CentOS 7で構築したSambaサーバーをActive Directoryへ参加させる

Sambaサーバーの基本的なインストールが完了して運用を始めると、WindowsとSambaサーバーで両方のユーザーを管理手間が気になると思います。
既存にActive Directory環境がある場合、ユーザーの管理はActive Directoryで行いたいと考えるのが一般的です。SambaサーバーはWindowsで構築したActive Directoryのドメインメンバーになることができますので、Active Directoryでユーザーの一元管理を行うことが可能です。
今回の記事ではSambaサーバーのユーザーをWindowsのActive Directoryで管理するために、SambaサーバーをWindowsドメインのメンバーサーバーとして登録する手順を紹介します。
追記：2018/10/26
※本記事の手順を実行したユーザー様より実行順序が異なるという指摘を頂きました。検証の結果、記事の一部を修正しております。TakaQbow様、ご指摘有難うございました。
この手順を実行することで、Active DirectoryによるWindowsとLinuxの一元管理環境を作成することが出来ます。Linuxに関してはファイル共有にアクセスするためのユーザーだけでなく、サーバーへアクセスするためのユーザーまで管理が出来ます。非常に便利な構成になりますので、是非、本記事を参考に、ユーザー管理の手間を軽減するドメイン環境でのSambaサーバー運用を行ってみて下さい。

SambaサーバーとWindowsによるActive Directoryの環境は、本ブログの以前の記事

及び

で構築した環境を元に説明を行います。

SambaサーバーをWindowsドメインへ参加させる方法は、主に以下の二通りの構成があります。差異は利用する認証サービスになりますが、以下のような特徴があります。

レッドハットが推奨する方法はsssdを利用した認証を統合する構成ですが、NTLM認証に対応していないことを考えると、ファイルサーバーとして利用する場合にはWinbindを利用する構成のほうが良いかもしれません。

追記：2018/8/26
Sambaサーバーをドメインへ参加させるにはSambaのリリースノートを見る限り、Winbindが必要なようです。以下、Samba4.8リリースノートからの抜粋になります。

sssdはActive Directory上の情報を”Linux”で利用するような場合に利用します。本記事ではSambaサーバー上にあるファイル共有へのアクセスを前提にしていますので、Winbindを選択します。

1. 環境と構成

本記事のWindowsドメイン構成はドメイン内に２台のドメインコントローラーが配置されている前提になります。共にグローバルカタログとして設定されており、ローカルDNSを管理するためのDNSサーバーが稼働しています。

1-1. ドメインコントローラーとドメインのパラメーター

本記事で利用するドメインコントローラー２台とドメイン環境の設定値をは以下の通りです。
ドメインコントローラー１台目

ドメインコントローラー２台目

※この他にテスト用としてドメイン参加しているメンバーPCがあります。

ドメイン環境

ドメインコントローラーは、お互いにDNSによるFQDNとコンピューター名で通信ができる前提です。このパラメーターで設定されたWindowsドメイン環境で作業を進めていきます。

1-2. Sambaサーバーのパラメーター

本記事で利用するSambaサーバーの設定値は以下の通りです。詳細な構成については、Sambaサーバーを構築する手順を紹介した記事

>「CentOS 7とsambaでWindows用ファイルサーバーを設定する。古いサーバーの有効利用に最適」

でも記載しています。本記事と併せて参考にしていただければ幸いです。

上記のSambaサーバーをメンバーサーバーとしてActive DirectoryのWindowsドメインに参加させていきます。

2. Sambaサーバーのネットワーク設定（DNS）

SambaサーバーをWindowsドメインにメンバーサーバーとして追加するためには、WindowsドメインのドメインコントローラーがSambaサーバー側から名前解決できる必要があります。その為、事前の準備として、Sambaサーバーに設定されているDNSサーバーのIPアドレスを、本環境のドメインコントローラーのIPアドレスに変更します。本章ではDNSの変更手順について説明します。

