LPIC レベル技術解説無料セミナー 2014/3/21 株式会社ケイシーシーシ西日本センターユニット ITラーニングセンター村田一雄 LPI-Japan All rights reserved.

Size: px

Start display at page:

ぜんぺいのあき
4 years ago
Views:

6 LPI 300 Mixed Environment Exam の出題範囲主題 390: OpenLDAP の設定 (8) 主題 391: OpenLDAP の認証バックエンドとしての利用 (4) 主題 392: Samba の基礎 (11) 主題 393: Samba の共有の設定 (9) 主題 394: Samba のユーザとグループの管理 (9) 主題 395: Sambaのドメイン統合 (9) 主題 396: Sambaのネームサービス (5) 主題 397: Linux および Windows クライアントの操作 (5) LPI-Japan All rights reserved. 5

9 ファイル共有機能 2/2 UNIX 系 OS Windows でのファイル共有 UNIX 系 OS では NFS(Network File System) プロトコルを使用 Windows では SMB/CIFS プロトコルを使用 NFS プロトコル Linux サーバ NFS Server VFS NFS RPC TCP/IP Ethernet SMB/CIFS プロトコル Windows サーバファイル共有 CIFS (NetBIOS) TCP/IP Ethernett Linux クライアント Windows クライアント LPI-Japan All rights reserved. 8

10 ファイル共有機能 2/2 Samba のファイル共有機能 Samba に SMB/CIFS プロトコルを実装することで Windows ネットワーク上でのファイル共有を実現 Linuxサーバ NFSプロトコル SMB/CIFS プロトコルファイル共有サービス SMB CIFS NetBIOS NetBEUI TCP/IP Ethernet Windows クライアント NetBT (NetBIOS over TCP/IP) LPI-Japan All rights reserved. 9

11 SMB/CIFS プロトコル概要 SMB(Server Message Block) Windows でネットワーク上のファイル共有プリンタ共有を実現するプロトコル Microsoft 社が独自開発下位レイヤに NetBIOS インターフェイスを利用 CIFS(Common Internet File System) SMBプロトコルを拡張し Windows 以外のOSやアプリケーションでも利用できるように仕様を公開したプロトコル下位レイヤに TCP/IP プロトコルを利用 - NetBIOS インターフェイスは使用しない (445/tcp ポートを使用 ) LPI-Japan All rights reserved. 10

12 NetBIOS NetBEUI 概要 NetBIOS コンピュータがネットワークを利用するために呼び出すアプリケーションインターフェイス (API) 通信相手の指定には NetBIOS 名 ( 後述 ) を使用する ( TCP/IPではIPアドレスで通信相手を指定) NetBEUI(NetBIOS Extended User Interface) IBM の LAN Manager で採用された NetBIOS を拡張したプロトコルルータを越えない範囲でノード間通信が可能 ( 単一ネットワーク内で利用 ) LPI-Japan All rights reserved. 11

13 NetBIOS 名 NetBIOS 名とはネットワークに接続したコンピュータや各種ネットワークサービスクサ ( ファイル共有など ) を識別するためにつけられる最大 16バイトの文字列単一のネットワークに接続されているノードは個々にユニークなクな名前を持っている FILESV SATO YAMADA MURATA SUZUKI ITO LPI-Japan All rights reserved. 12

14 NetBIOS 名の仕組み NetBIOS リソースタイプ ( サフィックスノードタイプ ) コンピュータやネットワークサービスの種類を表す値 NetBIOS 名の 16 バイト目 ( 最後の 1 バイト ) を使用 - コンピュータに任意でつけられる NetBIOS 名は最大 15 バイト分となる先頭 M U R A T A 主なNetBIOSリソースタイプ NetBIOS 名リソースタイプ名前リソースタイプ役割コンピュータ名 00 ワークステーションサービス ( クライアント ) コンピュータ名 03 メッセンジャーサービスコンピュータ名 20 ファイルサーバサービスサドメイン名 1B ドメインマスタブラウザドメイン名 1C ドメインコントローラドメイン名 1D マスターブラウザ LPI-Japan All rights reserved. 13

15 NBT での名前解決 NetBIOS 名と IP アドレスの解決ブロードキャストによる名前解決 WINS サーバによる名前解決ローカルファイル (lmhosts ファイル ) による名前解決 ( 参考 )Windowsクライアントのノードタイプ B ノードブロードキャストのみで名前解決 Pノード WINSサーバへの問い合わせのみで名前解決 Mノードブロードキャスト ( 失敗時 )WINSサーバ Hノード WINSサーバ ( 失敗時 ) ブロードキャスト LPI-Japan All rights reserved. 14

