SambaをActive Directoryドメインコントローラとして設定する - 版の履歴

2019年3月6日 (水) 03:39にMeisina04による

2019-03-06T03:39:25Z

← 古い版		2019年3月6日 (水) 12:39時点における版
1行目:		1行目:
	== はじめに ==		= はじめに =

	Sambaはバージョン4.0以降、Active Directory（AD）ドメインコントローラ（DC）として実行できます。実運用環境でSambaを導入する場合は、フェイルオーバーのために、2台以上のDCを実行することをお勧めします。		Sambaはバージョン4.0以降、Active Directory（AD）ドメインコントローラ（DC）として実行できます。実運用環境でSambaを導入する場合は、フェイルオーバーのために、2台以上のDCを実行することをお勧めします。
10行目:		10行目:
	*[https://web.mit.edu/kerberos/ MIT]と[http://www.h5l.se/ Heimdal]Kerberosキー配布センター（KDC）<br />Sambaは、Samba 4.7以降を実行し、<code>--with-system-mitkrb5</code>オプションを使用して構築されている場合は、オペレーティングシステムによって提供されるMIT KDCを使用します。他のケースでは、SambaはSambaに含まれるHeimdal KDCを使用します。 MIT KDCを使用したSambaの詳細については、[https://wiki.samba.org/index.php/Running_a_Samba_AD_DC_with_MIT_Kerberos_KDC Running a Samba AD DC with MIT Kerberos KDC]を参照してください。		*[https://web.mit.edu/kerberos/ MIT]と[http://www.h5l.se/ Heimdal]Kerberosキー配布センター（KDC）<br />Sambaは、Samba 4.7以降を実行し、<code>--with-system-mitkrb5</code>オプションを使用して構築されている場合は、オペレーティングシステムによって提供されるMIT KDCを使用します。他のケースでは、SambaはSambaに含まれるHeimdal KDCを使用します。 MIT KDCを使用したSambaの詳細については、[https://wiki.samba.org/index.php/Running_a_Samba_AD_DC_with_MIT_Kerberos_KDC Running a Samba AD DC with MIT Kerberos KDC]を参照してください。

	== インストールの準備 ==		= インストールの準備 =

	* AD DCのホスト名を選択します。		* AD DCのホスト名を選択します。
58行目:		58行目:
	# rm /etc/krb5.conf		# rm /etc/krb5.conf

	== Sambaのインストール ==		= Sambaのインストール =

	詳細は、[[Sambaのインストール]]を参照して下さい。		詳細は、[[Sambaのインストール]]を参照して下さい。
67行目:		67行目:
	}}		}}

	== Samba Active Directoryをプロビジョニングする ==		= Samba Active Directoryをプロビジョニングする =

	Samba ADのプロビジョニングプロセスは、ADデータベースを作成し、ドメインの管理者アカウント（Administrator）や必要なDNSレコードなどの初期のレコードを追加します。		Samba ADのプロビジョニングプロセスは、ADデータベースを作成し、ドメインの管理者アカウント（Administrator）や必要なDNSレコードなどの初期のレコードを追加します。
90行目:		90行目:
	}}		}}

	=== パラメータの説明 ===		== パラメータの説明 ==

	プロビジョニングの時には、以下のパラメータをセットします。		プロビジョニングの時には、以下のパラメータをセットします。
146行目:		146行目:
	}}		}}

	=== Sanba ADを対話モードでプロビジョニング ===		== Sanba ADを対話モードでプロビジョニング ==

	対話的にSamba ADをプロビジョニングするには、次のように実行してください：		対話的にSamba ADをプロビジョニングするには、次のように実行してください：
204行目:		204行目:
	}}		}}

