LinuxでActive Directoryドメインに参加

■設定環境
　Active Directoryドメイン　　　　:YS-NETWORK.INFO
　Linuxサーバ(クライアント)　　　　:192.168.0.2(HOGE-LINUX)
　Active Directoryサーバ(FQDN):192.168.0.1(HOGE.YS-NETWORK.INFO)

■概要
　　　　1.必要なパッケージ(samba3x-winbind、samba3x-common)をインストール
　　　　2.smb.conf、resolv.confとkrb5.confを設定
　　　　3.Linuxサーバ(クライアント)でActive Directoryドメインに参加
　　　　4.Winbindサービスを起動

1.必要なパッケージ(samba3x-winbind、samba3x-common)をインストールする

# yum install samba3x-winbind samba3x-common
～～～～～　省略　～～～～～
=============================================================================
Package Arch Version
=============================================================================
Installing:
samba3x-winbind　　　　　　　　　x86_64　　　　　　　　　3.5.4-0.70.el5_6.1
Installing for dependencies:
libtalloc　　　　　　　　　　　　　　　x86_64　　　　　　　　　2.0.1-11.el5
libtdb　　　　　　　　　　　　　　　　x86_64　　　　　　　　　1.2.1-5.el5
samba3x-common　　　　　　　　 x86_64　　　　　　　　　3.5.4-0.70.el5_6.1

Transaction Summary
=============================================================================

Install 4 Package(s)
Upgrade 0 Package(s)

Total download size: 21 M
Is this ok [y/N]:

なお、Windows2008以降のActive Directoryだと、sambaのバージョンは3.2以降でないと失敗するみたいです。

2.smb.conf、resolv.confとkrb5.confを設定する

・smb.conf(※必要最小限の設定です)

# vi /etc/samba/smb.conf
[global]
workgroup = YS-NETWORK
passdb backend = tdbsam
security = ads
realm = YS-NETWORK.INFO
winbind offline logon = YES　　　　#Active Directoryサーバに接続できない時の為にオフラインキャッシュを保存

・resolv.conf

# vi /etc/resolv.conf
nameserver 192.168.0.1　　　　　#Active Directoryサーバを指定する
search ys-network.info　　　　　#Active Directoryドメインを指定する

・krb5.conf(※大文字の箇所は大文字、小文字の箇所は小文字です)

# vi /etc/krb5.conf
[logging]
default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmind.log

[libdefaults]
# default_realm = EXAMPLE.COM　　　　　#コメントアウト
default_realm = YS-NETWORK.INFO
dns_lookup_realm = false
dns_lookup_kdc = false
ticket_lifetime = 24h
forwardable = yes

[realms]
# EXAMPLE.COM = {　　　　　#コメントアウト
YS-NETWORK.INFO = {
# kdc = kerberos.example.com:88　　　　　#コメントアウト
kdc = hoge.ys-network.info:88
# admin_server = kerberos.example.com:749　　　　　#コメントアウト
admin_server = hoge.ys-network.info:749
# default_domain = example.com　　　　　#コメントアウト
default_domain = ys-network.info
}

[domain_realm]
# .example.com = EXAMPLE.COM　　　　　#コメントアウト
.ys-network.info = YS-NETWORK.INFO
# example.com = EXAMPLE.COM　　　　　#コメントアウト
ys-network.info = YS-NETWORK.INFO

[appdefaults]
pam = {
debug = false
ticket_lifetime = 36000
renew_lifetime = 36000
forwardable = true
krb4_convert = false
}

3.Linuxサーバ(クライアント)でActive Directoryドメインに参加する

・Active Directoryサーバに対してKerberos認証します。

# kinit administrator@YS-NETWORK.INFO
Password for administrator@YS-NETWORK.INFO: Active DirectoryサーバのAdministratorパスワード
#

※成功したかどうか確認します。
# klist
#Ticket cache: FILE:/tmp/krb5cc_0
Default principal: administrator@YS-NETWORK.INFO
Valid starting Expires Service principal
07/28/11 17:13:38 07/29/11 03:13:41 krbtgt/YS-NETWORK.INFO@YS-NETWORK.INFO
renew until 07/29/11 17:13:38
Kerberos 4 ticket cache: /tmp/tkt0
klist: You have no tickets cached

・Active Directoryドメインに参加します。

# net ads join -U administrator
administrator’s password: Active DirectoryサーバのAdministratorパスワード
Enter administrator’s password:
Using short domain name — YS-NETWORK
Joined ‘HOGE-LINUX’ to realm ‘ys-network.info’

4.Winbindサービスを起動する

・winbinddサービスを起動して、Activedirectoryサーバからアカウント情報を取得できるようにします。

# /etc/rc.d/init.d/winbind start
Winbind サービスを起動中: [ OK ]

※Winbindサービスの正常起動を確認します
# ps aux |grep bind
root 4261 0.5 0.4 136216 4120 ? Ss 23:55 0:00 winbindd
root 4264 0.8 0.4 136224 4732 ? S 23:55 0:00 winbindd
root 4270 0.0 0.0 65444 844 pts/0 S+ 23:55 0:00 grep bind

Active Directoryサーバからアカウント情報を取得できるか確認します。

※ ユーザー情報を取得
# wbinfo -u
YS-NETWORK\administrator
YS-NETWORK\guest
YS-NETWORK\krbtgt

