当家里的电脑、笔记本越来越多，每台设备都要单独记住各种用户名和密码，文件共享要反复配置权限，新买了一台电脑又要从头设置一遍——这些重复劳动是不是让你感到疲惫？如果你有过企业IT运维经验，一定知道Active Directory域服务能够完美解决这些问题：一次创建账户，所有设备自动认证，文件权限统一管理。好消息是，借助Samba 4的AD DC（Active Directory Domain Controller）功能，我们完全可以在NAS上搭建一个家庭级别的域控制器，让家庭网络也享受到企业级的统一认证体验。本文将手把手教你完成整个搭建过程。
为什么家庭环境也需要域控
很多朋友可能会觉得，域控制器是企业才需要的东西，家用场景未免有些杀鸡用牛刀。但实际上，随着家庭中智能设备数量的增长，统一管理的需求比想象中更强烈。想象一下这些场景：你家里有三台Windows电脑、两台MacBook、一部iPad、两部手机，每台设备上都有各自独立的用户账户，你想要共享NAS上的某些文件夹给特定的人，就得在每台设备上分别配置访问凭证。更头疼的是密码管理——每个账户可能用了不同的密码，时间一长自己也记不清了。
引入域控之后，这些问题的解决方案变得非常优雅。你只需要在域控上创建一个用户账户，然后把这个账户绑定到域内的任何设备上，该用户就能自动获得对应的访问权限。更换密码也只需在域控上修改一次，所有设备立刻生效。更重要的是，你可以通过组策略（Group Policy）统一配置所有加入域的电脑：自动安装软件、统一桌面壁纸、设置屏幕保护超时、配置防火墙规则等。对于有小孩的家庭，还可以通过域控精确控制每个孩子的电脑使用权限和可访问的资源。
除了统一认证，域控还能带来更精细的文件权限控制。在Workgroup模式下，NAS的共享文件夹权限只能简单地按用户分配读、写权限。而在域控模式下，你可以创建不同的安全组（比如"家庭管理员"、"普通成员"、"访客"），将用户分配到不同的组中，然后按组分配权限。需要调整权限时，只需修改组的权限设置，组内所有用户的权限会自动更新，管理效率大幅提升。
Samba AD DC的安装与配置
Samba 4是开源社区对Windows Active Directory协议的完整实现，它能够提供与微软AD几乎完全兼容的域服务。在NAS上部署Samba AD DC有几种方式。对于群晖DSM用户，可以通过套件中心安装"Directory Server"套件，它基于Samba实现，提供了图形化的域管理界面，是最省心的方案。威联通QTS也有类似的"Active Directory"套件可用。
对于自组NAS或使用Linux系统的用户（如飞牛fnOS底层也是Linux），需要手动安装和配置Samba。以Ubuntu/Debian为例，首先安装samba、samba-ad-provision和krb5-config等包，然后运行samba-tool domain provision命令进行域的初始化配置。在这个过程中需要设置域名（建议使用.local后缀避免与互联网域名冲突）、管理员密码等关键参数。配置完成后，将Samba服务设置为开机自启动，并确保防火墙开放了DNS（53端口）、LDAP（389端口）、Kerberos（88端口）和SMB（445端口）等必要端口。
DNS服务是域控正常工作的关键组件。Samba AD DC内置了DNS服务，但在部署时需要确保它正确地接管了网络的DNS解析。你需要将家庭路由器的DHCP设置中的DNS服务器指向NAS的IP地址，这样所有设备在获取IP地址时就会自动使用域控的DNS服务，从而实现域名的自动解析。这一步如果配置不正确，客户端加入域时可能会遇到找不到域控制器的错误。
客户端加入域与日常管理
域控搭建好之后，接下来就是将各种设备加入域中。Windows设备的加入过程最简单：右键"此电脑"→"属性"→"更改"→输入域名，然后使用域管理员账户和密码完成认证。系统会提示重启，重启后就可以使用域账户登录了。加入域后，Windows会自动应用域控上的组策略设置，你之前配置的各种安全策略和桌面设置都会立即生效。
macOS设备加入Samba域相对麻烦一些，需要在"系统设置"→"网络"→"高级"→"目录实用工具"中手动添加Active Directory，输入域控地址和管理员凭证。Linux系统则可以通过realmd或sssd工具加入域。手机和平板设备通常不能直接加入域，但可以在文件管理器中手动输入域凭证来访问NAS的共享资源。
日常管理方面，如果你使用群晖的Directory Server套件，可以通过DSM的图形界面进行用户、组和策略管理。对于手动部署的Samba AD DC，可以使用Windows自带的"AD用户和计算机"管理工具（RSAT）远程连接到域控进行管理，这是最方便的方式——只需要在一台Windows电脑上安装RSAT工具包，就能获得与Windows Server域控完全相同的管理体验。也可以使用命令行的samba-tool创建用户、重置密码、管理组等操作。
部署家庭域控确实需要一定的技术投入，但一旦搭建完成并稳定运行，后续的管理工作会变得非常轻松。特别是在设备数量超过3台、或者有文件权限精细化需求的家庭环境中，域控带来的效率提升是立竿见影的。如果你是一个喜欢折腾且追求效率的NAS玩家，这绝对是一个值得尝试的高级项目。
评论(0)