Настройка TrueNAS Active Directory — Подключение к домену Windows

Представь, что у тебя есть корпоративная сеть на базе Windows Server с Active Directory и тебе нужно предоставить общий доступ к файлам на TrueNAS с использованием существующих доменных учетных записей. Вместо создания локальных пользователей на NAS, ты хочешь, чтобы сотрудники входили под своими AD-учетками. Давай разберем, как именно это настроить.

Что дает интеграция TrueNAS с Active Directory?

Подключение TrueNAS в Active Directory решает несколько ключевых задач:

Единая аутентификация: Пользователи входят на общие ресурсы (шары) под своими доменными логинами и паролями.
Централизованное управление: Добавление, удаление и блокировка учетных записей происходит в AD, а не на каждом NAS отдельно.
Использование групп AD: Назначение прав доступа к папкам и файлам на основе групп безопасности из домена.
Упрощение администрирования: Нет необходимости синхронизировать пароли или дублировать учетные записи.

Важно: TrueNAS использует службу Samba для работы с протоколом SMB/CIFS, которая и осуществляет присоединение к домену. Процесс настройки схож с добавлением обычного Windows-компьютера в домен.

Предварительные требования

Перед началом настройки убедись, что выполнены следующие условия:

TrueNAS имеет статический IP-адрес и корректно настроенные DNS-серверы, указывающие на контроллер домена.
Время на TrueNAS синхронизировано с доменом (используй NTP). Расхождение более 5 минут приведет к ошибке Kerberos.
У тебя есть учетная запись в домене с правами на добавление компьютеров (обычно достаточно членства в группе Domain Admins или делегированных прав).
Сетевые порты между TrueNAS и контроллерами домена открыты (TCP/UDP 53, 88, 135, 139, 389, 445, 464, 636, 3268, 3269).

Пошаговая настройка TrueNAS Active Directory

Теперь перейдем к практической части. Весь процесс выполняется через веб-интерфейс TrueNAS (SCALE или CORE).

Шаг 1: Настройка сетевых параметров и DNS

Перейди в Network → Global Configuration. Убедись, что в качестве DNS-серверов указаны IP-адреса твоих контроллеров домена. Это критически важно для разрешения имен и работы Kerberos.

Пример настройки DNS

# Проверка DNS из командной строки TrueNAS (опционально)
shell
host -t SRV _ldap._tcp.domain.local  # Поиск LDAP-серверов
host -t A dc01.domain.local           # Разрешение имени контроллера домена

Шаг 2: Настройка времени (NTP)

Перейди в System → General и в разделе NTP Servers укажи серверы времени. Лучше использовать те же, что и в домене, или контроллеры домена.

Шаг 3: Конфигурация службы Active Directory

Основная настройка происходит в разделе Credentials → Directory Services. Выбери тип «Active Directory».

Заполни форму следующими данными:

Domain Name: Полное доменное имя (FQDN), например CORP.LOCAL.
Account Name: Имя пользователя с правами на присоединение. Можно в формате user или CORP\\user или user@corp.local.
Password: Пароль этого пользователя.
NetBIOS Name: Имя компьютера, под которым TrueNAS появится в домене (по умолчанию берётся из hostname).
Site Name: (Опционально) Если у тебя есть сайты Active Directory.
Kerberos Realm: Должно заполниться автоматически из Domain Name.
Allow Trusted Domains: Включи, если нужно работать с пользователями из доверенных доменов леса.

Внимание! Поле Account Name чувствительно к регистру на некоторых версиях Samba. Рекомендую использовать формат DOMAIN\\Username.

В дополнительных опциях (Advanced Options) можно настроить:

Use Default Domain: Если включено, для пользователей без указания домена будет использоваться основной.
Verbose Logging: Включи для отладки при проблемах.
Enable: Поставь галочку, чтобы служба запустилась сразу после сохранения.

Нажми SAVE. Если все параметры верны, TrueNAS присоединится к домену. В логах (Directory Service → Status) появится сообщение «Joined 'CORP' successfully».

Теперь создадим общую папку, доступную для доменных пользователей.

Перейди в Sharing → Windows Shares (SMB) и создай новую шару.
Укажи путь к dataset'у.
В настройках прав доступа (ACL) нажми «Edit».
В интерфейсе редактирования ACL теперь ты можешь добавлять не только локальных пользователей, но и доменных. Используй формат DOMAIN\\Username или DOMAIN\\Group Name.

Пример ACL через командную строку (альтернатива)

# Просмотр доменных пользователей/групп, видимых TrueNAS
midclt call activedirectory.domain_info | jq

# Настройка прав можно через setacl, но веб-интерфейс предпочтительнее

Шаг 5: Проверка работы

Попробуй подключиться к общей папке с компьютера в домене:

Windows Command Prompt

# В проводнике или командной строке
\\IP_TrueNAS\Share_Name
# Либо
\\NetBIOS_Name_TrueNAS\Share_Name

Система должна запросить учетные данные (если ты не в сети под той же учеткой) и предоставить доступ.

Частые проблемы и их решение

Ошибка	Возможная причина	Решение
Failed to join domain: LDAP bind failed	Неверные учетные данные, блокировка порта 389/636, проблемы с DNS.	Проверь пароль, убедись, что LDAP-запросы доходят до контроллера домена (telnet DC 389).
Clock skew too great	Расхождение времени между TrueNAS и DC.	Настрой и перезапусти службу NTP на TrueNAS.
Access denied при подключении к шаре	Нет прав в ACL для пользователя/группы, или NetBIOS-имя не резолвится.	Проверь ACL шара, попробуй подключиться по IP, а не по имени.
Доменные группы не отображаются в выборе ACL	Кэш Samba не обновился или проблема с idmap.	В веб-интерфейсе выполни: Directory Service → Rebuild Directory Service Cache.

FAQ: Ответы на частые вопросы

Можно ли подключить TrueNAS к нескольким доменам?

Нет, стандартная служба Active Directory в TrueNAS поддерживает подключение только к одному домену за раз. Для работы с несколькими доменами леса используй опцию Allow Trusted Domains.

Как часто синхронизируются учетные записи из AD?

TrueNAS кэширует информацию о пользователях и группах. Полная синхронизация (получение всех изменений из AD) происходит при перезапуске службы или по расписанию. Ты можешь инициировать ее вручную через Rebuild Directory Service Cache.

Что делать, если я хочу использовать и локальных пользователей, и AD?

TrueNAS поддерживает смешанный режим. Локальные пользователи, созданные на самом NAS, будут работать параллельно с доменными. Главное — избегать конфликта имен (логин локального пользователя не должен совпадать с логином доменного).

Как отключить TrueNAS от домена?

Перейди в Credentials → Directory Services, выбери конфигурацию Active Directory и нажми кнопку LEAVE DOMAIN. После этого удали конфигурацию.

Заключение

Подключение TrueNAS в Active Directory — это мощный инструмент для интеграции твоего сетевого хранилища в корпоративную инфраструктуру Windows. Основные этапы: правильная настройка сети и DNS, ввод корректных учетных данных для присоединения и грамотная настройка прав доступа через ACL. Помни, что большинство проблем связано именно с базовыми вещами: DNS, временем и правами учетной записи. Если следовать инструкции, процесс настройки займет не более 15 минут и значительно упростит управление доступом к данным.

Экспертный совет: Для повышения отказоустойчивости, в поле Domain Name укажи имя леса (forest name) или убедись, что в DNS правильно настроены SRV-записи, чтобы TrueNAS мог найти резервный контроллер домена при падении основного.