手順

1. サービスプリンシパルを作成し、HTTP/<SERVER_NAME>@realm プリンシパルの keytab ファイルへのアクセスを有効にします。

   # ipa service-add HTTP/<SERVER_NAME>

2. /etc/gssproxy/http.keytab ファイルに保存されているプリンシパルの keytab を取得します。

   # ipa-getkeytab -s $(awk '/^server =/ {print $3}' /etc/ipa/default.conf) -k /etc/gssproxy/http.keytab -p HTTP/$(hostname -f)

   このステップでは、パーミッションを 400 に設定すると、root ユーザーのみが keytab ファイルにアクセスできます。apache ユーザーは異なります。

3. 以下の内容で /etc/gssproxy/80-httpd.conf ファイルを作成します。

   [service/HTTP]
     mechs = krb5
     cred_store = keytab:/etc/gssproxy/http.keytab
     cred_store = ccache:/var/lib/gssproxy/clients/krb5cc_%U
     euid = apache

4. gssproxy サービスを再起動して、有効にします。

   # systemctl restart gssproxy.service
   # systemctl enable gssproxy.service

手順

1. /var/www/html/private/ ディレクトリーを保護するように mod_auth_gssapi を設定します。

   <Location /var/www/html/private>
     AuthType GSSAPI
     AuthName "GSSAPI Login"
     Require valid-user
   </Location>

2. 以下の内容で /etc/systemd/system/httpd.service ファイルを作成します。

   .include /lib/systemd/system/httpd.service
   [Service]
   Environment=GSS_USE_PROXY=1

3. systemd 設定をリロードします。

   # systemctl daemon-reload

4. httpd サービスを再起動します。

   # systemctl restart httpd.service

検証手順

1. Kerberos チケットを取得します。

   # kinit

2. ブラウザーで、保護されているディレクトリーの URL を開きます。

手順

1. mod_ssl パッケージをインストールします。

   # yum install mod_ssl

2. /etc/httpd/conf.d/ssl.conf ファイルを編集し、以下の設定を <VirtualHost _default_:443> ディレクティブに追加します。

   1. サーバー名を設定します。

      ServerName example.com

      重要

      サーバー名は、証明書の Common Name フィールドに設定されているエントリーと一致している必要があります。

   2. 必要に応じて、証明書の Subject Alt Names (SAN) フィールドに追加のホスト名が含まれる場合に、これらのホスト名にも TLS 暗号化を提供するように mod_ssl を設定できます。これを設定するには、ServerAliases パラメーターと対応する名前を追加します。

      ServerAlias www.example.com server.example.com

   3. 秘密鍵、サーバー証明書、および CA 証明書へのパスを設定します。

      SSLCertificateKeyFile "/etc/pki/tls/private/example.com.key"
      SSLCertificateFile "/etc/pki/tls/certs/example.com.crt"
      SSLCACertificateFile "/etc/pki/tls/certs/ca.crt"

3. セキュリティー上の理由から、root ユーザーのみが秘密鍵ファイルにアクセスできるように設定します。

   # chown root:root /etc/pki/tls/private/example.com.key
   # chmod 600 /etc/pki/tls/private/example.com.key

   警告

   秘密鍵に権限のないユーザーがアクセスした場合は、証明書を取り消し、新しい秘密鍵を作成し、新しい証明書を要求します。そうでない場合は、TLS 接続が安全ではなくなります。

4. ローカルのファイアウォールでポート 443 を開きます。

   # firewall-cmd --permanent --add-port=443/tcp
   # firewall-cmd --reload

5. httpd サービスを再起動します。

   # systemctl restart httpd

   注記

   パスワードで秘密鍵ファイルを保護した場合は、httpd サービスの起動時に毎回このパスワードを入力する必要があります。

手順

1. /etc/httpd/conf/httpd.conf ファイルを編集し、TLS プロトコルバージョンを設定する <VirtualHost> ディレクティブに以下の設定を追加します。たとえば、TLSv1.3 プロトコルのみを有効にするには、以下を実行します。

   SSLProtocol -All TLSv1.3

2. httpd サービスを再起動します。

   # systemctl restart httpd

検証手順

1. 以下のコマンドを使用して、サーバーが TLSv1.3 に対応していることを確認します。

   # openssl s_client -connect example.com:443 -tls1_3

2. 以下のコマンドを使用して、サーバーが TLSv1.2 に対応していないことを確認します。

   # openssl s_client -connect example.com:443 -tls1_2

   サーバーがプロトコルに対応していない場合には、このコマンドは以下のエラーを返します。

   140111600609088:error:1409442E:SSL routines:ssl3_read_bytes:tlsv1 alert protocol version:ssl/record/rec_layer_s3.c:1543:SSL alert number 70

3. 必要に応じて、他の TLS プロトコルバージョンのコマンドを繰り返し実行します。

手順

1. /etc/httpd/conf/httpd.conf ファイルを編集し、TLS 暗号を設定する <VirtualHost> ディレクティブに SSLCipherSuite パラメーターを追加します。

   SSLCipherSuite "EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH:!SHA1:!SHA256"

   この例では、EECDH+AESGCM、EDH+AESGCM、AES256+EECDH、および AES256+EDH 暗号のみを有効にし、SHA1 および SHA256 メッセージ認証コード (MAC) を使用するすべての暗号を無効にします。

2. httpd サービスを再起動します。

   # systemctl restart httpd

検証手順

1. Apache HTTP Server が対応する暗号化のリストを表示するには、以下を行います。

   1. nmap パッケージをインストールします。

      # yum install nmap

   2. nmap ユーティリティーを使用して、対応している暗号を表示します。

      # nmap --script ssl-enum-ciphers -p 443 example.com
      ...
      PORT    STATE SERVICE
      443/tcp open  https
      | ssl-enum-ciphers:
      |   TLSv1.2:
      |     ciphers:
      |       TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (ecdh_x25519) - A
      |       TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 (dh 2048) - A
      |       TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 (ecdh_x25519) - A
      ...

手順

1. mod_security、mod_security_crs、および httpd パッケージをインストールします。

   # yum install -y mod_security mod_security_crs httpd

2. httpd サーバーを起動します。

   # systemctl restart httpd

検証

1. ModSecurity Web ベースアプリケーションファイアウォールが Apache HTTPサーバーで有効になっていることを確認します。

   # httpd -M | grep security
    security2_module (shared)

2. /etc/httpd/modsecurity.d/activated_rules/ ディレクトリーに mod_security_crs によって提供されるルールが含まれていることを確認します。

   # ls /etc/httpd/modsecurity.d/activated_rules/
   ...
   REQUEST-921-PROTOCOL-ATTACK.conf
   REQUEST-930-APPLICATION-ATTACK-LFI.conf
   ...

手順

1. 任意のテキストエディターで /etc/httpd/conf.d/mod_security.conf ファイルを開きます。以下はその例です。

   # vi /etc/httpd/conf.d/mod_security.conf

2. SecRuleEngine On で始まる行の後に、次のサンプルルールを追加します。

   SecRule ARGS:data "@contains evil" "deny,status:403,msg:'param data contains evil data',id:1"

   前のルールでは、data パラメーターに evil の文字列が含まれている場合、ユーザーによるリソースの使用を禁止しています。

3. 変更を保存し、エディターを終了します。

4. httpd サーバーを再起動します。

   # systemctl restart httpd

検証

1. test.html ページを作成します。

   # echo "mod_security test" > /var/www/html/test.html

2. httpd サーバーを再起動します。

   # systemctl restart httpd

3. HTTP リクエストの GET 変数に悪意のあるデータが含まれない test.html をリクエストします。

   $ curl http://localhost/test.html?data=good
   
   mod_security test

4. HTTP リクエストの GET 変数に悪意のあるデータが含まれる test.html をリクエストします。

   $ curl localhost/test.html?data=xxxevilxxx
   
   <!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
   <html><head>
   <title>403 Forbidden</title>
   </head><body>
   <h1>Forbidden</h1>
   <p>You don't have permission to access this resource.</p>
   </body></html>

5. /var/log/httpd/error_log ファイルを確認し、param data containing an evil data メッセージでアクセスを拒否するログエントリーを見つけます。

