Verwenden von Azure Files mit mehreren Active Directory-Gesamtstrukturen

Gilt für: ✔️ SMB Dateifreigaben

Viele Organisationen möchten die identitätsbasierte Authentifizierung für Azure-SMB-Dateifreigaben (Server Message Block) in Umgebungen mit mehreren lokalen AD DS-Gesamtstrukturen (Active Directory Domain Services) verwenden. Dies ist ein gängiges IT-Szenario, insbesondere nach Fusionen und Übernahmen, bei denen die AD-Gesamtstrukturen des übernommenen Unternehmens von den AD-Gesamtstrukturen der Muttergesellschaft isoliert sind. In diesem Artikel wird erläutert, wie Gesamtstruktur-Vertrauensstellungen funktionieren. Außerdem erhalten Sie ausführliche Anweisungen zum Konfigurieren und Überprüfen eines Setups mit mehreren Gesamtstrukturen.

Voraussetzungen

• Zwei AD DS-Domänencontroller mit unterschiedlichen Gesamtstrukturen und in verschiedenen virtuellen Netzwerken
• Ausreichende AD-Berechtigungen zum Ausführen von Verwaltungsaufgaben (z. B. Domänenadministrator)
• Bei der Verwendung von Azure RBAC müssen beide Gesamtstrukturen über einen einzelnen Microsoft Entra Connect-Synchronisierungsserver erreichbar sein.

Wie Wald-Vertrauensstellungen funktionieren

Azure Files lokale AD DS-Authentifizierung unterstützt nur die AD-Gesamtstruktur des Domänendiensts, für den das Speicherkonto registriert ist. Standardmäßig können Sie nur mit den AD DS-Anmeldeinformationen aus einer einzelnen Gesamtstruktur auf Azure-Dateifreigaben zugreifen. Wenn Sie über eine andere Gesamtstruktur auf Ihre Azure-Dateifreigabe zugreifen müssen, konfigurieren Sie eine Gesamtstruktur-Vertrauensstellung.

Eine Gesamtstruktur-Vertrauensstellung ist eine transitive Vertrauensstellung zwischen zwei AD-Gesamtstrukturen, die Benutzern in jeder der Domänen in einer Gesamtstruktur die Authentifizierung in jeder der Domänen der anderen Gesamtstruktur ermöglicht.

Gesamtstrukturübergreifende Azure Files-Authentifizierung konfigurieren

Führen Sie die folgenden Schritte aus, um ein Setup mit mehreren Forests zu konfigurieren:

• Sammeln von Domäneninformationen und virtuellen Netzwerkverbindungen zwischen Domänen
• Einrichten und Konfigurieren einer Gesamtstruktur-Vertrauensstellung
• Einrichten der identitätsbasierten Authentifizierung und von Hybridbenutzerkonten

Sammeln von Domäneninformationen

Dieses Beispiel verwendet zwei lokale AD DS-Domänencontroller mit zwei verschiedenen Forests und in unterschiedlichen virtuellen Netzwerken.

Einrichten und Konfigurieren einer Vertrauensstellung

Damit Clients aus Gesamtstruktur 1 auf die Ressourcen der Azure Files Domäne in Gesamtstruktur 2 zugreifen können, müssen Sie eine Vertrauensstellung zwischen den beiden Gesamtstrukturs einrichten. Führen Sie die folgenden Schritte aus, um die Vertrauensstellung einzurichten.

1. Melden Sie sich bei einem Computer an, der mit Forest 2 verbunden ist, und öffnen Sie die Konsole Active Directory Domains and Trusts.

2. Klicken Sie mit der rechten Maustaste auf die lokale Domäne onpremad2.com, und wählen Sie dann die Registerkarte Vertrauensstellungen aus.

3. Wählen Sie Neue Vertrauensstellung aus, um den Assistenten für neue Vertrauensstellungen zu starten.

4. Geben Sie den Namen der Domäne an, mit der Sie eine Vertrauensstellung einrichten möchten (in diesem Beispiel onpremad1.com), und wählen Sie dann Weiter aus.

