オープンソース・ソリューション・テクノロジ株式会社代表取締役チーフアーキテクト小田切耕司

Size: px

Start display at page:

Download "オープンソース・ソリューション・テクノロジ株式会社代表取締役チーフアーキテクト小田切耕司"

あきひさたみや
5 years ago
Views:

オープンソースソリューションテクノロジ株式会社 OSに依存しないOSSのソリューションを中心に提供

年以上の長期サポートコミュニティでサポートが終わった製品のサポート OSSの改良機能追加

3 オープンソースソリューションテクノロジ株式会社 OSに依存しないOSSのソリューションを中心に提供 Linuxだけでなく AIX, Solaris, Windowsなども対応! OpenAM, OpenLDAP, Sambaによる認証統合 / シングルサインオン ID 管理ソリューションを提供製品パッケージ提供機能証明定価証明が発行可能製品サポート提供 3 年 ~5 年以上の長期サポートコミュニティでサポートが終わった製品のサポート OSSの改良機能追加バグ修正などコンサルティング提供 Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved

4 Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved OSSTech の製品群 Active Directory Unicorn IDM ID 連携 ID 管理システム管理者 Google Apps Salesforce Shibboleth ファイルサーバーバ LDAP Web アプリ SSO クラウド Windows ドメインログオン認証基盤をすべて OSS 製品で提供ユーザーログイン

5 Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved OSSTech の製品群 ( すべて OSS で提供 ) 原則 Linux/Solaris/AIX 共に RPM で提供 OpenAM Tomcat, OpenLDAP 対応で高機能なシングルサインオン製品 OpenLDAP 認証統合ディレクトリサービスシングルサインオンのインフラ Samba Active Directory の代替高性能 NAS(CIFS サーバー ) の代替 Unicorn ID Manager Google Apps, Active Directory, LDAP, Samba に対応した統合 ID 管理製品 ThothLink Web ブラウザからの Windows ファイルサーバアクセス機能を提供

7 Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved Samba とは? 機能 Samba 3 Samba 4 ファイルサーバ機能 Samba3.6 から SMB2 対応 SMB2,SMB3(Windows8) 対応ドメインコントローラ機能 Windows GUI による管理機能名前解決機能 NAS として使うには現時点では Samba4 より安定 NT ドメイン互換サーバーサイドコピーなどに対応 CTDB によるクラスター機能対応 Active Directory(Win2008R2) 互換 NTLMv2 認証 Kerberos 認証 (Kerberos サーバー内蔵 ) システムポリシー冗長化には外部の LDAP が必要 Windows2000 の USRMGR Windows 7,8 で動作しない NT ドメイン互換なので WINS サーバーが必要 Samba が WINS サーバー機能を持つ DNS で Samba3 DC を見つけることはできないグループポリシー LDAP を内蔵しているため Samba のみで冗長化が可能 RSAT 対応 Windows 7,8 で動作可能 AD ドメイン互換なので DNS による名前解決が必要 WINS サーバーは不要 Samba が DNS サーバー機能を内蔵 DNS がないと Samba4 DC を見つけられない

8 Windows サーバーを Samba で構築するメリットコスト削減 Windows サーバではアクセスするユーザごとに CAL(Client Access License) が必要サーバーの低価格化により OS ライセンスコストの割合が増加セキュリティ対策 Samba4 を AD として利用する場合はアンチウィルスソフト購入不要 Windows に比べウィルスなどの被害が圧倒的に少ない高機能設定ファイルにスクリプトを定義するだけで機能拡張が可能ユーザ管理共有管理機能ユーザホーム自動作成パスワードチェック VFS モジュールを開発することで機能拡張が可能クラスタ機能監査機能 ACL 制御容量制限ウィルスチェック高い信頼性連続運転に強いオープンソースなので障害調査でき不具合修正も可能運用のしやすさシェルスクリプトによる運用の効率化が可能修正モジュールの適用に OS リブートの必要がない Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved

10 Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved Windows ドメイン移行に関する Q&A Q. Samba で Windows AD ドメインを移行できますか? A. はいできます Samba4 を既存の Windows AD ドメインに参加させ FSMO:Flexible Single Master Operation ( 操作マスター ) を Samba4 へ転送することで移行可能です FSMO 転送後は既存の Windows AD の DC は撤去可能です Samba4 は GC(Global Catalog) を持つことも可能です Q. 現在 Windows マシンを DNS サーバー Kerberos サーバー DHCP サーバー Radius サーバーとして利用していますこれを Samba に移行することはできますか? A. はいできます Samba4 は DNS サーバーと Kerberos サーバーになることができ Linux OS が標準搭載している製品コンポーネントで DHCP サーバーや Radius サーバーを構築することができます