   [Wed May 25 08:01:31.036297 2022] [:error] [pid 5839:tid 139874434791168] [client ::1:45658] [client ::1] ModSecurity: Access denied with code 403 (phase 2). String match "evil" at ARGS:data. [file "/etc/httpd/conf.d/mod_security.conf"] [line "4"] [id "1"] [msg "param data contains evil data"] [hostname "localhost"] [uri "/test.html"] [unique_id "Yo4amwIdsBG3yZqSzh2GuwAAAIY"]

手順

1. /etc/httpd/conf.modules.d/ ディレクトリーの設定ファイルでモジュール名を検索します。

   # grep mod_ssl.so /etc/httpd/conf.modules.d/*

2. モジュール名が見つかった設定ファイルを編集し、モジュールの LoadModule ディレクティブのコメントを外します。

   LoadModule ssl_module modules/mod_ssl.so

3. RHEL パッケージがモジュールを提供していないなどの理由でモジュールが見つからなかった場合は、次のディレクティブを使用して /etc/httpd/conf.modules.d/30-example.conf などの設定ファイルを作成します。

   LoadModule ssl_module modules/<custom_module>.so

4. httpd サービスを再起動します。

   # systemctl restart httpd

手順

1. /etc/samba/smb.conf ファイルのコピーを作成します。

   # cp /etc/samba/smb.conf /etc/samba/samba.conf.copy

2. コピーして作成したファイルを編集し、必要な変更を加えます。

3. /etc/samba/samba.conf.copy ファイルの設定を確認します。

   # testparm -s /etc/samba/samba.conf.copy

   testparm がエラーを報告した場合は、修正してもう一度コマンドを実行します。

4. /etc/samba/smb.conf ファイルを新しい設定に上書きします。

   # mv /etc/samba/samba.conf.copy /etc/samba/smb.conf

5. Samba サービスが設定を自動的に再読み込みするか、または手動で設定を再読み込みするまで待ちます。

   # smbcontrol all reload-config

手順

1. samba パッケージをインストールします。

   # yum install samba

2. /etc/samba/smb.conf ファイルを編集して、以下のパラメーターを設定します。

   [global]
   	workgroup = Example-WG
   	netbios name = Server
   	security = user
   
   	log file = /var/log/samba/%m.log
   	log level = 1

   この設定では、Example-WG ワークグループに、スタンドアロンサーバー (Server) を定義します。また、この設定により最小レベル (1) でのログ記録が可能になり、ログファイルは /var/log/samba/ ディレクトリーに保存されます。Samba は、log file パラメーターの %m マクロを、接続しているクライアントの NetBIOS 名まで展開します。これにより、クライアントごとに個別のログファイルが有効になります。

3. オプションで、ファイルまたはプリンターの共有を設定します。参照:

   • POSIX ACL で共有の設定
   • Windows ACL で共有の設定
   • プリントサーバーとしての Samba の設定

4. /etc/samba/smb.conf ファイルを検証します。

   # testparm

5. 認証が必要な共有を設定する場合は、ユーザーアカウントを作成します。

   詳細は ローカルユーザーアカウントの作成および有効化 を参照してください。

6. firewall-cmd ユーティリティーを使用して必要なポートを開き、ファイアウォール設定を再読み込みします。

   # firewall-cmd --permanent --add-service=samba
   # firewall-cmd --reload

7. smb サービスを有効にして起動します。

   # systemctl enable --now smb

手順

1. オペレーティングシステムアカウントを作成します。

   # useradd -M -s /sbin/nologin example

   このコマンドは、ホームディレクトリーを作成せずに、example アカウントを追加します。アカウントが Samba への認証のみに使用される場合は、/sbin/nologin コマンドをシェルとして割り当て、アカウントがローカルでログインしないようにします。

2. オペレーティングシステムのアカウントにパスワードを設定して、これを有効にします。

   # passwd example
   Enter new UNIX password: password
   Retype new UNIX password: password
   passwd: password updated successfully

   Samba は、オペレーティングシステムのアカウントに設定されたパスワードを使用して認証を行いません。ただし、アカウントを有効にするには、パスワードを設定する必要があります。アカウントが無効になると、そのユーザーが接続した時に Samba がアクセスを拒否します。

3. Samba データベースにユーザーを追加し、そのアカウントにパスワードを設定します。

   # smbpasswd -a example
   New SMB password: password
   Retype new SMB password: password
   Added user example.

   このアカウントを使用して Samba 共有に接続する場合に、このパスワードを使用して認証を行います。

4. Samba アカウントを有効にします。

   # smbpasswd -e example
   Enabled user example.

手順

1. /etc/samba/smb.conf ファイルの [global] セクションを編集します。

   1. デフォルトドメイン (*) に ID マッピング設定が存在しない場合は追加します。以下に例を示します。

      idmap config * : backend = tdb
      idmap config * : range = 10000-999999

   2. AD ドメインの ad ID マッピングバックエンドを有効にします。

      idmap config DOMAIN : backend = ad

   3. AD ドメインのユーザーおよびグループに割り当てられている ID の範囲を設定します。以下に例を示します。

      idmap config DOMAIN : range = 2000000-2999999

      重要

      この範囲は、このサーバーの他のドメイン設定と重複させることはできません。また、この範囲には、今後割り当てられる ID がすべて収まる大きさを設定する必要があります。詳細は、Samba ID 範囲の計画 を参照してください。

   4. Samba が AD から属性を読み取る際に RFC 2307 スキーマを使用するように設定します。

      idmap config DOMAIN : schema_mode = rfc2307

   5. Samba が、対応する AD 属性からログインシェルおよびユーザーホームディレクトリーのパスを読み取るようにする場合は、以下を設定します。

      idmap config DOMAIN : unix_nss_info = yes

      または、すべてのユーザーに適用される、ドメイン全体のホームディレクトリーのパスおよびログインシェルを統一して設定できます。以下に例を示します。

      template shell = /bin/bash
      template homedir = /home/%U

   6. デフォルトでは、Samba は、ユーザーオブジェクトの primaryGroupID 属性を、Linux のユーザーのプライマリーグループとして使用します。または、代わりに gidNumber 属性に設定されている値を使用するように Samba を設定できます。

      idmap config DOMAIN : unix_primary_group = yes

2. /etc/samba/smb.conf ファイルを検証します。

   # testparm

3. Samba 設定を再読み込みします。

   # smbcontrol all reload-config

手順

1. /etc/samba/smb.conf ファイルの [global] セクションを編集します。

   1. デフォルトドメイン (*) に ID マッピング設定が存在しない場合は追加します。以下に例を示します。

      idmap config * : backend = tdb
      idmap config * : range = 10000-999999

   2. ドメインの rid ID マッピングバックエンドを有効にします。

      idmap config DOMAIN : backend = rid

   3. 今後割り当てられるすべての RID が収まる大きさの範囲を設定します。以下に例を示します。

      idmap config DOMAIN : range = 2000000-2999999

      Samba は、そのドメインの RID がその範囲内にないユーザーおよびグループを無視します。

      重要

      この範囲は、このサーバーの他のドメイン設定と重複させることはできません。また、この範囲には、今後割り当てられる ID がすべて収まる大きさを設定する必要があります。詳細は、Samba ID 範囲の計画 を参照してください。

   4. すべてのマッピングユーザーに割り当てられるシェルおよびホームディレクトリーのパスを設定します。以下に例を示します。

      template shell = /bin/bash
      template homedir = /home/%U

2. /etc/samba/smb.conf ファイルを検証します。

   # testparm

3. Samba 設定を再読み込みします。

   # smbcontrol all reload-config

手順

1. /etc/samba/smb.conf ファイルの [global] セクションを編集します。

   1. * デフォルトドメインの autorid ID マッピングバックエンドを有効にします。

      idmap config * : backend = autorid

   2. 既存および将来の全オブジェクトに ID を割り当てられる大きさの範囲を設定します。以下に例を示します。

      idmap config * : range = 10000-999999

      Samba は、このドメインで計算した ID が範囲内にないユーザーおよびグループを無視します。

      警告

      範囲を設定し、Samba がそれを使用して開始してからは、範囲の上限を小さくすることはできません。範囲にその他の変更を加えると、新しい ID 割り当てが発生し、ファイルの所有権が失われる可能性があります。