	=== 非対話モードでSamba ADをプロビジョニングする ===		== 非対話モードでSamba ADをプロビジョニングする ==

	例として、以下のセッティングでSamba ADを非対話的にプロビジョニングするには：		例として、以下のセッティングでSamba ADを非対話的にプロビジョニングするには：
217行目:		217行目:
	# samba-tool domain provision --server-role=dc --use-rfc2307 --dns-backend=SAMBA_INTERNAL --realm=SAMDOM.EXAMPLE.COM --domain=SAMDOM --adminpass=Passw0rd		# samba-tool domain provision --server-role=dc --use-rfc2307 --dns-backend=SAMBA_INTERNAL --realm=SAMDOM.EXAMPLE.COM --domain=SAMDOM --adminpass=Passw0rd

	== AD DNSバックエンドを設定する ==		= AD DNSバックエンドを設定する =

	<code>SAMBA_INTERNAL</code> DNSバックエンドを利用するようにプロビジョニングした場合、この項目は飛ばして下さい。		<code>SAMBA_INTERNAL</code> DNSバックエンドを利用するようにプロビジョニングした場合、この項目は飛ばして下さい。
228行目:		228行目:
	サービスをどのように起動させるのかについては、ディストリビューションのドキュメントを参照してください。		サービスをどのように起動させるのかについては、ディストリビューションのドキュメントを参照してください。

	== DNSリゾルバーを構成する ==		= DNSリゾルバーを構成する =

	ADのドメインメンバーは、LDAPやKerberosなどのサービスを見つけるためにDNSを利用します。そのため、AD DNSゾーンを解決できるDNSサーバを利用する必要があります。		ADのドメインメンバーは、LDAPやKerberosなどのサービスを見つけるためにDNSを利用します。そのため、AD DNSゾーンを解決できるDNSサーバを利用する必要があります。
251行目:		251行目:
	逆引きゾーンは、Sanba や BINDを再起動することなく直接稼働します。		逆引きゾーンは、Sanba や BINDを再起動することなく直接稼働します。

	== Kerberosを構成する ==		= Kerberosを構成する =

	ADでは、Kerberosはユーザー、マシンやサービスの認証に利用します。		ADでは、Kerberosはユーザー、マシンやサービスの認証に利用します。
267行目:		267行目:
	予め作成されたKerberos設定ファイルは、KDCを見つけるためにDNSサービス(SRV)リソースレコードを使います。		予め作成されたKerberos設定ファイルは、KDCを見つけるためにDNSサービス(SRV)リソースレコードを使います。

	== Samba AD DCをテストする ==		= Samba AD DCをテストする =

	<code>samba</code>サービスを起動するには、次のように入力します：		<code>samba</code>サービスを起動するには、次のように入力します：
278行目:		278行目:
	* もしソースからビルドしたのであれば、「[[Samba AD DCサービスの管理]]」を参照してください。		* もしソースからビルドしたのであれば、「[[Samba AD DCサービスの管理]]」を参照してください。

	=== ファイルサーバーの確認 ===		== ファイルサーバーの確認 ==

	DCによって提供されている全ての共有の一覧を表示するには：		DCによって提供されている全ての共有の一覧を表示するには：
315行目:		315行目:
	一つ以上のテストに失敗した場合は、「[[#トラブルシューティング\|トラブルシューティング]]」を参照してください。		一つ以上のテストに失敗した場合は、「[[#トラブルシューティング\|トラブルシューティング]]」を参照してください。

	=== DNSの確認 ===		== DNSの確認 ==

	AD DNSの設定が正しく動作していることを確認するために、DNSレコードを問い合わせます。		AD DNSの設定が正しく動作していることを確認するために、DNSレコードを問い合わせます。
336行目:		336行目:
	一つ以上のテストに失敗した場合は、「[[#トラブルシューティング\|トラブルシューティング]]」を参照してください。		一つ以上のテストに失敗した場合は、「[[#トラブルシューティング\|トラブルシューティング]]」を参照してください。

	=== Kerberosの確認 ===		== Kerberosの確認 ==

	* ドメイン管理者アカウントのKerberosチケットを要求します。		* ドメイン管理者アカウントのKerberosチケットを要求します。
360行目:		360行目:
	もし一つでもテストが失敗した場合は、「[[#トラブルシューティング\|トラブルシューティング]]」を参照してください。		もし一つでもテストが失敗した場合は、「[[#トラブルシューティング\|トラブルシューティング]]」を参照してください。

