Samba DCを既存のActive Directoryに参加させるのソースを表示

= はじめに =

Active Directory（AD）フォレストでは、1つのドメインコントローラ（DC）を実行するだけで十分です。 ただし、フェールオーバーとロードバランシングの理由から、ADフォレストにさらにDCを追加する必要があります。 既存のADに追加のSamba DCを参加させることは、フォレスト内の最初のDCをプロビジョニングすることとは異なります。 新しいADフォレストを設定する場合は、「[[SambaをActive Directoryドメインコントローラとして設定する‎‎]]」を参照してください。

{{imbox
| style = margin:4px 2%;
| text =  NT4ドメインは、1つのプライマリドメインコントローラ（PDC）とオプションで追加のバックアップドメインコントローラ（BDC）のみを使用します。 FSMOの役割を除いては、ADフォレストでは、ドメインコントローラ間に違いはありません。 混乱の可能性を避けるためにADについて話すときは、用語「ドメインコントローラ」または「DC」のみを使用してください。
}}



= インストールの準備 =

詳細については、[[SambaをActive Directoryドメインコントローラとして設定する‎‎]]の[[SambaをActive Directoryドメインコントローラとして設定する‎‎#インストールの準備|インストールの準備]]を参照してください。

= Sambaのインストール =

詳細については、[[Sambaのインストール]]を参照してください。

{{Imbox
| type = notice
| style = margin:4px 2%;
| text = メンテナンスされたSambaのバージョンをインストールしてください。 詳細は、「[[Sambaリリース計画]]」を参照してください。
}}

= ドメインに参加するためのホストの準備 =

== ローカルDNSサーバー ==

既定では、フォレスト内の最初のドメインコントローラ（DC）は、Active Directory（AD）ベースのゾーン用のDNSサーバーを実行します。フェイルオーバーの理由から、ネットワーク内のDNSサーバーとして機能する複数のDCを実行することをお勧めします。新しいDCでDNSサービスを提供することを検討する場合：

* <code>BIND9_DLZ</code> DNSバックエンドについては、「[[BIND9 DLZ DNSバックエンド]]」を参照してください。 Samba DCサービスを開始する前に、この作業を完了してください。
* 内部DNSについては、これ以上の操作は必要ありません。

== DNSの設定 ==

詳細については、[[LinuxとUnixのDNS設定]]を参照してください。

{{Imbox
| type = notice
| style = margin: 4px 2%;
| text = `/etc/resolv.conf`に設定した`nameserver`は、AD DCである必要があります。そうしないと、既存のADへの参加するときにKDCを見つけることができません。
}}

== Kerberos ==

Kerberosクライアント構成ファイル<code>/etc/krb5.conf</code>に次の設定を行います。

 [libdefaults]
     dns_lookup_realm = false
     dns_lookup_kdc = true
     default_realm = SAMDOM.EXAMPLE.COM

設定を確認するには、<code>kinit</code>コマンドを使用してドメイン管理者のKerberosチケットを要求します。

 # kinit administrator
 Password for administrator@SAMDOM.EXAMPLE.COM:

Kerberosチケットを一覧表示するには：

 # klist
 Ticket cache: FILE:/tmp/krb5cc_0
 Default principal: administrator@SAMDOM.EXAMPLE.COM
 
 Valid starting       Expires              Service principal
 24.09.2015 19:56:55  25.09.2015 05:56:55  krbtgt/SAMDOM.EXAMPLE.COM@SAMDOM.EXAMPLE.COM
         renew until 25.09.2015 19:56:53

= ドメインコントローラとしてActive Directoryに参加 =

Samba内部DNSを使って、追加のDNSサーバーとして働くドメインコントローラ(DC)を、ドメイン<code>samdom.example.com</code>に参加させるには：

