第16章 ファイルとプリントサーバー

ドメインメンバー上での ad バックエンドの設定

1. /etc/samba/smb.conf ファイルの [global] セクションを編集します。

   1. デフォルトドメイン (*) に ID マッピング設定が存在しない場合は追加します。以下に例を示します。

      idmap config * : backend = tdb
      idmap config * : range = 10000-999999

      デフォルトドメインに関する詳細は 「* デフォルトドメイン」 を参照してください。

   2. AD ドメインの ad ID マッピングバックエンドを有効にします。

      idmap config DOMAIN : backend = ad

   3. AD ドメインのユーザーおよびグループに割り当てられている ID の範囲を設定します。以下に例を示します。

      idmap config DOMAIN : range = 2000000-2999999

      重要

      この範囲は、このサーバーの他のドメイン設定と重複させることはできません。また、この範囲には、今後割り当てられる ID がすべて収まる大きさを設定する必要があります。詳細は、「ID の範囲の計画」 を参照してください。

   4. Samba が AD から属性を読み取る際に RFC 2307 スキーマを使用するように設定します。

      idmap config DOMAIN : schema_mode = rfc2307

   5. Samba が、対応する AD 属性からログインシェルおよびユーザーホームディレクトリーのパスを読み取るようにする場合は、以下を設定します。

      idmap config DOMAIN : unix_nss_info = yes

      または、すべてのユーザーに適用される、ドメイン全体のホームディレクトリーのパスおよびログインシェルを統一して設定できます。以下に例を示します。

      template shell = /bin/bash
      template homedir = /home/%U

      変数の置換の詳細は、smb.conf(5) man ページの VARIABLE SUBSTITUTIONS セクションを参照してください。

   6. デフォルトでは、Samba は、ユーザーオブジェクトの primaryGroupID 属性を、Linux のユーザーのプライマリーグループとして使用します。または、代わりに gidNumber 属性に設定されている値を使用するように Samba を設定できます。

      idmap config DOMAIN : unix_primary_group = yes

2. /etc/samba/smb.conf ファイルを検証します。

   ~]# testparm

   詳細は、「testparm ユーティリティーを使用した smb.conf ファイルの検証」 を参照してください。

3. Samba 設定を再読み込みします。

   ~]# smbcontrol all reload-config

4. 設定が期待どおりに機能することを確認します。「オペレーティングシステムが、ドメインのユーザーアカウントおよびグループを取得できるかどうかの検証」を参照してください。

ドメインメンバー上での rid バックエンドの設定

1. /etc/samba/smb.conf ファイルの [global] セクションを編集します。

   1. デフォルトドメイン (*) に ID マッピング設定が存在しない場合は追加します。以下に例を示します。

      idmap config * : backend = tdb
      idmap config * : range = 10000-999999

      デフォルトドメインに関する詳細は 「* デフォルトドメイン」 を参照してください。

   2. ドメインの rid ID マッピングバックエンドを有効にします。

      idmap config DOMAIN : backend = rid

   3. 今後割り当てられるすべての RID が収まる大きさの範囲を設定します。以下に例を示します。

      idmap config DOMAIN : range = 2000000-2999999

      Samba は、そのドメインの RID がその範囲内にないユーザーおよびグループを無視します。

      重要

      この範囲は、このサーバーの他のドメイン設定と重複させることはできません。詳細は、「ID の範囲の計画」 を参照してください。

   4. すべてのマッピングユーザーに割り当てられるシェルおよびホームディレクトリーのパスを設定します。以下に例を示します。

      template shell = /bin/bash
      template homedir = /home/%U

      変数の置換の詳細は、smb.conf(5) man ページの VARIABLE SUBSTITUTIONS セクションを参照してください。

2. /etc/samba/smb.conf ファイルを検証します。

   ~]# testparm

   詳細は、「testparm ユーティリティーを使用した smb.conf ファイルの検証」 を参照してください。

3. Samba 設定を再読み込みします。

   ~]# smbcontrol all reload-config

4. 設定が期待どおりに機能することを確認します。「オペレーティングシステムが、ドメインのユーザーアカウントおよびグループを取得できるかどうかの検証」を参照してください。