5. Wählen Sie unter Vertrauenstyp die Option Gesamtstruktur-Vertrauensstellung und dann Weiter aus.

6. Wählen Sie unter Richtung der Vertrauensstellung die Option Bidirektional und dann Weiter aus.

   

7. Wählen Sie unter Vertrauensstellungsseiten die Option Nur diese Domäne und dann Weiter aus.

8. Benutzer in der angegebenen Gesamtstruktur können zur Verwendung aller Ressourcen in der lokalen Gesamtstruktur (gesamtstrukturweite Authentifizierung) oder nur zur Verwendung der von Ihnen ausgewählten Ressourcen (selektive Authentifizierung) authentifiziert werden. Wählen Sie unter Authentifizierungsebene für ausgehende Vertrauensstellung die Option Gesamtstrukturweite Authentifizierung aus. Dies ist die bevorzugte Option, wenn beide Gesamtstrukturen derselben Organisation angehören. Wählen Sie Weiter aus.

9. Geben Sie ein Kennwort für die Vertrauensstellung ein, und wählen Sie dann "Weiter" aus. Sie müssen dasselbe Kennwort verwenden, wenn Sie diese Vertrauensstellung in der angegebenen Domäne erstellen.

   

10. Es sollte eine Meldung angezeigt werden, dass die Vertrauensstellung erfolgreich erstellt wurde. Wählen Sie zum Konfigurieren der Vertrauensstellung Weiter aus.

11. Bestätigen Sie die ausgehende Vertrauensstellung, und wählen Sie Weiter aus.

12. Geben Sie den Benutzernamen und das Kennwort eines Benutzers ein, der Über Administratorrechte von der anderen Domäne verfügt.

Nachdem die Authentifizierung bestanden wurde, ist das Vertrauen etabliert. Die angegebene Domäne onpremad1.com sollte auf der Registerkarte „Vertrauensstellungen“ aufgeführt sein.

Einrichten der identitätsbasierten Authentifizierung und von Hybridbenutzerkonten

Nachdem Sie die Vertrauensstellung eingerichtet haben, führen Sie die folgenden Schritte aus, um ein Speicherkonto und eine SMB-Dateifreigabe für jede Domäne zu erstellen, die AD DS-Authentifizierung für die Speicherkonten zu aktivieren und hybride Benutzerkonten zu erstellen, die mit entra ID synchronisiert wurden.

1. Melden Sie sich beim Azure-Portal an, und erstellen Sie zwei Speicherkonten, z. B. onprem1sa und onprem2sa. Für eine optimale Leistung sollten die Speicherkonten in derselben Region bereitgestellt werden wie die Clients, von denen aus Sie auf die Freigaben zugreifen möchten.

   Hinweis

   Sie müssen kein zweites Speicherkonto erstellen. Diese Anleitungen zeigen ein Beispiel für den Zugriff auf Speicherkonten, die zu verschiedenen Gesamtstrukturen gehören. Wenn Sie nur über ein Speicherkonto verfügen, können Sie die Einrichtungsanweisungen für das zweite Speicherkonto ignorieren.

2. Erstellen Sie eine Azure SMB-Freigabe und weisen Sie auf jedem Storage-Konto Berechtigungen auf Freigabeebene zu.

3. Synchronisieren Sie Ihre lokale AD mit der Microsoft Entra ID, indem Sie Microsoft Entra Connect Sync verwenden.

4. Verbinden Sie eine Azure VM in Forest 1 mit Ihrem lokalen AD DS. Informationen zum Domänenbeitritt finden Sie unter "Hinzufügen eines Computers zu einer Domäne".

5. Aktivieren Sie die AD DS-Authentifizierung für das Speicherkonto, das mit Forest 1 verknüpft ist, z. B. onprem1sa. In diesem Schritt wird ein Computerkonto in Ihrem lokalen AD namens onprem1sa erstellt, um das Azure Speicherkonto darzustellen und das Speicherkonto mit der Domäne onpremad1.com zu verknüpfen. Sie können überprüfen, ob die AD-Identität, die das Speicherkonto darstellt, erstellt wurde, indem Sie in Active Directory-Benutzer und -Computer nach onpremad1.com suchen. In diesem Beispiel wird ein Computerkonto mit dem Namen "onprem1sa" angezeigt.