   3. 必要に応じて、範囲サイズを設定します。以下に例を示します。

      idmap config * : rangesize = 200000

      Samba は、idmap config * : range パラメーターに設定されている範囲からすべての ID を取得するまで、各ドメインのオブジェクトにこの数の連続 ID を割り当てます。

      注記

      rangesize を設定する場合は、適宜範囲を調整する必要があります。この範囲は rangesize の倍数である必要があります。

   4. すべてのマッピングユーザーに割り当てられるシェルおよびホームディレクトリーのパスを設定します。以下に例を示します。

      template shell = /bin/bash
      template homedir = /home/%U

   5. 必要に応じて、ドメイン用の ID マッピング設定を追加します。個別のドメインの設定が利用できない場合、Samba は以前に設定した * デフォルトドメインの autorid バックエンド設定を使用して ID を計算します。

      重要

      この範囲は、このサーバーの他のドメイン設定と重複させることはできません。また、この範囲には、今後割り当てられる ID がすべて収まる大きさを設定する必要があります。詳細は、Samba ID 範囲の計画 を参照してください。

2. /etc/samba/smb.conf ファイルを検証します。

   # testparm

3. Samba 設定を再読み込みします。

   # smbcontrol all reload-config

手順

1. AD で Kerberos 認証に非推奨の RC4 暗号化タイプが必要な場合は、RHEL でこの暗号のサポートを有効にします。

   # update-crypto-policies --set DEFAULT:AD-SUPPORT

2. 以下のパッケージをインストールします。

   # yum install realmd oddjob-mkhomedir oddjob samba-winbind-clients \
          samba-winbind samba-common-tools samba-winbind-krb5-locator

3. ドメインメンバーでディレクトリーまたはプリンターを共有するには、samba パッケージをインストールします。

   # yum install samba

4. 既存の Samba 設定ファイル /etc/samba/smb.conf をバックアップします。

   # mv /etc/samba/smb.conf /etc/samba/smb.conf.bak

5. ドメインに参加します。たとえば、ドメイン ad.example.com に参加するには、以下のコマンドを実行します。

   # realm join --membership-software=samba --client-software=winbind ad.example.com

   上記のコマンドを使用すると、realm ユーティリティーが自動的に以下を実行します。

   • ad.example.com ドメインのメンバーシップに /etc/samba/smb.conf ファイルを作成します。
   • ユーザーおよびグループの検索用の winbind モジュールを、/etc/nsswitch.conf ファイルに追加します。
   • /etc/pam.d/ ディレクトリーの PAM (プラグ可能な認証モジュール) 設定ファイルを更新します。
   • winbind サービスを起動し、システムの起動時にサービスを起動できるようにします。
6. 必要に応じて、/etc/samba/smb.conf ファイルの別の ID マッピングバックエンド、またはカスタマイズした ID マッピングを設定します。詳細は、SambaID マッピングの理解と設定 を参照してください。

7. winbind サービスが稼働していることを確認します。

   # systemctl status winbind
   ...
      Active: active (running) since Tue 2018-11-06 19:10:40 CET; 15s ago

   重要

   Samba がドメインのユーザーおよびグループの情報をクエリーできるようにするには、smb を起動する前に winbind サービスを実行する必要があります。

8. samba パッケージをインストールしてディレクトリーおよびプリンターを共有している場合は、smb サービスを有効化して開始します。

   # systemctl enable --now smb

9. 必要に応じて、Active Directory へのローカルログインを認証する場合は、winbind_krb5_localauth プラグインを有効にします。MIT Kerberos 用のローカル承認プラグインの使用

検証手順

1. AD ドメインの AD 管理者アカウントなど、AD ユーザーの詳細を表示します。

   # getent passwd "AD\administrator"
   AD\administrator:*:10000:10000::/home/administrator@AD:/bin/bash

2. AD ドメイン内のドメインユーザーグループのメンバーをクエリーします。

   # getent group "AD\Domain Users"
       AD\domain users:x:10000:user1,user2

3. オプションで、ファイルやディレクトリーに権限を設定する際に、ドメインのユーザーおよびグループを使用できることを確認します。たとえば、/srv/samba/example.txt ファイルの所有者を AD\administrator に設定し、グループを AD\Domain Users に設定するには、以下のコマンドを実行します。

   # chown "AD\administrator":"AD\Domain Users" /srv/samba/example.txt

4. Kerberos 認証が期待どおりに機能することを確認します。

   1. AD ドメインメンバーで、administrator@AD.EXAMPLE.COM プリンシパルのチケットを取得します。

      # kinit administrator@AD.EXAMPLE.COM

   2. キャッシュされた Kerberos チケットを表示します。

      # klist
      Ticket cache: KCM:0
      Default principal: administrator@AD.EXAMPLE.COM
      
      Valid starting       Expires              Service principal
      01.11.2018 10:00:00  01.11.2018 20:00:00  krbtgt/AD.EXAMPLE.COM@AD.EXAMPLE.COM
              renew until 08.11.2018 05:00:00

5. 利用可能なドメインの表示:

   # wbinfo --all-domains
   BUILTIN
   SAMBA-SERVER
   AD

手順

1. 必要なパッケージをインストールします。

   [root@ipaserver ~]# yum install ipa-server-trust-ad samba-client

2. IdM 管理ユーザーとして認証します。

   [root@ipaserver ~]# kinit admin

3. ipa-adtrust-install ユーティリティーを実行します。

   [root@ipaserver ~]# ipa-adtrust-install

   統合 DNS サーバーとともに IdM がインストールされていると、DNS サービスレコードが自動的に作成されます。

   IdM が統合 DNS サーバーなしで IdM をインストールすると、ipa-adtrust-install は、続行する前に DNS に手動で追加する必要があるサービスレコードのリストを出力します。

4. スクリプトにより、/etc/samba/smb.conf がすでに存在し、書き換えられることが求められます。

   WARNING: The smb.conf already exists. Running ipa-adtrust-install will break your existing Samba configuration.
   
   Do you wish to continue? [no]: yes

5. このスクリプトは、従来の Linux クライアントが信頼できるユーザーと連携できるようにする互換性プラグインである slapi-nis プラグインを設定するように求めるプロンプトを表示します。

   Do you want to enable support for trusted domains in Schema Compatibility plugin?
   This will allow clients older than SSSD 1.9 and non-Linux clients to work with trusted users.
   
   Enable trusted domains support in slapi-nis? [no]: yes

6. プロンプトが表示されたら、IdM ドメインの NetBIOS 名を入力するか、Enter を押して提案された名前を使用します。

   Trust is configured but no NetBIOS domain name found, setting it now.
   Enter the NetBIOS name for the IPA domain.
   Only up to 15 uppercase ASCII letters, digits and dashes are allowed.
   Example: EXAMPLE.
   
   NetBIOS domain name [IDM]:

7. SID 生成タスクを実行して、既存ユーザーに SID を作成するように求められます。

   Do you want to run the ipa-sidgen task? [no]: yes

   これはリソースを集中的に使用するタスクであるため、ユーザー数が多い場合は別のタイミングで実行できます。

8. (必要に応じて) デフォルトでは、Windows Server 2008 以降での動的 RPC ポートの範囲は 49152-65535 として定義されます。ご使用の環境に異なる動的 RPC ポート範囲を定義する必要がある場合は、Samba が異なるポートを使用するように設定し、ファイアウォール設定でそのポートを開くように設定します。以下の例では、ポート範囲を 55000-65000 に設定します。

   [root@ipaserver ~]# net conf setparm global 'rpc server dynamic port range' 55000-65000
   [root@ipaserver ~]# firewall-cmd --add-port=55000-65000/tcp
   [root@ipaserver ~]# firewall-cmd --runtime-to-permanent

9. ipa サービスを再起動します。

   [root@ipaserver ~]# ipactl restart

10. smbclient ユーティリティーを使用して、Samba が IdM からの Kerberos 認証に応答することを確認します。

    [root@ipaserver ~]# smbclient -L server.idm.example.com -U user_name --use-kerberos=required
    lp_load_ex: changing to config backend registry
        Sharename       Type      Comment
        ---------       ----      -------
        IPC$            IPC       IPC Service (Samba 4.15.2)
    ...