11 Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved Windows ドメイン移行に関する Q&A : サーバ管理 Q. 現在 DC( ドメインコントローラ ) として利用している Windows マシンを Samba の DC 移行後もそのまま DC として利用できますか? A. はい可能です Samba と Windows の DC の混在利用が可能です FSMO は Samba と Windows のどちらの DC でも構いません Q. Samba4 を DC となっている AD ドメインに Windows サーバーを DC として設置できますか? A. はい可能です Samba4 で新規構築した AD ドメインに Windows サーバーを DC として参加させることが可能です

12 Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved Windows ドメイン移行に関する Q&A Q. 現在の Windows ドメインは別な AD ドメインと信頼関係を結んでいますこれも移行することはできますか? A. 現在開発中です Samba 4 は AD ドメインとの信頼関係をサポートしています明示的な片方向の信頼関係はもちろん AD の推移的な双方向の信頼関係もサポートしますしかし現在は開発中のため機能しません

13 Windows ドメイン移行に関する Q&A Q. AD ドメイン移行後 Samba4 マシンを旧 Windows DC と同じマシン名同じ IP アドレスで運用しようと思いますが大丈夫ですか? A. はい可能ですしかしそのためには Samba4 を DC に追加後既存 AD の DC を撤去後に同じホスト名 IP アドレスで Samba4 を構築します SID は引き継がれるのでアクセス権やプロファイルもそのまま使えます Q. Samba で Windows AD ドメインを移行した時ユーザのパスワードも移行できますか? AD ドメインの時のパスワードがそのまま使えますか? A. はいそのまま使えます Q. AD のグループポリシーは移行できますか? A. はい移行可能です Samba4 を DC として参加させて SYSVOL 共有を複製することでグループポリシーが Samba4 へ移されます (rsync などの複製サービスは別途必要 ) Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved

14 Windows ドメイン移行に関する Q&A Q. 移動プロファイルは移行できますか? A. はい移行できます移動プロファイルを Samba のプロファイル共有にコピーすることで移行できます Q. ローカルプロファイルは継続して利用できますか? A. はい利用できます Samba に移行した場合もユーザ SID は Samba DC に引き継がれますのでスタートメニューやデスクトップもそのまま継続利用できます Q. 移行作業中に既存ドメインは利用できますか? A. はい利用できます Samba を DC に追加する作業などで既存の AD ドメインを止める必要はありませんしかし FSMO を転送するときはユーザー追加などはできる限りしないようにしましょう Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved

16 300 試験範囲 : 出題範囲詳細 (Ver1.0) 主題 390:OpenLDAP の設定 OpenLDAP のレプリケーションディレクトリの保護 OpenLDAP サーバのパフォーマンスチューニング主題 391:OpenLDAP の認証バックエンドとしての利用 PAM および NSS と LDAP の統合アクティブディレクトリおよび Kerberos と LDAP の統合主題 392:Samba の基礎 Samba の概念とアーキテクチャ Samba を設定する Samba の保守 Samba のトラブルシューティング国際化主題 393:Samba の共有の設定ファイルサービス Linux ファイルシステムと共有 / サービスのパーミッションプリントサービス主題 394:Samba のユーザとグループの管理ユーザアカウントとグループアカウントの管理認証と許可および Windbind 主題 395:Samba のドメイン統合 Samba の PDC と BDC Samba4 の AD 互換ドメインコントローラ Samba をドメインメンバーサーバとして設定する主題 396:Samba のネームサービス NetBIOS と WINS アクティブディレクトリの名前解決主題 397:Linux および Windows クライアントの操作 CIFS 連携 Windows クライアントの操作 Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved

Samba 4 とドメインログオン最新の Windows 8 も含め Windows Server と同等のドメイン認証機能を利用可能 Samba 3 で必要であったレジストリ変更操作は不要 HKLM SYSTEM CurrentControlSet Services Lanman Workstation Parameters DNSNam eresolutionrequired