	== 時刻同期の設定 ==		= 時刻同期の設定 =

	Kerberosは全てのドメインメンバに対して、時刻の同期を要求します。さらなる詳細と、<code>ntpd</code>サービスの設定方法については、「[[時刻の同期]]」を参照して下さい。		Kerberosは全てのドメインメンバに対して、時刻の同期を要求します。さらなる詳細と、<code>ntpd</code>サービスの設定方法については、「[[時刻の同期]]」を参照して下さい。
395行目:		395行目:


	== トラブルシューティング ==		= トラブルシューティング =

	詳細は、「[[Samba AD DCトラブルシューティング]]」を参照してください。		詳細は、「[[Samba AD DCトラブルシューティング]]」を参照してください。


	== さらなるSambaに関するドキュメント ==		= さらなるSambaに関するドキュメント =

	「[[ユーザードキュメント]]」		「[[ユーザードキュメント]]」

Meisina04: /* ドメインコントローラをファイルサーバーとして使う */

2019-03-06T03:35:28Z

ドメインコントローラをファイルサーバーとして使う

← 古い版		2019年3月6日 (水) 12:35時点における版
394行目:		394行目:



	~~== ドメインコントローラをファイルサーバーとして使う ==~~

	Samba AD DC は、その他すべてのインストールモードと同様、ファイル共有を提供しています。しかしながら、SambaチームはDCをファイルサーバとして利用することを推奨しません。なぜなら、DCの<code>smbd</code>プロセスは、非DCでセットアップしたサービスと比較して、いくらかの制限があります。例えば、自動有効化されている<code>acl_xattr</code>仮想ファイルシステム(VFS)オブジェクトを使用すると、Windowsアクセスコントロールリスト(ACL)を使用して共有のみを構成できます。Samba DCでPOXIX ACLを利用しての共有の実行は、サポートされていません。
	Sambaの全ての機能を使ってネットワーク共有を提供するためには、ファイル共有でSambaのドメインメンバーを設定してください。詳細は以下を参照してください：

	* Sambaをドメインメンバとして設定する
	* Sambaファイルサーバ

	もし、Sambaチームの推奨に反して、DCをさらにファイルサーバとしても使用したいのであれば、共有を設定する前にWinbinddを構成してください。詳細は、「[[Samba AD DCでのWinbinddの設定]]」を参照してください。

	== トラブルシューティング ==		== トラブルシューティング ==

Meisina04: /* ドメインコントローラをファイルサーバーとして使う */

2019-03-06T03:35:06Z

ドメインコントローラをファイルサーバーとして使う

← 古い版		2019年3月6日 (水) 12:35時点における版
383行目:		383行目:
	* [[Sambaファイルサーバ]]		* [[Sambaファイルサーバ]]

	小さなドメイン（小規模オフィス、家庭ネットワーク）しかなく、なおかつSambaチームの推奨に従って、DCを追加のファイルサーバとして使用したくない場合は、共有を設定を開始する前にWinbindを設定してください。詳細は[[Samba_AD_DC上でのWinbinddの設定\|Samba AD DC上でのWinbinddの設定]]		小さなドメイン（小規模オフィス、家庭ネットワーク）しかなく、なおかつSambaチームの推奨に従って、DCを追加のファイルサーバとして使用したくない場合は、共有を設定を開始する前にWinbindを設定してください。詳細は[[Samba_AD_DC上でのWinbinddの設定\|Samba AD DC上でのWinbinddの設定]]を参照してください。


	{{Imbox		{{Imbox
	\| type = ~~important~~		\| type = content
	\| text = ~~If you do use an~~ AD ~~DC as a fileserver, do not add any of the '~~idmap config~~' lines used on a Unix domain member. They will not work and will cause problems.~~		\| style = margin:4px 2%;
			\| text = AD DCをファイルサーバとして使用しない場合は、Unixドメインメンバーで使用される`idmap config`の行を追加しないでください。これらは機能しませんし、問題を引き起こすかもしれません。
	}}		}}