手順

1. Group Policy Management Console を開きます。
2. デフォルトドメインポリシー を右クリックして、編集 を選択します。Group Policy Management Editor を閉じます。
3. コンピューターの設定 → ポリシー → Windows の設定 → セキュリティーの設定 → ローカルポリシー → セキュリティーオプション に移動します。
4. ネットワーク セキュリティー: Kerberos で許可する暗号化の種類を設定する をダブルクリックします。
5. AES256_HMAC_SHA1 を選択し、必要に応じて、将来の暗号化タイプ を選択します。
6. OK をクリックします。
7. Group Policy Management Editor を閉じます。
8. 既定のドメインコントローラーポリシー に対して手順を繰り返します。

9. Windows ドメインコントローラー (DC) がグループポリシーを自動的に適用するまで待ちます。または、GPO を DC に手動で適用するには、管理者権限を持つアカウントを使用して次のコマンドを入力します。

   C:\> gpupdate /force /target:computer

手順

1. ipa-client-samba パッケージをインストールします。

   [root@idm_client]# yum install ipa-client-samba

2. ipa-client-samba ユーティリティーを使用して、クライアントを準備し、初期 Samba 設定を作成します。

   [root@idm_client]# ipa-client-samba
   Searching for IPA server...
   IPA server: DNS discovery
   Chosen IPA master: idm_server.idm.example.com
   SMB principal to be created: cifs/idm_client.idm.example.com@IDM.EXAMPLE.COM
   NetBIOS name to be used: IDM_CLIENT
   Discovered domains to use:
   
    Domain name: idm.example.com
   NetBIOS name: IDM
            SID: S-1-5-21-525930803-952335037-206501584
       ID range: 212000000 - 212199999
   
    Domain name: ad.example.com
   NetBIOS name: AD
            SID: None
       ID range: 1918400000 - 1918599999
   
   Continue to configure the system with these values? [no]: yes
   Samba domain member is configured. Please check configuration at /etc/samba/smb.conf and start smb and winbind services

3. デフォルトでは、ipa-client-samba は、ユーザーが接続したときにそのユーザーのホームディレクトリーを動的に共有するために、/etc/samba/smb.conf ファイルに [homes] セクションが自動的に追加されます。ユーザーがこのサーバーにホームディレクトリーがない場合、または共有したくない場合は、/etc/samba/smb.conf から次の行を削除します。

   [homes]
       read only = no

4. ディレクトリーとプリンターを共有します。詳細は、次を参照してください。

   • POSIX ACL を使用した Samba ファイル共有の設定
   • Windows ACL で共有の設定
   • プリントサーバーとしての Samba の設定

5. ローカルファイアウォールで Samba クライアントに必要なポートを開きます。

   [root@idm_client]# firewall-cmd --permanent --add-service=samba-client
   [root@idm_client]# firewall-cmd --reload

6. smb サービスおよび winbind サービスを有効にして開始します。

   [root@idm_client]# systemctl enable --now smb winbind

手順

1. ホストのキータブを使用して認証します。

   [root@idm_client]# kinit -k

2. ipa idrange-find コマンドを使用して、新しいドメインのベース ID と ID 範囲のサイズの両方を表示します。たとえば、次のコマンドは ad.example.com ドメインの値を表示します。

   [root@idm_client]# ipa idrange-find --name="AD.EXAMPLE.COM_id_range" --raw
   ---------------
   1 range matched
   ---------------
     cn: AD.EXAMPLE.COM_id_range
     ipabaseid: 1918400000
     ipaidrangesize: 200000
     ipabaserid: 0
     ipanttrusteddomainsid: S-1-5-21-968346183-862388825-1738313271
     iparangetype: ipa-ad-trust
   ----------------------------
   Number of entries returned 1
   ----------------------------

   次の手順で、ipabaseid 属性および ipaidrangesize 属性の値が必要です。

3. 使用可能な最高の ID を計算するには、次の式を使用します。

   maximum_range = ipabaseid + ipaidrangesize - 1

   前の手順の値を使用すると、ad.example.com ドメインで使用可能な最大 ID は 1918599999 (1918400000 + 200000 - 1) です。

4. /etc/samba/smb.conf ファイルを編集し、ドメインの ID マッピング設定を [global] セクションに追加します。

   idmap config AD : range = 1918400000 - 1918599999
   idmap config AD : backend = sss

   ipabaseid 属性の値を最小値として指定し、前の手順で計算された値を範囲の最大値として指定します。

5. smb サービスおよび winbind サービスを再起動します。

   [root@idm_client]# systemctl restart smb winbind

手順

1. ディレクトリーが存在しない場合は作成します。以下に例を示します。

   # mkdir -p /srv/samba/example/

2. SELinux を、enforcing モードで実行する場合は、そのディレクトリーに samba_share_t コンテキストを設定します。

   # semanage fcontext -a -t samba_share_t "/srv/samba/example(/.*)?"
   # restorecon -Rv /srv/samba/example/

3. ディレクトリーにファイルシステムの ACL を設定します。詳細は、次を参照してください。

   • POSIX ACL を使用する Samba 共有での標準的な ACL の設定
   • POSIX ACL を使用する Samba 共有で拡張 ACL の設定

4. /etc/samba/smb.conf ファイルにサンプル共有を追加します。たとえば、共有の write-enabled を追加するには、次のコマンドを実行します。

   [example]
   	path = /srv/samba/example/
   	read only = no

   注記

   ファイルシステムの ACL に関係なく、read only = no を設定しないと、Samba がディレクトリーを読み取り専用モードで共有します。

5. /etc/samba/smb.conf ファイルを検証します。

   # testparm

6. firewall-cmd ユーティリティーを使用して必要なポートを開き、ファイアウォール設定を再読み込みします。

   # firewall-cmd --permanent --add-service=samba
   # firewall-cmd --reload

7. smb サービスを再起動します。

   # systemctl restart smb

手順

1. /etc/samba/smb.conf ファイルの共有セクションで以下のパラメーターを有効にして、拡張 ACL の ACL 継承を有効にします。

   inherit acls = yes

   詳細は、man ページの smb.conf(5) のパラメーターの説明を参照してください。

2. smb サービスを再起動します。

   # systemctl restart smb

3. ディレクトリーの ACL を設定します。以下に例を示します。

   例3.2 拡張 ACL の設定

   以下の手順は、/srv/samba/example/ ディレクトリーに対して、Domain Admins グループに読み取り、書き込み、および実行の権限、Domain Users グループに対する読み取りおよび実行の権限を設定し、その他の全員のアクセスを拒否します。

   1. ユーザーアカウントのプライマリーグループへの自動許可権限を無効にします。

      # setfacl -m group::--- /srv/samba/example/
      # setfacl -m default:group::--- /srv/samba/example/

      ディレクトリーのプライマリーグループは、さらに動的な CREATOR GROUP プリンシパルにマッピングされます。Samba 共有で拡張 POSIX ACL を使用すると、このプリンシパルは自動的に追加され、削除できません。

   2. ディレクトリーに権限を設定します。

      1. Domain Admins グループに読み取り、書き込み、および実行の権限を付与します。

         # setfacl -m group:"DOMAIN\Domain Admins":rwx /srv/samba/example/

      2. Domain Users グループに読み取りおよび実行の権限を付与します。

         # setfacl -m group:"DOMAIN\Domain Users":r-x /srv/samba/example/

      3. その他 の ACL エントリーに権限を設定し、その他の ACL エントリーに一致しないユーザーへのアクセスを拒否します。

         # setfacl -R -m other::--- /srv/samba/example/

      この設定は、このディレクトリーにのみ適用されます。Windows では、これらの ACL は このフォルダーのみ のモードにマッピングされます。

   3. 前の手順で設定した権限を、このディレクトリーに作成した新規ファイルシステムのオブジェクトから継承できるようにするには、以下のコマンドを実行します。

      # setfacl -m default:group:"DOMAIN\Domain Admins":rwx /srv/samba/example/
      # setfacl -m default:group:"DOMAIN\Domain Users":r-x /srv/samba/example/
      # setfacl -m default:other::--- /srv/samba/example/