6. Erstellen Sie ein Benutzerkonto, indem Sie zu Active Directory > onpremad1.com navigieren. Klicken Sie mit der rechten Maustaste auf Benutzer, wählen Sie Erstellen aus, geben Sie einen Benutzernamen ein (z. B. onprem1user), und aktivieren Sie das Kontrollkästchen Kennwort läuft nie ab (optional).

7. Optional: Wenn Sie Azure RBAC verwenden möchten, um Berechtigungen auf Freigabeebene zuzuweisen, müssen Sie den Benutzer mithilfe von Microsoft Entra Connect mit entra ID synchronisieren. Normalerweise werden alle 30 Minuten Microsoft Entra Connect-Synchronisierungsupdates aktualisiert. Sie können jedoch eine sofortige Synchronisierung erzwingen, indem Sie eine PowerShell-Sitzung mit erhöhten Rechten öffnen und Start-ADSyncSyncCycle -PolicyType Delta ausführen. Möglicherweise müssen Sie zuerst das ADSynch-Modul installieren, indem Sie Import-Module ADSync ausführen. Um zu überprüfen, ob der Benutzer mit Entra ID synchronisiert ist, melden Sie sich beim Azure-Portal mit dem Azure-Abonnement an, das Ihrem Multi-Forest-Tenant zugeordnet ist, und wählen Sie Microsoft Entra ID aus. Wählen Sie Benutzer > Verwalten aus, und suchen Sie nach dem hinzugefügten Benutzer (z. B onprem1user). Für Lokale Synchronisierung aktiviert sollte Ja angezeigt werden.

8. Legen Sie Berechtigungen auf Freigabeebene fest, indem Sie entweder die Azure RBAC-Rollen oder eine Standardberechtigung auf Freigabeebene verwenden.

   • Wenn der Benutzer mit Entra ID synchronisiert ist, erteilen Sie eine Berechtigung auf Freigabeebene (Azure RBAC-Rolle) beim Speicherkonto für den Benutzer onprem1user auf dem Speicherkonto onprem1sa, um ihm das Mounten der Dateifreigabe zu ermöglichen. Wechseln Sie dazu zur Dateifreigabe, die Sie in onprem1sa erstellt haben, und folgen Sie den Anweisungen unter Zuweisen von Berechtigungen auf Freigabeebene für bestimmte Benutzer oder Gruppen in Microsoft Entra.
   • Verwenden Sie anderenfalls eine Standardberechtigung auf Freigabeebene, die für alle authentifizierten Identitäten gilt.

Wiederholen Sie die Schritte 4 bis 8 für Forest 2-Domäne onpremad2.com (Speicherkonto onprem2sa/Benutzer onprem2user). Wenn Sie über mehr als zwei Gesamtstrukturen verfügen, wiederholen Sie die Schritte für jede Gesamtstruktur.

Konfigurieren von Berechtigungen auf Verzeichnis- und Dateiebene (optional)

Verwenden Sie in einer Umgebung mit mehreren Gesamtstrukturen das Befehlszeilenhilfsprogramm icacls, um in beiden Gesamtstrukturen Berechtigungen auf Verzeichnis- und Dateiebene für Benutzende zu konfigurieren. Siehe Configure Windows ACLs mit Icacls.

Wenn icacls mit einem Zugriff verweigert-Fehler ausfällt, führen Sie die folgenden Schritte aus, um die Berechtigungen auf Verzeichnis- und Dateiebene zu konfigurieren:

1. Löschen Sie die vorhandene Freigabeeinbindung: net use * /delete /y

2. Mounten Sie die Freigabe erneut mit dem Windows-Berechtigungsmodell für SMB-Admin oder dem Speicherkontoschlüssel (nicht empfohlen). Siehe Einbinden einer Azure-SMB-Dateifreigabe unter Windows.

3. Legen Sie die icacls-Berechtigungen für Benutzer in Gesamtstruktur 2 auf dem Storage-Konto fest, das mit Gesamtstruktur 1 vom Client in Gesamtstruktur 1 verbunden ist.

