Samba4 - Samba4AD間でUID/GIDを共通化する方法

-

Samba 4 はWindowsのユーザ識別SIDをUnixのUID/GIDに対応させるため、idmap.ldbに記録されるxidNumberを使いますが、idmap.ldbはサーバごとに異なり同期もされませんので、ドメインコントローラーになるSamba ドメインコントローラごとにUID/GIDが異なります。

ユーザにUNIX属性を追加することでサーバ間でUID/GIDを共通化させる方法が知られていますがこの場合sam.ldbが追加で使われます。
ところが今回検証したsamba4.3.5ではユーザやグループにUNIX属性を追加しUID/GIDの設定をしても sam.ldbに必要な行が追加されず反映されませんでした。（2018/10/31） 以来新規のSamba4ドメインコントローラでUNIX属性を付加することを試していないので、4.3.5のバグだったか、新しいバージョンでもそうなのかは不明です。

方法は２つ。いや３つで３つ目が小規模環境では本命？


方法１：sam.ldb の既存該当ユーザやグループのエントリに、objectClass: posixAccount （ユーザ）、objectClass: posixGroup (グループ)の行を追加する。
Windows端末のユーザ管理ツールRSATでユーザやグループ登録したとき。またコマンドラインから、samba-tool user add USERNAMEやsamba-tool group add GROUPNAMEでUNIX属性なしで登録したときは、UNIX属性をRSATで与えると同時に、sam.ldbに手動でobjectClass: posixAccount（ユーザ）や、objectClass: posixGroup（グループ） の行を追加します。

注意としては、sambaの生DBを編集するから編集時にはsambaを停止しておいたほうが良さそうなのと、キャッシュを削除して再起動しないと(すぐに)反映されないことです。

    1.sambaを停止
    2.ldbedit -H /usr/local/samba/private/sam.ldb として該当ユーザエントリに、objectClass: posixAccountを。グループの場合は該当グループエントリにobjectClass: posixGroup を追加。
    3./usr/local/samba/var/cache フォルダを削除（重要）
    4.sambaを起動


該当ユーザもしくはグループのエントリxidNumbarが/usr/local/samba/private/idmap.ldbに残りますが参照されなくなります。ゴミとして残ったエントリは次のようにして削除できます。

＊ユーザのSIDを調べる
wbinfo --name-to-sid USERNAME
S-1-5-21-4036476082-4153129556-3089177936-1005 SID_USER (1)

＊該当SIDをxidNumberに対応させるidmap.ldbのエントリから消す。
ldbdel --url=/usr/local/samba/private/idmap.ldb CN=S-1-5-21-4036476082-4153129556-3089177936-1005



方法２：最初からUNIX属性を付けてsamba-toolでユーザもしくはグループの登録をする。
この方法だと、sam.ldbに objectClass: posixAccount　もしくは posixGroupの行が一緒に登録されます。また /usr/local/samba/private/idmap.ldbには、該当ユーザもしくはグループのxidNumbarエントリが作られません。


（ユーザをUNIX属性を付けて作成する例）
samba-tool user add shuichi10 --nis-domain=orange.orange4.net --uid-number=90000 --login-shell=/bin/false --unix-home=/home/ORANGE/shuichi10  --gid-number=99000

＊グループにUNIX属性を付けて作成する場合も同じようにします


ここまで確認するのたいへんだった。。。。方法１はこんなの毎回やってられないし、方法２は現場の管理者がLinuxを使えるとは限らないしで現実的じゃない。こんな気を使わないといけないのなら、ADDCサーバ間ではUID/GIDは異なるもの。として構成するほうがまだ楽です。


「Windows Server 2012 で削除された機能または推奨されなくなった機能-UNIX ベース アプリケーション用サブシステム (SUA) は推奨されなくなりました。 」
https://technet.microsoft.com/ja-jp/library/hh831568.aspx

なんて情報もありますから。



方法３：別のアプローチですが、xidの記録されている/usr/local/samba/private/idmap.ldbを１台目のADサーバから ２台目のADサーバに上書きコピーする。
これだけで、複数のAD間でUID/GIDが共通化されます。ググっても誰もこんな方法試してないみたいで予期しない不具合があるかもしれないのが不安ですが、 RFC2307を有効にする必要もありませんし、ユーザ管理作業を常に１台目に対して行うことにすれば問題がない気もしますがどうなんでしょう。 （2018/10/31追記） Samba4.8.5でも動作確認。

手順
    1.sambaを停止
    2./usr/local/samba/private/idmap.ldbを１台目のADサーバから ２台目のADサーバに上書きコピー
    3./usr/local/samba/var/cache フォルダを削除（重要）
    4.sambaを起動

・・・・うまく動いてくれてます。
もうこれでいいや。



（参考）
Adding users with samba tool
https://wiki.samba.org/index.php/Adding_users_with_samba_tool

Samba 4.0.0のDC上でUID/GIDの値にUNIX属性が反映されない
http://wiki.samba.gr.jp/mediawiki/index.php?title=Samba 4.0.0のDC上でUID/GIDの値にUNIX属性が反映されない