      この設定では、プリンシパルの このフォルダーのみ モードが、このフォルダー、サブフォルダー、およびファイル に設定されます。

   Samba は、手順に設定されている権限を、以下の Windows ACL にマッピングします。

   プリンシパル	アクセス	適用先
   Domain\Domain Admins	完全な制御	このフォルダー、サブフォルダー、およびファイル
   Domain\Domain Users	読み取りおよび実行	このフォルダー、サブフォルダー、およびファイル
   Everyone [a]	なし	このフォルダー、サブフォルダー、およびファイル
   owner (Unix User\owner) [b]	完全な制御	このフォルダーのみ
   primary_group (Unix User\primary_group) [c]	なし	このフォルダーのみ
   CREATOR OWNER [d] [e]	完全な制御	サブフォルダーおよびファイルのみ
   CREATOR GROUP [e] [f]	なし	サブフォルダーおよびファイルのみ
   [a] Samba は、このプリンシパルの権限を その他 の ACL エントリーからマッピングします。 [b] Samba は、ディレクトリーの所有者をこのエントリーにマッピングします。 [c] Samba は、ディレクトリーのプライマリーグループをこのエントリーにマッピングします。 [d] 新規ファイルシステムオブジェクトでは、作成者はこのプリンシパルの権限を自動的に継承します。 [e] POSIX ACL を使用する共有では、このプリンシパルの設定または削除には対応していません。 [f] 新規ファイルシステムオブジェクトの場合、作成者のプライマリーグループは、自動的にこのプリンシパルの権限を継承します。

手順

1. たとえば、Domain Users グループの全メンバーが、ユーザー アカウントのアクセスが拒否されている時に共有にアクセスできるようにするには、共有の設定に以下のパラメーターを追加します。

   valid users = +DOMAIN\"Domain Users"
   invalid users = DOMAIN\user

   無効なユーザー パラメーターの優先度は、有効なユーザー パラメーターよりも高くなります。たとえば、ユーザー アカウントが Domain Users グループのメンバーである場合に上述の例を使用すると、このアカウントへのアクセスは拒否されます。

2. Samba 設定を再読み込みします。

   # smbcontrol all reload-config

手順

1. 以下のパラメーターを、/etc/samba/smb.conf ファイルの共有の設定に追加します。

   hosts allow = 127.0.0.1 192.0.2.0/24 client1.example.com
   hosts deny = client2.example.com

   hosts deny パラメーターは、hosts allow よりも優先順位が高くなります。たとえば、client1.example.com が hosts allow パラメーターに一覧表示されている IP アドレスに解決すると、このホストへのアクセスは拒否されます。

2. Samba 設定を再読み込みします。

   # smbcontrol all reload-config

手順

1. たとえば、SeDiskOperatorPrivilege 特権を DOMAIN\Domain Admins グループに付与するには、以下のコマンドを実行します。

   # net rpc rights grant "DOMAIN\Domain Admins" SeDiskOperatorPrivilege -U "DOMAIN\administrator"
   Enter DOMAIN\administrator's password:
   Successfully granted rights.

   注記

   ドメイン環境では、SeDiskOperatorPrivilege をドメイングループに付与します。これにより、ユーザーのグループメンバーシップを更新し、権限を集中的に管理できます。

2. SeDiskOperatorPrivilege が付与されているすべてのユーザーおよびグループを一覧表示するには、以下のコマンドを実行します。

   # net rpc rights list privileges SeDiskOperatorPrivilege -U "DOMAIN\administrator"
   Enter administrator's password:
   SeDiskOperatorPrivilege:
     BUILTIN\Administrators
     DOMAIN\Domain Admins

手順

1. すべての共有に対してグローバルに有効にするには、次の設定を /etc/samba/smb.conf ファイルの [global] セクションに追加します。

   vfs objects = acl_xattr
   map acl inherit = yes
   store dos attributes = yes

   または、共有のセクションに同じパラメーターを追加して、個別の共有に対して Windows ACL サポートを有効にできます。

2. smb サービスを再起動します。

   # systemctl restart smb

手順

1. ディレクトリーが存在しない場合は作成します。以下に例を示します。

   # mkdir -p /srv/samba/example/

2. SELinux を、enforcing モードで実行する場合は、そのディレクトリーに samba_share_t コンテキストを設定します。

   # semanage fcontext -a -t samba_share_t "/srv/samba/example(/.*)?"
   # restorecon -Rv /srv/samba/example/

3. /etc/samba/smb.conf ファイルにサンプル共有を追加します。たとえば、共有の write-enabled を追加するには、次のコマンドを実行します。

   [example]
   	path = /srv/samba/example/
   	read only = no

   注記

   ファイルシステムの ACL に関係なく、read only = no を設定しないと、Samba がディレクトリーを読み取り専用モードで共有します。

4. すべての共有の [global] セクションで Windows ACL サポートを有効にしていない場合は、以下のパラメーターを [example] セクションに追加して、この共有に対してこの機能を有効にします。

   vfs objects = acl_xattr
   map acl inherit = yes
   store dos attributes = yes

5. /etc/samba/smb.conf ファイルを検証します。

   # testparm

6. firewall-cmd ユーティリティーを使用して必要なポートを開き、ファイアウォール設定を再読み込みします。

   # firewall-cmd --permanent --add-service=samba
   # firewall-cmd --reload

7. smb サービスを再起動します。

   # systemctl restart smb

手順

1. ローカルの example グループが存在しない場合は作成します。

   # groupadd example

2. ユーザー共有の定義を保存し、その権限を正しく設定するために、Samba 用のディレクトリーを準備します。以下に例を示します。

   1. ディレクトリーを作成します。

      # mkdir -p /var/lib/samba/usershares/

   2. example グループの書き込み権限を設定します。

      # chgrp example /var/lib/samba/usershares/
      # chmod 1770 /var/lib/samba/usershares/

   3. このディレクトリーの他のユーザーが保存したファイルの名前変更や削除を禁止するように sticky ビットを設定します。

3. /etc/samba/smb.conf ファイルを編集し、以下を [global] セクションに追加します。

   1. ユーザー共有の定義を保存するように設定したディレクトリーのパスを設定します。以下に例を示します。

      usershare path = /var/lib/samba/usershares/

   2. このサーバーで Samba を作成できるユーザー共有の数を設定します。以下に例を示します。

      usershare max shares = 100

      usershare max shares パラメーターにデフォルトの 0 を使用すると、ユーザー共有が無効になります。

   3. 必要に応じて、ディレクトリーの絶対パスの一覧を設定します。たとえば、Samba が /data ディレクトリーおよび /srv ディレクトリーのサブディレクトリーの共有のみを許可するように設定するには、以下を設定します。

      usershare prefix allow list = /data /srv

   設定可能なユーザー共有関連のパラメーターの一覧は、man ページの smb.conf(5) の USERSHARES セクションを参照してください。

4. /etc/samba/smb.conf ファイルを検証します。

   # testparm

5. Samba 設定を再読み込みします。

   # smbcontrol all reload-config

   これで、ユーザーが、ユーザー共有を作成できるようになりました。

手順

1. 任意のユーザーが作成したすべてのユーザー共有を表示するには、以下のコマンドを実行します。

   $ net usershare info -l
   [share_1]
   path=/srv/samba/
   comment=
   usershare_acl=Everyone:R,host_name\user:F,
   guest_ok=y
   ...

   コマンドを実行するユーザーが作成した共有のみを一覧表示するには、-l パラメーターを省略します。

2. 特定の共有に関する情報のみを表示するには、共有名またはワイルドカードをコマンドに渡します。たとえば、名前が share_ で始まる共有の情報を表示する場合は、以下のコマンドを実行します。

   $ net usershare info -l share_* 

手順

1. 任意のユーザーが作成した共有を一覧表示するには、以下のコマンドを実行します。

   $ net usershare list -l
   share_1
   share_2
   ...

