Open Source Solution Technology

OSSを活用したシステム認証基盤構築のノウハウ
Samba/LDAPによるWindowsドメイン管理権限の分離と委譲

オープンソース・ソリューション・テクノロジ株式会社
代表取締役 チーフアーキテクト
小田切耕司

1OpenAll
SourceSolution
Technology Copyright.
Copyright © 2006 Open Source Solution Technology CorporationRights
Reserved.

会社概要
会社名
英語表記
社名略称

業務内容

オープンソース・ソリューション・テクノロジ株式会社
Open Source Solution Technology Corporation
OSSTech（オー・エス・エス・テック）またはOSSテクノロジ
ソフトウエアの企画、開発、販売およびメンテナンス
ソフトウエアおよびシステムの導入に関するコンサルティング
ソフトウエアに関する教育、研修、支援
ソフトウエア関連の出版業務
前各号に付帯関連する一切の業務

代表取締役
小田切 耕司技術取締役
武田 保真〒141-0031 東京都品川区西五反田２-６-３ 東洋ビル
オフィスTel & FAX : 03-6670-5764
Webページ http://www.osstech.co.jp/
設立
２００６年９月
資本金８００万円
Linuxコンソーシアム理事
所属団体等 社団法人コンピュータソフトウェア協会（CSAJ）
オープンソースソフトウェア協会
役 員

Open
SourceTechnology
Solution Technology
Copyright.
Copyright © 2006 Open SourceSolution
CorporationAll Rights Reserved.

-2-講師の最近著作紹介

技術評論社 Software Design 2006年7月号


2006年5月 翔泳社 開発の現場 vol.005








巻頭企画
［新規／移行］LDAPディレクトリサービス導入計画
http://www.gihyo.co.jp/magazines/ldap-se

2006年5月 IDG月刊Windows Server World 2006年3月、4月号


オープンソース案件指南帖
総論編：オープンソースの基礎知識
http://www.shoeisha.com/mag/kaihatsu/

2006年5月 技術評論社 LDAP Super Expertネットワーク運用／管理 五輪書（ごりんのしょ）「壱：地の巻」Sambaファイルサーバ
http://www.gihyo.co.jp/magazines/SD/contents/200607

3月号：Shall we Samba?【お手軽導入編】
4月号：Shall We Samba? 【超本格運用編】

2005年10月 日経BP社 セキュアなSambaサーバの作り方


http://itpro.nikkeibp.co.jp/linux/extra/mook/mook12/index.shtml

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-3-

セキュリティと認証
 個人情報保護法や内部統制など企業システムのセキュリティを見直したり、強化する動き セキュリティの基本はアクセス制御–

誰がどんなリソースをアクセスできるのか、定義し制御する。

 アクセス制御をちゃんとするにはユーザ認証が基本
 Windows Active Directoryを使って認証しているユーザは大変多いがユーザ数に比例してライセンス料が必要
 ユーザ認証の重要性は誰もが気付いているが、それを見直す際にOSSを使おうという意識はまだ低い

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-4-

皆さんの周りにある認証が必要なシステム
 ほとんどのシステムはユーザ名とパスワードによる認証

メールサーバ➢ ファイルサーバ➢ Webサーバ➢ Web Proxy➢ FTPサーバ➢SSH➢ TELNET➢ SCP➢ 業務システム➢ これらのパスワードがすべて違うと不便！

しかし、すべて同じで変更も１度ですべて同期して行われたらとっても便利！
 認証基盤を統合すればそれが可能になる！

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-5-

OSSを使った認証基盤の構築
 OSSだからこその親和性

OSSのSambaとOpenLDAPを使ってUnix/ Linux/Windows/ Mac Osの統合認証が可能になる。
 クライアントに比例するCAL（クライアントアクセスライセンス）を不要にすることで、コストを大幅に削減することができる。
 導入コストだけでなく、運用コストの削減
ユーザ管理の一元化と分散管理 内部統制とセキュリティの強化

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-6-

OSSを使った認証基盤構築への課題
 既存のNTドメイン、ADドメインをどうするか？

移行できるのか？
 既存のWindowsドメインを統合できないか？
 NISやNIS+をLDAPへ移行できるのか？
 信頼性はあるのか？
 スケーラビリティはどうやって確保するのか？
 OSSの認証基盤は誰がサポートしてくれるのか？