コメント

コメントを投稿

このブログの人気の投稿

OfficeのISOダウンロード直リンク

-
Outlookの動作検証用に、各バージョンのOfficeのISOインストーラが必要になりました。以下のMicrosoftサイトのリンクからISOファイルをダウンロードできます。 どれも試用版ではなくリテール製品版です。認証しないでインストールする場合は、5日間試用できるようでした。助かりました。   検証の結果ですが2016以降のバージョンだと、Outlookはどのバージョンのものをインストールしても、もちろんインストール直後のアップデート前の挙動は当然違うのですが、 しばらく放置してアップデートがかかると結局全部同じバージョンの最新版になることがわかりました。Office365のOutlookも同じです。いやほんとびっくりです。そういうものなんですね。 途中までリンクは同じで、最後をProPlus2024Retail.img とか ProPlus2021Retail.img　とかすれば落ちてきます。将来バージョンが上がっても同じでいけそうです。 Office 2024 ProPlus https://officecdn.microsoft.com/db/492350f6-3a01-4f97-b9c0-c7c6ddf67d60/media/ja-jp/ProPlus2024Retail.img https://officecdn.microsoft.com/db/492350f6-3a01-4f97-b9c0-c7c6ddf67d60/media/en-us/ProPlus2024Retail.img Office 2021 ProPlus https://officecdn.microsoft.com/db/492350f6-3a01-4f97-b9c0-c7c6ddf67d60/media/ja-jp/ProPlus2021Retail.img https://officecdn.microsoft.com/db/492350f6-3a01-4f97-b9c0-c7c6ddf67d60/media/en-us/ProPlus2021Retail.img Office 2019 ProPlus https://officecdn.microsoft.com/pr/492350f6-3a01-4f97-b9c0-c7c6ddf...
続きを読む

FortiGateシリーズ 40F/50E/60E/60F/80F/90E/100E/100F/200FのCPU

-
イメージ
FortiGate使いやすくていいですね。でも機種選定するときメーカー公表のファイアウォールスループットだけでは、性能差がわかりにくいんですよね。サイジング難しい。 カタログ値だと50Eと60Eで同じだし。CPUとメモリはどうなってるの？と確認しようと思っても書いてない。。。。 というわけで実機にあたって調べてみたのがこれ。 機種 カタログ FWスループット ASIC CPU コア数 メモリ 40F 5Gbps SOC4 ARMv8 4コア 1918MB 50E 3Gbps なし ARMv7 2コア 2024MB 60E 3Gbps SOC3 ARMv7 4コア 1866MB 60F 10Gbps SOC4 ARMv8 8コア 1919MB 80F 10Gbps SOC4 ARMv8 8コア 3718MB 90E 4.0Gbps なし Atom C2338@1.74GHz 2コア 2010MB 100E 7.4Gbps SOC3 ARMv7 4コア 3039MB 100F 20Gbps SOC4 ARMv8 8コア 3616MB カタログ数値だけだと50Eも60Eも90Eも変わらなそうでしたがCPUが50Eは2コアなのが60Eは4コアに加えてASICも積んでるし！　90EのCPUはAtomの2コアでSOCなしってことはCPUパワーだけでゴリゴリするマッチョな機種。100Eは60Eと構成同じ。。。と興味深いです。世代が変わると60Fはいきなり8コア。100Eのスペック越えてきたけどホントかな。ルータやFWってカタログ値では劣る上位機種の方がやっぱりCPU性能が良くてトラブル発生時や高負荷に耐えられるとかままあるのでカタログ数値だけ鵜呑みにするのは危険だよね。高スループットは専用チップで負荷がオフロードされる時というのを忘れないようにします。 200FもXeonだ！！！D-1627 90Eまではランチボックス形状でファンレス。100Eからはラックマウントでファン付きです。100Eは結構ファン音しますからサーバ室に設置必須です。一方新しい100Fのファンはさすが静音化していて起動が完了するとファン音はほぼ聞こえなくなっています。これなら事務室にも置けますよ。90Eはあっとい...
続きを読む

ネクストのIPv6網内折り返し通信で高速VPN

-
（2021/04/08 ネクストをとりまく状況も変わっていますので書き直しました）  ネクストでは半固定で割り当てられるIPv6アドレスの網内折り返し通信が可能です。西日本では「v6オプション」の申込みが必要だったのが2021年5月11日の新規開通分からはデフォルト有効になり申込みの必要も無くなります。東日本では以前からデフォルト有効。 IPv6アドレス半固定 というのが若干問題 ですが最近のRTXシリーズではFQDNで張れば大丈夫です。 別途ダイナミックDNSを登録してFQDNでVPN、、、という記事もありますが、NTT西日本のサイトをよく読むと「v6ネーム」はIPv6アドレスが変わっても追従すると書いています。うちでも、ひかり電話を契約したり解約したり、IPv6プロバイダーを契約したり解約したり別のプロバイダーからもらい直したりを繰り返しそのたびにIPv6アドレスが変わりましたが、ちゃんと追従してくれていました。安心して「v6ネーム」を使って大丈夫。 以下はいまさらデフォルトゲートウェイがPPPoE設定ですが、汎用性があるということでそのまま残しておきます。いまうちで実際に運用サポートしているユーザ企業は、IPoEプロバイダーと固定IPv4の契約をしてIPv6とIPv4のVPNを2重化する構成で自動切り替え設定もしていますがまたそれは別途。良ければ声をかけてください。 Luaスクリプトの動くヤマハでないとIPoE系プロバイダで固定IP使えないし、古いRTXはこの際一掃して現行モデルを使います。今買うならRTX830/RTX1210。RTX1200もいい機種でしたがEMFS(メモリファイルシステム)使えないからlua入れるのが面倒だしそろそろメインからは引退。 RTXの設定 対向拠点の設定は192.168.1を192.168.0に入れ替えるだけで同じ。ひかり電話なし契約IPv6はRAです。ひかり電話があってもホームゲートウェイのLANポートに接続するのでこの例で大丈夫です。テストではホームゲートウェイの型番が400シリーズ以降なら速度低下はないようです。ひかり電話オフィスは別途。 ＜IPv4LAN関係＞ ip route default gateway pp 1 ip lan1 address 192.168.1.1/24 ip rout...
続きを読む