16 NBT(NetBIOS over TCP/IP) NetBEUI のデメリットルータを越えたセグメントへの通信ができない ( 単一セグメントでの通信 ) ネットワークに負荷がかかる ( ブロードキャストを多用 ) NetBIOS over TCP/IP NetBIOS を TCP/IP ネットワークで利用できるよう開発されたプロトコル TCP/IP の機能を使いながら従来の Windows サービスを利用可能企業ネットワークとの統合も可能 NetBEUI ファイル共有サービス SMB CIFS NetBIOS Ethernet TCP/IP NetBT (NetBIOS over TCP/IP) LPI-Japan All rights reserved. 15

17 Samba デーモンプロセス smbd Samba の中心的なデーモンファイル共有機能を提供クライアントからの接続を監視し接続要求ごとに接続要求ごとに smbd の子プロセスを生成 nmbd NBT のネームサーバリクエストを認識し応答 WINSサーバ機能バ機能 WINS proxy 機能の提供ブラウジング機能の提供 winbindd ネームサービススイッチ機能を提供 Windows サーバのユーザ情報やグループ情報などのシステム情報の取得と名前解決を行い UNIX ユーザの情報を自動作成してマッピングする LPI-Japan All rights reserved. 16

18 Samba のデーモンプロセス Samba デーモンが使用するポート番号 Sambaデーモンサーバ側ポート番号目的 nmbd 137/udp ネームサービス ( 名前解決ブラウジング ) nmbd 138/udp データグラムサービス ( 名前解決ドメインログイン ) smbd 139/tcp セッションサービス ( ファイル共有 ) smbd 445/tcp Direct Hosting of SMB(Windows2000 以降 ) winbindd ( なし ) swat 901/tcp SWAT(Web ブラウザ上での Samba 管理 ) LPI-Japan All rights reserved. 17

20 Samba の設定ファイル smb.conf の構成 [ セクション名 ] から次のセクションが始まる [global] l] までをセクションといいセクションごとに設定を記述するセクション名は基本的に共有名に対応 - global, homes, printers は利用不可 [ セクション名 $] と記述すると隠し共有となりブラウジング一覧に表示されなくなる boolean 型の値をとる場合は以下で指定 - yes / no - true / false - 0/1 コメントの記述パラメータ名 = 値 ; パラメータ名 = 値 # コメント... [homes] パラメータ名 = 値... [printers] パラメータ名 = 値... [ セクション名 1] パラメータ名 = 値... - シャープ記号 (#) - セミコロン (;) [ セクション名 2] パラメータ名 = 値... セクション LPI-Japan All rights reserved. 19

21 smb.conf の特殊なセクション [global] セクション Samba 全体の設定を記述するセクション他セクションで必要な値が定義されていない場合のデフォルトの設定を記述 [homes] セクションユーザのホームディレクトリを共有するための設定を記述するセクション基本的には path パラメータを利用して共有ディレクトリを指定 pathパラメータの指定がない場合タの指定がない場合ユーザのホームディレクトリを共有ディレクトリに指定 [printers] セクション /etc/printcap p で定義されたプリンタが一括して共有 LPI-Japan All rights reserved. 20

22 smb.conf で利用できる変数と設定確認 Samba 変数 %L サーバの NetBIOS 名 (Samba を445/tcp で稼動させる場合には利用不能 ) %U セッションのユーザ名 %G %U のプライマリグループ名プ名 %S 現在のサービス名 %u 現在のサービスのユーザ名 %g %u のプライマリグループ %H %u のホームディレクトリ %m クライアントマシンの NetBIOS 名 %M クライアントマシンのホスト名 smb.conf の設定確認 testparmコマンド - 構文の誤りをチェックするが Samba の実際の機能をチェックするものではない LPI-Japan All rights reserved. 21

24 smb.conf の主なパラメータパラメータ名機能役割 browseable 共有の表示を設定 hosts allow 指定したホストだけ共有へのアクセスを許可 ( 他はすべて拒否 ) valid users 指定したユーザグループ (@, + で指定 ) だけ共有へのアクセスを許可 read only 共有に対する読み取りを設定 writeable 共有に対する書き込みを設定 write list 書き込みを許可するユーザリストを設定 read list 読み取りを許可するユーザリストを設定 admin users 共有内でのアクセスユーザをrootに指定 force user 共有内でのアクセスユーザを強制的に指定 force group 共有内でのアクセスグループを強制的に指定 map to guest ゲスト認証要求時の動作を設定 guest ok ゲスト認証でのアクセスを設定 LPI-Japan All rights reserved. 23