18 Samba 4 とドメインログオン最新の Windows 8 も含め Windows Server と同等のドメイン認証機能を利用可能 Samba 3 で必要であったレジストリ変更操作は不要 HKLM SYSTEM CurrentControlSet Services Lanman Workstation Parameters DNSNam eresolutionrequired = 0 HKLM SYSTEM CurrentControlSet Services Lanman Workstation Parameters DomainC ompatibilitymode = Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved

19 Samba 4 と管理ツール Linux 上は samba-toolコマンドドメイン管理系操作をサポートドメイン管理系 domain drs fsmo gpo sites ユーザーグループ管理系 user group DNS 管理 dns ouの追加については未サポート Windows 端末からはMicrosoft 標準ツール (RSAT) Windows Vista 7 8 用それぞれ提供 Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved

20 Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved 時刻同期 DC とクライアント間の時刻は同期させるクライアントを DC の時刻に合わせる Samba4 # service ntpd start # chkconfig ntpd on ntp の設定については今回は省略 Windows クライアント (Windows7) ドメインに参加すると DC と自動的に時刻同期を行う HKLM SYSTEM CurrentControlSet Services W32Time Parameters Type = NT5DS( ドメイン参加前は NTP)

21 Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved Samba 4 AD DC 設定情報項目サーバー名 DNS 名 NT ドメイン名設定内容 cent65k1 samba4dom.com SAMBA4DOM DNS フォワード先サーバーの役割 Administrator のパスワード DC P@ssw0rd Administrator ユーザーのパスワードは複雑性を満たす必要あり英大文字 / 英小文字 / 数字 / 記号のうち 3 種類以上を含む文字列長は 7 文字以上

22 Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved Samba 4 AD DC 構築 1 対話形式でドメイン設定 samba-tool コマンドでドメイン設定する際 --interactive を利用利用しない場合オプションで個々に指定 # /opt/osstech/bin/samba-tool domain provision --interactive -- use-rfc2307 Realm [SAMBA4DOM.COM]: Domain [SAMBA4DOM]: Server Role (dc, member, standalone) [dc]: DNS backend (SAMBA_INTERNAL, BIND9_FLATFILE, BIND9_DLZ, NONE) [SAMBA_INTERNAL]: DNS forwarder IP address (write 'none' to disable forwarding) [XX.XX.XX.XX]: Administrator password: Retype password:

23 Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved Samba 4 AD DC 起動 / 確認 1 /etc/krb5.conf と /etc/resolv.conf を修正 Samba4 プロセス起動 # service osstech-samba start smbclient によるアクセス確認 # /opt/osstech/bin/smbclient //localhost/netlogon -U Administrator Enter Administrator's password: Domain=[SAMBA4DOM] OS=[Unix] Server=[Samba el6] smb: > Samba 4.1 より smbclient に -m SMB2/SMB3 を指定することで SMB2/SMB3 プロトコルでの通信も可能

24 Samba 4 AD DC 起動 / 確認 2 Kerberos 確認チケット発行 # kinit administrator@samba4dom.com Password for administrator@samba4dom.com: Warning: Your password will expire in 41 days on Wed Dec 11 01:28: チケット確認 # klist Ticket cache: FILE:/tmp/krb5cc_0 Default principal: administrator@samba4dom.com Valid starting Expires Service principal 10/30/13 02:32:16 10/30/13 12:32:16 krbtgt/samba4dom.com@samba4dom.com renew until 11/06/13 02:32:13 Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved

25 Samba 4 AD DC 起動 / 確認 3 SRV A レコード確認 # host -t SRV _ldap._tcp.samba4dom.com. _ldap._tcp.samba4dom.com has SRV record takeuchi104.samba4dom.com. # host -t SRV _kerberos._udp.samba4dom.com. _kerberos._udp.samba4dom.com has SRV record takeuchi104.samba4dom.com. # host -t A takeuchi104.samba4dom.com. takeuchi104.samba4dom.com has address Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved

26 samba-tool コマンドによるユーザー管理 1 ユーザーの登録状況を確認 # /opt/osstech/bin/samba-tool user list Administrator krbtgt Guest ユーザー登録ユーザー名 :cui-user1 パスワード :Secret123$ # /opt/osstech/bin/samba-tool user add cui-user1 New Password: Retype Password: User 'cui-user1' created successfully Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved

