Open Source Solution Technology

最新Samba動向と構築事例紹介
オープンソース・ソリューション・テクノロジ株式会社
代表取締役 チーフアーキテクト 小田切耕司

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

-1-目 次1.OSSTech社紹介
2.Sambaユーザ動向と事例
3.官公庁・自治体での認証統合事例
4.Samba最新動向
5.OSSTech製品紹介– Samba 3.0.24 for Solaris / Linux– OpenLDAP 2.3.32 for Solaris / Linux– LDAP Account Manager– SSLBridge

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

-2-

Part 1
オープンソース・ソリューション・テクノロジ
会社紹介

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

会社概要
会社名

オープンソース・ソリューション・テクノロジ株式会社

英語表記

Open Source Solution Technology Corporation

社名略称OSSTech（ｵｰｴｽｴｽﾃｯｸ）または OSSテクノロジ

業務内容

・ソフトウエアの企画、開発、販売およびサポート・システムの導入に関するコンサルティング
・ソフトウエアに関する教育、研修、支援役 員

代表取締役
技術取締役

オフィス

〒141-0031
東京都品川区西五反田２-６-３ 東洋ビル
Tel & FAX : 03-6670-5764

小田切 耕司武田 保真

Webページ http://www.osstech.co.jp/
設立
２００６年９月
資本金８００万円

所属 ・Linuxコンソーシアム 理事
団体等 ・LPI-Japanビジネス・パートナー

・デル(株)
・(株)野村総合研究所
・サン・マイクロシステムズ(株)主要 ・ｷﾔﾉﾝﾏｰｹﾃｨﾝｸﾞｼﾞｬﾊﾟﾝ(株)
取引先 ・(株)バッファロー
および ・(株)大塚商会
ﾊﾟｰﾄﾅｰ ・日本電信電話(株)・(株)博報堂
様
・日本電気(株)・富士通ﾈｯﾄﾜｰｸｿﾘｭｰｼｮﾝｽﾞ(株)・大分シーイーシー株式会社
・ミラクル・リナックス株式会社

SourceSolution Technology
Copyright.
Copyright © 2007 Open Source Open
SolutionTechnologyCorporationAll Rights Reserved.

-4-

オープンソース・ソリューション・テクノロジ株式会社
昨年 9月に設立● OSに依存しないOSSのソリューションを中心に提供● Red Hat Linuxだけでなく、CentOSやSolaris ,FreeBSD , Debianなどへも対応！
● Samba、LDAPなどによる認証統合ソリューションを提供● 製品パッケージ提供● 製品サポート提供● 技術コンサルティング提供● Samba導入・出荷実績日本一（世界一？！）●http://www.osstech.co.jp
Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

-5-

社員による著作紹介小田切耕司

技術評論社 Software Design 2006年7月号


翔泳社 開発の現場 vol.005


総論編：オープンソースの基礎知識

技術評論社 LDAP Super Expert「壱：地の巻」Sambaファイルサーバ［新規／移行］LDAPディレクトリサービス導入計画

IDG月刊Windows Server World3月号：Shall we Samba?【お手軽導入編】
4月号：Shall We Samba? 【超本格運用編】

日経BP社 セキュアなSambaサーバの作り方



武田保真



日経ITPro 「Sambaウォッチ」


2006年１０月～現在連載中「徹底解説 Samba LDAP サーバ構築(技術評論社)」

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

Open Source Solution Technology

Part 2
Sambaユーザ動向と事例
ファイルサーバも時代と共に活用方法が変わる！

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

ファイルサーバを取り巻く環境変化
サーバH/Wの高性能化、低価格化
 ディスクの大容量化、低価格化


高信頼のSCSIディスクよりも低価格のATAディスクを選択するケースが増えてきている ファイルサーバのディスク故障率増加
 RAID5にしても故障時の自動修復に時間がかかる
 RAID5では自動修復中にもう1台壊れると修復できない– ディスク故障時の損失金額・時間も増大–

ファイルサーバをバックアップするためのコストが増加– 従来のテープ装置ではバックアップできない– 必要なテープ本数が増える、時間がかかる バックアップ装置とテープはディスクほど安くなっていない