25 ファイル共有の作成作成方法 smb.conf に [ 共有名 ] でセクションを作成し設定を記述 [homes] セクションにはユーザのホームディレクトリを共有するための設定を記述 [global]... [homes] comment = %U s Home browseable = no writeable = yes valid user = %S... [share] commemt = Share path = /mnt/share browseable = yes writeable = yes... ユーザのホームディレクトリ設定ファイル共有の設定を記述 LPI-Japan All rights reserved. 24

26 [homes] セクションの二重表示ホームディレクトリの表示 [homes] セクションではユーザのホームディレクトリが自動的に共有ディレクトリとして設定される - murata ユーザの場合 /home/murata が共有ディレクトリとなるため pathパラメータの記述は不要 [homes] セクション内で browseable = yes と設定するとマイネットワークでは homes という共有とユーザのホームディレクトリが両方表示されるホームディレクトリを二重表示されないようにする方法 [global] セクションで browseable = no と設定し表示させたい共有セクションで browseable = yes と設定する - browseable = yes と設定した共有のみ表示される [homes] セクションを有効にし valid users = %S と設定し他のユーザがアクセスできないよう制限する LPI-Japan All rights reserved. 25

27 [IPC$] セクション IPC(Inter-Process Communication) とは Windows ネットワークにおいてマシンの公開リソースの一覧取得やリソーススの利用準備を行う際に利用される共有 Samba を起動すると自動的に [IPC$] という隠し共有が作成されるセキュリティ上 IPC$ 共有にアクセスさせたくない場合は hosts allow パラメータおよび hosts deny パラメータで設定する IPC$ へのアクセス制限例 [IPC$] hosts allow = LPI-Japan All rights reserved. 26

28 ユーザ単位のアクセス制限共有へのアクセスをユーザ単位で設定 valid users パラメータで設定 murata ユーザだけ共有へのアクセスを許可 valid users = murata trainer グループだけ共有へのアクセスを許可 valid users educグループ (Linuxマシンのグループ ) だけ共有へのアクセスを許可 valid users = +educ LPI-Japan All rights reserved. 27

29 共有に対する読み書き単位のアクセス制限ユーザ単位で共有内のファイルへの読み書きを制御 read only = yes あるいは writeable = no - 共有に対して読み取りは可能だが書き込みは不可 read only = no あるいは writeable = yes - 共有に対して書き込みを許可特定のユーザにのみ読み書きを制御 write list(l) あるいは read list(l) で指定 root ユーザと staff グループにのみ書き込みを許可 read only = yes write list = LPI-Japan All rights reserved. 28

30 共有へアクセスするユーザの制御共有内で root とする設定 admin users = [ ユーザ名 ] と設定すると指定されたユーザは設定された共有内でrootとしてアクセス許可される share 共有内で murata ユーザを root としてアクセス [share] admin users = murata... 共有内で強制的にアクセスユーザを指定 force user = [ ユーザ名 ] と設定すると指定された共有内では強制的に設定されたユーザの権限でアクセス許可される force group = [ グループ名 ] と設定すると指定された共有内では強制的に設定されたグループの権限でアクセス許可される share2 共有内でmurataユーザとしてアクセス [share2] force users = murata... LPI-Japan All rights reserved. 29

31 ゲスト共有ゲスト認証 Samba サーバにアカウントを持たないユーザがアクセスした場合に特定のアカウントにマッピング map to guest パラメータの指定によりゲスト認証時の動作を設定できる map to guest パラメータの値パラメータ名機能役割 Never ゲスト認証を許可しない ( デフォルト ) Bad User Bad Password guest ok = yes ( ゲスト認証が許可 ) の場合 Sambaサーバにアカウントが存在しないユーザをゲストユーザとみなす guest ok = yes ( ゲスト認証が許可 ) の場合 Sambaサーバにアカウントが存在しないユーザやパスワードが一致しなかったユーザをゲスト認証とみなす LPI-Japan All rights reserved. 30