Domänen-Suffix-Routing konfigurieren

Azure Files wird in AD DS fast identisch wie ein regulärer Dateiserver registriert, wie weiter oben erläutert. Es erstellt eine Identität (standardmäßig ein Computerkonto, kann aber auch ein Dienstanmeldungskonto sein), das das Speicherkonto in AD DS für die Authentifizierung darstellt. Der einzige Unterschied besteht darin, dass der registrierte Dienstprinzipalname (Service Principal Name, SPN) des Speicherkontos auf file.core.windows.net endet, was nicht mit dem Domänensuffix übereinstimmt. Aufgrund des unterschiedlichen Domänensuffixes müssen Sie eine Suffix-Routing-Richtlinie konfigurieren, um die Authentifizierung mit mehreren Gesamtstrukturen zu ermöglichen.

Da das Suffix file.core.windows.net das Suffix für alle Azure Files Ressourcen und kein Suffix für eine bestimmte AD-Domäne ist, weiß der Domänencontroller des Clients nicht, an welche Domäne die Anforderung weitergeleitet werden soll. Es schlägt daher alle Anforderungen fehl, bei denen die Ressource nicht in ihrer eigenen Domäne gefunden wird.

Wenn beispielsweise Benutzer in einer Domäne in Gesamtstruktur 1 mit dem Speicherkonto, das für eine Domäne in Gesamtstruktur 2 registriert ist, auf eine Dateifreigabe zugreifen möchten, funktioniert dies nicht automatisch, da der Dienstprinzipal des Speicherkontos kein Suffix aufweist, das dem Suffix einer Domäne in Gesamtstruktur 1 entspricht.

Sie können Domänensuffixe mithilfe einer der folgenden Methoden konfigurieren:

• Ändern Sie das SPN-Suffix des Storage-Kontos und fügen Sie einen CNAME-Eintrag hinzu (empfohlen - funktioniert mit zwei oder mehr Forests)
• Hinzufügen eines benutzerdefinierten Namenssuffixes und einer Routingregel (funktioniert nicht mit mehr als zwei Gesamtstrukturen)

Ändern des SPN-Suffix des Speicherkontos und Hinzufügen eines CNAME-Eintrags

Sie können das Problem mit dem Domänenrouting beheben, indem Sie das SPN-Suffix des Speicherkontos ändern, das der Azure Dateifreigabe zugeordnet ist, und dann einen CNAME-Eintrag hinzufügen, um das neue Suffix an den Endpunkt des Speicherkontos weiterzuleiten. Bei dieser Konfiguration können domänenverbundene Clients auf Speicherkonten zugreifen, die mit einem beliebigen Forest verknüpft sind. Diese Lösung funktioniert für Umgebungen mit zwei oder mehr Gesamtstrukturen.

In diesem Beispiel haben die Domains contoso.com und adatum.comContosofs und Adatumfs als Speicherkonten, die mit SMB- Azure Dateifreigaben in den jeweiligen Domänen verknüpft sind. Diese Domänen befinden sich in verschiedenen Gesamtstrukturen, die sich für den Zugriff auf Ressourcen in der jeweils anderen Gesamtstruktur gegenseitig vertrauen. Sie sollten den Zugriff auf beide Speicherkonten von Clients aus zulassen, die zu jeder Gesamtstruktur gehören. Dazu müssen Sie die SPN-Suffixe des Speicherkontos ändern:

Man fügt dem contosofs.file.core.windows.net Objekt in Active Directory contosofs.contoso.com hinzu und adatumfs.adatum.com dem adatumfs.file.core.windows.net Objekt in Active Directory.

Diese Änderung ermöglicht es Adatum-Clients, die Contoso-Freigabe mithilfe von net use \\contosofs.contoso.com einzubinden, und Contoso-Clients, die Adatum-Freigabe mithilfe von net use \\adatumfs.adatum.com einzubinden, weil Clients in contoso oder adatum wissen, dass sie adatum.com oder contoso.com durchsuchen müssen, um die richtige Ressource für dieses Speicherkonto zu finden.

