LDAP と KDC (鍵配送センター) の両方のサービスを提供するドメインコントローラの場所を設定します。

クライアントを参加させるためのマシンアカウントを、ディレクトリサービス内に作成します。

最初のチケット発行許諾チケット (TGT) をクライアント向けに取得し、ローカルの Kerberos クレデンシャルキャッシュ内に保存します。クライアント側では、この TGT を利用することで、 LDAP の問い合わせを行うディレクトリサーバとの通信など、様々なサービスに対するチケットを取得します。

NSS と PAM の設定が調整され、ドメインコントローラとの間でクライアントが認証できるように設定を行います。

YaST を開きます。

後から DNS の自動検出機能を利用できるようにするため、 Active Directory のドメインコントローラ (Active Directory サーバ) をクライアント側のネームサーバとして設定します。

1. YaST で ネットワークの設定 を押します。

2. ホスト名／DNS を選択して、 ネームサーバ 1 のテキストボックス内に、 Active Directory ドメインコントローラの IP アドレスを入力します。

   OK を押して設定を保存します。

YaST のメインウインドウに戻って、今度は ユーザのログイン管理 を押します。

お使いのコンピュータに対するネットワーク設定の概要と、現在使用されている認証方式が表示されます。

図 7.2: ユーザのログイン管理 のメインウインドウ #

編集を行うため、 設定の変更 を押します。

ここからドメインに参加します。

1. ドメインの追加 を押します。

2. 表示されたダイアログで、まずは ドメイン名 に正しい値を入力します。その後、識別子データとユーザ認証でそれぞれ Microsoft Active Directory を選択します。

   このとき、 ドメインの有効化 を選択していることをご確認ください。

   OK を押します。

3. 通常は、後続のダイアログの内容を変更する必要はありません。既定値のままでかまいません。ですが、場合によっては設定を変更する必要がある場合もあります:

   • ドメインコントローラ内で設定しているホスト名とローカルのホスト名が異なる場合： お使いのコンピュータのホスト名と Active Directory のドメインコントローラ内に登録されているホスト名が同じになっているかどうかを確認します。端末を開いて hostname コマンドを実行し、出力された内容が Active Directory のドメインコントローラ内にあるかどうかを確認してください。

     ホスト名が異なる場合は、 AD ホスト名 の欄に、 Active Directory 内に登録されているホスト名を入力してください。それ以外の場合は、左記のテキストボックスには何も記入しないでください。

   • DNS Auto-Discovery を使用したくない場合： AD サーバのホスト名 内に、使用したいサーバを指定します。複数のドメインコントローラが存在する場合は、カンマ区切りで指定してください。

4. OK を押して続行します。

   この時点で必要なソフトウエアがインストールされていない場合は、ここで必要なソフトウエアをインストールします。その後 Active Directory のドメインコントローラが利用できるかどうかを確認します。

5. 全ての設定が正しければ、後続のダイアログ内の Active Directory Server に検出されたサーバが表示されます。ただし、この時点では まだ登録されていません と表示されます。

   ダイアログ内にある ユーザ名 と パスワード の欄に、 Active Directory の管理者アカウント (通常は Administrator) の情報を入力します。

   現在のドメインが Samba 向けに有効化されていることを確認したい場合は、 この AD で動作するように Samba の設定を上書きする を選択します。

   登録を行うには OK を押します。

   

   図 7.3: ドメインへの登録 #

6. 登録が正常に行われたことを表すメッセージが表示されるはずです。メッセージを確認したら、 OK を押します。

登録完了後は、 ドメインユーザのログオンの管理 ウインドウ内で、クライアント側の設定を行います。

図 7.4: ユーザのログオンの管理 の設定ウインドウ #

1. Active Directory 側に設定されているログイン情報を利用して、コンピュータにログインできるようにするには、 ドメインユーザのログオンを許可する を選択します。

2. 必要であれば、 ドメインのデータソースを有効にする 以下にある項目を選択します。たとえば sudo コマンドを使用する許可を与えるユーザや、ネットワークドライブを利用させるかなどの設定を行うことができます。

3. Active Directory のユーザに対してホームディレクトリを作成するには、 ホームディレクトリを作成する を選択します。ホームディレクトリのパスは、クライアントやサーバ、もしくはその両方など、様々な方法で設定することができます:

   • ドメインコントローラ側でホームディレクトリを設定したい場合は、それぞれのユーザに対して、 UnixHomeDirectory という属性を設定してください。これに加えて、この属性がグローバルカタログ内で複製されるように設定する必要があります。 Windows 側での設定方法について、詳しくは https://support.microsoft.com/kb/248717 をお読みください。

   • クライアント側に対して、ドメインコントローラで設定したホームディレクトリのパスを優先するように設定したい場合は、 fallback_homedir オプションを設定してください。

   • クライアント側に対して、ドメインコントローラで設定したホームディレクトリの設定を上書きしたい場合は、 override_homedir オプションを設定してください。

   ドメインコントローラ側の設定については、本文書内では説明していません。下記では、クライアント側の設定項目のみを説明しています。

   左側の枠内で サービスのオプション › 名前の切り替え を選び、 拡張オプション を押します。表示されたウインドウ内で、 fallback_homedir もしくは override_homedir のいずれかを選択して、 追加 を押します。