32 SWAT による Samba の管理 SWAT(Samba Web Administration Tool) Web ブラウザ上での Samba 管理ツール 901/tcp ポートを使用デフォルトではスーパーサーバ経由 (xinetd デーモン ) で起動アクセス時はWebブラウザで以下のURLを入力サーバの IPアドレス > :901 SWAT 使用上の留意事項 smb.conf 編集時 SWAT が設定内容を再生成 - コメント行デフォルト設定が削除される - パラメータの並び順も変更されるパスワードが暗号化されずに送信 - 編集には Samba の root ユーザパスワードが必要 LPI-Japan All rights reserved. 31

35 Samba 認証データベースの種類 smbpasswd ファイル ( ローカルファイル ) Samba2.22 まで利用されたテキストベースのファイルスのファイル Winbind 機能の使用不可 TDB(Trivial Database) Samba3.0 でサポートされたバイナリ形式の簡易データベース拡張子.tdb がつけられる LDAP ディレクトリサービスによる認証情報の一元管理 OpenLDAP サーバの構築が必要 LPI-Japan All rights reserved. 34

36 認証データベースユーザ認証方式の指定認証データベースの指定 passdb backend (G) パラメータを使用パラメータ値認証データベース設定例 smbpasswd smbpasswdファイル smbpasswd:/etc/samba/smbpasswd tdbsam TDB 形式データベース tdbsam:/etc/samba/smbpasswd.tdb ldapsam LDAP ディレクトリ ldapsam:ldap:// : :389 ユーザ認証方式の指定 security (G) パラメータを使用パラメータ値説明 share パスワードのみで認証 ( 共有単位での認証 ) user ユーザ名とパスワードのみで認証 ( デフォルト ) server domain ads 他のSambaサーバで認証ドメインコントローラによる認証 Active Directoryのドメインコントローラによる認証 LPI-Japan All rights reserved. 35

37 Samba ユーザの管理 pdbedit コマンドユーザアカウントの追加削除変更一覧表示取り込みに対応 ( パスワードの変更にはsmbpasswdコマンドを使用 ) すべての認証データベースに対応オプション -L Samba ユーザの表示説明 -a Samba ユーザの追加 -x Sambaユーザの削除 -i Samba ユーザ情報のインポート -e Samba ユーザ情報のエクスポート認証データベースの移行 smbpasswd 形式から tdbsam 形式 ldapsam 形式への移行で利用 pdbedit i smbpasswd:/etc/samba/smbpasswd e tdbsam:/usr/local/samba/private/passwd.tdb LPI-Japan All rights reserved. 36

38 パスワード管理 smbpasswd コマンド Samba ユーザのパスワード設定変更を行う認証データベースに smbpasswd を利用する場合ユーザの作成削除が可能オプション Samba ユーザの追加 -a Samba ユーザ名アカウントが存在する場合は無視され通常のパスワード変更コマンドとして動作する -x Samba ユーザ名 Samba ユーザの削除 -d Samba ユーザ名 Samba ユーザを無効にする -e Samba ユーザ名 Samba ユーザを有効にする説明 LPI-Japan All rights reserved. 37

39 パスワードユーザ名のマッピング Samba パスワードと Linux アカウントパスワードの同期 smbpasswd コマンドでパスワードが変更されたタイミングで同期ドが変更されたタイミングで同期 unix password sync = yes passwd program = /usr/bin/passwd %u Windows ユーザと Samba ユーザのマッピング基本的には Windows ユーザと同名の Samba ユーザの認証情報を利用 Windowsとは異なるSambaユーザとマッピングするには username map パラメータを使用する username map パラメータの設定 username map = /etc/samba/smbusers/ / b /etc/samba/smbusersファイルの内容 ( 左に Sambaユーザザ右に Windowsユーザを記述 ) smbuser1 = murata smbuser2 = fukuda guest = * LPI-Japan All rights reserved. 38

40 Winbind Samba ユーザの作成手順 1 Linux ユーザを作成 (useradd コマンド passwd コマンド ) 2 Samba ユーザを作成 (pdbedit コマンド smbpasswd コマンド ) 3 ( 必要に応じて ) ユーザ名パスワードのマッピング ( 前頁参照 ) Winbind とは Windowsドメインのアカウント情報からLinuxユーザの情報を自動的に生成するしくみ Winbindを利用するとSambaサーバでユーザを作成する際に対応するLinuxユーザを個別に作成する必要がなくなる Winbind 機能はwinbinddデーモンが提供 winbinddはnss 経由でWindowsドメインのアカウント情報 (SID) の取得と名前解決を行い対応する Linux ユーザの UID/GID を動的に割り当て Samba 認証データベースに保存する PAM に対応しており Samba 以外のアクセス認証にも対応 LPI-Japan All rights reserved. 39