Meisina04: /* ドメインコントローラをファイルサーバーとして使う */

2019-03-06T03:31:31Z

ドメインコントローラをファイルサーバーとして使う

← 古い版		2019年3月6日 (水) 12:31時点における版
383行目:		383行目:
	* [[Sambaファイルサーバ]]		* [[Sambaファイルサーバ]]

	小さなドメイン（小規模オフィス、家庭ネットワーク）しかなく、なおかつSambaチームの推奨に従って、DCを追加のファイルサーバとして使用したくない場合は、共有を設定を開始する前にWinbindを設定してください。詳細は[Samba_AD_DC上でのWinbinddの設定\|[Samba AD DC上でのWinbinddの設定]]		小さなドメイン（小規模オフィス、家庭ネットワーク）しかなく、なおかつSambaチームの推奨に従って、DCを追加のファイルサーバとして使用したくない場合は、共有を設定を開始する前にWinbindを設定してください。詳細は[[Samba_AD_DC上でのWinbinddの設定\|Samba AD DC上でのWinbinddの設定]]
	If you only have a small domain (small office, home network) and do not want to follow the Samba team's recommendation and use the DC additionally as a file server, configure Winbindd before you start setting up shares. For details, see [[Configuring_Winbindd_on_a_Samba_AD_DC\|Configuring Winbindd on a Samba AD DC]].

Meisina04: /* ドメインコントローラをファイルサーバーとして使う */

2019-03-06T03:30:53Z

ドメインコントローラをファイルサーバーとして使う

← 古い版		2019年3月6日 (水) 12:30時点における版
374行目:		374行目:
	* 必須のsmb署名がDCで実施されるようになります。		* 必須のsmb署名がDCで実施されるようになります。

	Samba ~~DCをファイルサーバーとして使用すると決めた場合は、別のSamba~~ Unix ~~ドメインメンバーを含んでいるDCのVM上で実行し、代わりにこれを使用することを検討してください。~~		Samba DCをファイルサーバとして使用すると決めた場合は、別のSamba Unix ドメインメンバーを持つ、DC上の仮想マシンで実行し、代わりにこれを使用することを検討してください。
	~~If you do decide to use the Samba DC as a fileserver, please consider running a VM, on the DC, containing a separate Samba Unix domain member and use this instead.~~

	~~If you must use the Samba DC as a fileserver, you should be aware that the auto-enabled~~ <code>acl_xattr</code> ~~virtual file system~~ (VFS) ~~object enables you to only configure shares with Windows access control lists~~ (ACL)~~. Using POSIX ACLs with shares on a Samba DC does not work.~~		どうしてもSamba DCをファイルサーバとして使用しなければいけない場合、<code>acl_xattr</code>が自動有効化された仮想ファイルシステム(VFS)オブジェクトは、Windows アクセス制御リスト (ACL)だけが、共有の設定が可能なことを承知してください。Samba DC上の共有でPOSIX ACLを使用しても機能しません。


	~~To provide network shares with the full capabilities of Samba, set up a Samba domain member with file shares. For details, see~~:		ネットワーク共有にSambaの全機能を提供するには、ファイル共有でSambaドメインメンバーを設定します。詳細は次の通り:
	* [[~~Setting_up_Samba_as_a_Domain_Member\|Setting up Samba as a Domain Member~~]]		* [[Sambaをドメインメンバーとして設定]]
	* [[~~Samba_File_Serving\|Samba File Serving~~]]		* [[Sambaファイルサーバ]]


			小さなドメイン（小規模オフィス、家庭ネットワーク）しかなく、なおかつSambaチームの推奨に従って、DCを追加のファイルサーバとして使用したくない場合は、共有を設定を開始する前にWinbindを設定してください。詳細は[Samba_AD_DC上でのWinbinddの設定\|[Samba AD DC上でのWinbinddの設定]]
	If you only have a small domain (small office, home network) and do not want to follow the Samba team's recommendation and use the DC additionally as a file server, configure Winbindd before you start setting up shares. For details, see [[Configuring_Winbindd_on_a_Samba_AD_DC\|Configuring Winbindd on a Samba AD DC]].		If you only have a small domain (small office, home network) and do not want to follow the Samba team's recommendation and use the DC additionally as a file server, configure Winbindd before you start setting up shares. For details, see [[Configuring_Winbindd_on_a_Samba_AD_DC\|Configuring Winbindd on a Samba AD DC]].

