このコンテンツの更新版として「Samba 4.7.xでActive Directoryを１から立てる」(2018/03/02)を公開しています。
LinuxでActive Directoryサーバを立てることにした。
アプライアンスとして作られているものがあるのは知ってるけど、あえて、それは使わないことにし、CentOS6で環境を作ることにした。
メリットについて上げてみる。
・samba 4.xでは、DNSサーバ/LDAPサーバ機能を統合してしまっているので
sambaの設定をするだけでおしまい
・Active Directoryユーザの作成などは、ADに参加しているWindowsマシンに管理者ユーザでログオンし
その端末にインストールしたActive Directory管理ツールから行える。
えぇ、bindの設定とかopenldapの設定とか、気にしなくていいんです。
（ただし、小規模の場合。大規模になると、パフォーマンスの問題でbindも使った方がいいらしい。openldapは機能が足らないせいでお役御免です）
(追記: WindowsServer2012のクラスタリングのためには使えませんでした)
では、「Samba AD DC HOWTO」を見ながらセットアップ。
1. 関連ソフトウェアパッケージのインストール
Sambaをセットアップするにあたり必要な周辺ソフトウェア群の準備を行う。
「Samba 4/OS Requirements」を参考にパッケージをインストールしていく。
CentOS6.5の最小インストール状態なので、いろいろ追加していくことになる。
設定中、sshセッションが切れたりすることがあるかもしれないので「screen」を追加。
# yum install screen
Requirementsに記載されているパッケージを追加。
# yum install gcc libacl-devel libblkid-devel gnutls-devel \ readline-devel python-devel gdb pkgconfig krb5-workstation \ zlib-devel setroubleshoot-server libaio-devel \ setroubleshoot-plugins policycoreutils-python \ libsemanage-python setools-libs-python setools-libs \ popt-devel libpcap-devel sqlite-devel libidn-devel \ libxml2-devel libacl-devel libsepol-devel libattr-devel \ keyutils-libs-devel cyrus-sasl-devel cups-devel bind-utils
ドキュメントの製作で使うらしい以下のパッケージも追加
# yum install docbook-style-xsl libxslt
2. ファイルシステムのマウントオプション調整
Sambaで利用したいファイルシステムのマウントオプションを調整する。
「Samba 4/OS Requirements」の「File System Support」に記載されているようにext3/ext4の場合、「user_xattr,acl,barrier=1」オプションをつけてマウントしろ、とのこと。
CentOS6の場合、標準状態では、以下のように/etc/fstabで指定されていた。
UUID=080add24-43d7-4502-aa31-2e7a4b9116d5 /home ext4 defaults 1 2
この場合、/proc/mountsで確認できるマウント状況は、以下の様になっている。
/dev/sdb1 /home ext4 rw,seclabel,relatime,barrier=1,data=ordered 0 0
「user_xattr,acl」が足らないようなので/etc/fstabを以下のように書き換えた。
UUID=080add24-43d7-4502-aa31-2e7a4b9116d5 /home ext4 user_xattr,acl,barrier=1 1 2
が、/proc/mounts は同じ状態。
/dev/sdb1 /home ext4 rw,seclabel,relatime,barrier=1,data=ordered 0 0
mount -vではきちんと反映されているように見えるという点が非常に謎。
/dev/sdb1 on /home type ext4 (rw,user_xattr,acl,barrier=1)
以下の様にテストを実行し、このような出力結果が出れば問題ない、とのことなので、上記のマウントの件は問題なし、とした。
# touch test.txt # setfattr -n user.test -v test test.txt # setfattr -n security.test -v test2 test.txt # getfattr -d test.txt # file: test.txt user.test="test" # getfattr -n security.test -d test.txt # file: test.txt security.test="test2" # touch test3.txt # setfacl -m g:adm:rwx test3.txt # getfacl test3.txt # file: test3.txt # owner: root # group: root user::rw- group::r-- group:adm:rwx mask::rwx other::r-- #
3. ソース取得
wgetでsamba 4.1.5のソースを取得。
# wget http://ftp.samba.org/pub/samba/samba-4.1.5.tar.gz
4. configure
# tar xfz samba-4.1.5.tar.gz # cd samba-4.1.5 # ./configure
で構成情報取得。
Requirementにある以外に必要となったもの。
# yum install perl openldap-devel
以下はあったほうがいいのかなぁ？という感じのもの。
# yum install pam-devel
ちなみに「openldap-devel」をインストールしないと、以下のメッセージが出て、Active Directory機能が使えないので注意。
# ./configure ＜略＞ Active Directory support not available: LDAP support ist not available. Building without Active Directory support. ＜略＞ #
5. make & make install
# make ＜略＞ # make install ＜略＞ #
6.インストール完了確認
sambaのバージョン確認
# /usr/local/samba/sbin/samba -V Version 4.1.5 #
7. Active Directoryのセットアップ
ドメイン「adosakana.local」を作成します。
また、sambaの機能を使ってAD DNSを構築するので「SAMBA_INTERNAL」を選択します。