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

ファイルサーバ構築方法の変化
 専用のバックアップ装置を買う費用もサーバをもう１台買う費用もあまり変わらない– サーバもう１台購入の方が安い場合もある テープバックアップよりもディスクコピーを選択するユーザ
 同じ構成サーバを２セット用意し、rsyncを使ってコピー 双方向にすれば簡易クラスタ構成可能
 インターネット高速化やVLANの低価格化により、遠隔地バックアップも安価に実現可能になった OSとしてCentOSやSolaris10を使うユーザが増えた– CentOSはパッチ入手無償、Solaris10も4万円未満

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

安価な簡易クラスタシステム構築例
Samba PDCLDAPマスタサーバ

Samba BDCLDAPスレーブサーバ
ユーザ情報グループ情報更新可

参照のみ

複製(rsync)参照のみ

更新可

Win/Mac/Web端末

Win/Mac/Web端末

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

- 10 -

某音響機器メーカー様

Samba PDCLDAPマスタサーバ

Samba BDCLDAPスレーブサーバ

Windows端末
Mac端末

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

- 11 -

遠隔地双方向バックアップ：通常運用時
東京：Samba PDC
LDAPマスタサーバ

大阪：Samba BDC
LDAPスレーブサーバ

ユーザ情報
グループ情報

更新可

参照のみ

複製(rsync)参照のみ

更新可

Win端末

Win端末

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

- 12 -

大阪サーバ障害時
東京：Samba PDC
LDAPマスタサーバ

大阪：Samba BDC
LDAPスレーブサーバ

障害発生！
更新可
更新可

Win端末

Win端末

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

- 13 -サンアロー株式会社様 http://www.sunarrow.co.jp
通常稼動時

PowerEdge860 250GB RAID1Windows2000
Active Direcotry

トラブル時

A棟サーバ

PowerEdge860 250GB RAID1

認証はAD
ファイルサーバはSamba
PowerEdge860 500GB RAID1

PowerEdgeSC1430 500GB RAID1

CentOS4Samba

主10分毎に同期

CentOS4Samba

主10分毎に同期

控CentOS4Samba

CentOS4Samba

PowerEdge860 500GB RAID1

D棟サーバ
PowerEdgeSC1430 500GB RAID1CentOS4
Samba

PowerEdge860 500GB RAID1

C棟サーバ
PowerEdge860 500GB RAID1

控主10分毎に同期

控CentOS4Samba

夜間バックアップ
ラックマウントPC

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.Open Source Solution Technology

Part 3
システム認証統合事例紹介
官公庁・自治体からはじまったOSSによる基幹システム構築

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

システム概要
OSSを使った認証基盤構築事例として、大分県庁の実証実験システムを取り上げます。
● このシステムはIPA（独立行政法人 情報処理推進機構）の公募事業「自治体基盤システムでのオープンソースソフトウェア（以下、OSS）活用に向けての導入実証実験」として構築されました。
● この公募事業は、OSSが自治体の基幹システムとしてどこまで使えるか実証実験しよう、という取り組みです。
● 参考） IPA実証実験報告ページ●●

http://www.ipa.go.jp/software/open/ossc/2006/stc/report/oita.html

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

- 16 -大分県庁システム概略
 一般的な自治体システム

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

実証実験で構築したシステム
 ファイルサーバ／アプリケーションサーバおよびWinodws / Linux の認証統合を実現

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

システム要件と実装方法
システム

必要機能
・ Linuxに よ る デ ィ ス ク レ ス ・ シ ン ・クライアントの導入
・ OSSの Webブ ラ ウ ザ で 業 務 を 実 行
・ OA業 務 は OpenOfficeで 実 行

