「Samba 4.0系列の最新動向」@2014/03/01 OSC 2014 Tokyo/Spring の資料です。 https://www.ospn.jp/osc2014-spring/modules/eguide/event.php?eid=81 Samba 4.0系列の新機能であるActive Directoryのドメインコントローラ機能を中心 に、Samba 4.0の最新動向について紹介します。

1. Samba 4.0の
最新動向
日本Sambaユーザ会
たかはしもとのぶ（髙橋基信）
monyo@samba.gr.jp

2. 2
Samba 4.X系列とは
 Active Directory（以下AD）のドメインコントロー
ラ（以下DC）機能を実装したSambaの最新版
現在の最新版はSamba 4.1.5(2014/02/21)
 Samba 4.1系列最初の4.1.0は2013/10/11リリース
 Sambaのサポートポリシー
9か月毎に新系列をリリース
 最新系列（4.1）：フルサポート
 1つ前（4.0）：メンテナンスサポート
 2つ前（3.6）：セキュリティ修正のみサポート
6週間毎目途で、パッチリリース
 4.1.5は、4.1系列で5回目のパッチリリース

3. 3
Samba 4.X系列の特徴
 ADのドメインコントローラ機能とそれ以外でバイ
ナリが分離されている
ADのドメインコントローラ機能→sambaバイナリ
その他機能→レガシーバイナリ
（smbd/nmbd/winbindd）
sambaバイナリとレガシーバイナリは共存不可
 ファイルサーバなど、ドメインコントローラ以外の
機能については、レガシーバイナリが推奨
※レガシーバイナリという用語はわたしの造語です

4. 4
レガシーバイナリとは
 前バージョン（3.6系列）までと同等
ADのメンバサーバ、ファイル/プリンタサー
バ、SambaドメインのDCなどとして従来通り使用で
きる
設定方法は従来と基本的に変わらず
→Samba 3.X系列の知識で設定可能
 Windowsの機能強化があれば、地道に追従
ADメンバサーバとしての機能は一通り対応済
Windows自身にOSとして目立った機能強化がない

5. 5
レガシーバイナリの動向
 主な変更点（4.0）
security = share/serverが廃止
 元々Windows 9x由来の機能であり、サポートが困難に
SMB2.1（大半の機能）、SMB3.0（主要機能）サポート
CTDBによるクラスタ機能が正式サポート
 主な変更点（4.1）→主に2012対応
クライアント側のSMB2.1/3.0サポート
 ファイル共有プロトコルの最新バージョンをSambaサーバ
だけではなく、smbclientなどクライアントでも使用可能
 smbclient -mSMB3

6. 6
レガシーバイナリの動向
ネットワーク上の暗号化転送サポート
 SMB3の機能である暗号化転送をサポート
 smbclient -mSMB3 -e
サーバ上でのファイルコピーサポート
 クライアントからの操作で同一サーバ内でファイルコピー
を行う際の効率が向上
 例えば、ある共有にあるファイルAを同じ共有内にファイルBとし
て複製する際など
SWATの廃止
 平文パスワードしか対応しておらずセキュリティが脆弱
 Web管理ツールは様々なアドオンもあり、Samba本体と
してサポートする必然性が低い

7. 7
sambaバイナリとは
 ADのドメインコントローラに特化
nmbd、smbd、winbinddを包含した単一プロセス
 DCとして必要なサービスの大半を単独で実装
 Kerberos（Heimdal Kerberosをソースに取り込み）
 LDAP（独自実装）
 OpenLDAPの使用は考慮されていない（alpha15以降）
→OpenLDAPではADが必要とする機能をサポートできないため
→ただし、現状OpenLDAP側と協力して再サポートを模索中
別プロダクトと連携して実現している機能
 DNS（BIND）→内蔵DNSが標準だが、大規模環境では
BIND連携推奨、NTP（ntpd）
 スクリプティング（Python） ← Pythonがないとビルド不可

8. 8
参考：DNS、NTPの連携方式
 DNSとして以下の3種類の方式をサポート
 NTPは必須ではないが、時刻同期は必須
 ntpd 4.2.6以降は、AD互換の署名NTPを実装
 設定を行うことで、時刻同期を許可するクライアントを同一ADのクラ
イアントに制限可能
方式 概要 特徴
Samba内蔵 ・DNSサーバはSamba内蔵
・ゾーン情報はADから取得
・設定が簡単
・基本的な機能のみ実装
BIND9DLZ
モジュール
・DNSサーバはBIND9
・ゾーン情報はADから取得
※BIND9のDLZ機能を使用
・複雑、大規模環境への適用が可能
・DLZ機能に対応したBIND 9.7以降
が必要
BIND9静的
ファイル
・DNSサーバはBIND9
・ゾーン情報はBIND9のゾーンファ
イルから取得
・複雑、大規模環境への適用が可能
・Sambaの設定変更に伴うゾーン情
報の更新を手作業で行う必要がある