   コマンドを実行するユーザーが作成した共有のみを一覧表示するには、-l パラメーターを省略します。

2. 特定の共有のみを一覧表示するには、共有名またはワイルドカードをコマンドに渡します。たとえば、名前が share_ で始まる共有のみを一覧表示するには、以下のコマンドを実行します。

   $ net usershare list -l share_* 

手順

1. /etc/samba/smb.conf ファイルを編集します。

   1. これが、このサーバーで設定した最初のゲスト共有である場合は、以下を行います。

      1. [global] セクションに map to guest = Bad User を設定し ます。

         [global]
                 ...
                 map to guest = Bad User

         この設定により、ユーザー名が存在しない限り、Samba は間違ったパスワードを使用したログイン試行を拒否します。指定したユーザー名がなく、ゲストアクセスが共有で有効になっている場合、Samba は接続をゲストのログインとして処理します。

      2. デフォルトでは、Samba は、Red Hat Enterprise Linux の nobody アカウントにゲストアカウントをマッピングします。または、別のアカウントを設定することもできます。以下に例を示します。

         [global]
                 ...
                 guest account = user_name

         このパラメーターに設定するアカウントは、Samba サーバーにローカルに存在する必要があります。セキュリティー上の理由から、Red Hat は有効なシェルを割り当てていないアカウントを使用することを推奨しています。

   2. guest ok = yes の設定を、[example] 共有セクションに追加します。

      [example]
              ...
              guest ok = yes

2. /etc/samba/smb.conf ファイルを検証します。

   # testparm

3. Samba 設定を再読み込みします。

   # smbcontrol all reload-config

手順

1. /etc/samba/smb.conf ファイルを編集し、[global] セクションの VFS モジュール fruit および streams_xattr を有効にします。

   vfs objects = fruit streams_xattr

   重要

   streams_xattr を有効にする前に、fruit モジュールを有効にする必要があります。fruit モジュールは、別のデータストリーム (ADS) を使用します。このため、streams_xattr モジュールも有効にする必要があります。

2. 必要に応じて、共有で macOS Time Machine のサポートを提供する場合は、/etc/samba/smb.conf ファイルの共有設定に次の設定を追加します。

   fruit:time machine = yes

3. /etc/samba/smb.conf ファイルを検証します。

   # testparm

4. Samba 設定を再読み込みします。

   # smbcontrol all reload-config

手順

1. 共有に接続します。

   # smbclient -U "DOMAIN\user_name" //server_name/share_name

2. /example/ ディレクトリーに移動します。

   smb: \> d /example/

3. ディレクトリー内のファイルを一覧表示します。

   smb: \example\> ls
     .                    D         0  Thu Nov 1 10:00:00 2018
     ..                   D         0  Thu Nov 1 10:00:00 2018
     example.txt          N   1048576  Thu Nov 1 10:00:00 2018
   
            9950208 blocks of size 1024. 8247144 blocks available

4. example.txt ファイルをダウンロードします。

   smb: \example\> get example.txt
   getting file \directory\subdirectory\example.txt of size 1048576 as example.txt (511975,0 KiloBytes/sec) (average 170666,7 KiloBytes/sec)

5. 共有から切断します。

   smb: \example\> exit

手順

1. /etc/samba/smb.conf ファイルを編集します。

   1. [printers] セクションを追加して、Samba で印刷バックエンドを有効にします。

      [printers]
              comment = All Printers
              path = /var/tmp/
              printable = yes
              create mask = 0600

      重要

      [printers] 共有名はハードコーディングされており、変更はできません。

   2. CUPS サーバーが別のホストまたはポートで実行されている場合は、printers セクションで設定を指定します。

      cups server = printserver.example.com:631

   3. 多数のプリンターがある場合は、待機秒数を CUPS に接続されているプリンターの数よりも大きい値に設定します。たとえば、100 台のプリンターがある場合は、[global] セクションに次のように設定します。

      rpcd_spoolss:idle_seconds = 200

      この設定が環境内でスケーリングされない場合は、[global] セクションで rpcd_spoolss ワーカーの数も増やします。

      rpcd_spoolss:num_workers = 10

      デフォルトでは、rpcd_spoolss は 5 つのワーカーを開始します。

2. /etc/samba/smb.conf ファイルを検証します。

   # testparm

3. firewall-cmd ユーティリティーを使用して必要なポートを開き、ファイアウォール設定を再読み込みします。

   # firewall-cmd --permanent --add-service=samba
   # firewall-cmd --reload

4. smb サービスを再起動します。

   # systemctl restart smb

   サービスを再起動すると、Samba は CUPS バックエンドに設定したすべてのプリンターを自動的に共有します。特定のプリンターのみを手動で共有する場合は、特定のプリンターの手動共有 を参照してください。

手順

1. /etc/samba/smb.conf ファイルを編集します。

   1. [global] セクションで、以下の設定で自動プリンター共有を無効にします。

      load printers = no

   2. 共有するプリンターごとにセクションを追加します。たとえば、Samba で CUPS バックエンドで example という名前のプリンターを Example-Printer として共有するには、以下のセクションを追加します。

      [Example-Printer]
              path = /var/tmp/
              printable = yes
              printer name = example

      各プリンターに個別のスプールディレクトリーは必要ありません。[printers] セクションに設定したのと同じ spool ディレクトリーを、プリンターの path パラメーターに設定できます。

2. /etc/samba/smb.conf ファイルを検証します。

   # testparm

3. Samba 設定を再読み込みします。

   # smbcontrol all reload-config

手順

1. たとえば、SePrintOperatorPrivilege 権限を printadmin グループに付与するには、以下のコマンドを 実行します。

   # net rpc rights grant "printadmin" SePrintOperatorPrivilege -U "DOMAIN\administrator"
   Enter DOMAIN\administrator's password:
   Successfully granted rights.

   注記

   ドメイン環境では、SePrintOperatorPrivilege をドメイングループに付与します。これにより、ユーザーのグループメンバーシップを更新し、権限を集中的に管理できます。

2. SePrintOperatorPrivilege が付与されているユーザーとグループの一覧を表示するには、以下を実行します。

   # net rpc rights list privileges SePrintOperatorPrivilege -U "DOMAIN\administrator"
   Enter administrator's password:
   SePrintOperatorPrivilege:
     BUILTIN\Administrators
     DOMAIN\printadmin

手順

1. [print$] セクションを /etc/samba/smb.conf ファイルに追加します。

   [print$]
           path = /var/lib/samba/drivers/
           read only = no
           write list = @printadmin
           force group = @printadmin
           create mask = 0664
           directory mask = 2775

   以下の設定を使用します。

   • printadmin グループのメンバーだけがプリンタードライバーを共有にアップロードできます。
   • 新規に作成されたファイルおよびディレクトリーのグループは printadmin に設定されます。
   • 新規ファイルの権限は 664 に設定されます。
   • 新しいディレクトリーの権限は、2775 に設定されます。

2. 全プリンター向けに 64 ビットドライバーのみをアップロードするには、/etc/samba/smb.conf ファイルの [global] セクションに以下の設定を含めます。

   spoolss: architecture = Windows x64

   この設定がないと、少なくとも 32 ビットバージョンでアップロードしたドライバーのみが表示されます。

3. /etc/samba/smb.conf ファイルを検証します。

   # testparm

4. Samba 設定を再読み込みします。

   # smbcontrol all reload-config

5. printadmin グループが存在しない場合は作成します。

   # groupadd printadmin

6. SePrintOperatorPrivilege 権限を、printadmin グループに付与します。

   # net rpc rights grant "printadmin" SePrintOperatorPrivilege -U "DOMAIN\administrator"
   Enter DOMAIN\administrator's password:
   Successfully granted rights.