ドメインメンバー上での autorid バックエンドの設定

1. /etc/samba/smb.conf ファイルの [global] セクションを編集します。

   1. * デフォルトドメインの autorid ID マッピングバックエンドを有効にします。

      idmap config * : backend = autorid

   2. 既存および将来の全オブジェクトに ID を割り当てられる大きさの範囲を設定します。以下に例を示します。

      idmap config * : range = 10000-999999

      Samba は、このドメインで計算した ID が範囲内にないユーザーおよびグループを無視します。バックエンドの計算された ID の詳細は、idmap_autorid(8) man ページの THE MAPPING FORMULAS セクションを参照してください。

      警告

      範囲を設定し、Samba がそれを使用して開始してからは、範囲の上限を小さくすることはできません。これ以外の範囲への変更は、新しい ID の割り当てとなり、その結果ファイルの所有権を失うことになります。

   3. 必要に応じて、範囲サイズを設定します。以下に例を示します。

      idmap config * : rangesize = 200000

      Samba は、idmap config * : range パラメーターに設定されている範囲からすべての ID を取得するまで、各ドメインのオブジェクトにこの数の連続 ID を割り当てます。詳細は、idmap_autorid(8) man ページの rangesize パラメーターの説明を参照してください。

   4. すべてのマッピングユーザーに割り当てられるシェルおよびホームディレクトリーのパスを設定します。以下に例を示します。

      template shell = /bin/bash
      template homedir = /home/%U

      変数の置換の詳細は、smb.conf(5) man ページの VARIABLE SUBSTITUTIONS セクションを参照してください。

   5. 必要に応じて、ドメイン用の ID マッピング設定を追加します。個別のドメインの設定が利用できない場合、Samba は以前に設定した * デフォルトドメインの autorid バックエンド設定を使用して ID を計算します。

      重要

      各ドメインに追加のバックエンドを設定する場合は、すべての ID マッピング設定の範囲がオーバーラップしないようにしてください。詳細は、「ID の範囲の計画」 を参照してください。

2. /etc/samba/smb.conf ファイルを検証します。

   ~]# testparm

   詳細は、「testparm ユーティリティーを使用した smb.conf ファイルの検証」 を参照してください。

3. Samba 設定を再読み込みします。

   ~]# smbcontrol all reload-config

4. 設定が期待どおりに機能することを確認します。「オペレーティングシステムが、ドメインのユーザーアカウントおよびグループを取得できるかどうかの検証」を参照してください。

POSIX ACL を使用する共有の追加

1. または、フォルダーが存在しない場合は作成します。以下に例を示します。

   ~]# mkdir -p /srv/samba/example/

2. SELinux を、enforcing モードで実行する場合は、そのディレクトリーに samba_share_t コンテキストを設定します。

   ~]# semanage fcontext -a -t samba_share_t "/srv/samba/example(/.*)?"
   ~]# restorecon -Rv /srv/samba/example/

3. ディレクトリーにファイルシステムの ACL を設定します。詳細は、「ACL の設定」 を参照してください。

4. /etc/samba/smb.conf ファイルに example 共有を追加します。たとえば、共有の write-enabled を追加するには、次のコマンドを実行します。

