ldapでLinux、Win混在環境で一元管理

質問

サーバはcentOS6.3です。

クライアントに、
・CentOS6.3が10台
・Windows7が　10台
あります。

これをLDAPでユーザを一元管理したいと考えています。
当初は下記構成で構築しようとしたのですが、無理だということを知りました。

<構成1>
クライアント(CentOS)　→　OpenLDAP(CentOSサーバ)
クライアントWindows7ーーーーーー↑

下記構成で、WindowsはSambaサーバを中継すると、
Linux、Windowsクライアントのユーザの一元管理ができるのでしょうか？

<構成2>
クライアント(CentOS)　→　OpenLDAP(CentOSサーバ)
　　　　　　　　　　　　　　　　　　　　　↑
クライアントWindows7ーーー→Samabaーーー｜

WindowsとLinuxクライアントが混在する環境で、
ユーザの一元管理はできるのでしょうか？

ご教授お願いします。

回答No.3

quatercask · ベストアンサー

redhat系でsamba4のアクティブディレクトリ（以下AD）を丁度構築してます
希望は実現可能だと思いますが結構面倒です
諸般の事情でFedoraですがCentOSでもやる事は多分変わらないです
kerberosとADの面倒も見ないといけないので、あっちを調べ、こっちをググり、日本語の情報だけでは足りませんでした
構成としては認証サーバーをsamba ADで構成してwindowsクライアントはドメインに参加して終わり
centosクライアントはauthconfigでADに内蔵のldapに接続するかwinbindd経由でドメインに参加するか設定して認証になると思います。samba4adでNISって出来るのか試してません

ADサーバー(centos)　←　windowsクライアント（ドメイン参加）
　　↑
winbinddかldap(AD内蔵)　←　centosクライアント (pam.winbind/pam.ldap)

私はwinbind経由で一応sambaが動作しwin, osx, linxuのNASがドメインに参加しドメインのユーザーでログインするところまで来ました
今はNFSとsambaでファイルサーバー上のホームを引っ張る設定を調整中、adサーバーは認証のみでファイルサーバーは別のsambaメンバーサーバーにやらせる方針です
adサーバのsmb.conf弄ってこけるとログイン周りが全滅しそうなので、よほど習熟するまでは出来るだけ分けておきたいだけです

最低限必要な手順
centos公式配布のパッケージでは動かない（意図的に機能が殺してある）のでソースパッケージを入手して設定を変更しリビルドが必要
その際ビルド時のみ必要なパッケージが結構あるのでビルド専用の環境と実行テスト環境は分けるかmockでのビルドが必要、分けておかないと後述の理由で実行専用環境で動かない時に原因が判らない
公式配布のbindだとad連携に問題が有るのでコンパイルオプションを修正してリビルドして入れ替えが必要、詳細はsamba wiki参照
公式配布のsamba-dcのrpmは中身が空なのでsamba-{version}.src.rpmのspecfileをコメントに従って変更してリビルドしてインストールする
tdb, ldb辺りの依存関係に抜けがあるので調べて追加でパッケージをインストールするか依存関係を修正してリビルドしパッケージの入れ替えをしないと変なエラーがでる
基本的にsamba4adはddns推奨らしい（とどこかに書いてあった）のでdhcp周りを整備する
samba-toolでドメインを構成する
ドメインにユーザー/グループを追加する
コンピューターをドメインに参加させる
ドメインのユーザーで各コンピューターからログインできるか検証する
ネットワーク上のサービスに関する設定をする
という感じでしょうか

巷の「入れてみた」では面倒なのかパッケージ管理から外してしまってますね
サーバーにコンパイラから何から入っているならそれも有りですが、そうでないならきちんとパッケージにしておかないと却って面倒です

運用上ではリビルドしたものは勝手にアップデートされると拙いのでライブラリ類を含め公式リポジトリのアップデート対象から除外が必要です
但しクライアントが10台位いるし、できれば専用でローカルアップデートリポジトリを作ってsamba関連以外はmirrorする方が望ましいです
samba本体とdns、dhcpはconfigureオプションの変更とスクリプトの追加ぐらいだと思うのでspecfileに対するパッチを作ってローカルのリポジトリでアップデート管理をできるようにしてしまう方が後が楽です
テスト用に実機一台にkvmでクライアントを使うOSの種類分だけ確保は必須だと思います
いきなり本番環境とか私には絶対無理でした、その辺はリソースの問題もあるので何とも言えませんが、当分セキュリティアップデートごとにビルドが必要なのでローカルネット用のアップデートサーバー兼用で確保するとかを検討すべきです
クライアント20台程度なら、認証専用にしてsamba-ad、dns、dhcp位ならraspberry pi程度の能力でも十分です
もっともビルドにそれなりに（bindで3時間位）時間が掛かるのでraspberry piは勧めませんが

お礼

詳細な情報ありがとうございます。

参考にさせていただき、いろいろやってみましたが、中々上手くいきません。
事細かな情報ありがとうございました。

回答No.2

Wr5

ActiveDirectory構成に切り替えたいところなんですけどねぇ…。

ウチではopenldapにアカウント登録して、samba3でドメイン構築して使ってます。
検索すればたっぷり出てくるでしょう。
動作しているLinuxサーバ3台はldapに登録してあるアカウントでログインしていますし、
Windowsクライアントもsamba経由で認証しています。
Windows7とWindows8.1のデュアルブートですが…sambaでそれぞれ認証するために異なるローカルIPアドレスを設定しています。
# 同一IPだと片方がドメインに参加するともう片方が蹴られる。
# PC名変えただけではダメでした。

samba4にしてAD構築…かなぁ。
# Debianサーバを6.0.xから7.xに換えたいところですな…。

なお、それぞれのLinuxサーバにはldap接続失敗時のメンテ用にローカルアカウントも作成してあります。
# uidやgidに注意は必要ですが。
というか、3台中の1台がマスターで残りの2台はスレーブとして構築してあるし、それぞれ同期するようにしてありますので接続失敗にはまずなりませんけどね。
# インストール時に作成する最初のローカルアカウントを管理用にしているだけ。

http://www.atmarkit.co.jp/ait/articles/0207/27/news001.html
とか。
う～ん……古い記事だなぁ……。
まぁldapとsamba構築のネタなら他にも見つかるでしょう。

お礼

情報ありがとうございます。

やはり、一筋縄にはいかないようですね。
ありがとうございました。

回答No.1

notnot

LDAPをマスターにしてその下にWindowsをぶら下げてユーザーを一元管理するのは困難です。

普通は、WindowsServerでADを作ってそれをユーザー管理のマスターにし、その下にWindowsとその他LDAPクライアントをぶら下げるようです。
WindowsServerでなくてもLinux+sambaでもADを作れるのでそれでも良いはず。

「AD LDAP 連携」と、「samba AD」 でそれぞれ検索してください。

お礼

結構複雑そうですね。
情報ありがとうございました。