(Microsoft PowerPoint OSC2011Kyoto-Samba-AD\230A\214g\202\314\202\267\202\327\202\304\201y\210\363\215\374\227p\201z2.ppt)

Transcription

1 Samba の Windows ドメイン連携 のすべて 日本 Samba ユーザ会 たかはしもとのぶ ( 髙橋基信 ) monyo@samba.gr.jp

2 Windows ドメイン連携で実現できること 要は Windows ドメインに 参加 できること Samba サーバ上のユーザ認証を Windows ドメインに委任できる Windows ドメインのユーザやグループを Samba サーバ上で使える (Winbind 機構 ) Samba 以外のプロダクトのログイン認証にも利用できる $ id 'W2K8AD1 samba01' 指定したユーザの uid と gid を参照 uid=10001(w2k8ad1 samba01) gid=10000(w2k8ad1 domain users) groups=10000(w2k8ad1 domain users) 基本的には これ以上でも以下でもありません 2

3 ユーザ認証を Samba サーバで実施 ユーザ名 :user1 パスワード :passa(ms 暗号化 ) file1 にアクセス Windows クライアント Samba ユーザとしての認証 user1 として認証 Linux ユーザと対応 付け ( 通常同じ名前名前のユーザと対応 ) UID1000 でアクセス リソースへのへのアクセス user1:passa(ms 暗号化 ) user2:passb(ms 暗号化 ) /etc/smbpasswd ファイル user1:pass1( 暗号化 ):1000 user2:pass2( 暗号化 ):1001 /etc/passwdファイル認証情報は使わない パーミッションのチェック -rw-r--r user1 grp1 file1 -rw-r--r user2 grp2 file2 5 Samba サーバ 3

4 ユーザ認証を Windows ドメインで実施 ユーザ名 :user1 パスワード :passa(ms 暗号化 ) file1 にアクセス Windows クライアント 認証要求 認証 Samba ユーザとしての認証 user1 として認証 Linux ユーザと対応 付け ( 通常同じ名前名前のユーザと対応 ) UID1000 でアクセス /etc/smbpasswd ファイル不要 user1:pass1( 暗号化 ):1000 user2:pass2( 暗号化 ):1001 /etc/passwd ファイル user1:passa(ms 暗号化 ) user2:passb(ms 暗号化 ) リソースへのへのアクセス パーミッションのチェック 認証情報は使わない -rw-r--r user1 grp1 file1 -rw-r--r user2 grp2 file2 ドメインコントローラ Samba サーバ 4

5 Windows ドメインへの 参加 機能 Windows とほぼ同等の機能を実装 Kerberos を用いた AD への参加をサポート (NT ドメインに対する参加もサポート ) NetBIOS 不要 &DNS 必須 IPv6 環境でも OK 任意の OU にコンピュータアカウントを作成可能 DNS の動的更新もサポート net ads dns register コマンド セキュリティ機能のサポート セキュアチャネルの暗号化 LDAP 署名 client schannel / client ldap sasl wrapping コンピュータアカウントのパスワード変更間隔の制御 machine password timeout 5

6 Samba の設定概要 security パラメータを使う security = domain Windows NTドメイン ( 古い!) に対する参加方法 Sambaドメインに参加する場合以外は非推奨 必要な設定 NetBIOS 名の名前解決 ( ドメイン名 <1B> など ) smb.confの設定変更 security = ads Active Directoryドメインに対する参加方法 基本的にはこちらを使うこと SambaとWindowsサーバの組み合わせにより若干設定が異なる場合も 6

7 ADS の設定手順 (1) security = ads で必要な設定 DNS サーバを AD の DC に設定 参加先ドメインの SRV レコードが解決できることを確認 $ host -t SRV _ldap._tcp.pdc._msdcs.w2k8ad1.local. _ldap._tcp.pdc._msdcs.w2k8ad1.local SRV w2k8srv1.w2k8ad1.local DC との時刻同期 (±5 分以内 ) ntp や net time set コマンドを用いるのが一般的 Samba サーバの停止 smb.conf の設定変更 realm ドメイン名のFQDNを大文字で workgroup ドメイン名の NetBIOS 名 /etc/krb5.conf の設定変更 (Kerberos 認証 ) [global] workgroup = W2K8AD1 realm = W2K8AD1.LOCAL security = ads ldap ssl = no (Samba のみ ) 7