   値を指定します。ホームディレクトリは /home/ユーザ名 の形式で、たとえば /home/%u のように指定します。設定可能な値に関する情報は、 sssd.conf のマニュアルページ ( man 5 sssd.conf ) 内にある override_homedir の章をお読みください。

   OK を押します。

OK を押して設定を保存します。あとは表示された値が正しいことを確認して、 OK を押して閉じます。

root でログインし、 YaST を起動します。

ネットワークサービス › Windows ドメインメンバーシップ を選択します。

Windows ドメインメンバーシップ の画面 (図7.5「Windows ドメインメンバーシップの設定」 をご覧ください) が表示されたら、 ドメインまたはワークグループ 内に、参加するドメインを入力します。お使いのマシンでの DNS 設定が Windows 側の DNS サーバに設定されていれば、 mydomain.mycompany.com のような DNS ホスト名を入力することができます。ドメイン名を短い形式 (Windows 2000 以前のドメイン名) で入力した場合は、ドメインコントローラを検出する際に DNS ではなく NetBIOS の名前解決機構を使用するようになります。

図 7.5: Windows ドメインメンバーシップの設定 #

Linux 側での認証時に SMB を使用する場合は、 Linux の認証に SMB の情報を使用する を選択します。

Linux マシン側で Active Directory のユーザのホームディレクトリを自動的に作成したい場合は、 ログイン時にホームディレクトリを作成 を選択します。

Active Directory サーバとの通信が一時的に途切れるような場合や、ネットワークの接続を持たないような環境の場合は、 オフライン認証 を選択します。

Samba ユーザやグループに対する UID や GID の範囲を変更したい場合は、 熟練者向け設定 を押します。なお、必要な場合にのみ、 DHCP で WINS サーバのアドレスを取得するように設定してください。これは、 WINS システムでのみ名前を解決することのできるマシンが存在する場合にのみ設定します。

Active Directory 環境で NTP の時刻同期を設定するには、 NTP の設定 を押して、サーバ名もしくは IP アドレスを指定します。この手順は、通常の NTP 設定モジュールを呼び出すだけの仕組みであるため、ここまでで設定済みであれば特に何も行う必要はありません。

OK を押してウインドウを閉じます。確認メッセージが表示されたら、確認に応答します。

Active Directory サーバ内での Windows 管理者のパスワードを入力して OK を押します (図7.6「管理者での認証」 をご覧ください) 。

図 7.6: 管理者での認証 #

アカウントが見つかりませんか？ を押します。

ユーザー名 の欄に、 Windows 側のドメイン名とユーザ名を ドメイン名\ユーザ名 の書式で指定します。

Windows 側のパスワードを入力します。

下記のように入力します:

> ssh ドメイン名\\ユーザ名@ホスト名

\ はエスケープ処理を行う必要があることから、 2 回入力していることに注意してください。

あとはユーザのパスワードを入力します。

まずは samba-gpupdate パッケージをインストールします。これにより certmonger , cepces , sscep の各パッケージを依存関係としてインストールするはずです。 Samba では sscep コマンドを利用して証明機関のルートチェインをダウンロードし、 certmonger と cepces を併用してホスト側の証明書テンプレートを監視します。

次に Active Directory ドメインに参加します (7.6.1項 「サーバ側での証明書自動登録設定」 で説明している、証明機関の設定されたドメインに参加します) 。

Winbind で参加したマシンの場合は、 smb.conf のグローバルパラメータ内に apply group policies = yes という行を追記します。

SSSD で参加したマシンの場合は、 https://github.com/openSUSE/oddjob-gpupdate から oddjob-gpupdate をインストールします。

あとは証明書の自動登録が正しく設定されていることを確認します。具体的には、クライアント側で下記を実行します:

> /usr/sbin/samba-gpupdate --rsop

正しく設定できていれば、下記のような出力が現れるはずです:

Resultant Set of Policy
Computer Policy
GPO: Default Domain Policy
==========================================================
CSE: gp_cert_auto_enroll_ext
-----------------------------------------------------------
Policy Type: Auto Enrollment Policy
-----------------------------------------------------------
[ <CA NAME> ] =
[ CA Certificate ] =
----BEGIN CERTIFICATE----
<CERTIFICATE>
----END CERTIFICATE----
[ Auto Enrollment Server ] = <DNS NAME>

さらに下記のコマンドを実行して、インストール済みの証明書を表示します:

> getcert list
 Number of certificates and requests being tracked: 1.
 Request ID 'Machine':
 status: MONITORING
 stuck: no
 key pair storage: type=FILE,location='/var/lib/samba/private/certs/Machine.key'
 certificate: type=FILE,location='/var/lib/samba/certs/Machine.crt'
 CA: <CA NAME>
 issuer: CN=<CA NAME>
 subject: CN=<HOSTNAME>
 expires: 2017-08-15 17:37:02 UTC
 dns: <hostname>
 key usage: digitalSignature,keyEncipherment
 eku: id-kp-clientAuth,id-kp-serverAuth
 certificate template/profile: Machine