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-7-

SambaによるWindowsドメインの移行
 Samba 3.0から可能になったvampire（吸血鬼）機能やnetshare migarete機能により、単一のWindowsドメインを移行するのは（Samba.2.2に比べれば）比較的簡単にできるようになりました。
 Windowsから自動移行可能なドメイン・リソース
ユーザ／グループ情報– 共有情報、共有設定– 共有データ– ACLも移行できるが完全互換でないため事前調査は重要– Sambaを使うとWindowsだけでなく、Unix,Linux,業務アプリの認証統合が可能になる。

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-8-

WindowsからSambaへの移行

Windows NT/2000/2003

ユーザ情報グループ情報

共有データ
ACL付

移 行

Net rpc vampire
機能で移行

Net share migrate
もしくはxcopy /O /SSamba 3.0

ユーザ情報
グループ情報共有データ
ACL付

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-9-最近は複数システムの統合が増える
 内部統制の強化や個人情報漏洩問題からセキュリティを強化する方向 情報システム部が知らないWindowsドメインの乱立 使われていないユーザアカウントの放置 安易なパスワード、長期間変更されないパスワード

複数ドメインを単一ドメインへ統合➔ユーザアカウントの厳密な管理➔システムポリシーの強化➔

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-10-ドメイン統合の問題点
 既存のNTドメインをAD(Active Directory)へ移行するのは容易ではない。
→再設計になるのでSambaに移行しても手間暇はあまりかわらない NTからADにするとCAL（クライアント・アクセス・ライセンス）を買い直さないといけないケースが発生する。
（違法コピーの発覚）
 SambaとOpenLDAPで認証統合、ドメイン統合をやりたいと思ってもどうやるか解らない。事例が少ない。

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-11-

vampireと手作業による移行
Sambaによる新規ドメイン

Windows NT4.0

NTドメインを移行

ドメイン信頼関係も移行

共有プリンタ

ユーザ情報

共有データ

共有プリンタNTドメイン２

ユーザ情報

共有データ

NTドメイン３

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-12-Samba3.0のドメイン機能はNT4.0互換らしいが、Active Directoryのフォレストのような分散管理はできないか？
管理の分散と権限委譲– 一つのドメインの下に複数の部門が存在– 部門にはそれぞれの管理者が存在し、自分の部門だけのユーザ、共有フォルダを管理したい– 他部門のユーザや共有フォルダに関して設定変更できないようにしたい

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-13-

SambaとLDAPを使ったドメイン統合方式●

一つのベースサフィックスの下に複数のOU（組織単位）を持ったDITを作成。既存のNTドメインをひとつのOUに対応させる。Sambaドメインは単一にする➔

ADと一番近い形

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-14-

LDAPのOUツリーを使うことで分散管理を実現

統合認証と権限委譲
 以下のような例をあげて実現できる機能を説明します 想定環境ドメイン名：OSSTECH
部門：ドメインの下に以下の３つの部門が存在– SALES：営業部門– MKTG：マーケティング部門– TECH：技術部門

管理者– ドメインの管理者：Administrator– SALESの管理者： salesadmin– MKTGの管理者： mktgsadmin– TECHの管理者： techadmin

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-15-

統合前のWindowsドメイン イメージ

移 行

TECHドメイン

SALESドメイン

ドメイン統合ユーザ情報
グループ情報odagiri

ユーザ情報
グループ情報

satoh

satoh

共有データ
ACL付

takeda

共有データ
ACL付

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-16-

単一ベースサフィックス、単一ドメイン方式
base=”dc=osstech,dc=co,dc=jp”

Sambaドメイン=OSSTECH

ou=Users
ou=techuid=odagiri
uid=satoh1

ou=salesuid=takeda
uid=satoh2

ou=Groups
Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-17-ディレクトリ構造
 ディレクトリサービ