# /usr/local/samba/bin/samba-tool domain provision --use-rfc2307 --interactive Realm: adosakana.local Domain [adosakana]: Server Role (dc, member, standalone) [dc]: DNS backend (SAMBA_INTERNAL, BIND9_FLATFILE, BIND9_DLZ, NONE) [SAMBA_INTERNAL]: DNS forwarder IP address (write 'none' to disable forwarding) [172.30.50.100]: Administrator password: Retype password: Looking up IPv4 addresses Looking up IPv6 addresses No IPv6 address will be assigned Setting up share.ldb Setting up secrets.ldb Setting up the registry Setting up the privileges database Setting up idmap db Setting up SAM db Setting up sam.ldb partitions and settings Setting up sam.ldb rootDSE Pre-loading the Samba 4 and AD schema Adding DomainDN: DC=adosakana,DC=local Adding configuration container Setting up sam.ldb schema Setting up sam.ldb configuration data Setting up display specifiers Modifying display specifiers Adding users container Modifying users container Adding computers container Modifying computers container Setting up sam.ldb data Setting up well known security principals Setting up sam.ldb users and groups Setting up self join Adding DNS accounts Creating CN=MicrosoftDNS,CN=System,DC=adosakana,DC=local Creating DomainDnsZones and ForestDnsZones partitions Populating DomainDnsZones and ForestDnsZones partitions Setting up sam.ldb rootDSE marking as synchronized Fixing provision GUIDs A Kerberos configuration suitable for Samba 4 has been generated at /usr/local/samba/private/krb5.conf Setting up fake yp server settings Once the above files are installed, your Samba4 server will be ready to use Server Role: active directory domain controller Hostname: adcent6 NetBIOS Domain: ADOSAKANA DNS Domain: adosakana.local DOMAIN SID: S-1-5-21-3559328066-3556283577-2939567822 #
8. sambaを起動
# /usr/local/samba/sbin/samba # ps -ef|grep samba root 5516 1 4 11:08 ? 00:00:00 /usr/local/samba/sbin/samba root 5517 5516 0 11:08 ? 00:00:00 /usr/local/samba/sbin/samba root 5518 5516 0 11:08 ? 00:00:00 /usr/local/samba/sbin/samba root 5519 5517 4 11:08 ? 00:00:00 /usr/local/samba/sbin/smbd -D --option=server role check:inhibit=yes --foreground root 5520 5516 0 11:08 ? 00:00:00 /usr/local/samba/sbin/samba root 5521 5516 0 11:08 ? 00:00:00 /usr/local/samba/sbin/samba root 5522 5516 6 11:08 ? 00:00:00 /usr/local/samba/sbin/samba root 5523 5516 0 11:08 ? 00:00:00 /usr/local/samba/sbin/samba root 5524 5516 0 11:08 ? 00:00:00 /usr/local/samba/sbin/samba root 5525 5516 0 11:08 ? 00:00:00 /usr/local/samba/sbin/samba root 5526 5516 0 11:08 ? 00:00:00 /usr/local/samba/sbin/samba root 5527 5516 0 11:08 ? 00:00:00 /usr/local/samba/sbin/samba root 5528 5516 0 11:08 ? 00:00:00 /usr/local/samba/sbin/samba root 5529 5516 0 11:08 ? 00:00:00 /usr/local/samba/sbin/samba root 5530 5516 0 11:08 ? 00:00:00 /usr/local/samba/sbin/samba root 5534 5519 0 11:08 ? 00:00:00 /usr/local/samba/sbin/smbd -D --option=server role check:inhibit=yes --foreground root 5537 1081 0 11:08 pts/1 00:00:00 grep samba #
9. 動作確認
CentOS内部からSMB接続を行うテストを実施。
# /usr/local/samba/bin/smbclient --version
Version 4.1.5
# /usr/local/samba/bin/smbclient -L localhost -U%
Domain=[ADOSAKANA] OS=[Unix] Server=[Samba 4.1.5]
Sharename Type Comment
--------- ---- -------
netlogon Disk
sysvol Disk
IPC$ IPC IPC Service (Samba 4.1.5)
Domain=[ADOSAKANA] OS=[Unix] Server=[Samba 4.1.5]
Server Comment
--------- -------
Workgroup Master
--------- -------
#
もう１つ。