8 ADS の設定手順 (2) security = ads で必要な設定 ( 続 ) /etc/krb5.conf の設定変更 (Kerberos 認証 ) [libdefaults] (default_realm = W2K8AD1.LOCAL) (default_tkt_enctypes = RC4-HMAC DES-CBC-CRC DES-CBC-MD5) [realms] W2K8AD1.LOCAL = { kdc = w2k8srv1.w2k8ad1.local } カッコ内の設定は場合によって必要 kdc 行の指定は IP アドレスでも可 [domain_realm].w2k8ad1.local = W2K8AD1.LOCAL w2k8ad1.local = W2K8AD1.LOCAL Active Directory ドメインへの参加 # net ads join -U Administrator Administrator's password: パスワードを入力 Using short domain name -- W2K8AD1 Joined 'SAMBA33A' to realm 'w2k8ad1.local' No DNS domain のエラーはとりあえず無視してよい No DNS domain configured for samba33a. Unable to perform DNS Update. DNS update failed! 8

9 ADS の設定手順 : 注意点 ありがちなトラブル 時刻が同期されていない 時刻同期 [2010/01/13 11:29:06, 0] libsmb/cliconnect.c:cli_session_setup_spnego(859) Kinit failed: Clock skew too great Failed to join domain: Time difference at domain controller 自身の FQDN の名前解決失敗 hosts などで名前解決 Using short domain name -- W2K8AD1 Failed to set serviceprincipalnames. Please ensure that the DNS domain of this server matches the AD domain, Or rejoin with using Domain Admin credentials centos54.w2k8ad1.local centos54 Kerberos 関連 とりあえず default_tkt_enctypes を設定 [2009/03/08 18:52:46, 0] libsmb/cliconnect.c:cli_session_setup_spnego(785) Kinit failed: Cannot resolve network address for KDC in requested realm Failed to join domain! [libdefaults] default_tkt_enctypes = RC4-HMAC DES-CBC-CRC DES-CBC-MD5 9

10 Winbind 機構 ユーザ認証だけでなく ユーザやグループの情報も Windows ドメインから取得する機能 ユーザ認証を委任してもユーザ情報は Samba サーバで独自に持たないといけないのは不便 設定 smb.conf NSS の設定 /etc/nsswitch.conf ファイルの修正 nss_winbind モジュールのインストール PAM の設定 (Samba 以外の認証も行う場合 ) pam_winbind モジュールのインストール 10

11 Winbind 機構なし (Windows ドメインで認証 ) ユーザ名 :user1 パスワード :passa(ms 暗号化 ) file1 にアクセス Windows クライアント 認証要求 認証 Samba ユーザとしての認証 user1 として認証 Linux ユーザと対応 付け ( 通常同じ名前名前のユーザと対応 ) UID1000 でアクセス /etc/smbpasswd ファイル不要 user1:pass1( 暗号化 ):1000 user2:pass2( 暗号化 ):1001 /etc/passwd ファイル user1:passa(ms 暗号化 ) user2:passb(ms 暗号化 ) リソースへのへのアクセス パーミッションのチェック -rw-r--r user1 grp1 file1 -rw-r--r user2 grp2 file2 ドメインコントローラ Samba サーバ 11

12 Winbind 機構あり ユーザ名 :user1 パスワード :passa(ms 暗号化 ) file1 にアクセス Windows クライアント 認証要求 認証 Samba ユーザとしての認証 user1 として認証 Linux ユーザと対応 付け ( 通常同じ名前名前のユーザと対応 ) /etc/smbpasswd ファイル不要 Winbind user1:1000 user2:1001 UID1000 でアクセス user1:passa(ms 暗号化 ) user2:passb(ms 暗号化 ) ユーザ情報連携リソースへのへのアクセス パーミッションのチェック UNIX ユーザ情報を自動生成 -rw-r--r user1 grp1 file1 -rw-r--r user2 grp2 file2 (Idmap 機構 ) 4 印刷用 ドメインコントローラ Samba サーバ 12

13 自動生成される UNIX ユーザ情報 自動生成されるユーザ名のカスタマイズ $ getent passwd 'W2K8AD1 samba01' W2K8AD1 samba01:*:10001:10000::/home/w2k8ad1/samba01:/bin/false デフォルトは Domain Name Username が入るので 扱いが若干面倒 カスタマイズ例 DomainName_Username を _ に変更 domain_name username すべて小文字 & 空白を _ に変更 Username ユーザ名のみに変更 グループ名もこのカスタマイズの影響を受ける Winbind user1:1000 user2:1001 UNIX ユーザ情報を自動生成 (Idmap 機構 ) 13

14 自動生成される UNIX ユーザ情報 ユーザ グループの smb.conf での設定方法 DOMAIN User 形式で指定すること [share] valid users = + Domain Users +monyo [share] valid users = + W2K8AD1 Domain Users +W2K8AD1 monyo ドメイン名を指定しない場合は UNIX 上のグループ名を指定したとみなされる 2 14

