Directory」を採用している企業が圧倒的に多いですよね。Directory環境下では、こんな感じにADで作成したユーザーアカウントにより社内インフラへのアクセス/認証を一元管理する事が可能です。Linuxマシンへ接続する際に、ADのアカウントを利用したWindows認証でアクセス制御を行う事は出来ないか?例えばLinuxマシン上で提供しているファイル共有とか、自社ポータルやwikiなどのWebアクセス、その他諸々のサービスでWindows認証により許可されたADユーザーにのみアクセスを許可する、みたいな事は出来ないか?簡単にできます!まず今回は第1歩として、LinuxマシンをADに参加させる手順を紹介していきます。ADのDNSにLinuxマシンを正引きできるよう登録するAD環境下では、よほどの理由がない限りドメインコントローラー上でDNSサービスを動かしているかと思います。DNS管理ツールからドメインに参加させるLinuxマシンをDNSに静的登録しましょう。マシンのDNS参照先をドメインコントローラーに設定するLinuxマシンのDNS参照先を参加するドメインのドメインコントローラーに設定します。(ドメインコントローラーのIPアドレス)...これも簡単。インストールLinuxマシンをドメイン参加させるにあたり「samba」と「winbind」の2つのサービスを動かしている必要があります。Linuxマシン上でsambaがインストールされていない場合、以下のコマンドでsambaをインストールします。sambaにくっついてきますので、別途インストールをする必要はありません。設定(/etc/samba/smb.conf)sambaをインストールしたら設定ファイルのglobalセクションを下記の通り編集します。502~4行目は自身のドメイン環境に合わせて書き換えてください。大文字で記載した箇所は必ず大文字で記載してください。設定が終わったらsamba、winbindのサービスを起動します。]また、忘れずにchkconfigでsambaとwinbindが自動起動するよう設定しておきましょう。on3.Kerberosクライアント設定(/etc/krb5.conf)LinuxマシンからADへの認証はKerberos認証によって行われます。Directoryの情報を適切に記載する必要があります。Directoryのドメイン情報を記載し、kdcにドメインコントローラーのFQDNを記載します。システムデータベースとNSSの設定ファイル(/etc/nsswitch.conf)要は「どの情報(データベース)を参照して認証をするか?」を設定する項目です。AD認証を基に認証されたユーザーを信頼するようにしますので、winbindにより提供された情報を信頼させます。以下3つの項目があります。設定されていませんので、ここにwinbindを追加してください。winbindここまで設定が終わったら、いよいよLinuxマシンをADに参加させます。Directoryに参加させます。restartSELinuxも特別な理由がない限り無効化しておいてください。その後、以下コマンドを実行します。failed!(無視してよい)やっとドメイン参加ができましたので、動作確認をしていきます。動作確認Linuxマシンをドメインに参加させたら、以下コマンドを実行して同様の結果が返って来る事を確認します。-u:ADに存在するユーザーオブジェクトの取得おめでとうございます!この結果が返ってくればドメイン参加は問題なくできています。次回の記事でApach、sambaなどでどのようにAD認証を活用するのかを紹介をしていきます。