TrueNAS SMB Shares mit Active Directory: Dateifreigaben für Unternehmen

Dateifreigaben gehören zu den Grundpfeilern jeder Unternehmens-IT. Ob Projektordner, Abteilungslaufwerke oder persönliche Home-Verzeichnisse — der Zugriff muss schnell, sicher und zentral verwaltbar sein. TrueNAS mit SMB und Active-Directory-Anbindung liefert genau das: Enterprise-taugliches File Sharing auf Basis von ZFS, ohne Lizenzkosten für proprietäre Storage-Systeme.

Dieser Artikel zeigt, wie Sie TrueNAS in eine bestehende Active-Directory-Domäne einbinden und SMB-Freigaben mit granularen Berechtigungen einrichten.

Warum SMB mit Active Directory?

SMB (Server Message Block) ist das Standard-Protokoll für Dateifreigaben in Windows-Umgebungen. Ohne Active Directory müssten Sie lokale Benutzer auf dem TrueNAS-System pflegen — bei 50 oder 500 Mitarbeitern ein Albtraum. Die AD-Integration bringt entscheidende Vorteile:

• Zentrale Benutzerverwaltung: Benutzer und Gruppen werden ausschließlich im Active Directory gepflegt. Kein doppeltes Anlegen, kein manueller Abgleich.
• Single Sign-On: Mitarbeiter melden sich einmal an der Domäne an und greifen ohne erneute Passworteingabe auf alle Freigaben zu.
• Granulare ACLs: Windows-ACLs (Access Control Lists) ermöglichen Berechtigungen bis auf Dateiebene — deutlich feiner als POSIX-Rechte.
• Audit-Fähigkeit: Wer hat wann auf welche Datei zugegriffen? Mit AD-Integration lassen sich Zugriffe personenbezogen protokollieren.

Voraussetzungen

Bevor TrueNAS der Domäne beitreten kann, müssen drei Grundvoraussetzungen erfüllt sein:

DNS-Konfiguration

TrueNAS muss den Domain Controller über DNS auflösen können. Tragen Sie die IP-Adresse Ihres AD-DNS-Servers als primären DNS-Server auf dem TrueNAS-System ein:

Network > Global Configuration
  Nameserver 1:  10.0.1.10 (Domain Controller)
  Domain:        firma.local

Prüfen Sie die Namensauflösung vorab per Shell: nslookup firma.local muss die IP des Domain Controllers zurückliefern. Eine fehlerhafte DNS-Konfiguration ist die häufigste Ursache für fehlgeschlagene Domain Joins.

Zeitsynchronisation (NTP)

Kerberos — das Authentifizierungsprotokoll hinter Active Directory — toleriert maximal fünf Minuten Zeitabweichung. Konfigurieren Sie TrueNAS so, dass es die Zeit vom Domain Controller bezieht:

System > General > NTP Servers
  Server:  10.0.1.10 (Domain Controller)

Domain Controller

Ein funktionierender Active-Directory-Domain-Controller mit Windows Server (2016 oder neuer) ist Voraussetzung. Das Konto, mit dem TrueNAS der Domäne beitritt, benötigt Rechte zum Erstellen von Computer-Objekten in der Ziel-OU.

TrueNAS der Active Directory beitreten

Der Domain Join erfolgt unter Directory Services > Active Directory:

Directory Services > Active Directory
  Domain Name:    firma.local
  Domain Account: truenas-join (Dienstkonto mit Join-Rechten)
  Domain Password: ********
  Enable:         checked

Nach dem Klick auf Save tritt TrueNAS der Domäne bei. Prüfen Sie den Status unter Directory Services: Der Zustand muss Healthy anzeigen. Im Active Directory erscheint TrueNAS als Computer-Objekt in der Standard-OU Computers (oder der von Ihnen konfigurierten OU).

Wichtig: Verwenden Sie für den Domain Join ein dediziertes Dienstkonto — niemals ein persönliches Admin-Konto. So bleibt der Join auch bei Passwortwechseln des Admins bestehen.

SMB-Freigaben mit ACLs einrichten

Dataset erstellen

Erstellen Sie zunächst ein ZFS-Dataset für die Freigabe. Der entscheidende Punkt: Setzen Sie den Share Type auf SMB, damit TrueNAS automatisch die richtigen ACL-Einstellungen wählt.

Storage > Pools > [Ihr Pool] > Add Dataset
  Name:        abteilung-finanzen
  Share Type:  SMB
  Case Sensitivity: Insensitive (Windows-kompatibel)

Freigabe anlegen

Sharing > Windows Shares (SMB) > Add
  Path:         /mnt/tank/abteilung-finanzen
  Name:         Finanzen
  Purpose:      Default Share
  Enable:       checked

Berechtigungen konfigurieren

Nach dem Erstellen der Freigabe setzen Sie die ACLs auf dem Dataset. Navigieren Sie zu Storage > Pools > Dataset > Edit Permissions und wechseln Sie zum ACL Manager:

Owner:         FIRMA\domain-admins
ACL Entries:
  FIRMA\GRP-Finanzen        — Full Control
  FIRMA\GRP-Finanzen-RO     — Read & Execute
  FIRMA\Domain Admins       — Full Control

Berechtigungen richtig planen: Gruppen statt Benutzer

Die wichtigste Regel für nachhaltige Berechtigungsstrukturen: Vergeben Sie Rechte ausschließlich an Gruppen, niemals an einzelne Benutzer. In der Praxis bewährt sich das AGDLP-Prinzip:

• Account wird Mitglied einer Globalen Gruppe
• Globale Gruppe wird Mitglied einer Domänen-Lokalen Gruppe
• Domänen-Lokale Gruppe erhält die Permission auf der Freigabe

Wenn ein Mitarbeiter die Abteilung wechselt, ändern Sie nur die Gruppenmitgliedschaft im AD — nicht die ACLs auf dem Storage. Bei 20 Freigaben mit je drei Berechtigungsstufen macht das den Unterschied zwischen fünf Minuten und einer Stunde Administrationsaufwand.

