torutkの日記の続きです。4.0.0をインストールした後の設定編となります。Windowsドメイン定義samba4のsambaプロセスは、/etc/samba4/smb.confがないと起動しないので、まずsmb.confを作成します。ControllerとしてSamba4を起動するときは、ドメイン設定をsmb.confに記述します。通常はsamba-toolコマンドを実行し、対話的に設定情報を入力するとドメイン設定をsmb.confに出力されます。provisionすると、レルム(Kerberosの管理範囲)を聞いてきます。".LOCAL"とすることが多いようです*1。ここでは閉じた環境用として名前にCOFFEE.LOCALとしてみました。COFFEE.LOCAL次はドメインを聞いてきます。今入力したレルム名の最初の単語がデフォルトで設定されています。デフォルトで構わなければ[Enter]キーを押します。[COFFEE]:次は、サーバーの役割を選択します。ControllerとしてSamba4を動かすので、デフォルトのまま([Enter]キーだけ押す)とします。Directoryが使用するDNSサーバーをSamba内蔵のものか外部のdnsサーバー(bind)か、またはDNS未使用かを指定します。今回はSamba4内蔵のものを使うので、デフォルトのまま([Enter]キーだけ押す)とします。DC管理外のホスト名を解決するために、問い合わせを転送する上位のDNSサーバーのIPアドレスを指定します。/etc/resolv.confにnameserverが記載されていれば、それをデフォルトとして入力を聞いてきます。完全に閉じた環境では"none"を指定して外部のDNSサーバーへの転送をしないということも可能です。ここでは、デフォルトのDNSサーバーのIPアドレスを使うので、[Enter]キーだけ押します。[192.168.1.254]:ドメイン全体の管理権限を持つAdministratorアカウント(ビルドインユーザーアカウント)のパスワードを設定します。種類のうち3種類以上の文字を組み合わせてパスワードとする必要があります。*********パスワードを設定すると、コマンド処理が実行しされます。途中略して最後の部分のメッセージを次に示します。S-1-5-21-XXXXXXXXXX-XXXXXXXXXX-XXXXXXXXXX/var/lib/samba4/private/krb5.confにこの設定に基づく内容が書かれています。trueこれを/etc/krb5.confに上書きコピーします。/etcsamba起動これでsambaが起動するはずです。実行中...serviceコマンドのstatusで実行中になれば、Sambaが稼働しています。sambaと多数のsambaプロセスが稼働しているのがわかります。samba動作確認sambaプロセスが起動したら、ドメイン定義ができているか確認します。-------$次にドメイン管理者Administratorでログインできるか確認します。available次に内蔵DNSの確認をします。192.168.1.10$hostコマンドがない場合、yumでbind-utilsパッケージをインストールします。次にKerberosの確認をします。Directoryのユーザーアカウントはパスワードに有効期限を持たせることができます。上述のWarningは、パスワード有効期限まで何日かを出しているだけで、当面気にしないでおきます。16:47:29$ここまで動けば、Windowsからのドメインログオンに移ります。Directoryの管理には戸惑うことが多いです。落とし穴がいくつかあるので要注意です。Directoryの説明もわかりにくい(骨格情報が少なくツール操作方法が多い気がする)のですが。Directoryにはユーザーアカウントとコンピュータアカウントがあり、Windowsドメインに参加するためには、ユーザーとコンピュータとともに認証する必要があります。Directoryに登録されていることが前提となります。Directoryにはまだそのコンピュータが登録されていないというジレンマに陥ります。先にSamba4でユーザーアカウント(一般権限)を作成し、そのアカウントでWindowsコンピュータをドメインに参加しようと設定するとエラーとなってしまいます。Directoryについては特殊なルールがあります。調べた限り次のとおりです。Directoryに登録がないコンピュータをドメインに参加させることができる。Directoryにコンピュータを登録することができる。そこで、最初はドメイン定義で作成したAdministratorアカウントでWindowsコンピュータをドメインに参加させます。その後は別途作成したユーザーでWindowsにログオンします。この手順であれば問題ないようです。Controller(つまりSamba4稼働マシン)を追加します。次に、ドメインに参加する設定をします。[コントロールパネル]>[システム]>[システムの詳細設定]>[コンピュータ名]タブをクリックし、ドメイン設定の[変更]ボタンを押す。[ドメイン]ラジオボタンをチェックし、ドメイン名に"COFFEE"を入力する。ここで、ドメイン名にNetBIOSドメイン名である"COFFEE"を指定する場合と、FQDN(?)の"COFFEE.LOCAL"を指定する場合があるようです。環境によってはエラーになることがあるかもしれません(NetBIOSはルーター越えの場合あやしいかも)。[ユーザー名]に"Administrator"、[パスワード]に"XXXxxx999"を入れる。コンピュータがドメインに登録されて問題が生じなければ、「COFFEEドメインにようこそ」ダイアログが表示されます。再起動後、ログオン画面にログオン先欄が増えているので、ドメインログオンするときはログオン先にドメイン名を選択します。Windowsドメインログオンドメインに参加しているコンピュータでログオンするときは、ログオン画面にユーザー名/パスワード欄に加えて、ログオン先欄があるので、ここでドメインを選択するとドメインユーザーアカウントでログオンできます。ドメインではなくコンピュータのローカルに作成したユーザーアカウントで引き続きログオンする場合は、ログオン先にそのコンピュータ名を選択します。Directory上にユーザーアカウントを作成することができます。Password:samba-toolコマンドの実行には、gnutls-devel、cups-develのパッケージがインストールされていないとエラー(共有ライブラリファイルを利用しているため)となります。デフォルトでは、CN=Users,DC=coffee,DC=localの下にユーザーが作成されます。Directory上にユーザーを作成(Windows用の管理ツール)samba-toolを初回ユーザー作成程度に使うのはよいですが、日常管理作業として使うには面倒なので、日常の管理作業にはWindows上で専用の管理ツールを使うのがよさそうです。(SP1)用のリモートサーバー管理ツール」をMicrosoftから別途ダウンロードしインストールします。ドメインに参加したコンピュータ上でこのツールを使ってユーザー管理ほかをすることができます。Directory管理センタ]をチェックし[OK]を押す。Controllerが動いてないときネットワークがつながらい、Samba4マシンが落ちている、等でWindowsにログオンできないと困ると思って小規模なネットワークではあまりドメインを使おうと思っていませんでした。今回調べてみると、Windowsではログオン情報を過去規定数分保持しているので、まったくログオンできないという事態はなさそうです。そのコンピュータで一度もログオン実績のないユーザーアカウントの場合、ログオン情報がないのでオフラインではログオンできません。多数のユーザーアカウントでログオンしている場合、10アカウント(デフォルト)分のログオン情報をキャッシュするようです。ユーザーがワークステーションまたはサーバーをドメインに参加させられない*1:あまり推奨されるやり方ではなく、閉じた環境でもなるべく組織のDNSに基づく命名をするのが望ましい。#jjug開催案内ページは次です。月別アーカイブはてなブログをはじめよう!torutkさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。