Führen Sie die folgenden Schritte aus, um diese Methode zu verwenden:

1. Stellen Sie sicher, dass Sie eine Vertrauensstellung zwischen den beiden Gesamtstrukturen eingerichtet haben und die identitätsbasierte Authentifizierung sowie die Hybrid-Benutzerkonten eingerichtet haben, wie in den vorherigen Abschnitten beschrieben.

2. Ändern Sie den SPN des Speicherkontos mithilfe des Setspn-Tools. Sie finden <DomainDnsRoot>, indem Sie den folgenden Active Directory PowerShell-Befehl ausführen: (Get-AdDomain).DnsRoot

   setspn -s cifs/<storage-account-name>.<DomainDnsRoot> <storage-account-name>
   

   Folgen wir unserem Beispiel für contosofs.file.core.windows.net:

   setspn -s cifs/contosofs.contoso.com contosofs
   

3. Fügen Sie einen CNAME-Eintrag mit dem Active Directory DNS Manager hinzu und folgen Sie diesen Schritten für jedes Speicherkonto in der Domäne, mit der das Speicherkonto verbunden ist. Wenn Sie einen privaten Endpunkt verwenden, fügen Sie den CNAME-Eintrag hinzu, der dem Namen des privaten Endpunkts zugeordnet werden soll.

   1. Öffnen Sie Active Directory DNS-Manager.

   2. Geh zu deiner Domäne (zum Beispiel contoso.com).

   3. Navigieren Sie zu „Forward-Lookupzonen“.

   4. Wählen Sie den Knoten aus, der nach Ihrer Domain benannt ist (zum Beispiel contoso.com), und klicken Sie mit der rechten Maustaste auf Neues Alias (CNAME).

   5. Geben Sie als Aliasname den Namen Ihres Speicherkontos ein.

   6. Für den voll qualifizierten Domainnamen (FQDN) geben <storage-account-name>Sie .<domain-name>ein, zum Beispiel contosofs.contoso.com.

   7. Für den FQDN des Zielhosts geben Sie <storage-account-name>.file.core.windows.net ein, zum Beispiel contosofs.file.core.windows.net

   8. Klicken Sie auf OK.

      

Von in die Domäne eingebundenen Clients aus können Sie jetzt Speicherkonten nutzen, die mit einer der Gesamtstrukturen verbunden sind.

Hinzufügen eines benutzerdefinierten Namenssuffixes und einer Routingregel

Diese Methode ist eine Alternative zur Änderung des SPN-Suffixes und dem Hinzufügen eines CNAME-Datensatzes. Es löst das Domain-Routing-Problem, indem (1) file.core.windows.net als bekanntes UPN-Suffix auf Forest 2 registriert wird, sodass Forest den Besitz dieses Suffixes beansprucht, und (2) Forest 1 so konfiguriert, dass alle Kerberos-Anfragen für dieses Suffix an Forest 2 weitergeleitet werden. Verwenden Sie diese Methode, wenn Sie DNS-Datensätze oder Speicherkonto-SPNs nicht ändern möchten.

Wenn Sie die im vorherigen Abschnitt beschriebene CNAME-Methode bereits abgeschlossen haben, überspringen Sie diesen Abschnitt.

Fügen Sie zunächst ein neues benutzerdefiniertes Suffix auf Forest 2 hinzu. Stellen Sie sicher, dass Sie über die entsprechenden Administratorberechtigungen verfügen, um die Konfiguration zu ändern und die Vertrauensstellung zwischen den beiden Gesamtstrukturen einzurichten. Führen Sie dann die folgenden Schritte durch:

1. Melden Sie sich bei einem Computer oder virtuellen Computer an, der einer Domäne in Forest 2 beigetreten ist.
2. Öffnen Sie die Konsole Active Directory Domains and Trusts.
3. Klicken Sie mit der rechten Maustaste auf Active Directory Domains and Trusts.
4. Wählen Sie Eigenschaften und dann Hinzufügen aus.
5. Fügen Sie "file.core.windows.net" als UPN-Suffix hinzu.
6. Wählen Sie Anwenden und dann OK aus, um den Assistenten zu schließen.