2-1. DNSサーバーと検索ドメインの設定

Sambaサーバーに設定されているDNSサーバーをドメインコントローラーのIPアドレスである”192.168.241.25”と”192,168.241.26”に変更します。
また検索ドメインについては、Active Directoryのドメイン名”2016dom.local”を指定します。ネットワーク設定にはnmcliコマンドを利用します。
DNSの変更は、以下のようにnmcliコマンドを実行します。（ens33はネットワーク名になりますので、実際の環境に読み替えて下さい）

エラーが表示されなければ、正常に設定は完了しています。続いて、設定値の確認を行います。nmcliコマンドを以下のように実行します。

以下が結果になります。

上記のようにipv4.dnsとipv4.dns-search項目の設定値が、設定したパラメーターになっていれば、設定は完了です。

2-2. ネットワーク設定の反映と確認

項目2-1. でDNSに関連するネットワークの設定が完了しましたので、設定内容の反映を行います。systemctlコマンドでネットワークを再起動します。

エラーが出力されなければ、正常に再起動と設定の反映は完了しています。続いて、設定内容の確認を行います。nmcliコマンドで変更された内容は/etc/resolv.confに反映されます。ファイルを確認して設定内容が反映されていることを確認します。

上記のように、設定したDNSサーバーのIPアドレスと検索ドメインが表示されれば、Sambaサーバー側のネットワーク設定は完了です。

3. Windows DNSへのSambaサーバー登録

SambaサーバーをWindowsドメインに参加させるためには、Sambaサーバーのホスト名（ここではfs）が、WindowsのDNSサーバーで名前解決できる必要があります。本章では、Windows側のDNSサーバーへSambaサーバーのホスト名を登録する手順を紹介します。

3-1. Sambaサーバーのホスト名確認

まず、設定されているSambaサーバーのホスト名を確認します。

上記から”fs”がSambaサーバーのホスト名であることが確認できましたので、このホスト名をWindows DNSへ登録します。

3-2. DNSサーバーへの登録

Windows側のDNSサーバーへ、Sambaサーバーのホスト名である”fs”のAレコードを登録します。（Aレコードはホスト名に対応するIPアドレスの情報）操作はWindowsのドメインコントローラー（ここではwin2016）で行います。
サーバーマネージャーからDNSを選択して、サーバー名を右クリックして、[DNSマネージャー]を選びます。

ドメイン名を選択して右クリック、表示されたメニューから[新しいホスト(AまたはAAAA)をクリックします。

新しいホスト登録画面が開きます。以下のパラメーターを設定します。

設定後に[ホストの追加]をクリックします。

ホストレコードfs.2016dom.localは正しく作成ました。と表示されれば、登録は完了です。

以下のようにfsが表示されていることを確認します。

これでWindows側への登録は完了です。

4. DNSの名前引き確認

Sambaサーバーのホスト名である”fs”のDNS登録完了後に、Sambaサーバー側から登録したFQDNでのホスト名について正引きができることを確認します。DNSの正引き確認はhostコマンドで行います。

4-1. dns-utilsパッケージのインストール

dnsの動作確認に利用するhostコマンドはbind-utilsパッケージに含まれています。このパッケージはCentOSをインフラストラクチャーでインストールした場合には含まれていませんので、yumコマンドで以下のようにインストールを行います。
※既にbind-utilsパッケージがインストールされている場合、本手順は不要です。

以下がyumコマンドの実行結果になります。

bind-utilsがインストールされると、hostコマンドが利用できるようになります。

4-2. Windowsドメインコントローラーの名前引き確認（FQDN）

hostコマンドが利用できる状況になりましたので、ドメインコントローラーのFQDN名（ドメイン名＋ホスト名）であるwin2016.2016dom.localを正引きしてみます。（正引きはコンピューター名から、対応するIPアドレスを検索します。）
hostコマンドを以下のように実行します。

指定したホスト名”win2016.2016dom.local”に対して、IPアドレス”192.168.241.25”が表示されれば確認は完了です。続いて２台目のドメインコントローラーである”win2016-02.2016dom.local”を正引きしてみます。
以下のようにhostコマンドを実行します。