実装方法
Knoppixを ベ ー ス と し た CDブ ー ト Linuxを デ ス ク ト ッ プ 環 境 として利用

・ 認 証 基 盤 と し て OpenLDAPを 採 用 し 、 LDAPに 登 録 し た ユ ー ザ、パスワードでデスクトップにログインする・ 上 記 Linuxク ラ イ ア ン ト の 統 合 認 証 ・ OpenLDAPに 登 録 し て あ る ユ ー ザ な ら ど の 端 末 で も 利 用 可 能
基盤にする・ 上 記 の た め に Knoppixク ラ イ ア ン ト をLDAP認 証 へ 改 造
・ Sambaと OpenLDAPに よ る Windowsド メ イ ン を 構 築 し 、 ド メ イン認証を構築する
・ Windowsク ラ イ ア ン ト は Sambaド メ イ ン に 参 加 し 、 ユ ー ザ は・ 既 存 の Windowsク ラ イ ア ン ト か ら も ド メ イ ン ロ グ オ ン を す る
職員認証 利用できること
・ LDAPに 登 録 し た ユ ー ザ 、 パ ス ワ ー ド で デ ス ク ト ッ プ に ロ グ
基盤
インする・ OpenLDAPに 登 録 し て あ る ユ ー ザ な ら ど の 端 末 で も 利 用 可 能にする・ Webベ ー ス の 業 務 シ ス テ ム で は 、 ユ ・ 認 証 基 盤 と し て OpenLDAPを 利 用 し 、 認 証 は Apacheの シ ン グー ザ が 一 度 サ イ ン オ ン し た ら 、 そ の 後 ル サ イ ン オ ン モ ジ ュ ー ル （ 独 自 の mod_sso改 造 版 ） に て 実 装 すの他システムへのアクセスは認証なし るで ア ク セ ス で き る 、 い わ ゆ る SSO（ シングルサインオン）の機能を有するこ ・すべての業務システムをこのシングルサインオンシステムのリバースプロキシ配下に置くと・ 県 庁 職 員 5000人 の 利 用 に 耐 え る パ フ ・ OSSの ク ラ ス タ ソ フ ト Ultra Monkeyを 使 っ て 負 荷 分 散 ク ラ スォーマンスを持つこと
タを構築
・業務の拡大や負荷増大に耐えられる・ OpenLDAP+Samba＋ Apacheを ク ラ ス タ 構 造 と す る こ と に よ りようにスケールアウト可能な構成にす
実装する
ること
・ Webブ ラ ウ ザ に よ り 複 数 の シ ス テ ム
・ 決 裁 基 盤 APIを Webサ ー ビ ス に よ り 公 開 し 、 相 互 利 用 す る
電子決裁 から共通に決裁基盤を利用できること
基盤
・ 決 裁 文 書 と し て フ ァ イ ル の 受 け 渡 し ・ Webサ ー ビ ス を 用 い 、 添 付 フ ァ イ ル 送 受 信 が 出 来 る イ ン タ ー
機能を有すること
フェースを実装

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

実証実験でのシステム構成
DELL
LATITUDE
D520

Samba
LDAPはOSSTech製

DELL
PowerEdge1850
Xeon-3.6GHz
Mem:2GBCentOS4

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

実証実験で発生した問題（OSやOSS部分のみ）
OSはCentOS4(=RHEL4)を利用● OS標準のSamba 3.0.10ではLDAP連携で機能が不足だったり、品質が十分でないためOSSTech社製Samba
3.0.24国際化版を利用● OS標準のOpenLDAP 2.2.13では高負荷に耐えられず、クラッシュしたり、クラッシュ後DBリカバリできないなどの障害が発生したためOSSTech社製OpenLDAP 2.2.30を利用● SambaとLDAPを最新OSSTech社製品を使うことで同時５０００ログオンも問題なく検証できた。
● 弊社実績では2万ユーザオーバーもある。
●Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

- 21 -

Open Source Solution TechnologyPart 4
Samba最新情報
GPLv3になるSamba 3.2

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

目次 Samba ロードマップ
 Samba 3.0系
– バージョンアップに関する情報
 Samba 3.2 新機能紹介
 Samba 4.0系 最新動向紹介
 Samba & ZFS 紹介
 開発者向け情報

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

Sambaロードマップ
Samba
3.0.24Samba
3.0.25Samba
3.0.26a(9/11)
セキュリティ修正のみ(メンテナンスバージョン)
3.0.24と3.0.25以降で互換性低下
Samba 3.2.0pre1
安定版(GPLv3)9/28(新機能開発)Samba 4.0.0
alpha1 (GPLv3)9/4

バックポート開発版(新機能開発)

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

Samba3.0系(バージョンアップの経緯)
 Samba 3.0.0 ～ Samba 3.0.6

2003.9.24

 Samba 3.0.6～ Samba 3.0.14a–

LDAP schema拡張

 Samba 3.0.20～ Samba 3.0.24

2005.8.19

Windows 2003 R2対応
– winbind機能の改善– LDAP schema拡張–

 Samba 3.0.25～ Samba 3.0.25b–

Windows Vista対応

 Samba 3.0.26 → Samba 3.2.0–

2007.5.14
2007.9.11

GPLv3への変更

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

Samba 3.0系お勧めバージョン
 Samba 3.0.24 + Vista対応パッチ– 3.0.20以降ではそれほど大きな変更が無く、利用者からのフィードバックによる修正が取り込まれ安定– 最新のWindows Vistaにも対応 これから構築するならUTF-8を使おう(JIS2004)
 Samba 3.0.14a以前– ドメインコントローラーや大規模で問題発生– Active Directory連携は推奨できない– Samba 3.0.24系にアップデート推奨
 Samba 3.0.25以降– Samba 4.0系の機能取り込みによって不安定– Samba 3.0.24以前と互換性が低下
Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