 # samba-tool domain join samdom.example.com DC -U"SAMDOM\administrator" --dns-backend=SAMBA_INTERNAL
 Finding a writeable DC for domain 'samdom.example.com'
 Found DC dc1.samdom.example.com
 Password for [SAMDOM\administrator]:
 workgroup is SAMDOM
 realm is samdom.example.com
 Adding CN=DC2,OU=Domain Controllers,DC=samdom,DC=example,DC=com
 Adding CN=DC2,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=samdom,DC=example,DC=com
 Adding CN=NTDS Settings,CN=DC2,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=samdom,DC=example,DC=com
 Adding SPNs to CN=DC2,OU=Domain Controllers,DC=samdom,DC=example,DC=com
 Setting account password for DC2$
 Enabling account
 Calling bare provision
 Looking up IPv4 addresses
 Looking up IPv6 addresses
 No IPv6 address will be assigned
 Setting up share.ldb
 Setting up secrets.ldb
 Setting up the registry
 Setting up the privileges database
 Setting up idmap db
 Setting up SAM db
 Setting up sam.ldb partitions and settings
 Setting up sam.ldb rootDSE
 Pre-loading the Samba 4 and AD schema
 A Kerberos configuration suitable for Samba 4 has been generated at /usr/local/samba/private/krb5.conf
 Provision OK for domain DN DC=samdom,DC=example,DC=com
 Starting replication
 Schema-DN[CN=Schema,CN=Configuration,DC=samdom,DC=example,DC=com] objects[402/1550] linked_values[0/0]
 Schema-DN[CN=Schema,CN=Configuration,DC=samdom,DC=example,DC=com] objects[804/1550] linked_values[0/0]
 Schema-DN[CN=Schema,CN=Configuration,DC=samdom,DC=example,DC=com] objects[1206/1550] linked_values[0/0]
 Schema-DN[CN=Schema,CN=Configuration,DC=samdom,DC=example,DC=com] objects[1550/1550] linked_values[0/0]
 Analyze and apply schema objects
 Partition[CN=Configuration,DC=samdom,DC=example,DC=com] objects[402/1618] linked_values[0/0]
 Partition[CN=Configuration,DC=samdom,DC=example,DC=com] objects[804/1618] linked_values[0/0]
 Partition[CN=Configuration,DC=samdom,DC=example,DC=com] objects[1206/1618] linked_values[0/0]
 Partition[CN=Configuration,DC=samdom,DC=example,DC=com] objects[1608/1618] linked_values[0/0]
 Partition[CN=Configuration,DC=samdom,DC=example,DC=com] objects[1618/1618] linked_values[42/0]
 Replicating critical objects from the base DN of the domain
 Partition[DC=samdom,DC=example,DC=com] objects[100/100] linked_values[23/0]
 Partition[DC=samdom,DC=example,DC=com] objects[386/286] linked_values[23/0]
 Done with always replicated NC (base, config, schema)
 Replicating DC=DomainDnsZones,DC=samdom,DC=example,DC=com
 Partition[DC=DomainDnsZones,DC=samdom,DC=example,DC=com] objects[44/44] linked_values[0/0]
 Replicating DC=ForestDnsZones,DC=samdom,DC=example,DC=com
 Partition[DC=ForestDnsZones,DC=samdom,DC=example,DC=com] objects[19/19] linked_values[0/0]
 Committing SAM database
 Sending DsReplicaUpdateRefs for all the replicated partitions
 Setting isSynchronized and dsServiceName
 Setting up secrets database
 Joined domain SAMDOM (SID S-1-5-21-469703510-2364959079-1506205053) as a DC

詳細については、<code>samba-tool domain join --help</code>コマンドの出力を参照してください。

<code>samba-tool domain join</code>コマンドで頻繁に使用されるその他のパラメータ：

* <code>--site=SITE</code>：DCとして特定の[[Active Directoryサイト]]にホストに直接参加します。
* <code>--option="interfaces=lo eth0" --option="bind interfaces only=yes"</code>：サーバに複数のネットワークインタフェースがある場合は、これらのオプションを使用して指定されたインタフェースにSambaをバインドします。これにより、<code>samba-tool</code>コマンドは参加中に正しいLAN IPアドレスをディレクトリに登録できます。

{imbox
| style = margin:4px 2%;
| text =  他のDCがSamba DCで、<code>--use-rfc2307</code>でプロビジョニングされている場合は、joinコマンドに<code>--option='idmap_ldb:use rfc2307 = yes'</code>を追加する必要があります。
}}

