Partage SMB et Active Directory sur TrueNAS

Un partage SMB rend un dataset de TrueNAS accessible aux postes Windows comme n'importe quel dossier partagé, sous la forme \\srv-nas\Archives. Joint à Active Directory, TrueNAS authentifie les utilisateurs avec leur compte du domaine, par Kerberos, et applique les ACL aux groupes de l'annuaire : aucun compte à recréer, aucun mot de passe de plus. Ce chapitre décrit les prérequis de la jonction, la jonction elle-même, la création du partage et de ses droits selon AGDLP, puis les versions précédentes, l'audit et les erreurs les plus fréquentes.

Ce qui se passe quand Julie ouvre le partage

Julie Lefèvre, comptable, ouvre \\srv-nas\Archives depuis son poste du domaine. Quatre étapes s'enchaînent, en une fraction de seconde :

1. le poste demande au DNS l'adresse de srv-nas.ad.sorbier.example ;
2. le poste demande au contrôleur de domaine un ticket de service Kerberos pour cifs/srv-nas.ad.sorbier.example, à l'aide du ticket obtenu à l'ouverture de session ;
3. le poste ouvre une session SMB 3 sur srv-nas (TCP 445) en présentant ce ticket ; TrueNAS le vérifie avec la clé de son compte d'ordinateur, sans jamais voir le mot de passe de Julie ;
4. TrueNAS traduit l'identité de Julie et de ses groupes (des SID Windows) en identifiants Unix, puis applique l'ACL du dataset.

Le service qui fait ce travail côté TrueNAS est Winbind, un composant de Samba, le logiciel libre qui implémente SMB sur Linux. Le cours Authentification explique le fonctionnement de Kerberos.

Préparer la jonction

La jonction échoue presque toujours pour l'une de ces quatre raisons. Vérifie-les avant de commencer.

Prépare aussi, côté annuaire, l'unité d'organisation où ranger le compte d'ordinateur : OU=Serveurs,OU=Sorbier,DC=ad,DC=sorbier,DC=example, celle du cours Windows Server, pour que srv-nas reçoive les mêmes GPO de sécurité que les autres serveurs membres.

# Sur srv-ad : vérifier que le domaine se résout et que les horloges sont justes
Resolve-DnsName -Type SRV "_ldap._tcp.dc._msdcs.ad.sorbier.example"
w32tm /query /status

Joindre TrueNAS au domaine

1. Credentials > Directory Services, bouton Configure Directory Services.
2. Configuration Type : Active Directory.
3. Cocher Enable Service. Laisser Enable Account Cache (la liste des comptes et des groupes est gardée en cache pour les écrans de droits) et Enable DNS Updates (TrueNAS enregistre lui-même son adresse dans le DNS du domaine).
4. Credential Type : Kerberos User. Username : le nom du compte seul, sans le domaine (par exemple svc-jonction), et son Password.
5. TrueNAS Hostname : srv-nas. Domain Name : ad.sorbier.example. Computer Account OU : OU=Serveurs,OU=Sorbier,DC=ad,DC=sorbier,DC=example.
6. Laisser Use TrueNAS Server IDMAP Defaults coché (voir plus bas), puis Save.

La jonction prend quelques minutes ; le Task Manager, en haut à droite, en suit l'avancement. Quand elle réussit, le widget Active Directory affiche l'état sain du service, et le compte SRV-NAS apparaît dans l'OU des serveurs. Vérifie depuis System > Shell :

wbinfo -t

checking the trust secret for domain SORBIER via RPC calls succeeded

wbinfo -g | grep -i archives

SORBIER\dl_archives_m
SORBIER\dl_archives_l

wbinfo -t teste la relation de confiance entre srv-nas et le domaine ; wbinfo -g liste les groupes du domaine vus par Winbind (wbinfo -u pour les comptes). Si des comptes manquent dans les écrans de droits, le bouton Settings du widget, puis Rebuild Directory Service Cache, recharge le cache.

Les identifiants Unix. Le système de fichiers de TrueNAS stocke des UID et des GID Unix, alors que l'annuaire identifie les comptes par des SID. Le réglage IDMAP dit comment traduire l'un en l'autre. Par défaut, TrueNAS utilise l'algorithme RID : l'UID est calculé à partir de la dernière partie du SID, toujours de la même façon. Deux TrueNAS joints au même domaine avec les mêmes réglages donnent donc le même UID au même utilisateur, ce qui compte pour la réplication du chapitre 9. Ne change ces réglages qu'en connaissant leurs conséquences : une erreur rend les ACL existantes incohérentes.

Créer les groupes AGDLP

Les droits du partage Archives suivent la méthode AGDLP du cours Windows Server : les comptes dans des groupes globaux par fonction, les groupes globaux dans des groupes de domaine local par droit sur la ressource, et les droits donnés aux seuls groupes de domaine local.