※ユーザーグループ情報を取得
# wbinfo -g
YS-NETWORK\domain computers
YS-NETWORK\domain controllers
YS-NETWORK\schema admins
YS-NETWORK\enterprise admins
YS-NETWORK\cert publishers
YS-NETWORK\domain admins
YS-NETWORK\domain users
YS-NETWORK\domain guests
YS-NETWORK\group policy creator owners
YS-NETWORK\ras and ias servers
YS-NETWORK\allowed rodc password replication group
YS-NETWORK\denied rodc password replication group
YS-NETWORK\read-only domain controllers
YS-NETWORK\enterprise read-only domain controllers
YS-NETWORK\dnsadmins
YS-NETWORK\dnsupdateproxy

■上記設定中に出るエラー集

# net ads join -U administrator
Enter administrator’s password:
Using short domain name — YS-NETWORK
Joined ‘HOGE-LINUX’ to realm ‘ys-network.info’
No DNS domain configured for HOGE-LINUX. Unable to perform DNS Update.
DNS update failed!

hostsファイルを以下のように追記修正すればOKです
# vi /etc/hosts
127.0.0.1 HOGE-LINUX.ys-network.info HOGE-LINUX localhost.localdomain localhost

# net ads join -U administrator
administrator’s password:
Using short domain name — YS-NETWORK
Failed to set servicePrincipalNames. Please ensure that
the DNS domain of this server matches the AD domain,
Or rejoin with using Domain Admin credentials.
Deleted account for ‘HOGE-LINUX’ in realm ‘YS-NETWORK.INFO’
Failed to join domain: Type or value exists
または、以下のテストコマンドでも下記のようにエラーがでます。
# net ads testjoin
[2011/07/28 00:00:00, 0] libads/kerberos.c:ads_kinit_password(228)
kerberos_kinit_password HOGE-LINUX$@YS-NETWORK.INFO failed: Client not found in Kerberos database
[2011/07/28 00:00:00, 0] libads/kerberos.c:ads_kinit_password(228)
kerberos_kinit_password HOGE-LINUX$@YS-NETWORK.INFO failed: Client not found in Kerberos database
Join to domain is not valid: Improperly formed account name

これらは、Active DirectoryサーバがWindows Server2008で、sambaのバージョンが3.2以前の場合に
上記のエラーがでるっぽいです。sambaのバージョンを3.2以降にアップデートして下さい。

# kinit administrator@YS-NETWORK.INFO
Password for administrator@YS-NETWORK.INFO: Active DirectoryサーバのAdministratorパスワード
kinit(v5): Clock skew too great while getting initial credentials

クライアント側とActive Directoryサーバとで時刻がズレすぎていると下記のエラーが出ますので
手動でActive Directoryサーバと時刻を合わせます。
# /etc/rc.d/init.d/ntpd stop　　　　　　←手動の時刻合わせはntpサービスを起動していると失敗します。
ntpd を停止中: [ OK ]
# ntpdate ys-network.info
28 Jul 00:00:08 ntpdate[30613]: adjust time server 192.168.0.1 offset -0.012044 sec
# /etc/rc.d/init.d/ntpd start
# clock -w　　　　　　　　　　　　　　　←ハードウェアクロックも同期します。

# /etc/rc.d/init.d/winbind start
Winbind サービスを起動中: [ OK ]
# /etc/rc.d/init.d/winbind status
winbindd が停止していますが PID ファイルが残っています
# ps aux |grep winbindd
root　　　30763　0.0　0.0　65472　　844pts/0　　S+　　02:43　　0:00 grep winbindd

ドメイン参加が失敗(未参加)の状態でWinbindサービスを起動すると、上記エラーが出るっぽいです。
ドメインに参加してからwinbindサービスを起動してください。

■番外編
Active Directoryドメインに参加したsambaサーバに対して、ドメインユーザでアクセスしているかどうかの確認

# smbstatus

Samba version 3.5.8-0.71.el5_0.wing.1
PID　　　　Username　　　　Group　　　　Machine
——————————————————————-
1359　　　　YS-NETWORK\hoge　YS-NETWORK\domain users　　192.168.0.3　(192.168.0.3)

Service　　　　　pid　　　machine　　　Connected at
——————————————————-
samba　　　　　1359　　192.168.0.3　　Sat　Jul　30　17:45:45　2011

Locked files:
Pid　　　　　　Uid　　　　　DenyMode　　Access　　　R/W　　　Oplock　　　SharePath　　Name　　Time
————————————————————————————————–
1359　　　　 16777220　 DENY_NONE　0x100081　　RDONLY　　 NONE　　　　　　 /smb　 .　 Sun Jul 31 01:23:28 2011
1359　　　　 16777220　 DENY_WRITE 0x20089　　　 RDONLY　　 EXCLUSIVE+BATCH　/smb　 mp3/ヨハン・ゼバスティアン・バッハ/G線上のアリア.mp3　 Sun Jul 31 02:05:01 2011

ファイルのオーナ情報をAcitve Directoryドメインのユーザに変更

# chown hoge@YS-NETWORK:”domain users@YS-NETWORK” /smb/test
# ls -al /smb/
drwxr-xr-x　13 YS-NETWORK\admin YS-NETWORK\domain admins　12288　7月 31 03:14 .
drwxr-xr-x　24 root　　　　　　　　　　　　root　　　　　　　　　　　　　　　　　　4096　7月 18 06:11 ..
-rw-r–r–　　　1 YS-NETWORK\yukio YS-NETWORK\domain users 　0　7月 31 03:14 test

==================================================================
検証環境
クライアント側(Linuxサーバ) 　　:CentOS5.6 x64
サーバ側(Active Directoryサーバ):Windows Server 2008R2 SP1

5Uのタワー型サーバは重い。特にIBM製だと奥行きも半端ないから尋常じゃない。
これを一人で梱包しろだと・・・？他の人は手伝ってくれないの？なに、忙しいだと？そうですか。って、UPSもかよ！
今日も、雑用係は頑張ってます。