上記のようにIPアドレスが応答として表示されれば、正常に正引きは完了しています。
もし、ホスト名が見つからないという警告が表示された場合には、CentOS側のDNS設定を見直して下さい。ここでは正常に確認ができたという前提で先へ進めていきます。

4-3. Windowsドメインコントローラーの名前引き確認（コンピューター名）

引き続きDNSの確認を行います。項目4-2. ではドメイン名を含めたコンピューター名（FQDN)で名前引きを実行しましたが、今度はコンピューター名だけで名前引きを実行します。CentOS側のipv4.dns-search設定が行われていると、ホスト名だけで名前引きを実行することができます。
以下のようにhostコマンドを実行します。

上記のようにホスト名だけで、IPアドレスの応答が返ってくれば、検索ドメインは正常に設定できています。続いて、二台目のドメインコントローラーも確認します。

上記のようにホスト名に対応したIPアドレスが表示されれば、設定は正常に行われています。

4-4. Sambaサーバーの名前引き確認

Windows DNSへ登録が完了したSambaサーバーのホスト名である”fs"の名前引きができることを確認します。
項目4-2. と同じようにhostコマンドを利用します。Sambaサーバーで、以下のようにコマンドを実行します。

上記のようにSambaサーバーのコンピューター名に対応するIPアドレスが表示されれば、Sambaサーバーのコンピューター名登録は完了しています。
これで名前解決に関する設定は完了です。

5. Sambaサーバーの時刻同期

項目4. まででDNS周りの設定が完了しましたので、Sambaサーバーとドメインコントローラーとの時刻同期を設定します。時刻同期はADの認証方式であるKerberos認証が機能する上では、ドメインコントローラーとの時刻のずれが常時5分以内である必要があります。その為、ドメインコントローラーとSambaサーバーとの時刻同期を行います。時刻同期はSambaサーバーにインストールされているchronydサービスを利用します。
※ドメインコントローラーは外部のタイムソースと正常に同期が取れていないと、同期に失敗します。（ローカルのタイムクロックと同期している場合など）その場合は、ドメインコントローラー以外のタイムソース（ルーターや外部のタイムソース）と同期設定を行って下さい。

5-1. chronydサービスの設定

時刻同期用のサービスであるchronydの設定は、/etc/chrony.confファイルで行います。viエディタで設定ファイルを開きます。

chrony.conf設定ファイルは、デフォルトで時刻同期先のタイムサーバーがいくつか記載してありますので、こちらをコメントアウトしていきます。

設定ファイルのコメントアウト後、参照したい時刻同期用サーバーを同じ形で記載していきます。
因みに最後に記載した、iburstオプションは起動直後に同期先のサーバーに4回連続的に問い合わせを行い、時刻同期が早く行うことができるオプションになります。本記事ではドメインコントローラーである win2016とwin2016-02を同期先のタイムサーバーとして指定します。
以下をコメントアウトした下の部分に追記します。

追記と編集が終わったら、chrony.confファイルを保存します。

5-2. chronydサービスの再起動

項目5-1. で行った設定を有効にするためにchronydサービスを再起動します。

エラーが表示されなければ、正常に再起動は完了しています。サービスのステータスと確認します。

上記から正常にchronydサービスが起動していることが確認できました。これでサービスの再起動は完了です。

5-3. 時刻同期の確認

設定した内容が正常に反映されていること、また時刻同期先のタイムサーバーと同期が出来ていることを確認します。確認用のコマンドは chronyc です。このコマンドに sources オプションを指定することで、設定したタイムサーバーとの同期状態を確認することができます。以下のように実行します。