41 Winbind のインストール設定 1/2 パッケージのインストール winbind あるいは samba-winbind パッケージをインストール NSS PAM 関連モジュールモジュールファイルを適切なディレクトリにコピーして配置サービス名モジュール NSS PAM Winbind の設定 /lib/libnss_winbind.so /lib/security/pam_winbind.so /etc/nsswitch.conf / にwinbind を追加 passwd: files winbind group: files winbind /etc/pam.d/system-auth に以下の設定を追加 auth sufficient pam_winbind.so account sufficient pam_winbind.so LPI-Japan All rights reserved. 40

42 Winbind のインストール設定 2/2 smb.conf の設定 Winbind を利用する場合 Windows ドメインあるいは Active Directoryドメインに参加する必要がある idmap uid パラメータ名説明 winbindd が動的に割り当てる UID の範囲を指定 idmap gid winbinddが動的に割り当てる GIDの範囲を指定 Winbind 設定例 [global] security = domain もしくは ads... idmap uid = idmap gid = LPI-Japan All rights reserved. 41

43 idmap 機能 Winbind における問題点 (Samba2.2 系 ) 複数の Samba サーバ運用時に自動生成されたユーザの UID/GID が不一致となる - 同一の Windowsドメインのアカウントに対してもアクセスする Sambaサーバによって異なるUIDがマッピングされてしまう NFS など UID でユーザをマッピングするサービスでは致命的 idmap 機能とは複数の Samba サーバが個々に管理している認証データベースを LDAP サーバで一元化し同じ UID がマッピングされるようにするしくみ LPI-Japan All rights reserved. 42

44 idmap 機能の設定 LDAP サーバでの設定マッピング情報を格納するオブジェクトをあらかじめ作成しておく Samba サーバでの設定パラメータ名説明 idmap backend LDAPサーバのアドレスを指定 idmap admin dn ldap suffix ldap idmap suffix LDAP サーバから情報を取得するための識別名 (DN) を指定 LDAP のベースサフィックスを指定 idmap マッピング情報のために使用するサフィックスを指定 idmap 設定例 idmap uid = idmap gid = idmap backend = ldapsam:ldap://ldap.example.com idmap admin dn = cn=manager, dc=example, dc=com ldap suffix = dc=example, dc=com ldap idmap suffix = ou=idmap LPI-Japan All rights reserved. 43

45 ご参考カスタマイズ研修のご案内 LPIC 試験対策研修 Linux 基礎 Linuxサーバ構築その他ネットワークセキュリティ Web 技術など各種 IT 研修をカスタマイズして提供弊社研修サービスホームページ /l / ネットワークセキュリティ Linux Microsoft Office XML IT 技術研修 Linux( 基礎システム管理サーバ構築 ) ネットワーク (TCP/IP LAN/WAN 無線技術) セキュリティ ( 技術解説セキュリティマネジメント ) XML(XML/DTD XSLT XML Schema) Web 技術 (HTML4/5 CSS JavaScript jquery Ajax) プログラミング (C Java Android PHP Objective-C) Microsoft Office( 基礎 / 応用 VBA 2007/2010 対応 ) Web 技術プログラミング資格試験対策 LPIC レベル 1~3 XMLマスターベーシック CompTIA A+ Network+ Security+ Ruby y 技術者認定試験 Silver 情報処理技術者試験 LPI-Japan All rights reserved. 44

オープンソース・ソリューション・テクノロジ株式会社会社紹介

オープンソース・ソリューション・テクノロジ株式会社会社紹介 Open Source Solution Technology Samba 4 で構築する Active Directory 環境 ~ インストールから UID/GID の話まで ~ オープンソースソリューションテクノロジ株式会社 2014/09/05 亀井裕自己紹介亀井裕 ( かめいゆたか ) オープンソースソリューションテクノロジ株式会社所属 Samba と OpenLDAP の製品開発を行っています

LPIC レベル 技術解説無料セミナー 2014/3/21 株式会社ケイ シー シーシ西日本センターユニット ITラーニングセンター村田一雄 LPI-Japan All rights reserved.

LPIC レベル技術解説無料セミナー 2014/3/21 株式会社ケイシーシーシ西日本センターユニット ITラーニングセンター村田一雄 LPI-Japan All rights reserved.