Fügen Sie als Nächstes die Suffix-Routing-Regel für Gesamtstruktur 1 hinzu, damit eine Weiterleitung an Gesamtstruktur 2 erfolgt.

1. Melden Sie sich bei einem Computer oder virtuellen Computer an, der einer Domäne in Forest 1 beigetreten ist.
2. Öffnen Sie die Konsole Active Directory Domains and Trusts.
3. Klicken Sie mit der rechten Maustaste auf die Domäne, auf die Sie zugreifen möchten, um die Dateifreigabe zu erreichen. Wählen Sie die Registerkarte "Vertrauensstellungen" aus. Wählen Sie die Domäne "Forest 2" aus den ausgehenden Vertrauensstellungen.
4. Wählen Sie Eigenschaften und dann Namensuffix-Routing aus.
5. Überprüfen Sie, ob das Suffix „*.file.core.windows.net“ angezeigt wird. Wählen Sie andernfalls Aktualisieren aus.
6. Wählen Sie „*.file.core.windows.net“ und dann Aktivieren und Anwenden aus.

Validieren, ob die Vertrauensstellung funktioniert

Nach Abschluss der Konfiguration überprüfen Sie, dass Benutzer in jedem Forest Kerberos-Tickets erhalten können, um sich auf Dateifreigaben zu authentifizieren, die mit dem anderen Forest verbunden sind. Der Klist-Befehl zeigt den Cache der Kerberos-Zugangsdaten an. Eine erfolgreiche Cross-Forest-Authentifizierung zeigt Tickets, die vom KDC des anderen Forests ausgestellt wurden.

1. Melden Sie sich bei einem Computer oder virtuellen Computer an, der einer Domäne in Forest 1 beigetreten ist, und öffnen Sie eine Windows Eingabeaufforderung.

2. Führen Sie einen der folgenden Befehle aus, um den Anmeldeinformationscache für das in eine Domäne eingebundene Speicherkonto in Gesamtstruktur 2 anzuzeigen:

   • Wenn Sie die Methode Speicherkonto-SPN-Suffix ändern und CNAME-Eintrag hinzufügen verwendet haben, führen Sie Folgendes aus: klist get cifs/onprem2sa.onpremad2.com
   • Wenn Sie die Methode Hinzufügen eines benutzerdefinierten Namenssuffixes und einer Routingregel verwendet haben, führen Sie den folgenden Befehl aus: klist get cifs/onprem2sa.file.core.windows.net

3. Eine Ausgabe ähnlich der folgenden sollte angezeigt werden. Die klist-Ausgabe unterscheidet sich geringfügig, je nachdem, welche Methode Sie zum Konfigurieren von Domänensuffixen verwendet haben.

   Client: onprem1user @ ONPREMAD1.COM
   Server: cifs/onprem2sa.file.core.windows.net @ ONPREMAD2.COM
   KerbTicket Encryption Type: AES-256-CTS-HMAC-SHA1-96
   Ticket Flags 0x40a10000 -> forwardable renewable pre_authent name_canonicalize
   Start Time: 11/22/2022 18:45:02 (local)
   End Time: 11/23/2022 4:45:02 (local)
   Renew Time: 11/29/2022 18:45:02 (local)
   Session Key Type: AES-256-CTS-HMAC-SHA1-96
   Cache Flags: 0x200 -> DISABLE-TGT-DELEGATION
   Kdc Called: onprem2.onpremad2.com
   

4. Melden Sie sich bei einem Computer oder virtuellen Computer an, der einer Domäne in Forest 2 beigetreten ist, und öffnen Sie eine Windows Eingabeaufforderung.