Meisina04: /* ドメインコントローラをファイルサーバーとして使う */

2019-03-06T02:46:46Z

ドメインコントローラをファイルサーバーとして使う

← 古い版		2019年3月6日 (水) 11:46時点における版
371行目:		371行目:
	* 以降すべき複雑なデータや他のサービスが関与しないので、一年か二年毎のホストOSの更新も含め、DCの更新をおすすめします。		* 以降すべき複雑なデータや他のサービスが関与しないので、一年か二年毎のホストOSの更新も含め、DCの更新をおすすめします。
	* これはアップグレードは、新しくインストールすることによって、Sambaでよりよくテストされた変更を複製し、新しい機能を得て、長引くデータ破損のリスクの回避が実行され得ることを意味をします。(原文: This means upgrades can be done by installing fresh, and replicating in the changes, which is better tested in Samba, gains new features and avoids a number of lingering data corruption risks. )		* これはアップグレードは、新しくインストールすることによって、Sambaでよりよくテストされた変更を複製し、新しい機能を得て、長引くデータ破損のリスクの回避が実行され得ることを意味をします。(原文: This means upgrades can be done by installing fresh, and replicating in the changes, which is better tested in Samba, gains new features and avoids a number of lingering data corruption risks. )
	* The DC and file-server have different points at which an organisation would wish to upgrade. The needs for new features on the DC and file server come at different times. Currently the AD DC is evolving rapidly to gain features, whereas the fileserver, after over 20 years, is quite rightly more conservative.		* DCとファイルサーバでは、組織がアップグレードしようと望むポイントが違います。DCとファイルサーバの新機能に対するニーズは、違う時期にやってきます。現在、AD DCは機能を増やすために急速に進化していますが、一方でファイルサーバーは、20年以上経っても、かなり保守的です。
	* ~~mandatory smb signing is enforced on the DC.~~		* 必須のsmb署名がDCで実施されるようになります。


			Samba DCをファイルサーバーとして使用すると決めた場合は、別のSamba Unix ドメインメンバーを含んでいるDCのVM上で実行し、代わりにこれを使用することを検討してください。
	If you do decide to use the Samba DC as a fileserver, please consider running a VM, on the DC, containing a separate Samba Unix domain member and use this instead.		If you do decide to use the Samba DC as a fileserver, please consider running a VM, on the DC, containing a separate Samba Unix domain member and use this instead.

Meisina04: /* ドメインコントローラをファイルサーバーとして使う */

2019-03-06T02:20:07Z

ドメインコントローラをファイルサーバーとして使う

← 古い版		2019年3月6日 (水) 11:20時点における版
363行目:		363行目:

	Kerberosは全てのドメインメンバに対して、時刻の同期を要求します。さらなる詳細と、<code>ntpd</code>サービスの設定方法については、「[[時刻の同期]]」を参照して下さい。		Kerberosは全てのドメインメンバに対して、時刻の同期を要求します。さらなる詳細と、<code>ntpd</code>サービスの設定方法については、「[[時刻の同期]]」を参照して下さい。

			= ドメインコントローラをファイルサーバーとして使う =

			Samba AD DC は、その他すべてのインストールモードと同様、ファイル共有を提供しています。しかしながら、SambaチームはDCをファイルサーバとして利用することを推奨しません:

			* 最も小さな組織以外では、複数のDCを持つことは、本当に良いバックアップ手段であり、アップグレードをより安全にします。
			* 以降すべき複雑なデータや他のサービスが関与しないので、一年か二年毎のホストOSの更新も含め、DCの更新をおすすめします。
			* これはアップグレードは、新しくインストールすることによって、Sambaでよりよくテストされた変更を複製し、新しい機能を得て、長引くデータ破損のリスクの回避が実行され得ることを意味をします。(原文: This means upgrades can be done by installing fresh, and replicating in the changes, which is better tested in Samba, gains new features and avoids a number of lingering data corruption risks. )
			* The DC and file-server have different points at which an organisation would wish to upgrade. The needs for new features on the DC and file server come at different times. Currently the AD DC is evolving rapidly to gain features, whereas the fileserver, after over 20 years, is quite rightly more conservative.
			* mandatory smb signing is enforced on the DC.