7. SELinux を、enforcing モードで実行する場合は、そのディレクトリーに samba_share_t コンテキストを設定します。

   # semanage fcontext -a -t samba_share_t "/var/lib/samba/drivers(/.)?" # *restorecon -Rv /var/lib/samba/drivers/

8. /var/lib/samba/drivers/ ディレクトリーに権限を設定します。

   • POSIX ACL を使用する場合は、以下を設定します。

     # chgrp -R "printadmin" /var/lib/samba/drivers/
     # chmod -R 2775 /var/lib/samba/drivers/

   • Windows ACL を使用する場合は、以下を設定します。

     プリンシパル	アクセス	適用先
     CREATOR OWNER	完全な制御	サブフォルダーおよびファイルのみ
     認証されたユーザー	読み取りおよび実行、フォルダーのコンテンツの一覧表示、読み取り	このフォルダー、サブフォルダー、およびファイル
     printadmin	完全な制御	このフォルダー、サブフォルダー、およびファイル

     Windows での ACL の設定に関する詳細は、Windows のドキュメントを参照してください。

手順

1. AD ドメインの 管理者 ユーザーなど、グループポリシーの編集が可能なアカウントを使用して、Windows コンピューターにログインします。
2. Group Policy Management Console を開きます。

3. AD ドメインを右クリックし、Create a GPO in this domain, and Link it here を選択します。

   
4. Legacy Printer Driver Policy などの GPO の名前を入力して、OK をクリックします。新しい GPO がドメインエントリーの下に表示されます。
5. 新たに作成した GPO を右クリックして Edit を選択し、Group Policy Management Editor を開きます。

6. Computer Configuration → Policies → Administrative Templates → Printers の順にクリックします。

   

7. ウィンドウの右側で、Point and Print Restriction をダブルクリックして、ポリシーを編集します。

   1. ポリシーを有効にし、以下のオプションを設定します。

      1. Users can only point and print to these servers を選択し、このオプションの横にあるフィールドに、Samba プリントサーバーの完全修飾ドメイン名 (FQDN) を入力します。

      2. Security Prompts の両チェックボックスで、Do not show warning or elevation prompt を選択します。

         
   2. OK をクリックします。

8. Package Point and Print - Approved servers をダブルクリックして、ポリシーを編集します。

   1. ポリシーを有効にして、Show ボタンをクリックします。

   2. Samba プリントサーバーの FQDN を入力します。

      
   3. OK をクリックして、Show Contents ウィンドウとポリシーのプロパティーウィンドウの両方を閉じます。
9. Group Policy Management Editor を閉じます。
10. Group Policy Management Console を閉じます。

手順

1. RHEL で FIPS モードを有効にします。

   # fips-mode-setup --enable

2. サーバーを再起動します。

   # reboot

3. testparm ユーティリティーを使用して、設定を確認します。

   # testparm -s

   コマンドがエラーや非互換性を表示する場合は、Samba が正常に機能するように修正してください。

手順

1. /etc/samba/smb.conf ファイルの [global] セクションから、server max protocol パラメーターを削除します。

2. Samba 設定を再読み込みします。

   # smbcontrol all reload-config

手順

1. 共有の全ファイルの名前を小文字に変更します。

   注記

   この手順の設定を使用すると、小文字以外の名前が付けられたファイルは表示されなくなります。

2. 共有のセクションに、以下のパラメーターを設定します。

   case sensitive = true
   default case = lower
   preserve case = no
   short preserve case = no

   パラメーターの詳細は、man ページの smb.conf(5) を参照してください。

3. /etc/samba/smb.conf ファイルを検証します。

   # testparm

4. Samba 設定を再読み込みします。

   # smbcontrol all reload-config

手順

1. /etc/samba/smb.conf ファイルを編集し、server min protocol パラメーターを追加して、そのサーバーが対応する最小 SMB プロトコルバージョンに設定できます。たとえば、最小の SMB プロトコルバージョンを SMB3 に設定するには、以下を追加します。

   server min protocol = SMB3

2. smb サービスを再起動します。

   # systemctl restart smb

手順

1. 以下の設定で /etc/samba/smb.conf ファイルを手動で作成します。

   • AD ドメインメンバーの場合:

     [global]
     workgroup = domain_name
     security = ads
     passdb backend = tdbsam
     realm = AD_REALM

   • NT4 ドメインメンバーの場合:

     [global]
     workgroup = domain_name
     security = user
     passdb backend = tdbsam

2. /etc/samba/smb.conf ファイルの [global] セクションに、* デフォルトドメインおよび参加するドメイン用の ID マッピング設定を追加します。

3. /etc/samba/smb.conf ファイルを検証します。

   # testparm

4. ドメイン管理者としてドメインに参加します。

   • AD ドメインに参加するには、以下のコマンドを実行します。

     # net ads join -U "DOMAIN\administrator"

   • NT4 ドメインに参加するには、以下のコマンドを実行します。

     # net rpc join -U "DOMAIN\administrator"

5. /etc/nsswitch.conf ファイルのデータベースエントリー passwd および group に winbind ソースを追加します。

   passwd:     files winbind
   group:      files winbind

6. winbind サービスを有効にして起動します。

   # systemctl enable --now winbind

7. 必要に応じて、authselect ユーティリティーを使用して PAM を設定します。

   詳細は、man ページの authselect(8) を参照してください。

8. AD 環境では、必要に応じて Kerberos クライアントを設定します。

   詳細は、Kerberos クライアントのドキュメントを参照してください。

1. 以下のアカウントを追加します。

   # net user add user password -U "DOMAIN\administrator"
   User user added

2. 必要に応じて、リモートプロシージャコール (RPC) シェルを使用して、AD DC または NT4 PDC でアカウントを有効にします。以下に例を示します。

   # net rpc shell -U DOMAIN\administrator -S DC_or_PDC_name
   Talking to domain DOMAIN (S-1-5-21-1424831554-512457234-5642315751)
   
   net rpc> user edit disabled user: no
   Set user's disabled flag from [yes] to [no]
   
   net rpc> exit

手順

1. ユーザーとしてコマンドを実行すると、smbpasswd はコマンドを実行するユーザーの Samba パスワードを変更します。以下に例を示します。

   [user@server ~]$ smbpasswd
   New SMB password: password
   Retype new SMB password: password

2. root で smbpasswd を実行すると、たとえば以下のようにユーティリティーを使用できます。

   • 新しいユーザーを作成します。

     [root@server ~]# smbpasswd -a user_name
     New SMB password: password
     Retype new SMB password: password
     Added user user_name.

     注記

     Samba データベースにユーザーを追加する前に、ローカルのオペレーティングシステムにアカウントを作成する必要があります。基本的なシステム設定の設定の コマンドラインでの新規ユーザーの追加 セクションを参照してください。

   • Samba ユーザーを有効にします。

     [root@server ~]# smbpasswd -e user_name
     Enabled user user_name.

   • Samba ユーザーを無効にします。

     [root@server ~]# smbpasswd -x user_name
     Disabled user user_name

   • ユーザーを削除します。

     [root@server ~]# smbpasswd -x user_name
     Deleted user user_name.

手順

1. /etc/named.conf ファイルにゾーン定義を追加します。

   zone "example.com" {
       type master;
       file "example.com.zone";
       allow-query { any; };
       allow-transfer { none; };
   };

   これらの設定により、次が定義されます。

   • このサーバーは、example.com ゾーンのプライマリーサーバー (type master) です。
   • /var/named/example.com.zone ファイルはゾーンファイルです。この例のように相対パスを設定すると、このパスは、options ステートメントの directory に設定したディレクトリーからの相対パスになります。
   • どのホストもこのゾーンにクエリーを実行できます。または、IP 範囲または BIND アクセス制御リスト (ACL) のニックネームを指定して、アクセスを制限します。
   • どのホストもゾーンを転送できません。ゾーン転送を許可するのは、セカンダリーサーバーをセットアップする際に限られ、セカンダリーサーバーの IP アドレスに対してのみ許可します。

2. /etc/named.conf ファイルの構文を確認します。

   # named-checkconf

   コマンドが出力を表示しない場合は、構文に間違いがありません。

3. たとえば、次の内容で /var/named/example.com.zone ファイルを作成します。

   $TTL 8h
   @ IN SOA ns1.example.com. hostmaster.example.com. (
                             2022070601 ; serial number
                             1d         ; refresh period
                             3h         ; retry period
                             3d         ; expire time
                             3h )       ; minimum TTL
   
                     IN NS   ns1.example.com.
                     IN MX   10 mail.example.com.
   