5. Führen Sie einen der folgenden Befehle aus, um den Anmeldeinformationscache für das in eine Domäne eingebundene Speicherkonto in Gesamtstruktur 1 anzuzeigen:

   • Wenn Sie die Methode Speicherkonto-SPN-Suffix ändern und CNAME-Eintrag hinzufügen verwendet haben, führen Sie Folgendes aus: klist get cifs/onprem1sa.onpremad1.com
   • Wenn Sie die Methode Hinzufügen eines benutzerdefinierten Namenssuffixes und einer Routingregel verwendet haben, führen Sie den folgenden Befehl aus: klist get cifs/onprem1sa.file.core.windows.net

6. Eine Ausgabe ähnlich der folgenden sollte angezeigt werden. Die klist-Ausgabe unterscheidet sich geringfügig, je nachdem, welche Methode Sie zum Konfigurieren von Domänensuffixen verwendet haben.

   Client: onprem2user @ ONPREMAD2.COM
   Server: krbtgt/ONPREMAD2.COM @ ONPREMAD2.COM
   KerbTicket Encryption Type: AES-256-CTS-HMAC-SHA1-96
   Ticket Flags 0x40e10000 -> forwardable renewable pre_authent name_canonicalize
   Start Time: 11/22/2022 18:46:35 (local)
   End Time: 11/23/2022 4:46:35 (local)
   Renew Time: 11/29/2022 18:46:35 (local)
   Session Key Type: AES-256-CTS-HMAC-SHA1-96
   Cache Flags: 0x1 -> PRIMARY
   Kdc Called: onprem2
   
   Client: onprem2user @ ONPREMAD2.COM    
   Server: cifs/onprem1sa.file.core.windows.net @ ONPREMAD1.COM
   KerbTicket Encryption Type: AES-256-CTS-HMAC-SHA1-96
   Ticket Flags 0x40a10000 -> forwardable renewable pre_authent name_canonicalize
   Start Time: 11/22/2022 18:46:35 (local)
   End Time: 11/23/2022 4:46:35 (local)
   Renew Time: 11/29/2022 18:46:35 (local)
   Session Key Type: AES-256-CTS-HMAC-SHA1-96
   Cache Flags: 0x200 -> DISABLE-TGT-DELEGATION
   Kdc Called: onpremad1.onpremad1.com
   

Wenn die vorherige Ausgabe angezeigt wird, sind Sie fertig. Führen Sie andernfalls die folgenden Schritte aus, um alternative UPN-Suffixe anzugeben, damit die Authentifizierung mit mehreren Gesamtstrukturen funktioniert.

Fügen Sie zunächst ein neues benutzerdefiniertes Suffix für Gesamtstruktur 1 hinzu.

1. Melden Sie sich bei einem Computer oder virtuellen Computer an, der einer Domäne in Forest 1 beigetreten ist.
2. Öffnen Sie die Konsole Active Directory Domains and Trusts.
3. Klicken Sie mit der rechten Maustaste auf Active Directory Domains and Trusts.
4. Wählen Sie Eigenschaften und dann Hinzufügen aus.
5. Fügen Sie ein alternatives UPN-Suffix wie „onprem1sa.file.core.windows.net“ hinzu.
6. Wählen Sie Anwenden und dann OK aus, um den Assistenten zu schließen.

Fügen Sie als Nächstes die Suffixroutingregel für Gesamtstruktur 2 hinzu.

1. Melden Sie sich bei einem Computer oder virtuellen Computer an, der einer Domäne in Forest 2 beigetreten ist.
2. Öffnen Sie die Konsole Active Directory Domains and Trusts.
3. Klicken Sie mit der rechten Maustaste auf die Domäne, die auf die Dateifreigabe zugreifen soll. Wählen Sie anschließend die Registerkarte Vertrauensstellungen und dann die ausgehende Vertrauensstellung von Gesamtstruktur 2 aus, in der das Namenssuffixrouting hinzugefügt wurde.
4. Wählen Sie Eigenschaften und dann Namensuffix-Routing aus.
5. Überprüfen Sie, ob das Suffix „onprem1sa.file.core.windows.net“ angezeigt wird. Wählen Sie andernfalls Aktualisieren aus.
6. Wählen Sie „onprem1sa.file.core.windows.net“ und dann Aktivieren und Anwenden aus.

Nächster Schritt

Weitere Informationen findest du unter:

• Übersicht zur identitätsbasierten Azure Files-Authentifizierung (nur SMB)