netlogon共有にAdministrator権限でアクセスできるか確認。
# /usr/local/samba/bin/smbclient //localhost/netlogon -UAdministrator -c 'ls'
Enter Administrator's password:
Domain=[ADOSAKANA] OS=[Unix] Server=[Samba 4.1.5]
. D 0 Tue Feb 25 11:06:38 2014
.. D 0 Tue Feb 25 11:06:48 2014
35275 blocks of size 524288. 31250 blocks available
#
10．AD DNSの動作テスト
AD DNSが想定通りに動作しているかテストします。
まず、どんなzoneが登録されているのか確認
# /usr/local/samba/bin/samba-tool dns zonelist 127.0.0.1 -U Administrator Password for [ADOSAKANA\Administrator]: 2 zone(s) found pszZoneName : adosakana.local Flags : DNS_RPC_ZONE_DSINTEGRATED DNS_RPC_ZONE_UPDATE_SECURE ZoneType : DNS_ZONE_TYPE_PRIMARY Version : 50 dwDpFlags : DNS_DP_AUTOCREATED DNS_DP_DOMAIN_DEFAULT DNS_DP_ENLISTED pszDpFqdn : DomainDnsZones.adosakana.local pszZoneName : _msdcs.adosakana.local Flags : DNS_RPC_ZONE_DSINTEGRATED DNS_RPC_ZONE_UPDATE_SECURE ZoneType : DNS_ZONE_TYPE_PRIMARY Version : 50 dwDpFlags : DNS_DP_AUTOCREATED DNS_DP_FOREST_DEFAULT DNS_DP_ENLISTED pszDpFqdn : ForestDnsZones.adosakana.local #
Active Directoryで使用するDNSのSRVレコードが登録されているか確認。
# host -t SRV _ldap._tcp.adosakana.local 127.0.0.1 Using domain server: Name: 127.0.0.1 Address: 127.0.0.1#53 Aliases: _ldap._tcp.adosakana.local has SRV record 0 100 389 adcent6.adosakana.local. # host -t SRV _kerberos._udp.adosakana.local 127.0.0.1 Using domain server: Name: 127.0.0.1 Address: 127.0.0.1#53 Aliases: _kerberos._udp.adosakana.local has SRV record 0 100 88 adcent6.adosakana.local. #
ADサーバのホスト名が登録されているか確認
# host -t A adcent6.adosakana.local 127.0.0.1 Using domain server: Name: 127.0.0.1 Address: 127.0.0.1#53 Aliases: adcent6.adosakana.local has address 172.17.44.216 #
11. DNSサーバの変更
ADサーバの/etc/resolv.confを、ADサーバ自身を使う様に書き換え
12. /etc/krb5.conf の変更
/usr/local/samba/private/krb5.conf にあるので、それを使用する。
# cat /usr/local/samba/private/krb5.conf
[libdefaults]
default_realm = ADOSAKANA.LOCAL
dns_lookup_realm = false
dns_lookup_kdc = true
# cp /usr/local/samba/private/krb5.conf /etc/krb5.conf
cp: `/etc/krb5.conf' を上書きしてもよろしいですか(yes/no)? y
#
13. Kerberosの動作確認
# kinit administrator@ADOSAKANA.LOCAL Password for administrator@ADOSAKANA.LOCAL: Warning: Your password will expire in 41 days on Tue Apr 8 11:06:46 2014 #
正常に設定されていれば、Administratorユーザのパスワード有効期限が表示されます。
例えば、DNSサーバの指定が誤っていると、以下のエラーとなります。
# kinit administrator@ADOSAKANA.LOCAL kinit: Cannot resolve servers for KDC in realm "ADOSAKANA.LOCAL" while getting initial credentials #
これは、kinitは、DNSサーバに登録されているkerberos関連のSRVレコードを読みにいくためです。
# kinit administrator@adosakana.local kinit: KDC reply did not match expectations while getting initial credentials #
こっちのメッセージがでる場合は、ドメイン名を小文字で指定していることが原因です。
大文字で指定し直します。
なお、kinitではなく、「klist」コマンドで一覧表示も可能です。
# klist
Ticket cache: FILE:/tmp/krb5cc_0
Default principal: administrator@ADOSAKANA.LOCAL
Valid starting Expires Service principal
02/25/14 11:42:49 02/25/14 21:42:49 krbtgt/ADOSAKANA.LOCAL@ADOSAKANA.LOCAL
renew until 03/04/14 11:42:46
#
以上で、Active Directoryサーバとしての設定は終了でした。
このあと、Windows Server 2012を、この作成したばかりのADOSAKANA.LOCALに参加させたところ、正常に参加できました。
2014/05/08追記
この手順で作成した場合、ドメイン/フォレストの機能レベルは「Windows Server 2003」になります。
samba 4.1.7においては、「Windows Server 2008 R2」まで上げることができます。
手順については、「samba 4.xでドメイン/フォレストの機能レベルを変更する」にて解説しています。
Windowsからアクセス権が変更出来ないことで悩んでいたのですが、
この記事のおかげでマウントオプションにuser_xattr,acl,barrier=1が必要な事が分かりました。
通りすがりですが、本当に助かりました。ありがとうございます。