Samba 3.0系アップデート時の注意事項
 Samba 3.0.23～Samba 3.0.24

msdfs rootパラメータのデフォルトがyes だがMS-DFSを利用しない場合、noの設定を推奨– Windowsクライアントが接続できなくなる場合あり–

 Samba 3.0.23以降

winbind enum users = no (デフォルト)– winbind enum groups = no (デフォルト)– LDAP利用時–samba.schemaも一緒にアップデート

 Vista対応「security = server」設定のSambaサーバには、Vistaのローカルセキュリティポリシの設定が「NTLMv2応答のみ送信」では接続不可– コマンドプロンプトでnetコマンド使うとOK–

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

Samba 3.0.25へのアップデート時の注意事項
 inotifyサポート– inotifyをサポートしていないシステムでファイルの更新がWindowsクライアントに通知されない– Windowsで、F5で手動更新の必要あり
 winbind設定の変更– ドメインごとに複数の設定可能
idmap domains = SALES DEVEL
idmap config: SALES:backend = ad
idmap config: DEVEL:backend = tdb
idmap config: DEVEL:range = 10000 - 20000

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

Samba3.2系の新機能紹介


CIFS Unix Extensionsサポート
ファイルサーバ・クラスタの実験的サポート
SambaをADのメンバにした場合(Winbind機能）

従来は双方向の信頼関係を結んでいないと問題が発生したが、片方向のみと推移的信頼関係もサポート








nested domain groupsのNSS拡張
LanMan認証廃止(95/98/Meから接続できない、2000以降OK）
Samba 4.0のNTVFS機能相当のバックポート(from 3.0.25)– 共有ごとにACLモジュールの設定可能
DDNS更新機能のサポート– Active Directory参加時にADのDNSに自動登録(from 3.0.25)
LDBサポート– ローカルグループサポートのためのSamba組み込みDB
SambaによるLDAPのposixAccountエントリ制御– もうsmbldap-toolsはいらない？

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

Samba 3.2系 TIPS: ユーザ管理 Samba 2.xまで– smbpasswdコマンド– useradd user1 ; smbpasswd -a user1
 Samba 3.0– pdbeditまたはsmbldap-toolsコマンド– TDBSAMの場合：useradd user1 ; pdbedit -a user1– LDAPの場合：smbldap-useradd -a user1
 Samba 3.2以降– netコマンド– net user add user1– ユーザ管理バックエンドを意識しなくて良い（はず）
Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

Samba 3.2系 TIPS: ACLモジュール 共有ごとのACL設定– 各共有ごとにACLモジュールを設定– ビルド時に—with-acl-supportを指定しないこと$ ./configure –with-shared-moduels=vfs_solarisacl, vfs_zfsacl[zfsshare]
path = /zfspool/sharevfs object = zfsacl[ufsshare]
path = /opt/sharevfs object = solarisacl
Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

Samba 3.2系 TIPS : Secure DDNSサポート
 Active Directoryのドメインメンバー設定時、”net adsjoin”実行時に、Active DirectoryのDNSにSambaサーバを自動登録
 configureオプションとして、「--with-dnsupdate」の指定が必要

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

Samba4.0系 最新動向紹介
 ロードマップ

Samba 4.0.0 alpha1 (2007/09/04)– 正式リリースは来年、Windows 2008より先か後か？
– Samba 4.0の構成
 Samba 4.0の新機能– Active Directory ドメインコントローラ機能サポート– Group Policy Objectサポート– NTVFSによるNTファイル・ストリームサポート– SMB2.0プロトコル対応– AjaxによるSWAT2– Sambaクラスタリング対応
Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

Samba 4.0の構成

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

Active Directory ドメインコントローラ機能サポート
 Samba 3.0のドメインコントローラ機能– NTドメイン機能(Windows NT 4.0相当)– LDAPと連携することでAD相当の構成は可能– アカウントポリシーは利用可能、グループポリシーは利用不可能
 Samba 4.0のドメインコントローラ機能– Active Directoryドメイン機能(Windows 2000 or later)– LDAP, KerberosなどをSambaに組み込み– グループポリシーの利用可能

