登錄需要安裝AD域控制器和DNS服務的ECS服務器。

在PowerShell工具或者PowerShell ISE工具中執行以下命令下載腳本。

Invoke-WebRequest https://nas-client-tools.oss-cn-hangzhou.aliyuncs.com/windows_client/alinas_smb_windows_inspection.ps1 -OutFile alinas_smb_windows_inspection.ps1

執行以下命令自動安裝AD域控制器和DNS服務，生成Keytab文件。

.\alinas_smb_windows_inspection.ps1 -MountAddress file-system-id.region.nas.aliyuncs.com -ConfigAD $true -Userdomain "example.com" -Username "administrator" -Password "password" -Locale zh-CN

安裝并啟用AD域服務及DNS服務。具體操作，請參見安裝AD域控制器。

登錄AD控制器所在的ECS服務器。

打開CMD命令窗口，執行以下命令為SMB文件系統創建服務賬號。

dsadd user CN=<AD服務賬號名>,DC=<AD域域名>,DC=com
  -samid <AD服務賬號名>
  -display <用戶描述文字>
  -pwd <用戶密碼>
  -pwdneverexpires yes

示例：

dsadd user CN=alinas,DC=EXAMPLE,DC=com -samid alinas -display "Alibaba Cloud NAS Service Account" -pwd tHeRd123**** -pwdneverexpires yes

如果登錄賬號為普通賬號，則需要管理員用戶為其設置讀取/寫入ServicePrincipalName的權限，然后再為SMB文件系統創建服務賬號。命令如下所示。

dsacls "CN=<AD服務賬號名>,DC=<AD域域名>,DC=com" /I:T /G "<AD服務賬號名>:RPWP;servicePrincipalName"

示例：

dsacls "CN=alinas,DC=cdbptest01,DC=com" /I:T /G "alinas:RPWP;servicePrincipalName"

其中，RP為讀權限，WP為寫權限。

執行以下命令，為SMB文件系統掛載點注冊并添加服務主體。

• 執行命令

  setspn -S cifs/<SMB協議NAS文件系統掛載點地址> <AD服務賬號名>

  示例

  setspn -S cifs/****-****.cn-hangzhou.nas.aliyuncs.com alinas

  說明

  • 掛載點地址格式為file-system-id.region.nas.aliyuncs.com，請根據實際值替換。您可以在文件存儲NAS控制臺文件系統列表頁面，單擊目標文件系統后的管理，進入掛載使用頁面獲取掛載地址。

  • 請勿將掛載目錄寫在掛載點后地址中誤寫成file-system-id.region.nas.aliyuncs.com/myshare。

• 返回示例

  如果返回如下類似信息，則說明SMB文件系統掛載服務主體已添加成功。

檢查Windows AD服務器或Windows客戶端的setspn配置。

setspn alinas

在AD域服務器上，打開CMD命令窗口，執行以下命令為SMB文件系統掛載點生成Keytab密鑰表文件。

ktpass
  -princ cifs/<SMB文件系統掛載點地址>@<AD域>
  -ptype KRB5_NT_PRINCIPAL
  -crypto All
  -out <生成的密鑰表文件的文件路徑>
  -pass <用戶密碼>

ktpass -princ cifs/****-****.cn-hangzhou.nas.aliyuncs.com@EXAMPLE.com -ptype KRB5_NT_PRINCIPAL -crypto All -out c:\nas-mount-target.keytab -pass tHeP****d123

如果需要驗證Keytab密鑰表文件的正確性，您可以參照如何驗證Keytab文件正確性？進行驗證。