			If you do decide to use the Samba DC as a fileserver, please consider running a VM, on the DC, containing a separate Samba Unix domain member and use this instead.

			If you must use the Samba DC as a fileserver, you should be aware that the auto-enabled <code>acl_xattr</code> virtual file system (VFS) object enables you to only configure shares with Windows access control lists (ACL). Using POSIX ACLs with shares on a Samba DC does not work.


			To provide network shares with the full capabilities of Samba, set up a Samba domain member with file shares. For details, see:
			* [[Setting_up_Samba_as_a_Domain_Member\|Setting up Samba as a Domain Member]]
			* [[Samba_File_Serving\|Samba File Serving]]


			If you only have a small domain (small office, home network) and do not want to follow the Samba team's recommendation and use the DC additionally as a file server, configure Winbindd before you start setting up shares. For details, see [[Configuring_Winbindd_on_a_Samba_AD_DC\|Configuring Winbindd on a Samba AD DC]].


			{{Imbox
			\| type = important
			\| text = If you do use an AD DC as a fileserver, do not add any of the 'idmap config' lines used on a Unix domain member. They will not work and will cause problems.
			}}




	== ドメインコントローラをファイルサーバーとして使う ==		== ドメインコントローラをファイルサーバーとして使う ==

Meisina04: /* Samba AD DCでWinbinddを構成する */

2019-03-06T01:55:51Z

Samba AD DCでWinbinddを構成する

← 古い版		2019年3月6日 (水) 10:55時点における版
363行目:		363行目:

	Kerberosは全てのドメインメンバに対して、時刻の同期を要求します。さらなる詳細と、<code>ntpd</code>サービスの設定方法については、「[[時刻の同期]]」を参照して下さい。		Kerberosは全てのドメインメンバに対して、時刻の同期を要求します。さらなる詳細と、<code>ntpd</code>サービスの設定方法については、「[[時刻の同期]]」を参照して下さい。

	~~== Samba AD DCでWinbinddを構成する ==~~

	~~DCをファイルサーバとして利用する時に飲み必要です。詳細は「[[Samba AD DCでのWinbinddの設定]]」を参照してください。~~

	== ドメインコントローラをファイルサーバーとして使う ==		== ドメインコントローラをファイルサーバーとして使う ==

Meisina04: /* DNSリゾルバーを構成する */

2019-03-06T01:46:31Z

DNSリゾルバーを構成する

@@ 236行目: / 236行目: @@
   domain samdom.example.com
   nameserver 10.99.0.1
 == Kerberosを構成する ==

Meisina04: /* AD DNSバックエンドを設定する */

2019-03-06T01:39:42Z

AD DNSバックエンドを設定する

← 古い版		2019年3月6日 (水) 10:39時点における版
221行目:		221行目:
	<code>SAMBA_INTERNAL</code> DNSバックエンドを利用するようにプロビジョニングした場合、この項目は飛ばして下さい。		<code>SAMBA_INTERNAL</code> DNSバックエンドを利用するようにプロビジョニングした場合、この項目は飛ばして下さい。

	* BIND DNSサーバーと<code>BIND_DLZ</code>モジュールを設定します。詳細は、「[[BIND ~~DNSサーバーを設定する~~]]」を参照してください。		* BIND DNSサーバーと<code>BIND_DLZ</code>モジュールを設定します。詳細は、「[[BIND DNSサーバーの設定]]」を参照してください。
	* BIND DNSサーバーを起動します。例：		* BIND DNSサーバーを起動します。例：