Open Source Solution Technology

Samba/LDAPによる既存複数Windowsドメインの統合とその方式比較
オープンソース・ソリューション・テクノロジ株式会社
代表取締役 チーフアーキテクト
小田切耕司
odagiri@osstech.co.jp
Shall we Samba ? : http://blog.odagiri.org/

1OpenAll
SourceSolution
Technology Copyright.
Copyright © 2006 Open Source Solution Technology CorporationRights
Reserved.

講師の著作紹介

技術評論社 Software Design 2006年7月号


2006年5月 翔泳社 開発の現場 vol.005









巻頭企画
［新規／移行］LDAPディレクトリサービス導入計画
http://www.gihyo.co.jp/magazines/ldap-se

2006年5月 IDG月刊Windows Server World 2006年3月、4月号


オープンソース案件指南帖
総論編：オープンソースの基礎知識
http://www.shoeisha.com/mag/kaihatsu/

2006年5月 技術評論社 LDAP Super Expert

ネットワーク運用／管理 五輪書（ごりんのしょ）「壱：地の巻」Sambaファイルサーバ
http://www.gihyo.co.jp/magazines/SD/contents/200607

3月号：Shall we Samba?【お手軽導入編】
4月号：Shall We Samba? 【超本格運用編】

2005年10月 日経BP社 セキュアなSambaサーバの作り方


http://itpro.nikkeibp.co.jp/linux/extra/mook/mook12/index.shtml

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-2-

SambaによるWindowsドメインの移行
 Samba 3.0から可能になったvampire（吸血鬼）機能やnetshare migarete機能により、単一のWindowsドメインを移行するのは（Samba.2.2に比べれば）比較的簡単にできるようになりました。
 Windowsから自動移行可能なドメイン・リソース
ユーザ／グループ情報– 共有情報、共有設定– 共有データ– ACLも移行できるが完全互換でないため事前調査は重要–

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-3-

WindowsからSambaへの移行

Windows NT/2000/2003

ユーザ情報グループ情報

共有データ
ACL付

移 行

Net rpc vampire
機能で移行

Net share migrate
もしくはxcopy /O /SSamba 3.0

ユーザ情報
グループ情報共有データ
ACL付

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-4-自動では難しいが手動で移行できるもの


システムポリシー–アカウントポリシー–

デスクトップやメニューなどに関するセキュリティポリシーを設定
パスワード履歴や有効期限

ユーザマネージャ（vampireでは移行可能）–

ログオンできる時間帯やワークステーションを制限

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-5-

ファイル／フォルダのアクセス権の移行
ACLは完全に移行できないケースがあるので、事前調査が重要

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-6-

VSS（ボリューム・シャドウ・コピー・サービス） 「以前のバージョン」からファイルを復元可能（→右図）

 Kernel 2.4まではLVM+XFSが必要

 Kernel 2.6からはLVM2のみで構築可能。ext3でも利用可能。

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-7-

最近は複数システムの統合が増える
 内部統制の強化や個人情報漏洩問題からセキュリティを強化する方向 情報システム部が知らないWindowsドメインの乱立 使われていないユーザアカウントの放置 安易なパスワード、長期間変更されないパスワード

複数ドメインを単一ドメインへ統合➔ユーザアカウントの厳密な管理➔システムポリシーの強化➔

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-8-

ドメイン統合の問題点
 既存のNTドメインをAD(Active Directory)へ移行するのは容易ではない。
→再設計になるのでSambaに移行しても手間暇はあまりかわらない NTからADにするとCAL（クライアント・アクセス・ライセンス）を買い直さないといけないケースが発生する。
（違法コピーの発覚）
 SambaとOpenLDAPで認証統合、ドメイン統合をやりたいと思ってもどうやるか解らない。事例が少ない。

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-9-

vampireと手作業による移行
Sambaによる新規ドメイン

Windows NT4.0

NTドメインを移行

ドメイン信頼関係も移行

共有プリンタ

ユーザ情報

共有データ

共有プリンタNTドメイン２

ユーザ情報

共有データ

NTドメイン３

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-10-SambaとLDAPを使ったドメイン統合方式
A)一つのLDAPに複数のベースサフィックス持ったDITを作成。既存のNTドメインをひとつのベースサフィックスに対応させる。Sambaドメインは複数になるので信頼関係を結ぶ。→あまり綺麗ではないが簡単な方法
B)一つのベースサフィックスの下に複数のOU（組織単位）を持ったDITを作成。既存のNTドメインをひとつのOUに対応させる。Sambaドメインは複数にし、信頼関係を結ぶ。
→業務アプリやメールサーバとの連携が可能
C)一つのベースサフィックスの下に複数のOU（組織単位）を持ったDITを作成。既存のNTドメインをひとつのOUに対応させる。Sambaドメインは単一にする→ADと一番近い形
Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-11-