タイムサーバーと正常に同期できている場合、同期先のタイムサーバー名に*（アスタリスク）が付きます。*が付かない場合は

などが原因として考えられます。上記の原因を元に調査を行って下さい。ここでは正常に設定が完了したいという前提で、先へ進めていきます。

6. Samba追加パッケージのインストール

項目5. までで事前の準備が完了しましたので、ドメイン参加に必要な追加パッケージの導入の手順を紹介します。現状のSamba関連のパッケージは以下の通りです。

上記パッケージがインストールされている環境に、ドメインに参加するためのパッケージを追加していきます。現状、インストールされているパッケージの詳細については、記事

>「CentOS 7とsambaでWindows用ファイルサーバーを設定する。古いサーバーの有効利用に最適」

に詳しく説明しています。参考にして下さい。

6-1. Samba追加パッケージの詳細を確認

SambaサーバーをWindowsドメインに追加するのに必要となる追加パッケージは以下になります。

パッケージのインストール前に内容に間違いないか、念のために詳細を確認します。yumコマンドを以下のように実行します。

表示された説明から上記のパッケージがSambaでのドメイン参加に必要であることが確認できましたので、このパッケージをインストールします。

6-2. yumコマンドによる追加パッケージのインストール

samba追加パッケージはyumコマンドにinstallオプションを付けることでインストールすることができます。項目6-1. で必要なパッケージが確認できましたので、以下のコマンドでインストールします。

上記ではyumコマンドに-yオプションを付けることでインストール時の確認応答を省いています。パッケージを複数インストールする場合はスペースを入れてパッケージ名を列記します。コマンドを実行すると、以下のようにインストールが開始されます。

エラーの出力がなく”完了しました！”と表示されれば、パッケージは正常にインストールされています。

7. Kerberos認証用の設定

KerberosはActive Directoryのユーザ認証の際に使用されるプロトコルです。kerberos認証は、ネットワーク認証方式の1つでサーバとクライアント間の身元確認するために利用されます。SambaサーバーがWindowsドメインに参加するためにはKerberos認証の設定が必要になります。本章では、その設定手順について紹介していきます。

7-1. krb5.conf設定ファイルのバックアップ

Kerberos認証に関する設定は”/etc/krb5.conf”に行います。ファイルの変更前に、ファイルをバックアップします。以下の手順でバックアップを行います。

7-2. krb5.conf設定ファイルの編集

ファイルのバックアップが完了しましたので”krb5.conf”を編集していきます。変更前のファイルは以下のようになっています。

このファイルをActive Directoryの設定に合わせて、以下のように変更します。

基本的に設定が必要なディレクティブは
[libdefaults]
[realms]
[domain_realm]
の3点です。各ディレクティブの設定項目を運用しているActive Directoryのドメインに合わせて変更します。
変更が完了したら、ファイルを保存します。これでKerberos認証用設定ファイルの変更は完了です。

8. Sambaサーバーの設定変更

Kerberos認証の設定が完了しましたので、ここからはSambaサーバーをドメインへ参加させるための設定変更を行っていきます。

8-1. Sambaサービスの停止

Sambaサーバーの設定変更前にサービスを停止します。systemctlコマンドを以下のように実行します。

エラーが表示されなければ、Sambaサービスは停止しています。

8-2. smb.confの変更

sambaの設定は/etc/samba/以下にあるsmb.confで行います。smb.confは設定項目が複数のセクションに分割されています。各セクションの設定内容は以下の通りです。

上記セクションのうち、今回はglobalセクションについて、設定を行います。
smb.confの設定変更前に、既存のファイルをバックアップしておきます。具体的には以下の手順でコピーを行います。

バックアップの完了後、エディタで設定ファイルを開いて変更を行います。本環境ではOSの標準的なエディタである、viエディタを利用しています。

8-3. globalセクションの設定変更

設定ファイルに含まれるglobalセクションを変更します。globalセクションはsambaの挙動に関する基本的なパラメーターを指定するセクションになります。

このセクションを、以下のように変更します。

変更が完了できたら、保存を行います。

8-4. 設定ファイルの確認

smb.confに設定できる内容は多岐にわたるため、設定ファイル自体に間違いがないかを確認するコマンドtestparmが用意されています。testparmコマンドで設定ファイルをチェックします。以下、実行例になります

