域用户开共享不用再输密码：SMB Kerberos 设置与 keytab 导入
公司 NAS 加了域，员工开机用的是域账号，可一打开 NAS 共享又弹出密码框再输一遍——每天全公司为这一下多敲几千次密码。这就是 SMB 没走 Kerberos 单点登录的样子。NAS 的 SMB 服务配好 Kerberos 后，域用户访问共享文件夹复用登录域时拿到的票据，不再二次输密码。贵州诚鑫致达科技给 AD 环境客户交付 NAS 时，「共享免二次认证」是体验验收的固定一项。
配置逻辑与步骤
-
分清两种环境的差异：NAS 已加入 Active Directory 时，Kerberos keytab 文件会自动导入，基本不用手工干预；NAS 接的是 LDAP 目录时，则必须手动导入 Kerberos keytab 文件。为什么：多数「要不要手动导 keytab」的疑问，答案取决于你加的是 AD 还是 LDAP，先认环境再动手。
-
LDAP 环境导入 keytab：进 SMB 服务的 Kerberos 设置页，单击导入并选择 keytab 文件。文件必须是 .keytab 扩展名且不超过 500 KB；导入新文件会覆盖系统里已有的文件。为什么：keytab 是服务与密钥分发中心之间的身份凭证，格式与大小限制是硬约束，超了就换生成方式。
-
导入不等于配完：官方明确，仅导入 keytab 并不能完成设置——KDC 与 DNS 等系统中 Kerberos 相关配置也要正确，验证才能通。为什么：Kerberos 对时间同步和 DNS 解析高度敏感，NAS 与域控时钟偏差、SRV 记录缺失都会让票据拿不到。
-
验证认证状态：到控制面板 > 域/LDAP 的「SMB 验证」部分查看认证状态，确认 Kerberos 链路就绪。为什么：状态页是最快的体检入口，比拿客户端反复试错高效。
-
客户端侧配套：域内电脑用域账号登录后访问共享，凭票据直接进入；如果员工本机登的是本地账号而非域账号，二次密码框还是会出——这不是配置失效，是账号体系没对上。为什么：跟使用方讲清「本机要用域账号登录」，能省掉一半的售后工单。
-
删除与回退路径：LDAP 环境下删除 keytab 后，LDAP 用户将无法通过 Kerberos 做 SMB 验证；为保证仍可访问，需启用其他验证方式兜底。为什么：换 keytab 或调整目录时留好回退路，共享访问不中断。
三条边界先知道
- 时间同步是生命线：Kerberos 票据对时间敏感，NAS 与域控的 NTP 同步要常态化盯。
- DNS 要能双向解析：主机名解析不通，票据请求找不到对象，表现就是反复弹密码。
- 本地账号走原路：Kerberos 只覆盖域/LDAP 账号，本地用户的访问逻辑不变，两套账号并行的环境要分别验证。
一次配置，全公司少敲一年密码，这笔账在 AD 环境里特别容易算。你的 NAS 共享，员工每天要多输几次密码？
企业存储选型参考｜贵州诚鑫致达
做机房存储、虚拟化或监控归档，群晖机型参考：FS6400（全闪存阵列） · SA3610 · SA3410。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。