27 Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved samba-tool コマンドによるユーザー管理 2 オプションを指定して登録ユーザー名 :cui-user2 パスワード :Secret123$ 姓 : テスト名 : ユーザー # /opt/osstech/bin/samba-tool user add cui-user2 Secret123$ --surname= テスト given-name= ユーザー User 'cui-user2' created successfully 他にもオプションは存在するが AD で登録する時の項目すべてを設定できるわけではない

28 Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved samba-tool コマンドによるユーザー管理 3 root 権限によるパスワード強制変更ユーザー名 :cui-user1 新パスワード :P@ssw0rd # /opt/osstech/bin/samba-tool user setpassword -- newpassword=p@ssw0rd cui-user1 Changed password OK

29 samba-tool コマンドによるユーザー管理 4 ユーザー自身によるパスワード変更該当ユーザーの認証やポリシー制限ありユーザー名 :cui-user2 元パスワード :Secret123$ 新パスワード :P@ssw0rd $ /opt/osstech/bin/samba-tool user password -- newpassword=p@ssword --password=secret123$ Changed password OK ただしユーザー作成直後はデフォルトのパスワードポリシーによりエラーとなる ERROR: Failed to change password : samr_changepassworduser3 for 'SAMBA4DOM cui-user2' failed: NT_STATUS_PASSWORD_RESTRICTION Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved

30 Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved samba-tool コマンドによるグループ管理 1 グループの登録状況を確認 # /opt/osstech/bin/samba-tool group list Domain Computers Domain Admins Domain Users グループ登録グループ名 :cui-group1 # /opt/osstech/bin/samba-tool group add cui-group1 Added group cui-group1

31 samba-tool コマンドによるグループ管理 2 グループにメンバーを所属 # /opt/osstech/bin/samba-tool group addmembers cui-group1 cui-user1,cui-user2 Added members to group cui-group1 グループのメンバーを確認 # /opt/osstech/bin/samba-tool group listmembers cui-group1 cui-user1 cui-user Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved

RSAT を利用するための準備 RSAT はインストールしただけでは利用不可 [ コントロールパネル ]-[ プログラム ]-[Windows の機能の有効化または無効化 ] で [

- 34 - Copyright 2014 Open Source Solution

- 34 - Windows7 をドメイン参加 Windows7 を Samba4 での AD

37 パスワードポリシー 1 GPO に設定項目が存在するが利用不可 samba-tool コマンドで設定する必要がある現状のポリシー確認 # /opt/osstech/bin/samba-tool domain passwordsettings show 項目ポリシー内容設定内容 Password complexity パスワードの複雑性 on Store plaintext passwords 暗号化を元に戻せる状態でパスワードを保存 Password history length パスワードの履歴保持 24 Minimum password length パスワードの長さ 7 Minimum password age (days) パスワードの変更禁止期間 ( 日 ) Maximum password age (days) パスワードの有効期間 ( 日 ) Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved off 1

38 パスワードポリシー 2 # /opt/osstech/bin/samba-tool domain passwordsettings set --complexity=on/off --store-plaintext=on/off --history-length= 回数 --min-pwd-length= 長さ --min-pwd-age= 日数 --max-pwd-age= 日数 Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved

40 Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved Windows AD DC 設定情報項目サーバー名 DNS 名 NT ドメイン名 realm サーバーの役割 Administratorのパスワード設定内容 takeuchi28 testdom.com TESTDOM testdom.com DC P@ssw0rd

41 Samba4 を Windows AD DC に参加 # /opt/osstech/bin/samba-tool domain join testdom.com DC -- realm=testdom.com -U testdom Administrator Finding a writeable DC for domain 'testdom.com' Found DC takeuchi28.testdom.com Password for [TESTDOM Administrator]: workgroup is TESTDOM realm is testdom.com Joined domain TESTDOM (SID S ) as a DC Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved

42 Samba4 AD DC 起動 / 確認 1 起動 # service osstech-samba start SRV A レコード確認 # host -t SRV _ldap._tcp.testdom.com. _ldap._tcp.testdom.com has SRV record takeuchi28.testdom.com. _ldap._tcp.testdom.com has SRV record takeuchi114.testdom.com. # host -t SRV _kerberos._udp.testdom.com. _kerberos._udp.testdom.com has SRV record takeuchi28.testdom.com. _kerberos._udp.testdom.com has SRV record takeuchi114.testdom.com. # host -t A takeuchi114.testdom.com. takeuchi114.testdom.com has address Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved

