der DNS-Zone von Active Directory erstellt. Über diesen können auch Nutzer und Admins das NAS mit dem FQDN der Domäne auflösen und damit einfacher verbinden.

Bildergalerie
Bildergalerie mit 5 Bildern

Domänenmitgliedschaft auf dem NAS verwalten

Über „Domain/LDAP“ ist der Verbindungsstatus zu sehen und hier lässt sich die erfolgreiche Verbindung auch testen. Das Anpassen der Einstellungen ist an dieser Stelle ebenfalls möglich. Über die Schaltfläche „Einstellungen“ können Sie bei „Allgemein“ zum Beispiel die automatisierte und regelmäßige Aktualisierung der Liste von AD-Benutzern und -Gruppen konfigurieren. Das geht aber auch manuell. Bei „IWA“ ist es möglich die integrierte Windows-Authentifizierung zu aktivieren. In diesem Fall melden sich Benutzer an ihrem PC an Windows an. Diese Anmeldedaten lassen sich auf dem NAS übernehmen.

Über den Menüpunkt „Domainbenutzer“ sind auf dem NAS danach die Benutzer aus Active Directory zu sehen. Der Menüpunkt „Domaingruppen“ zeigt wiederum die Gruppen an. Sind diese hier zu sehen, lassen sich die Gruppen und Benutzer für Berechtigungen auf dem NAS nutzen.

Freigegebene Ordner mit AD-Berechtigungen steuern

Über den Menüpunkt „Freigegebene Ordner“ stehen die verschiedenen Freigaben auf dem NAS zur Verfügung. Hier lassen sich mit „Bearbeiten“ die Rechte steuern. Dazu erfolgt bei der Auswahl von „Berechtigungen“ die Auswahl von „Domainbenutzer“. Jetzt können Sie an dieser Stelle Rechte für einzelne Domänenbenutzer steuern.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Tipp: Stellen Sie mit der Zwei-Faktor-Authentifizierung von Synology sicher, dass sich tatsächlich nur legitime Nutzer mit dem NAS verbinden.

Domäne wieder verlassen und neu verbinden

Bei „Domain/LDAP“ ist es in der Systemsteuerung auch möglich die Domäne wieder zu verlassen. Sinnvoll ist das zum Beispiel, um eine neue Verbindung zu einer anderen Domäne aufzubauen. Um die Verbindung zur aktuellen Domäne erneut aufzubauen, wird bei „Einstellungen“ die Schaltfläche „Domain erneut beitreten“ verwendet. Wichtig ist auch, dass unter „Verwaltungsmodus“ bei „Synchronisierung“ der Wert „Abgeschlossen“ zu sehen ist. Das stellt sicher, dass die Verbindung der Domäne und die Synchronisierung funktionieren.

Tipp: Mit QuickConnect als Alternative zu VPN können Sie sich schnell und sicher von überall aus auf Ihr Synology-NAS zugreifen.

Bildergalerie
Bildergalerie mit 5 Bildern

(ID:50467296)

Weiterführende Inhalte