出力された結果に警告が表示されなければ、設定ファイルの編集は問題ありません。

8-5. ホームフォルダ用ディレクトリの作成

本設定ではユーザーの初回ログオン時に、ユーザーのホームフォルダが自動作成されるように設定しています。フォルダが自動作成されるパスは、smb.confに設定したパスで

となります。このドメイン名フォルダは手動で作成する必要がありますので、事前に作成しておきます。本環境ではドメイン名は2016DOMになりますので、この名前のフォルダを作成します。

これでホームフォルダ用のディレクトリは作成完了です。

9. Windowsドメインへの参加

ここまでの設定で、SambaサーバーがWindowsドメインへ参加するための準備が完了しましたので、実際にWindowsドメインへの参加を行っていきます。本章ではその手順について説明していきます。

9-1. Kerberos認証用チケットの取得

Windowsドメインに参加するために、先ずはkerberos認証で利用するのチケット(TGT)を取得、キャッシュを行います。取得にはkinitコマンドを利用します。以下のように実行します。

パスワードはActive Directoryのドメイン管理者（ここではadministrator）のものを入力します。エラーが出力されなければ、チケットの取得とキャッシュは完了です。念のため、取得・キャッシュされたKerberosの認証情報を確認します。確認にはklistコマンドを利用します。オプションを指定せずに実行することで、現状のリストが表示されます。
kinit実行前だと、以下のようにチケットがないと表示されます。

kinit実行後は以下のようになります。

上記のようにドメイン管理者のチケット情報が表示されれば、確認は完了です。
※参考：TGTチケットの削除を行いたい場合には、kdestroyコマンドをオプション無しで実行します。

9-2. Sambaサーバーのドメイン参加

Kerberos認証用のチケットが取得できましたので、続いてSambaサーバーのドメイン参加を行います。ドメイン参加には、netコマンドを利用します。以下のようにnetコマンドを実行します。

実行すると管理者のパスワードを聞かれます。パスワードを入力してください。パスワードが登録されているものと合致した場合、以下のように表示されます。

これでSambaサーバーのドメイン参加は完了です。

9-3. ドメイン参加の確認

Sambaサーバードメイン参加の確認を行います。ドメイン参加の確認は参加と同じくnetコマンドで行います。以下のように実行します。

正常に参加できている場合、ドメインの情報が表示されます。また、netコマンドを以下のように実行することで、Active Directory上のオブジェクトに関する情報を取得することが出来ます。

またWindows側のツールである[Active Directoryユーザーとコンピューター」にも以下のように参加したコンピューターの名前が表示されます。

これでWindowsドメインへ参加できていることが確認できました。

※参考：Windowsドメインからの削除
Windowsドメインからコンピューターアカウントを削除したい場合は、net ads leaveコマンドを実行します。以下のように実行することでアカウントが削除できます。

テストでコンピューターアカウントを削除するような場合に使います。

10. Sambaサーバーの認証用設定を変更

Sambaサーバーのドメイン参加まで完了しましたので、Sambaサーバーが利用する認証の設定変更（pamファイルやnsswitch.confの変更）を行います。システムへのログインに利用する情報として、winbindを利用するように関連するファイルを変更します。

10-1. Sambaサーバーの認証用設定を変更

認証の設定変更についてはauthconfigというコマンドが用意されていますので、以下のように実行します。

エラーが表示されなければ、設定の変更は完了です。
コマンドを実行すると、nsswitch.confは以下のように変更されます。

winbindが認証方式として追加されていることが確認できます。

10-2. authconfigのテスト

authconfigはtestオプションを付けることで、設定内容のダンプができます。念のために実行して、設定内容と相違がないことを確認します。
以下のように実行します。

上記から正常に設定されていることが確認できました。

10-3. 設定ファイルの反映

変更を反映するために、Sambaに関連したサービス（smbd/nmbd/winbind）の起動を行います。
以下のように実行します。

エラーが出力されなければ、再起動は完了しています。
起動後にsmbdのstatusを確認します。

上記からSambaに関連するサービスが全て起動していることが確認できました。
ここまででsambaのドメイン追加に関する基本的な設定と反映は完了しました。

11. winbindの自動起動設定

サーバーの再起動や停止の復旧時に、winbindが自動的に起動するように設定します。サービスの自動起動を設定するにもsystemctlコマンドを利用します。自動起動は以下のようにsystemctlコマンドを実行します。

