ONTAPでKerberosが想定されている場合にNTLMを使用するクライアント

原因

クライアントがキー配布センター（KDC）に連絡してサービスのチケットを要求すると、KDCはCIFSサーバーマシンアカウントのサービスプリンシパル名（SPN）内で一致するホスト名、IPv4、またはIPv6を検索します。一致するものがない場合、KDCはKRB5KDC_ERR_S_PRINCIPAL_UNKNOWNを返し、クライアントはNTLMにフォールバックする可能性があります。

一般的なトリガー：

• Active Directory の CIFS サーバーマシンアカウントにHOST/<short-hostname>またはHOST/<FQDN>の SPN エントリが存在しない
• ドライブマッピングでは短いホスト名（例：\\sdf\share）が使用されているが、登録されているのは FQDN SPN のみである
• Kerberos を強制するために GPO 経由で NTLM がブロックされている場合、SPN が存在しないと Kerberos が失敗し、NTLM フォールバックもブロックされるため、アクセスが完全に失敗する
• SPN を更新せずにクラスターまたは SVM の名前を変更する

解決策

ストレージへのアクセスに使用されるホスト名、エイリアス、またはFQDNを特定します。このホスト名は、SVMが所有する1つ以上のLIFに解決される必要があります。CIFSサーバーマシンアカウントに、目的のホスト名をSPNとして設定します。

ステップ 1：CIFS マシンアカウントの現在の SPN を一覧表示する

Active Directoryのアクセス許可を持つドメイン参加済みのWindowsホストから：

HOST/<short-hostname> と HOST/<FQDN> のエントリを確認してください。どちらかが欠けている場合は、手順2に進んでください。

ステップ2：不足しているSPNエントリを追加する

-Sスイッチを使用して、重複チェック付きでSPNを追加します：

ステップ3：クライアントのKerberosキャッシュをフラッシュして確認する

Active Directory のレプリケーションが完了するまで数分待ってから、Windows クライアントで次の操作を行います。

klistの出力には、cifs/<FQDN>のKerberosチケットが表示されるはずです。

注：IPアドレスを使用するドライブマッピングは、常にNTLMにフォールバックします。Kerberosにはホスト名またはFQDNが必要です。ドライブマッピングを適切に更新してください。

パートナーノート

partnerNotes_text

追加情報

SPN に IP アドレスを使用するにはいくつかの要件がありますが、手順は Microsoft が概説しているものと似ています — setspn CLI コマンドの構文。

接続クライアントごとの認証方法を ONTAP から確認するには：

CIFSサーバー名がsetspnで使用されているマシンアカウントと一致することを確認するには：

内部情報

内部情報