   [example]
   	path = /srv/samba/example/
   	read only = no

   注記

   ファイルシステムの ACL に関係なく、read only = no を設定しないと、Samba がディレクトリーを読み取り専用モードで共有します。

5. /etc/samba/smb.conf ファイルを検証します。

   ~]# testparm

   詳細は、「testparm ユーティリティーを使用した smb.conf ファイルの検証」 を参照してください。

6. firewall-cmd ユーティリティーを使用して必要なポートを開き、ファイアウォール設定を再読み込みします。

   ~]# firewall-cmd --permanent --add-service=samba
   ~]# firewall-cmd --reload

7. smb サービスを再起動します。

   ~]# systemctl restart smb

8. 必要に応じて、システムの起動時に、smb サービスが自動的に起動するようにします。

   ~]# systemctl enable smb

共有における拡張 POSIX ACL の有効化

1. /etc/samba/smb.conf ファイルの共有セクションで以下のパラメーターを有効にして、拡張 ACL の ACL 継承を有効にします。

   inherit acls = yes

   詳細は、smb.conf(5) man ページのパラメーターの説明を参照してください。

2. smb サービスを再起動します。

   ~]# systemctl restart smb

3. 必要に応じて、システムの起動時に、smb サービスが自動的に起動するようにします。

   ~]# systemctl enable smb

4. ディレクトリーの ACL を設定します。拡張 ACL の使用に関する詳細は 5章アクセス制御リスト を参照してください。

   例16.4 拡張 ACL の設定

   以下の手順は、/srv/samba/example/ ディレクトリーに対して、Domain Admins グループに読み取り、書き込み、および実行の権限、Domain Users グループに対する読み取りおよび実行の権限を設定し、その他の全員のアクセスを拒否します。

   拡張 ACL の設定

   1. ユーザーアカウントのプライマリーグループへの自動許可権限を無効にします。

      ~]# setfacl -m group::--- /srv/samba/example/
      ~]# setfacl -m default:group::--- /srv/samba/example/

      ディレクトリーのプライマリーグループは、さらに動的な CREATOR GROUP プリンシパルにマッピングされます。Samba 共有で拡張 POSIX ACL を使用すると、このプリンシパルは自動的に追加され、削除できません。

   2. ディレクトリーに権限を設定します。

      1. Domain Admins グループに読み取り、書き込み、および実行の権限を付与します。

         ~]# setfacl -m group:"DOMAIN\Domain Admins":rwx /srv/samba/example/

      2. Domain Users グループに読み取りおよび実行の権限を付与します。

         ~]# setfacl -m group:"DOMAIN\Domain Users":r-x /srv/samba/example/

      3. その他 の ACL エントリーに権限を設定し、その他の ACL エントリーに一致しないユーザーへのアクセスを拒否します。

         ~]# setfacl -R -m other::--- /srv/samba/example/

         この設定は、このディレクトリーにのみ適用されます。Windows では、これらの ACL は このフォルダーのみ のモードにマッピングされます。

   3. 前の手順で設定した権限を、このディレクトリーに作成した新規ファイルシステムのオブジェクトから継承できるようにするには、以下のコマンドを実行します。

      ~]# setfacl -m default:group:"DOMAIN\Domain Admins":rwx /srv/samba/example/
      ~]# setfacl -m default:group:"DOMAIN\Domain Users":r-x /srv/samba/example/
      ~]# setfacl -m default:other::--- /srv/samba/example/

      この設定では、プリンシパルの このフォルダーのみ モードが、このフォルダー、サブフォルダー、およびファイル に設定されます。

   Samba は、以前設定したパーミッションを以下の Windows ACL にマッピングします。

   プリンシパル	アクセス	適用先
   DOMAIN\Domain Admins	完全な制御	このフォルダー、サブフォルダー、およびファイル
   DOMAIN\Domain Users	読み取りおよび実行	このフォルダー、サブフォルダー、およびファイル
   Everyone [a]	なし	このフォルダー、サブフォルダー、およびファイル
   所有者 (Unix Userpass:attributes[]owner) [b]	完全な制御	このフォルダーのみ
   primary_group (Unix Userpass:attributes[]primary_group) [c]	なし	このフォルダーのみ
   CREATOR OWNER [d] [e]	完全な制御	サブフォルダーおよびファイルのみ
   CREATOR GROUP [f]	なし	サブフォルダーおよびファイルのみ
   [a] Samba は、このプリンシパルの権限を その他 の ACL エントリーからマッピングします。 [b] Samba は、ディレクトリーの所有者をこのエントリーにマッピングします。 [c] Samba は、ディレクトリーのプライマリーグループをこのエントリーにマッピングします。 [d] 新規ファイルシステムオブジェクトでは、作成者はこのプリンシパルの権限を自動的に継承します。 [e] POSIX ACL を使用する共有では、このプリンシパルの設定または削除には対応していません。 [f] 新規ファイルシステムオブジェクトの場合、作成者のプライマリーグループは、自動的にこのプリンシパルの権限を継承します。