エラーが出力されなければ、自動起動は設定が完了しています。
続いて自動起動が設定されたことを確認します。こちらもsystemctlコマンドから確認できます。以下のように実行します。

実行結果として “enabled”と表示されれば自動起動の設定は完了です。

12. rlimit_maxの警告対応（参考）

※本章はrlimitの警告が気になる場合のみ参照下さい。
sambaの設定ファイルをチェックするtestparmを実行すると、以下の警告

が表示されます。これはファイルを開くことができる制限値に関する警告ですが、１ユーザーが１０２４ファイルを同時に開かない場合には問題になりません。
通常の運用でそのようなことは発生しませんので無視しても良いのですが、気になるという方は以下の設定を行って下さい。
/etc/security/limits.confの変更

ファイルの最下行に以下を追加します。

ファイルの変更後に、サーバーを再起動します。サーバーの再起動後にtestparmを実行して、警告が表示されないことを確認して下さい。

13. Sambaサーバーの認証用設定の確認

ここまでの設定で、Active Directoryのユーザーの情報をSambaサーバー側から参照できるようになっていると思います。idコマンドを利用して、Active Directory上の情報が取得できることを確認してみます。

上記のように情報が取得できました。続いて、user01とuser02についても確認してみます。
※もし情報が取得できない場合は

を実行してwinbindを再起動して下さい。初回のwinbind起動時には情報が取得できない場合があります。

上記のように情報が取得できることが確認できました。これでSambaサーバー側の設定と確認は完了です。

14. Sambaサーバーの接続確認

基本的な設定と確認が完了しましたので、ここからは実際にAD上のユーザーでSambaサーバー上のファイル共有にアクセスできることを確認します。

14-1. テスト用ユーザー情報の確認

利用するユーザーはActive Directory上に作成したユーザー”test100”を前提としています。またアクセスするPCはActive Directoryに参加済みのWindows10マシンです。
先ずはidコマンドでSambaサーバー側からtest100ユーザーの情報が参照できることを確認します。

上記のように情報が表示されれば確認は完了です。

14-2. ファイル共有への接続テスト

続いてドメインに参加済みのPCへログインします。ここではtest100ユーザーを利用します。

ログオンできました。

\\fsでSambaサーバー上のファイル共有を開きます。
認証が不要で、サーバー上の共有フォルダが確認できます。

共有フォルダのShareにアクセスします。
問題なくテストファイルを配置することができました。

続いて、ホームディレクトリのtest100にアクセスします。このフォルダは初回のログオン時に自動的に作成されます。

こちらにも問題なくアクセスができました。これでSambaサーバーがメンバーサーバーになっていることが確認できました。

15. Active Directory上のユーザーでLinuxへ接続

LinuxサーバーへActive Directory上のユーザーを利用して、sshでログインが可能です。PAMを利用しているプログラムであれば、Active Directory上のユーザーでSamba以外のプログラムでもアクセスが可能です。
テストとしてActive Directory上のユーザー、test100でssh接続を行います。

このようにActive Directory上のユーザーで、ssh接続を行うことが確認できました。

16. まとめ

ここまででWindowsのActive DirectoryとSambaを利用した統合認証環境を構築することが出来ました。
業務で利用しているActive Directoryの環境へSambaサーバーを参加させることができるのはメリットが大きく、Sambaの可能性が広がります。SambaサーバーでWindowsドメイン構築も可能ですが、全てをSambaで構築すると、Linuxのスキルがそれなりに必要になるので認証系はActive Directoryを利用したいという環境も多いと思います。
今回の記事を参考に、是非、Active DirectoryとSamba（Linux）の統合認証環境構築を試してみて下さい。