9. 9
sambaバイナリの動向
 ADの機能のサポートを拡大していく方向
現状、単一ドメインに閉じた機能はほぼサポート
項目 Samba 4.0系列 【参考】Win 2008 R2
フォレスト・ドメイン機能レベル ◎ ◎
FSMO操作 ◎ ◎
サイト △ ◎
信頼関係 △ ◎
マルチフォレスト・ドメイン × ◎
Windows DCの参加 ○（2012/2003等で若干トラブルあり） ◎
RODC △（いろいろトラブルがあるよう…） ◎
ディレクトリ複製（DRS） ○→◎ ◎
ファイル複製（FRS） ×（rsyncなどで別途対応必要） ◎
OUによる権限の委任 ◎ ◎
グループポリシ ◎ ◎
ドメインベースDFS △（ADDSに必要な範囲） ◎

10. 10
参考：既存のドメインからの移行
 Samba3ドメインからの移行
samba-tool domain classicupgrade というコマンド
が用意されている
 インプレースアップグレード前提
アップグレード元のSambaドメインのデータベースに
ゴミや不整合があると移行に失敗するので移行リハ
できちんと取り除いておくこと（SID重複など）
 Windowsドメインから/への移行
Windows同士のドメインコントローラ移行と同様にし
て可能

11. 11
SambaによるAD管理の方向性
 smb.confの設定はあまり必要でない
実はインストーラが生成したままでも使えてしまう
 samba-toolやGUI
による動的設定増加
AD周りの設定は、
ほぼコマンドorGUI
ファイルサーバの
アクセス制御もGUI
から行うのが基本
良くも悪くも、Windows的スキルが必要→いったん
起動すれば、Windowsサーバと同等に管理可能
# Global parameters
[global]
workgroup = SAMBA40AD3
realm = SAMBA40AD3.SAMBA.LOCAL
netbios name = SQUEEZE32-2
server role = active directory domain controller
dns forwarder = 192.168.135.2
idmap_ldb:use rfc2307 = yes
[netlogon]
path = /usr/local/samba/var/locks/sysvol/samba40ad3.samba.local/scripts
read only = No
[sysvol]
path = /usr/local/samba/var/locks/sysvol
read only = No
スクリプトの生成したsmb.conf例

12. 12
参考：Samba 4.0によるADの操作
 基本的には各種Windows管理ツールから操作
samba-toolによるコマンドライン操作も可能

13. 13
Sambaが生成したUNIXユーザの管理
 メンバサーバ上 →Samba 3.6以前と同じ
Winbindを使ったり、/etc/passwdと対応付けしたり
 DC上
Winbind機構が必ず動作
 UNIXユーザのUID/GIDはデフォルト自動生成
 ADのUNIX属性を参照させる設定も可能（Samba 4.1以降）
 シェルなどを個別設定できない
# getent passwd
root:x:0:0:root:/root:/bin/bash
…
SAMBA41AD1Administrator:*:0:10000::/home/SAMBA41AD1/Administrator:/bin/false
SAMBA41AD1Guest:*:3000011:3000012::/home/SAMBA41AD1/Guest:/bin/false
SAMBA41AD1krbtgt:*:3000020:10000::/home/SAMBA41AD1/krbtgt:/bin/false
SAMBA41AD1samba01:*:3000012:10000:samba 01:/home/SAMBA41AD1/samba01:/bin/false
…
SAMBA41AD1ldap-connect:*:3000021:10000::/home/SAMBA41AD1/ldap-connect:/bin/false
SAMBA41AD1samba07:*:3000022:10000:samba 07:/home/SAMBA41AD1/samba07:/bin/false

14. 14
Sambaが生成したUNIXユーザの管理
シェルやホームディレクトリもUNIX属性を参照させ
たい場合（Samba 3.Xと同等の設定をしたい）
 ADをLDAPサーバとして扱い、sssdなどでADに存在する
ユーザを自動生成、その際に関連する属性を参照させる
ことで（一応）実現可能
 ただし、Winbind機構で生成されるユーザとは別ユーザと
して扱われる
# getent passwd
root:x:0:0:root:/root:/bin/bash
…
messagebus:x:103:104::/var/run/dbus:/bin/false
samba01:*:10000:10000:samba 01:/home/samba01:/bin/bash
…
samba06:*:10003:10000:samba 06:/home/samba06:/bin/sh
SAMBA41AD1Administrator:*:0:10000::/home/SAMBA41AD1/Administrator:/bin/false
SAMBA41AD1Guest:*:3000011:3000012::/home/SAMBA41AD1/Guest:/bin/false
SAMBA41AD1krbtgt:*:3000020:10000::/home/SAMBA41AD1/krbtgt:/bin/false
SAMBA41AD1samba01:*:10000:10000:samba 01:/home/SAMBA41AD1/samba01:/bin/false
…
SAMBA41AD1samba06:*:10003:10000:samba 06:/home/SAMBA41AD1/samba06:/bin/false

15. 15
ご清聴ありがとうございました