スLDAPの中に構築されるディレ
クトリ構造は図のように階層構造になります

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-18-

ドメイン管理者によるユーザマネージャ画面


ドメインの管理者Administratorはドメイン全体の管理ができます

ドメインに存在する全ユーザ／グループが参照できます 設定変更およびグループ追加は可能ですが、部門へのユーザ追加はできません

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-19-

部門管理者によるユーザマネージャ画面
部門の管理者は自部門のユーザ管理、共有管理ができます

グループ追加および自部門へユーザ登録、設定変更が可能です
他部門のユーザは見ることができません
グループに関して、ドメインに存在する全グループが参照できますが、グループに所属する他部門のユーザは見ることができませんCopyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-20-

部門間でのユーザ移動

ドメイン管理者Administratorが部門間のユーザ移動が可能です
操作はWindowsのユーザマネージャではなく、LDAP Editorを使って行います（LDAP Editorはフリーのプログラムです。http://www-unix.mcs.anl.gov/~gawor/ldap/ ）

ユーザをクリックして、別部門のOUにドラッグします 所属するグループは変更されないので、ユーザマネージャで所属グループは変更ください

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-21-

システム構成図(１)A),B),C)どのケースでもLDAPサーバは１台でも良い。（スレーブサーバは必要）
A),B)のケースでSambaサーバは、ドメインの数だけあれば良いが１台でも構わない。
（規模が大きい場合や信頼性が必要な場合はBDCも用意する）
LDAPサーバ
LDAPマスター

複製

LDAPスレーブ参照
参照

TECHドメイン参照

Sambaサーバ
PDC

BDC

SALESドメイン
PDC

BDC

Windowsクライアント

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-22-

システム構成図(２)マスターLDAPサーバを１台だけにし、Sambaサーバの上でLDAPスレーブを動かす構成
Sambaサーバは、ドメインの数だけあれば良いが１台でも構わない。
（規模が大きい場合や信頼性が必要な場合はBDCも用意する）
LDAPサーバ
LDAPマスター
複製

複製

Sambaサーバ
LDAPスレーブ

TECHドメインPDC

BDC

SALESドメイン
PDC

BDC

Windowsクライアント

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-23-

システム構成図(３)C)の場合、マスターLDAPサーバを１台だけにし、Sambaサーバの上でLDAPスレーブを動かす構成が可能
Sambaサーバは、OUの数だけあれば良いが１台でも構わない。
（規模が大きい場合や信頼性が必要な場合はBDCも用意する）
LDAPサーバ
LDAPマスター
複製

OU=TECH
PDC

複製

Sambaサーバ
LDAPスレーブ

OU=SALES
BDC

Windowsクライアント

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-24-

システム構成図(４)C)の場合、マスターLDAPサーバとPDCを１台用意し、もう一台のSambaサーバの上でLDAPスレーブとBDCを動かす構成が可能
Sambaサーバは、OUの数だけあれば良いが１台でも構わない。
（規模が大きい場合や信頼性が必要な場合はBDCも用意する）

LDAPマスター

LDAPスレーブ
複製

OU=TECH
PDC

Sambaサーバ
LDAPサーバOU=SALES
BDC

Windowsクライアント

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-25-実際の移行作業
 Vampireだけでは複数ドメイン統合は難しい。
 Pwdumpを使ってWindowsドメイン情報を取り出してスクリプトを使ってLDAPに投入するのが現実的

ドメイン統合は弊社へご相談ください。

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-26-

オンサイトWindows移行Samba/LDAP導入サービス
オンサイト・サービス：標準価格１６０万円（税込み１６８万円）


弊社エンジニアがお客様のところに出向きWindowsをLinuxへ移行します。
– ２台のマシンにLinux,Samba,LDAPサーバを導入します。
– LinuxはRed Hat, CentOS, MIRACLE LINUX, Debian が標準となります。
–––––––LINUX以外の場合はご相談ください

１台をWindowsプライマリドメインコントローラ、LDAPマスタサーバとして設定し、もう一台をWindowsバックアップドメインコントローラ、LDAPスレーブサーバとして設定します。
既存のWindowsドメイン環境からパスワードを含むユーザ情報やグループ情報をそのままLinuxのファイルサーバへ移行できます。
既存の共有フォルダや共有プリンタを移行します。
お客様の要望により、既存のWindowsドメインとの信頼関係も設定します。
お客様からのコンサルティング申込後、設定パラメータをメールでヒアリングします。
環境パラメータが決定したら現地での作業は１～２日で完了します。
関東圏（東京、神奈川、埼玉、千葉）以外の場合、交通費・宿泊費を頂く場合があります。
台数が２台以外の場合や条件が異なる場合はご相談ください。

OpenSourceTechnology
Solution Technology
Copyright.
Copyright © 2006 Open Source
SolutionCorporation
All Rights Reserved.