= DNSエントリの確認 =

Samba 4.7以降を実行しているSamba DCに参加すると、必要なすべてのDNSエントリが自動的に作成されます。以前のバージョンで手動でレコードを作成するには、[[DC DNSレコードの確認と作成]]を参照してください。

= BIND9_DLZ DNSバックエンドの設定 =

ドメイン参加中に<code>BIND9_DLZ DNS</code>バックエンドを選択した場合は、BIND構成を設定します。詳細については、「[[BIND9_DLZ DNSバックエンド]]」を参照してください。



= ビルトインユーザーとグループIDのマッピング =

Sysvolの複製は、Sambaでは今のところサポートされていません。 [[Sysvolレプリケーション(DFS-R)|Sysvolレプリケーション]]の回避策を使用するには、すべてのドメインコントローラ（DC）が、ビルトインユーザーおよびグループに対して同じIDマッピングを使用する必要があります。

デフォルトでは、Samba DCはユーザーIDとグループIDを 'idmap.ldb'の 'xidNumber'属性に格納します。 'idmap.ldb'の仕組みにより、各DCが特定のユーザーまたはグループに対して同じIDを使用することを保証することはできません。同じIDを使用するには、次のことを行う必要があります。

* 既存のDC上の<code>/usr/local/samba/private/idmap.ldb</code>ファイルのホットバックアップを作成します。

 # tdbbackup -s .bak /usr/local/samba/private/idmap.ldb

: これにより、バックアップファイル<code>/usr/local/samba/private/idmap.ldb.bak</code>が作成されます。

* バックアップファイルを新しい結合DC上の<code>/usr/local/samba/private/</code>フォルダに移動し、<code>.bak</code>拡張子を削除して既存のファイルを置き換えます。
* 新しいDC上のSysvolフォルダのファイルシステムアクセス制御リスト（ACL）をリセットします。


 # samba-tool ntacl sysvolreset

= Sambaサービスの開始 =

Samba Active Directory（AD）ドメインコントローラ（DC）サービスを手動で起動するには、次のように入力します。

 # samba

SambaはSystem Vのinitスクリプト、<code>systemd</code>、<code>upstart</code>、またはその他のサービス設定ファイルを提供していません。

* パッケージを使用してSambaをインストールした場合は、パッケージに含まれているスクリプトまたはサービス設定ファイルを使用してSambaを起動します。
* Sambaをビルドした場合は、「[[Samba AD DCサービスの管理]]」を参照してください。








= ディレクトリレプリケーションの確認 =

ドメインコントローラー（DC）が起動されると、Samba DCの知識整合性チェッカー（KCC）によってActive Directory（AD）フォレスト内の他のDCへのレプリケーションアグリーメントが作成されます。 KCCが自動生成レプリケーション接続を作成するまでに最大15分かかることがあります。

ディレクトリ複製が正しく機能することを確認する方法の詳細については、「[[ディレクトリレプリケーションの状態を確認]]」を参照してください。

{{imbox
| style = margin:4px 2%;
| text  = レプリケーションの待ち時間とコストを最適化するために、Samba 4.5以降のKCCでは、すべてのDC間で完全メッシュレプリケーショントポロジが作成されなくなりました。詳細については、「[[Samba KCC]]」を参照してください。
}}

= BINDの起動 =

BINDデーモンを開始する前に、DNSディレクトリパーティションが正常に複製されていることを確認します。

 # samba-tool drs showrepl
 ...
 ==== INBOUND NEIGHBORS ====
 ...
 DC=DomainDnsZones,DC=samdom,DC=example,DC=com
         Default-First-Site-Name\DC1 via RPC
         DSA object GUID: 4a6bd92a-6612-4b15-aa8c-9ec371e8994f
         Last attempt @ Thu Sep 24 20:08:45 2015 CEST was successful
         0 consecutive failure(s).
         Last success @ Thu Sep 24 20:08:45 2015 CEST
 ...
 DC=ForestDnsZones,DC=samdom,DC=example,DC=com
         Default-First-Site-Name\DC1 via RPC
         DSA object GUID: 4a6bd92a-6612-4b15-aa8c-9ec371e8994f
         Last attempt @ Thu Sep 24 20:08:45 2015 CEST was successful
         0 consecutive failure(s).
         Last success @ Thu Sep 24 20:08:45 2015 CEST