ホストベースの共有アクセスの設定

1. /etc/samba/smb.conf における共有の設定に以下のパラメーターを追加します。

   hosts allow = 127.0.0.1 192.0.2.0/24 client1.example.com
   hosts deny = client2.example.com

2. Samba 設定を再読み込みします。

   ~]# smbcontrol all reload-config

Windows ACL を使用する共有の追加

1. または、フォルダーが存在しない場合は作成します。以下に例を示します。

   ~]# mkdir -p /srv/samba/example/

2. SELinux を、enforcing モードで実行する場合は、そのディレクトリーに samba_share_t コンテキストを設定します。

   ~]# semanage fcontext -a -t samba_share_t "/srv/samba/example(/.*)?"
   ~]# restorecon -Rv /srv/samba/example/

3. /etc/samba/smb.conf ファイルに example 共有を追加します。たとえば、共有の write-enabled を追加するには、次のコマンドを実行します。

   [example]
   	path = /srv/samba/example/
   	read only = no

   注記

   ファイルシステムの ACL に関係なく、read only = no を設定しないと、Samba がディレクトリーを読み取り専用モードで共有します。

4. すべての共有の [global] セクションで Windows ACL サポートを有効にしていない場合は、以下のパラメーターを [example] セクションに追加して、この共有に対してこの機能を有効にします。

   vfs objects = acl_xattr
   map acl inherit = yes
   store dos attributes = yes

5. /etc/samba/smb.conf ファイルを検証します。

   ~]# testparm

   詳細は、「testparm ユーティリティーを使用した smb.conf ファイルの検証」 を参照してください。

6. firewall-cmd ユーティリティーを使用して必要なポートを開き、ファイアウォール設定を再読み込みします。

   ~]# firewall-cmd --permanent --add-service=samba
   ~]# firewall-cmd --reload

7. smb サービスを再起動します。

   ~]# systemctl restart smb

8. 必要に応じて、システムの起動時に、smb サービスが自動的に起動するようにします。

   ~]# systemctl enable smb

ユーザー共有の有効化

1. ローカルの example グループが存在しない場合は作成します。

   ~]# groupadd example

2. ユーザー共有の定義を保存し、その権限を正しく設定するために、Samba 用のディレクトリーを準備します。以下に例を示します。

   1. ディレクトリーを作成します。

      ~]# mkdir -p /var/lib/samba/usershares/

   2. example グループの書き込み権限を設定します。

      ~]# chgrp example /var/lib/samba/usershares/
      ~]# chmod 1770 /var/lib/samba/usershares/

      このディレクトリーの他のユーザーが保存したファイルの名前変更や削除を禁止するように sticky ビットを設定します。

3. /etc/samba/smb.conf ファイルを編集し、以下を [global] セクションに追加します。

   1. ユーザー共有の定義を保存するように設定したディレクトリーのパスを設定します。以下に例を示します。

      usershare path = /var/lib/samba/usershares/

   2. このサーバーで Samba を作成できるユーザー共有の数を設定します。以下に例を示します。

      usershare max shares = 100

      usershare max shares パラメーターにデフォルトの 0 を使用すると、ユーザー共有が無効になります。

   3. 必要に応じて、ディレクトリーの絶対パスのリストを設定します。たとえば、Samba が /data および /srv ディレクトリーのサブディレクトリーの共有のみを許可するように設定するには、以下を設定します。

      usershare prefix allow list = /data /srv

      設定可能なユーザー共有関連のパラメーターのリストは、man ページの smb.conf(5) の USERSHARES セクションを参照してください。

4. /etc/samba/smb.conf ファイルを検証します。

   ~]# testparm

   詳細は、「testparm ユーティリティーを使用した smb.conf ファイルの検証」 を参照してください。

5. Samba 設定を再読み込みします。

   ~]# smbcontrol all reload-config

print$ 共有の設定

1. [print$] セクションを /etc/samba/smb.conf ファイルに追加します。

   [print$]
   	path = /var/lib/samba/drivers/
   	read only = no
   	write list = @printadmin
   	force group = @printadmin
   	create mask = 0664
   	directory mask = 2775