15 自動生成される UNIX ユーザ情報 ホームディレクトリ, シェルのカスタマイズ $ getent passwd 'W2K8AD1 samba01' W2K8AD1 samba01:*:10001:10000:: 10001:10000 /home/w2k8ad1/samba01:/bin/false Winbind user1:1000 user2:1001 デフォルトは /home/domainname/username /bin/false UNIX ユーザ情報を自動生成 (Idmap 機構 ) 1 変更の方式 全ユーザ一律で変更 template shell / template homedir パラメータを使用 ユーザごとに変更 Active DirectoryのUNIX 属性にあるログインシェル ホームディレクトリ値を参照させる ログインシェルとホームディレクトリの情報を参照 15

16 Idmap 機構 自動生成されるユーザにマップされるUIDや GIDを生成し その情報を保持するWinbindの一機構 UNIX ユーザ情 SAMBA W2K8AD1 ドメインの DC W2K8AD1 user1の情報 報を自動生成 (Idmap 機構 ) Winbind Idmap 機構 UID 生成 1000 W2K8AD1 user1:1000 UIDは 1000 です サーバ # id W2K8AD1 user1 uid=1000(w2k8ad1 use r1) 8 Idmap 情報を格納 W2K8AD1 user1 ユーザの UID を教えてください 16

17 Idmap バックエンド Idmap 情報の生成 保持の方法は選択可能 tdb もしくは rid がお勧め 名称 ID 生成 格納場所 一元管理 概要 tdb プールから払い出し TDB ファイル 各サーバごと もっとも古い機構で ID は未使用 ID 領域から順に生成される ldap プールから払い出し LDAP ディレクトリ 可能 TDB と同時期から存在する ID 格納場所を LDAP にすることで 複数サーバ間で生成した ID の一元管理可能な点が特徴 ad UNIX 属性 AD 可能 Active Directory の UNIX 属性に設定された UID 情報を用いる LDAP サーバを立てることなく ID の一元管理が可能 rid 計算式 ( なし ) 可能 Active Directory の各ユーザ グループに付与されている RID 値から自動生成された値を用いる ID の管理自体が不要 nss /etc/passwd ファイル 各サーバごと /etc/passwd の UID 情報をそのまま用いる LDAP で認証統一している場合などに便利 17

18 Idmap バックエンド Idmap 情報の生成 保持の方法は選択可能 tdb もしくは rid がお勧め tdb バックエンド Samba サーバ ドメインコントローラ 15 印刷用 ユーザ情報 Domain user1の UID 生成 1000 同期されない Domain user1の UID 生成 1020 ID プール tdb バックエンド Samba サーバ ID プール tdb バックエンド 18

19 Idmap バックエンド Idmap 情報の生成 保持の方法は選択可能 tdb もしくは rid がお勧め ldap バックエンド 同期されている Samba サーバ参照 ID プール LDAP サーバ ドメインコントローラ ユーザ情報 参照 Samba サーバ ldap バックエンド LDAPの管理が面倒 15 印刷用 19

20 Idmap バックエンド Idmap 情報の生成 保持の方法は選択可能 tdb もしくは rid がお勧め ad/rid バックエンド ドメインコントローラ 個別管理したくない UNIX 属性 ad バックエンド ユーザ情報 rid バックエンド 参照算出参照算出 Samba サーバ Samba サーバ 15 印刷用 20

21 Idmap 機構の設定 バージョンによって設定方法が異なる 大きく以下の 4 つの世代に分かれる Samba 以前の方法 全ドメイン一律設定 比較的簡単 Samba ~3.2.X までの方法 ドメインごとに Idmap 機構を設定可能 複雑 複数 Idmap 機構間で払い出す UID が重複しないための機構 (alloc backend) が導入 Samba 以降の方法 以前 以降両者の長所を取り入れた方法 Samba 以降 ( 予定 ) alloc backend 機構関連のパラメータ廃止 (Samba 内部で暗黙的に本機構が機能する形態に変更 ) 21

22 PAM による認証のサポート pam_winbind により各プロダクトを認証 SSH でのログイン時の認証を AD のパスワードで行うなど nss_winbind(samba の動作にも必要 ) と組み合わせて用いる Samba サーバ 認証機能提供 (PAM 経由 ) ドメインコントローラ 認証要求 / 認証 Winbind pam_winbind ssh ftp telnet ユーザ グループ情報 ユーザ情報連携 1000:monyo 1001:damedame nss_winbind Linux(UNIX) Samba 認証情報提供 ( 独自 ) 2 ユーザ情報提供 22