レプリケーションが正常に動作する場合は、BINDサービスを開始します。サービスを開始する方法については、ディストリビューションのドキュメントを参照してください。



= Samba AD DCのテスト =

== ファイルサーバーの確認 ==

詳細については、「[[SambaをActive Directoryドメインコントローラとして設定する]]」の[[SambaをActive Directoryドメインコントローラとして設定する#ファイルサーバーの確認|ファイルサーバーの確認]]を参照してください。

== ローカルDNSサーバーのテスト ==

結合中に<code>--dns-backend=NONE</code>を選択した場合は、この手順をスキップしてください。

ローカルDNSサーバーを照会して、ドメイン名<code>samdom.example.com</code>を解決します。

 # host -t A samdom.example.com localhost
 Using domain server:
 Name: localhost
 Address: 127.0.0.1#53
 Aliases:
 
 samdom.example.com has address 10.99.0.1
 samdom.example.com has address 10.99.0.2
```

ローカルDNSは、ドメイン名をすべてのドメインコントローラ（DC）のIPアドレスに解決します。

結果が表示されない場合や、別の結果が表示された場合は、このドキュメントを確認して次を確認してください。

* システムログファイル、
* Sambaのログファイル、
* <code>BIND9_DLZ</code>が使用されている場合は、BINDログ・ファイル。

== Kerberosの確認 ==

詳細については、[[SambaをActive Directoryドメインコントローラとして設定する]]の[[SambaをActive Directoryドメインコントローラとして設定する#Kerberosの確認|Kerberosの確認]]を参照してください。

= ドメインコントローラでのDNSの構成 =

他のDCを見つけることができない場合、複製が失敗するため、ドメインコントローラ（DC）のDNS構成は重要です。ドメインコントローラ（DC）でのDNS構成のベストプラクティスは次のとおりです。

DCのローカルIPを<code>/etc/resolv.conf</code>ファイルの二次的または三次的ネームサーバーのエントリとして設定し、フォレストのプライマリネームサーバーとは異なるActive Directory（AD）DNSサーバーIPを使用します。例えば：

新たに参加したDCでは、既存のDCの<code>10.99.0.1</code>のIPをプライマリとして使用し、ローカルの<code>10.99.0.2</code>のIPをセカンダリネームサーバーのエントリとして使用します。

 nameserver 10.99.0.1
 nameserver 10.99.0.2       # IP of the new joined DC as secondary entry
 search samdom.example.com

2つ以上のDCを実行している場合は、IPを横方向に設定できます。


= 時刻同期の設定 =

Kerberosでは、すべてのドメインメンバーに同期時間が必要です。詳細とntpdサービスの設定方法については、[[時刻の同期]]を参照してください。

= Samba AD DCでのWinbinddの設定 =

オプション。詳細については、[[Samba AD DC上でのWinbinddの設定]]を参照してください。

= ドメインコントローラをファイルサーバーとして使用する =

詳細については、「[[SambaをActive Directoryドメインコントローラとして設定する#ドメインコントローラをファイルサーバーとして使用する]]」を参照してください。



= Sysvolレプリケーション =

Sambaは現在、Sysvolの複製をサポートしていません。サポートされていない回避策については、[[Sysvolレプリケーション(DFS-R)|Sysvolレプリケーション]]を参照してください。

{{Imbox
| type = notice
| style = margin:4px 2%;
| text  = 他のDC上のSysvolに既定のGPO以外にもGPOがある場合は、Sysvolを新しいDCに同期する必要があります。<code>samba-tool ntacl sysvolreset</code>はエラーをスローします。
}}

= ディレクトリレプリケーションのテスト =

ディレクトリ複製が正常に動作することをテストするには、たとえば既存のDC上にユーザーを追加し、新しく追加されたDC上に自動的に表示されることを確認します。

オプションで、<code>ldapcmp</code>ユーティリティを使用して2つのディレクトリを比較します。詳細は、「[[samba-tool ldapcmp]]」を参照してください。



= トラブルシューティング =

詳細は、「[[Samba AD DCトラブルシューティング]]」を参照してください。