   以下の設定を使用します。

   • printadmin グループのメンバーだけがプリンタードライバーを共有にアップロードできます。
   • 新規に作成されたファイルおよびディレクトリーのグループは printadmin に設定されます。
   • 新規ファイルの権限は 664 に設定されます。
   • 新しいディレクトリーの権限は、2775 に設定されます。

2. プリンターの 64 ビットドライバーのみをアップロードするには、/etc/samba/smb.conf ファイルの [global] セクションにこの設定を含めます。

   spoolss: architecture = Windows x64

   この設定がないと、少なくとも 32 ビットバージョンでアップロードしたドライバーのみが表示されます。

3. /etc/samba/smb.conf ファイルを検証します。

   ~]# testparm

   詳細は、「testparm ユーティリティーを使用した smb.conf ファイルの検証」 を参照してください。

4. Samba 設定を再読み込みします。

   ~]# smbcontrol all reload-config

5. printadmin グループが存在しない場合は作成します。

   ~]# groupadd printadmin

6. SePrintOperatorPrivilege 権限を、printadmin グループに付与します。

   ~]# net rpc rights grant "printadmin" SePrintOperatorPrivilege \
       -U "DOMAIN\administrator"
   Enter DOMAIN\administrator's password:
   Successfully granted rights.

   詳細は、「ユーザーがドライバーをアップロードおよび事前設定できるようにする」. を参照してください。

7. SELinux を、enforcing モードで実行する場合は、そのディレクトリーに samba_share_t コンテキストを設定します。

   ~]# semanage fcontext -a -t samba_share_t "/var/lib/samba/drivers(/.*)?"
   ~]# restorecon -Rv /var/lib/samba/drivers/

8. /var/lib/samba/drivers/ ディレクトリーに権限を設定します。

   • POSIX ACL を使用する場合は、以下を設定します。

     ~]# chgrp -R "printadmin" /var/lib/samba/drivers/
     ~]# chmod -R 2775 /var/lib/samba/drivers/

   • Windows ACL を使用する場合は、以下を設定します。

     プリンシパル	アクセス	適用先
     CREATOR OWNER	完全な制御	サブフォルダーおよびファイルのみ
     認証されたユーザー	読み取りおよび実行、フォルダーのコンテンツのリスト表示、読み取り	このフォルダー、サブフォルダー、およびファイル
     printadmin	完全な制御	このフォルダー、サブフォルダー、およびファイル

     Windows での ACL 設定に関する詳細は、Windows ドキュメントを参照してください。

クライアントが Samba プリントサーバーを信頼できるようにする GPO の作成

1. AD ドメインの 管理者 ユーザーなど、グループポリシーの編集が可能なアカウントを使用して、Windows コンピューターにログインします。
2. Group Policy Management を開きます。

3. AD ドメインを右クリックし、Create a GPO in this domain, and Link it here を選択します。

   
4. Legacy Printer Driver Policy などの GPO の名前を入力して、OK をクリックします。新しい GPO がドメインエントリーの下に表示されます。
5. 新たに作成した GPO を右クリックして Edit を選択し、Group Policy Management Editor を開きます。

6. Computer Configuration → Policies → Administrative Templates → Printers の順にクリックします。

   