   www               IN A    192.0.2.30
   www               IN AAAA 2001:db8:1::30
   ns1               IN A    192.0.2.1
   ns1               IN AAAA 2001:db8:1::1
   mail              IN A    192.0.2.20
   mail              IN AAAA 2001:db8:1::20

   このゾーンファイル:

   • リソースレコードの既定の有効期限 (TTL) 値を 8 時間に設定します。時間の h などの時間接尾辞がない場合、BIND は値を秒として解釈します。
   • ゾーンに関する詳細を含む、必要な SOA リソースレコードが含まれています。
   • このゾーンの権威 DNS サーバーとして ns1.example.com を設定します。ゾーンを機能させるには、少なくとも 1 つのネームサーバー (NS) レコードが必要です。ただし、RFC 1912 に準拠するには、少なくとも 2 つのネームサーバーが必要です。
   • example.com ドメインのメールエクスチェンジャー (MX) として mail.example.com を設定します。ホスト名の前の数値は、レコードの優先度です。値が小さいエントリーほど優先度が高くなります。
   • www.example.com、mail.example.com、および ns1.example.com の IPv4 アドレスおよび IPv6 アドレスを設定します。

4. named グループだけがそれを読み取ることができるように、ゾーンファイルに安全なアクセス許可を設定します。

   # chown root:named /var/named/example.com.zone
   # chmod 640 /var/named/example.com.zone

5. /var/named/example.com.zone ファイルの構文を確認します。

   # named-checkzone example.com /var/named/example.com.zone
   zone example.com/IN: loaded serial 2022070601
   OK

6. BIND をリロードします。

   # systemctl reload named

   change-root 環境で BIND を実行する場合は、systemctl reload named-chroot コマンドを使用してサービスをリロードします。

手順

1. /etc/named.conf ファイルにゾーン定義を追加します。

   zone "2.0.192.in-addr.arpa" {
       type master;
       file "2.0.192.in-addr.arpa.zone";
       allow-query { any; };
       allow-transfer { none; };
   };

   これらの設定により、次が定義されます。

   • 2.0.192.in-addr.arpa 逆引きゾーンのプライマリーサーバー (type master) としてのこのサーバー。
   • /var/named/2.0.192.in-addr.arpa.zone ファイルはゾーンファイルです。この例のように相対パスを設定すると、このパスは、options ステートメントの directory に設定したディレクトリーからの相対パスになります。
   • どのホストもこのゾーンにクエリーを実行できます。または、IP 範囲または BIND アクセス制御リスト (ACL) のニックネームを指定して、アクセスを制限します。
   • どのホストもゾーンを転送できません。ゾーン転送を許可するのは、セカンダリーサーバーをセットアップする際に限られ、セカンダリーサーバーの IP アドレスに対してのみ許可します。

2. /etc/named.conf ファイルの構文を確認します。

   # named-checkconf

   コマンドが出力を表示しない場合は、構文に間違いがありません。

3. たとえば、次の内容で /var/named/2.0.192.in-addr.arpa.zone ファイルを作成します。

   $TTL 8h
   @ IN SOA ns1.example.com. hostmaster.example.com. (
                             2022070601 ; serial number
                             1d         ; refresh period
                             3h         ; retry period
                             3d         ; expire time
                             3h )       ; minimum TTL
   
                     IN NS   ns1.example.com.
   
   1                 IN PTR  ns1.example.com.
   30                IN PTR  www.example.com.

   このゾーンファイル:

   • リソースレコードの既定の有効期限 (TTL) 値を 8 時間に設定します。時間の h などの時間接尾辞がない場合、BIND は値を秒として解釈します。
   • ゾーンに関する詳細を含む、必要な SOA リソースレコードが含まれています。
   • ns1.example.com をこの逆引きゾーンの権威 DNS サーバーとして設定します。ゾーンを機能させるには、少なくとも 1 つのネームサーバー (NS) レコードが必要です。ただし、RFC 1912 に準拠するには、少なくとも 2 つのネームサーバーが必要です。
   • 192.0.2.1 および 192.0.2.30 アドレスのポインター (PTR) レコードを設定します。

4. named グループのみがそれを読み取ることができるように、ゾーンファイルに安全なアクセス許可を設定します。

   # chown root:named /var/named/2.0.192.in-addr.arpa.zone
   # chmod 640 /var/named/2.0.192.in-addr.arpa.zone

5. /var/named/2.0.192.in-addr.arpa.zone ファイルの構文を確認します。

   # named-checkzone 2.0.192.in-addr.arpa /var/named/2.0.192.in-addr.arpa.zone
   zone 2.0.192.in-addr.arpa/IN: loaded serial 2022070601
   OK

6. BIND をリロードします。

   # systemctl reload named

   change-root 環境で BIND を実行する場合は、systemctl reload named-chroot コマンドを使用してサービスをリロードします。

手順

1. オプション: /etc/named.conf ファイル内のゾーンファイルへのパスを特定します。

   options {
       ...
       directory       "/var/named";
   }
   
   zone "example.com" {
       ...
       file "example.com.zone";
   };

   ゾーンの定義の file ステートメントで、ゾーンファイルへのパスを見つけます。相対パスは、options ステートメントの directory に設定されたディレクトリーからの相対パスです。

2. ゾーンファイルを編集します。

   1. 必要な変更を行います。

   2. SOA (Start of Authority) レコードのシリアル番号を増やします。

      重要

      シリアル番号が以前の値以下の場合、セカンダリーサーバーはゾーンのコピーを更新しません。

3. ゾーンファイルの構文を確認します。

   # named-checkzone example.com /var/named/example.com.zone
   zone example.com/IN: loaded serial 2022062802
   OK

4. BIND をリロードします。

   # systemctl reload named

   change-root 環境で BIND を実行する場合は、systemctl reload named-chroot コマンドを使用してサービスをリロードします。

手順

1. /etc/named.conf ファイルを編集し、DNSSEC を有効にするゾーンにdnssec-policy default; を追加します。

   zone "example.com" {
       ...
       dnssec-policy default;
   };

2. BIND をリロードします。

   # systemctl reload named

   change-root 環境で BIND を実行する場合は、systemctl reload named-chroot コマンドを使用してサービスをリロードします。

3. BIND は公開鍵を /var/named/K<zone_name>.+<algorithm>+<key_ID>.key ファイルに保存します。このファイルを使用して、親ゾーンが必要とする形式でゾーンの公開鍵を表示します。

   • DS レコード形式:

     # dnssec-dsfromkey /var/named/Kexample.com.+013+61141.key
     example.com. IN DS 61141 13 2 3E184188CF6D2521EDFDC3F07CFEE8D0195AACBD85E68BAE0620F638B4B1B027

   • DNSKEY 形式:

     # grep DNSKEY /var/named/Kexample.com.+013+61141.key
     example.com. 3600 IN DNSKEY 257 3 13 sjzT3jNEp120aSO4mPEHHSkReHUf7AABNnT8hNRTzD5cKMQSjDJin2I3 5CaKVcWO1pm+HltxUEt+X9dfp8OZkg==

4. ゾーンの公開鍵を親ゾーンに追加するように要求します。これを行う方法の詳細については、ドメインプロバイダーまたはレジストリーにお問い合わせください。

検証

1. DNSSEC 署名を有効にしたゾーンのレコードについて、独自の DNS サーバーにクエリーを実行します。

   # dig +dnssec +short @localhost A www.example.com
   192.0.2.30
   A 13 3 28800 20220718081258 20220705120353 61141 example.com. e7Cfh6GuOBMAWsgsHSVTPh+JJSOI/Y6zctzIuqIU1JqEgOOAfL/Qz474 M0sgi54m1Kmnr2ANBKJN9uvOs5eXYw==

   この例では、BIND が同じホストで実行し、localhost インターフェイスでクエリーに応答することを前提としています。

2. 公開鍵が親ゾーンに追加され、他のサーバーに伝播されたら、サーバーが署名付きゾーンへのクエリーで認証済みデータ (ad) フラグを設定することを確認します。

   #  dig @localhost example.com +dnssec
   ...
   ;; flags: qr rd ra ad; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1
   ...