43 Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved 操作マスターを Samba4 に移動 1 現状の操作マスターの確認 # /opt/osstech/bin/samba-tool fsmo show InfrastructureMasterRole owner: CN=NTDS Settings, CN=TAKEUCHI28,CN=Servers,CN=Default-First-Site-Name,CN=Sites, CN=Configuration,DC=testdom,DC=com RidAllocationMasterRole owner: CN=NTDS Settings, CN=TAKEUCHI28,CN=Servers,CN=Default-First-Site-Name,CN=Sites, CN=Configuration,DC=testdom,DC=com PdcEmulationMasterRole owner: CN=NTDS Settings, CN=TAKEUCHI28,CN=Servers,CN=Default-First-Site-Name,CN=Sites, CN=Configuration,DC=testdom,DC=com DomainNamingMasterRole owner: CN=NTDS Settings, CN=TAKEUCHI28,CN=Servers,CN=Default-First-Site-Name,CN=Sites, CN=Configuration,DC=testdom,DC=com SchemaMasterRole owner: CN=NTDS Settings, CN=TAKEUCHI28,CN=Servers,CN=Default- First-Site-Name,CN=Sites, CN=Configuration,DC=testdom,DC=com

44 操作マスターを Samba4 に移動 2 操作マスターの移動 # /opt/osstech/bin/samba-tool fsmo transfer role=all 移動後の操作マスターの確認 # /opt/osstech/bin/samba-tool fsmo show InfrastructureMasterRole owner: CN=NTDS Settings, CN=TAKEUCHI114,CN=Servers,CN=Default-First-Site-Name,CN=Sites, CN=Configuration,DC=testdom,DC=com RidAllocationMasterRole owner: CN=NTDS Settings, CN=TAKEUCHI114,CN=Servers,CN=Default-First-Site-Name,CN=Sites, CN=Configuration,DC=testdom,DC=com PdcEmulationMasterRole owner: CN=NTDS Settings, CN=TAKEUCHI114,CN=Servers,CN=Default-First-Site-Name,CN=Sites, CN=Configuration,DC=testdom,DC=com DomainNamingMasterRole owner: CN=NTDS Settings, CN=TAKEUCHI114,CN=Servers,CN=Default-First-Site-Name,CN=Sites, CN=Configuration,DC=testdom,DC=com SchemaMasterRole owner: CN=NTDS Settings, CN=TAKEUCHI114,CN=Servers,CN=Default- First-Site-Name,CN=Sites, CN=Configuration,DC=testdom,DC=com Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved

45 ユーザー登録 / 確認 samba-tool コマンドでユーザー登録ユーザー名 :samba-add パスワード :P@ssw0rd # /opt/osstech/bin/samba-tool user add samba-add P@ssw0rd RSAT(Windows Server 2008 R2 上 ) よりユーザー登録ユーザー名 :windows-add パスワード :P@ssord Windows7 でドメインログオン windows-add samba-add 両ユーザーでログオン Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved

46 Windows AD DC をシャットダウン後 samba-tool コマンドでユーザー登録ユーザー名 :samba-add1 パスワード # /opt/osstech/bin/samba-tool user add samba-add1 Windows7 でドメインログオン samba-add1 ユーザーでログオン Windows AD DC にて dcpromo より本来 [Active Directory ドメインサービス ] のアンインストールが可能だが現状 DC=ForestZones の転送で失敗する為今回はシャットダウンすることとする Copyright 2014 Open Source Solution Technology Corporation All Rights Reserved

オープンソース・ソリューション・テクノロジ株式会社代表取締役チーフアーキテクト小田切耕司

オープンソース・ソリューション・テクノロジ株式会社代表取締役チーフアーキテクト小田切耕司 Samba 4を導入し ICカードのみでWindowsログオン OpenAMとの連携でWebアプリに自動ログイン ID/ パスワード不要のシングルサインオン環境を実現国立大学法人一橋大学様事例紹介オープンソースソリューションテクノロジ株式会社代表取締役チーフアーキテクト小田切耕司 Copyright 2016 Open Source Solution Technology Corporation

オープンソース・ソリューション・テクノロジ株式会社 代表取締役 チーフアーキテクト 小田切耕司

オープンソース・ソリューション・テクノロジ株式会社代表取締役チーフアーキテクト小田切耕司