$ou = "OU=Groupes,OU=Sorbier,DC=ad,DC=sorbier,DC=example"
New-ADGroup -Name "DL_Archives_M"  -GroupScope DomainLocal -GroupCategory Security -Path $ou `
    -Description "Modification sur \\srv-nas\Archives"
New-ADGroup -Name "DL_Archives_L"  -GroupScope DomainLocal -GroupCategory Security -Path $ou `
    -Description "Lecture sur \\srv-nas\Archives"
New-ADGroup -Name "DL_Archives_CT" -GroupScope DomainLocal -GroupCategory Security -Path $ou `
    -Description "Contrôle total sur \\srv-nas\Archives"
Add-ADGroupMember -Identity "DL_Archives_M"  -Members "GG_Logisticiens"
Add-ADGroupMember -Identity "DL_Archives_L"  -Members "GG_Comptables", "GG_Service_Client"
Add-ADGroupMember -Identity "DL_Archives_CT" -Members "GG_Admins_Stockage"

Ces commandes supposent que les groupes globaux existent déjà dans l'annuaire, comme GG_Comptables et GG_Logisticiens dans le cours Windows Server ; crée ceux qui manquent avec New-ADGroup -GroupScope Global.

Créer le partage SMB

1. Shares, widget Windows (SMB) Shares, bouton Add.
2. Path : parcourir jusqu'à /mnt/tank/archives (ou créer le dataset depuis cet écran avec Create Dataset). TrueNAS refuse le dataset racine d'un pool.
3. Name : Archives, le nom que verront les utilisateurs dans \\srv-nas\Archives.
4. Purpose : Default Share, l'objectif adapté à un partage de fichiers ordinaire. Les autres objectifs répondent à des cas précis :

5. Advanced Options : Access Based Share Enumeration masque les dossiers auxquels l'utilisateur n'a pas accès (il est toujours actif sur un dataset en ACL NFSv4) ; Hosts Allow limite les clients, par exemple 192.168.10.64/26 (les postes), 192.168.10.128/27 (l'entrepôt, d'où arrivent les scans) et 192.168.10.208/28 (l'administration) ; Export Read-Only interdit toute écriture.
6. Save, puis accepter le démarrage du service SMB (ou System > Services, SMB, avec Start Automatically).

Régler l'ACL du dataset. Dans le menu du partage, Edit Filesystem ACL ouvre l'éditeur d'ACL NFSv4 du dataset. Pars du préréglage NFS4_RESTRICTED, puis ajoute trois entrées de type Group : SORBIER\dl_archives_m en Modify, SORBIER\dl_archives_l en Read, SORBIER\dl_archives_ct en Full Control, toutes avec l'héritage Inherit. Coche Apply permissions recursively, puis Save Access Control List. Ne modifie pas l'entrée builtin_users créée par TrueNAS ; laisse l'ACL du partage (Edit Share ACL) à sa valeur par défaut.

Connecter le lecteur sur les postes

Le partage se connecte comme n'importe quel partage Windows : par une préférence de stratégie de groupe Mappages de lecteurs, ciblée sur les groupes concernés (méthode détaillée dans le cours Windows Server), ou à la main :

New-PSDrive -Name "R" -PSProvider FileSystem -Root "\\srv-nas\Archives" -Persist
# Vérifier la version de SMB, la signature et le chiffrement de la session
Get-SmbConnection -ServerName srv-nas | Select-Object ServerName, ShareName, UserName, Dialect, Signed, Encrypted

La colonne Dialect doit afficher 3.1.1. Si Sorbier utilise un espace de noms DFS (\\ad.sorbier.example\Partages), on y ajoute un lien vers \\srv-nas\Archives : les utilisateurs gardent un chemin unique, quel que soit le serveur qui héberge les données.

Les versions précédentes

Sur TrueNAS 25.10, chaque partage SMB expose automatiquement les snapshots de son dataset comme des clichés instantanés Windows. Un utilisateur qui a écrasé un fichier fait un clic droit sur le fichier ou le dossier, Propriétés, onglet Versions précédentes, choisit une date et clique sur Restaurer ou Ouvrir. Il récupère son fichier sans ticket au support. Deux conditions : une tâche de snapshots périodiques sur le dataset (chapitre 9), et des droits de lecture sur le fichier.

Les utilisateurs ne peuvent pas supprimer ces versions depuis un client SMB : seul l'administrateur de TrueNAS supprime des snapshots, depuis l'interface. C'est l'un des piliers de la protection contre les rançongiciels (chapitre 10).

Auditer les accès

Dans les options avancées du partage, Enable Logging active l'audit SMB : TrueNAS enregistre les connexions, les ouvertures, les écritures, les renommages et les suppressions. La Watch List limite l'audit à certains groupes, l'Ignore List en exclut d'autres (par exemple le compte de sauvegarde, très bavard). Les événements se consultent dans System > Audit et partent vers le serveur de journaux de Sorbier, srv-journaux (192.168.10.180), par syslog chiffré, réglé dans System > Advanced Settings (widget Syslog). Un SIEM peut alors repérer une vague de renommages, signe d'un chiffrement en cours.

Dépanner un partage SMB

Exercices