Home Directories: Persönliche Laufwerke

TrueNAS unterstützt automatische Home Directories für AD-Benutzer. Aktivieren Sie die Option in der SMB-Freigabe:

Sharing > Windows Shares (SMB) > Add
  Path:         /mnt/tank/homes
  Name:         homes
  Purpose:      Home Directories
  Use as Home Share: checked

Beim ersten Zugriff legt TrueNAS automatisch ein Unterverzeichnis mit dem AD-Benutzernamen an. Per Gruppenrichtlinie (GPO) können Sie das Home-Laufwerk als H:\ verbinden:

User Configuration > Preferences > Windows Settings > Drive Maps
  Drive:   H:
  Path:    \\truenas\homes
  Reconnect: checked

Shadow Copies mit ZFS-Snapshots

Ein großer Vorteil von TrueNAS: ZFS-Snapshots werden automatisch als Windows Shadow Copies bereitgestellt. Benutzer können gelöschte oder überschriebene Dateien selbst wiederherstellen — über Rechtsklick > Eigenschaften > Vorherige Versionen.

Konfigurieren Sie periodische Snapshots unter Tasks > Periodic Snapshot Tasks:

Dataset:      tank/abteilung-finanzen
Lifetime:     2 Wochen
Schedule:     Stuendlich (Geschaeftszeiten), taeglich (nachts)
Naming:       auto-%Y-%m-%d_%H-%M

Shadow Copies reduzieren Helpdesk-Tickets für Dateiwiederherstellungen drastisch und entlasten Ihr Backup-System von einzelnen Restore-Anfragen.

Performance-Tuning

SMB Multichannel

SMB Multichannel nutzt mehrere Netzwerkverbindungen parallel und steigert sowohl Durchsatz als auch Ausfallsicherheit. Voraussetzung: TrueNAS und die Clients verfügen über mindestens zwei Netzwerkschnittstellen im selben Subnetz.

SMB Multichannel ist in TrueNAS SCALE standardmäßig aktiviert. Prüfen Sie auf der Client-Seite mit PowerShell:

Get-SmbMultichannelConnection -ServerName truenas

Jumbo Frames und Netzwerk

Für maximalen Durchsatz bei großen Dateien:

• MTU 9000 auf allen beteiligten Interfaces und Switches
• Dediziertes Storage-VLAN für SMB-Traffic
• 10 GbE oder schneller — bei 50+ gleichzeitigen Benutzern ist 1 GbE ein Flaschenhals

Häufige Probleme beim AD Join

• DNS-Auflösung fehlerhaft: TrueNAS kann den Domain Controller nicht finden. Prüfen Sie nslookup und stellen Sie sicher, dass der AD-DNS-Server als primärer DNS konfiguriert ist.
• Zeitabweichung zu groß: Kerberos verweigert die Authentifizierung bei mehr als fünf Minuten Differenz. NTP auf den Domain Controller setzen und Synchronisation prüfen.
• Falsches Konto oder fehlende Rechte: Das Join-Konto braucht die Berechtigung, Computer-Objekte in der Ziel-OU zu erstellen. Ein normales Benutzerkonto reicht nicht aus.
• Reverse-DNS fehlt: Manche AD-Konfigurationen erfordern einen funktionierenden PTR-Record für die TrueNAS-IP. Legen Sie den Eintrag in der Reverse-Lookup-Zone an.
• SMB-Dienst startet nicht: Nach dem Domain Join muss der SMB-Dienst unter Services aktiv und auf Auto-Start gesetzt sein.

Monitoring mit DATAZONE Control

Dateifreigaben sind geschäftskritisch — ein Ausfall bedeutet sofortigen Produktivitätsverlust. Mit DATAZONE Control überwachen wir die gesamte SMB-Infrastruktur:

• Freigabe-Verfügbarkeit: SMB-Dienststatus und AD-Verbindungszustand
• Storage-Kapazität: Dataset-Belegung, Snapshot-Verbrauch, Pool-Auslastung
• Performance-Metriken: IOPS, Durchsatz, Latenz auf den SMB-Shares
• ZFS-Gesundheit: Scrub-Status, Checksum-Fehler, Disk-SMART-Werte

Schwellenwert-basierte Alarme warnen frühzeitig — bevor ein volles Dataset den Zugriff für die gesamte Abteilung blockiert.

Fazit

TrueNAS mit Active-Directory-Anbindung liefert Enterprise-File-Sharing ohne Enterprise-Preise. SMB-Freigaben mit Windows-ACLs, automatische Home Directories, Shadow Copies durch ZFS-Snapshots und SMB Multichannel für Performance — das sind Funktionen, die sonst nur in teuren proprietären Systemen zu finden sind.

Der Schlüssel liegt in der Vorbereitung: DNS und NTP müssen stimmen, Berechtigungen gehören auf Gruppen und nicht auf Benutzer, und ohne Monitoring wird aus einer kleinen Störung schnell ein großes Problem.

---

Sie möchten TrueNAS als zentrale Dateifreigabe in Ihrer Active-Directory-Umgebung einsetzen? Kontaktieren Sie uns — wir planen und implementieren Ihre SMB-Infrastruktur von der AD-Integration bis zum Monitoring.