7. ウィンドウの右側で、Point and Print Restriction をダブルクリックして、ポリシーを編集します。

   1. ポリシーを有効にし、以下のオプションを設定します。

      1. Users can only point and print to these servers を選択し、このオプションの横にあるフィールドに、Samba プリントサーバーの完全修飾ドメイン名 (FQDN) を入力します。

      2. Security Prompts の両チェックボックスで、Do not show warning or elevation prompt を選択します。

         
   2. OK をクリックします。

8. Package Point and Print - Approved servers をダブルクリックして、ポリシーを編集します。

   1. ポリシーを有効にして、Show ボタンをクリックします。

   2. Samba プリントサーバーの FQDN を入力します。

      
   3. OK をクリックして、Show Contents とポリシープロパティーウィンドウの両方を閉じます。
9. Group Policy Management Editor を閉じます。
10. Group Policy Management を閉じます。

net コマンドを使用したドメインへの参加

1. 以下の設定で /etc/samba/smb.conf ファイルを手動で作成します。

   • AD ドメインメンバーの場合:

     [global]
     workgroup = domain_name
     security = ads
     passdb backend = tdbsam
     realm = AD_REALM

   • NT4 ドメインメンバーの場合:

     [global]
     workgroup = domain_name
     security = user
     passdb backend = tdbsam

2. デフォルトドメインの *、および参加するドメインの ID マッピング設定を /etc/samba/smb.conf の [global] セクションに追加します。詳細は、「ID マッピングについて」 を参照してください。

3. /etc/samba/smb.conf ファイルを検証します。

   ~]# testparm

   詳細は、「testparm ユーティリティーを使用した smb.conf ファイルの検証」 を参照してください。

4. ドメイン管理者としてドメインに参加します。

   • AD ドメインに参加するには、以下のコマンドを実行します。

     ~]# net ads join -U "DOMAINpass:quotes[administrator]"

   • NT4 ドメインに参加するには、以下のコマンドを実行します。

     ~]# net rpc join -U "DOMAINpass:quotes[administrator]"

5. /etc/nsswitch.conf ファイルのデータベースエントリー passwd および group に winbind ソースを追加します。

   passwd:   files winbind
   group:   files winbind

6. winbind サービスを有効にして起動します。

   ~]# systemctl enable winbind
   ~]# systemctl start winbind

7. オプションで、authconf ユーティリティーを使用して PAM を設定します。

   詳細は、Red Hat System-Level Authentication Guide の PAM (プラグ可能な認証モジュール) の使用セクションを参照してください。

8. AD 環境では、必要に応じて Kerberos クライアントを設定します。

   詳細は Red Hat システムレベルの認証ガイド の Configuring a Kerberos Client セクションを参照してください。

ユーザーアカウントのドメインへの追加

1. 以下のアカウントを追加します。

   ~]# net user add user password -U "DOMAIN\administrator"
   User user added

2. 必要に応じて、リモートプロシージャコール (RPC) シェルを使用して、AD DC または NT4 PDC でアカウントを有効にします。以下に例を示します。

   ~]# net rpc shell -U DOMAIN\administrator -S DC_or_PDC_name
   Talking to domain DOMAIN (S-1-5-21-1424831554-512457234-5642315751)
   
   net rpc> user edit disabled user no
   Set user's disabled flag from [yes] to [no]
   
   net rpc> exit

smbclient を使用して SMB 共有からファイルをダウンロード

1. 共有に接続します。

   ~]# smbclient -U "DOMAINpass:quotes[user_name]" //server_name/share_name

2. /example/ ディレクトリーに移動します。

   smb: \> cd /example/

3. ディレクトリー内のファイルをリスト表示します。

   smb: \example\> ls
    .          D     0 Mon Sep 1 10:00:00 2017
    ..          D     0 Mon Sep 1 10:00:00 2017
    example.txt     N  1048576 Mon Sep 1 10:00:00 2017
   
        9950208 blocks of size 1024. 8247144 blocks available

4. example.txt ファイルをダウンロードします。

   smb: \example\> get example.txt
   getting file \directory\subdirectory\example.txt of size 1048576 as example.txt (511975,0 KiloBytes/sec) (average 170666,7 KiloBytes/sec)

5. 共有から切断します。

   smb: \example\> exit