SambaをActive Directoryドメインコントローラとして設定する

提供：雑廉堂Wiki
2018年3月21日 (水) 10:00時点におけるMeisina04 (トーク | 投稿記録)による版 (→‎インストールの準備)

はじめに

Sambaはバージョン4.0以降、Active Directory（AD）ドメインコントローラ（DC）として実行できます。実運用環境でSambaを導入する場合は、フェイルオーバーのために、2台以上のDCを実行することをお勧めします。

このドキュメントでは、新しいADフォレストを構築する最初のDCとしてSambaを設定する方法について説明します。さらに、Samba NT4ドメインをSamba ADに移行する場合は、このドキュメントを使用してください。既存のADフォレストに追加のDCとしてSambaに参加するには、Samba DCを既存のActive Directoryに参加させるを参照してください。

AD DCとしてのSambaのみがサポートしています：

  • ADのバックエンドとして、統合されたLDAPサーバー。詳細については、よくある質問（FAQ）のDoes Samba AD DCs Support OpenLDAP or Other LDAP Servers as Back End?を参照してください。
  • MITとHeimdalKerberosキー配布センター（KDC）
    Sambaは、Samba 4.7以降を実行し、--with-system-mitkrb5オプションを使用して構築されている場合は、オペレーティングシステムによって提供されるMIT KDCを使用します。他のケースでは、SambaはSambaに含まれるHeimdal KDCを使用します。 MIT KDCを使用したSambaの詳細については、Running a Samba AD DC with MIT Kerberos KDCを参照してください。

インストールの準備

  • AD DCのホスト名を選択します。
PDCまたはBDCなどのホスト名としてNT4のみの用語を使用しないでください。これらのモードはADに存在せず、混乱の原因となります。
  • ADフォレストのDNSドメインを選択します。この名前は、AD Kerberos realm としても使用されます。

{{#invoke:Message box|imbox}}

詳細については、「Active Directory 名前付けに関するよくある質問」を参照してください。
  • DC上で静的IPアドレスを使用します。
  • /etc/resolv.conf DNSリゾルバ設定ファイルを自動的に更新するresolvconfなどのツールを無効にします。 AD DCとドメインメンバーは、AD DNSゾーンを解決できるDNSサーバーを使用する必要があります。
  • 実行中のSambaプロセスがないことを確認します。
# ps ax | egrep "samba | smbd | nmbd | winbindd"
出力にsamba、smbd、nmbd、またはwinbinddプロセスがリストされている場合は、プロセスをシャットダウンします。
  • DCの/etc/hostsファイルが、完全修飾ドメイン名（FQDN）および短いホスト名をDCのLAN IPアドレスに正しく解決することを確認します。例えば：
127.0.0.1 localhost localhost.localdomain
10.99.0.1 DC1.samdom.example.com DC1
ホスト名とFQDNは、127.0.0.1のIPアドレスまたはDCのLANインターフェイスで使用されているIPアドレス以外のIPアドレスに解決してはなりません。
  • 以前にこのホストにSambaインストールを実行した場合：
    • 既存の`smb.conf`ファイルを削除します。 ファイルへのパスを一覧表示するには：
# smbd -b | grep "CONFIGFILE"
   CONFIGFILE：/usr/local/samba/etc/samba/smb.conf
  • *.tdbや* .ldbファイルなどのすべてのSambaデータベースファイルを削除します。 Sambaデータベースを含むフォルダを一覧表示するには：
# smbd -b | egrep "LOCKDIR | STATEDIR | CACHEDIR | PRIVATE_DIR"
  LOCKDIR：/usr/local/samba/var/lock/
  STATEDIR：/usr/local/samba/var/locks/
  CACHEDIR：/usr/local/samba/var/cache/
  PRIVATE_DIR：/usr/local/samba/private/
クリーンな環境から始めて、混乱を避け、以前のSambaインストールのファイルが新しいドメインDCインストールと混在しないようにします。
  • 既存の/etc/krb5.confファイルを削除します。
# rm /etc/krb5.conf

Sambaをインストール

詳細は、Sambaのインストールを参照して下さい。

{{#invoke:Message box|imbox}}

Samba Active Directoryをプロビジョニングする

Samba ADのプロビジョニングプロセスは、ADデータベースを作成し、ドメインの管理者アカウント（Administrator）や必要なDNSレコードなどの初期のレコードを追加します。

もし、Samba NT4ドメインからADに移行するのであれば、この項目を飛ばしてSambaクラシックアップデートを実行してください。詳細は「Samba NT4ドメインからSamba ADに移行する」を参照してください。

{{#invoke:Message box|imbox}}

samba-tool domain provisionコマンドは、対話的か非対話的セットアップで使用する様々なパラメータを提供しています。詳細は、次のコマンドを実行： 

# samba-tool domain provision --help

{{#invoke:Message box|imbox}}

「http://www.rough-and-cheap.jp/mediawiki/index.php?title=SambaをActive_Directoryドメインコントローラとして設定する&oldid=9441」から取得