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

NTVFSによるファイル・ストリームサポート
 NTFSで利用可能な、1つのファイルに複数の不可視データを関連付ける機能–

http://www.microsoft.com/japan/msdn/windows/windows2000/ntfs5.aspx–

Windows XP用セキュリティアップデートで、ファイルの出所を証明する情報を付加するなどの利用
 http://www.itmedia.co.jp/enterprise/articles/0504/18/news043_2.html

 UNIXのファイルシステムが提供するfile xaatrs(拡張属性)、もしくは外部データベースによるサポート
ファイル

ストリーム

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

NTVFSの外部データベースサポート
 ファイルシステムがxattrsをサポートしていない場合、下記設定で、NTFSで利用されるACLやNTファイル・ストリームのデータを格納することが可能。
smb.conf
posix:eadb = /usr/local/samba/var/samba/eadb.tdb

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

SWAT2
 Ajax採用によりユーザインタフェース向上(の予定)

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

Samba & ZFS ソリューションの紹介
 ZFS– Sunが開発した次世代ファイルシステム
 Solaris10/OpenSolaris/FreeBSD/Mac OS X
– LVM機能、RAID機能なども統合– 128bit アドレッシング ファイルシステム
 各種諸元が実質無限大

Samba 3.2.0 + ZFSのメリットは?
Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

Samba 3.2 + ZFS のメリット
 ディレクトリ単位のQuota制限の実現– NTFS同等の容量制限機能を実現
 vfs_zfsaclによるACL機能のサポート– NTFS同等のACL機能
 ZFSのスナップショットによるボリュームシャドウコピー機能の活用– Windows 2003サーバと同等のサービス提供
 大容量ファイルシステム + Sambaによる大規模ファイルサーバの実現– 1ファイルシステム 約13TBの検証実績ありCopyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

開発者向け Samba情報 Samba 3.2系
$ svn co svn://svnanon.samba.org/samba/branches/SAMBA_3_2 samba3.2
 Samba 4.0系
$ svn co svn://svnanon.samba.org/samba/branches/SAMBA_4_0 samba4.0

 ソースの変更内容– http://viewcvs.samba.org/cgi-bin/viewcvs.cgi/
 Bug Report– http://bugzilla.samba.org

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

Open Source Solution TechnologyPart 5OSSTech 製品紹介

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

Samba 3.0.24 for Solaris/Linux Windows Vista / Mac OS X対応– JIS2004対応、合成文字UTF-8-MAC対応
 OpenLDAPだけでなく、商用LDAP製品にも対応
 Solaris版/Linux版向けsmbldap-toolsを同梱– LDAPへのユーザ／グループ登録がコマンドで可能– 大量一括登録可能
 SolarisもLinuxもAD認証統合
 オリジナルのさまざまな不具合を修正
 WindowsからGUIでユーザ管理可能

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

Windows GUIでSambaが管理できる！
ユーザ管理機能

共有管理機能Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

- 44 -

OpenLDAP 2.2.30 / 2.3.32 for Solaris/Linux デフォルトでOpenLDAP2.2は最大1024しか同時接続できないがOSSTech製は1万6千接続まで拡張
 BDBを最新化し、DBが壊れたり、リカバリできない不具合を修正
 Solaris Java Directory Serverは同一マシン上にLDAPクライアントとサーバが同居できないが、OpenLDAPは同居可能
 クライアントに比例するライセンス費用がないため、大規模システムでも低コストで構築・運用可能

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

SSLBridgeによるリモートアクセス
SSLBridgeサーバ
https

Windows端末

httpsUnix/Linux/Mac端末
インターネット

smb
WindowsユーザもLinux/Unix/Mac
ユーザもWebブラ
ウザのみでアクセス可能
アクセス制御はイントラと同一Sambaサーバ

Windowsサーバ

ユーザ情報
グループ情報共有フォルダ共有プリンタイントラネット

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

- 46 -SSLBridge : Windowsファイルサーバへ
Webブラウザでアクセス

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.

LAM：LDAP Account Manager– Solaris 10 / Red

Hat EL 4 / CentOS
4対応– Https経由のWebクライアントからLDAPを管理可能– プロファイルを変えることで分散管理を可能にする

Copyright © 2007 Open Source Solution Technology Corporation All Rights Reserved.