-27-

Samba/OpenLDAP保守サービス内容
サービスの種類価格

拡張サービスサービスの内容

Sambaのみ24万円/ｻｲﾄ･年
Sambaサーバ運用に関する問い合わせ対応。
LDAPのみ 24万円/ｻｲﾄ･年
対応時間帯：営業日の９時～１７時
Samba+LDAP 36万円/ｻｲﾄ･年問い合わせ対応○

Sambaサーバ運用に関する問い合わせ対応。
対応時間帯：営業日の９時～１７時

パッチの問い合わせ○

コミュニティやディストリビュータから提供されている既存パッチに関する問い合わせ対応。

発生現象の確認・調査○

発生現象の確認と、過去に発生した障害の調査。

メッセージの調査
障
coreダンプの調査
害調 再現環境の構築・評価
査○

Sambaサーバが出力する各種ログの調査。

○

Sambaが出力したcoreファイルの調査。

○

再現環境構築、評価。

○

新規障害判明時、コミュニティに対する障害報告と対応の働きかけを行う。
ただし、本サービスは障害解決を保証するものではない。

コミュニティへのフィードバック
データの保障・復旧

コンサルティング・サービスで対応

ユーザデータの保障・復旧作業。

パフォーマンス分析・
チューニングコンサルティング・サービスで対応

Sambaサーバの性能情報収集、分析、チューニング作業。

パッチ作成○Windowsドメインからの移行

コンサルティング・サービスで対応

既存のWindowsNTドメイン環境をクライアント側設定変更なし（ユーザやマシンの再登録なしで）にSamba環境へ移行します。

運用フェーズ前のサポート

コンサルティング・サービスで対応

システム設計、構築、性能チューニング、評価フェーズのサポート。

パッチ作成・適用。

Open
SourceTechnology
Solution Technology
Copyright.
Copyright © 2006 Open Source
Solution
Corporation
All Rights Reserved.

-28-

製品パッケージの提供サービス
 Red Hat , Fedora Coreを初めとするLinuxディストリビューシ

ョンには最初からSambaやOpenLDAPが同梱されていますが、日本語対応パッチや国際化対応パッチ、日本語ドキュメントが不足している場合があります。
 UNIX/Linuxの上でSambaとLDAPでドメインコントローラを構築するためのツールSmbldap-toolsやLAM(LDAP
Account Manager), Webmin,UserminなどのOSSパッケージが足りないこともあります。（特に商用UNIX系）
 これらをすべて製品パッケージとして提供します。
 対応OSは商用Linuxだけでなく、SolarisやDebian,CentOS,FreeBSD,Windowsなどにも提供します。
OpenSourceTechnology
Solution Technology
Copyright.
Copyright © 2006 Open SourceSolutionCorporationAll Rights Reserved.

-29-

提供予定教育コンテンツ一覧
Samba+LDAPによるWindowsファイルサーバおよびドメインコントローラの構築–––LinuxによるWindowsファイルサーバの構築方法
LinuxによるWindowsドメインの構築方法
LDAPによるLinux/Unix/Windows/Mac認証統合

ディレクトリサービス（LDAP)の導入と運用
–
–
–
–
–

LDAP概論、DITの概要と設計
スキーマの利用方法と設計
LDAPの導入とDITの構築
データ投入とデータの管理／操作
LDAP運用管理

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-30-紹介した弊社のサービスは直接お客様に弊社から提供させて頂こことも可能ですし、システムインテグレータの方々を通して提供することも可能です。
【お問い合わせ先】
オープンソース・ソリューション・テクノロジ株式会社

http://www.osstech.co.jp

Open
SourceTechnology
Solution Technology
Copyright.
Copyright © 2006 Open SourceSolutionCorporation
All Rights Reserved.

-31-