統合前のWindowsドメイン イメージ

移 行

TECHドメイン

SALESドメイン

ドメイン統合ユーザ情報
グループ情報odagiri

ユーザ情報
グループ情報

satoh

satoh

共有データ
ACL付

takeda

共有データ
ACL付

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-12-A)複数ベースサフィックス、複数ドメイン方式(DIT)
base=”dc=tech,dc=osstech,dc=co,dc=jp”
ou=Users
uid=odagiri
uid=satoh
ou=Groups

Sambaドメイン=TECH

base=”dc=sales,dc=osstech,dc=co,dc=jp”
ou=Users
uid=takeda
uid=satoh
ou=Groups

Sambaドメイン=SALES

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-13-B)単一ベースサフィックス、複数ドメイン方式(DIT)
base=”dc=osstech,dc=co,dc=jp”

Sambaドメイン=TECH
ou=techou=techuid=odagiri
uid=satoh

ou=Groups

ou=Users
ou=salesuid=takeda

ou=salesuid=satoh

Sambaドメイン=SALES
Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-14-C)単一ベースサフィックス、単一ドメイン方式
base=”dc=osstech,dc=co,dc=jp”

Sambaドメイン=OSSTECH

ou=Users
ou=techuid=odagiri
uid=satoh1

ou=salesuid=takeda
uid=satoh2

ou=Groups
Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-15-システム構成図(１)A),B),C)どのケースでもLDAPサーバは１台でも良い。（スレーブサーバは必要）
A),B)のケースでSambaサーバは、ドメインの数だけあれば良いが１台でも構わない。
（規模が大きい場合や信頼性が必要な場合はBDCも用意する）
LDAPサーバ
LDAPマスター

複製

LDAPスレーブ

参照
参照

TECHドメイン参照

Sambaサーバ
PDC

BDC

SALESドメイン
PDC

BDC

Windows
クライアントCopyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-16-

システム構成図(２)マスターLDAPサーバを１台だけにし、Sambaサーバの上でLDAPスレーブを動かす構成
Sambaサーバは、ドメインの数だけあれば良いが１台でも構わない。
（規模が大きい場合や信頼性が必要な場合はBDCも用意する）
LDAPサーバ
LDAPマスター
複製

複製

Sambaサーバ
LDAPスレーブ

TECHドメインPDC

BDCSALESドメイン
PDC

BDC

Windowsクライアント

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-17-

システム構成図(３)C)の場合、マスターLDAPサーバを１台だけにし、Sambaサーバの上でLDAPスレーブを動かす構成が可能
Sambaサーバは、OUの数だけあれば良いが１台でも構わない。
（規模が大きい場合や信頼性が必要な場合はBDCも用意する）
LDAPサーバ
LDAPマスター
複製

OU=TECH
PDC

複製

Sambaサーバ
LDAPスレーブ

OU=SALES
BDC

Windowsクライアント

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-18-

システム構成図(４)C)の場合、マスターLDAPサーバとPDCを１台用意し、もう一台のSambaサーバの上でLDAPスレーブとBDCを動かす構成が可能
Sambaサーバは、OUの数だけあれば良いが１台でも構わない。
（規模が大きい場合や信頼性が必要な場合はBDCも用意する）

LDAPマスター

LDAPスレーブ
複製

OU=TECH
PDC

Sambaサーバ
LDAPサーバOU=SALES
BDC

Windowsクライアント

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-19-実際の移行作業
 Vampireだけでは複数ドメイン統合は難しい。
 Pwdumpを使ってWindowsドメイン情報を取り出してスクリプトを使ってLDAPに投入するのが現実的

ドメイン統合は弊社へご相談ください。

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-20-

【お問い合わせ先】
オープンソース・ソリューション・テクノロジ株式会社
info@osstech.co.jp
http://www.osstech.co.jp
Open
SourceTechnology
Solution TechnologyCopyright.
Copyright © 2006 Open SourceSolutionCorporation
All Rights Reserved.

-21-