Open Source Solution Technology

Samba3.0/4.0ロードマップとWindows Vistaの対応状況

オープンソース・ソリューション・テクノロジ株式会社
2006/10/19
技術取締役 武田 保真
Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-1-Samba3.0系の過去と未来
 2003年9月25日 samba-3.0.0リリース
 2004年8月19日 samba-3.0.6リリース–

LDAP schema拡張による非互換発生。

 2005年4月14日 samba-3.0.14aリリース
 2005年8月19日 samba-3.0.20リリース–

3.0.14aからコードの大幅な変更を含んだため、途中のバージョンを抜かして、3.0.20としてリリース。

 2006年9月1日 samba-3.0.23cリリース–

現在の最新版

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-2-最近のSambaの修正

2006年3月30日 samba-3.0.22––



2006年7月10日 samba-3.0.23
–
––
–



[セキュリティ] CAN-2006-1059
ログレベル5以上で、マシンアカウントのパスワードがwinbinddのログに含まれる脆弱性を修正(脆弱性の影響範囲: samba-3.0.21～3.0.21c)
Windows Server 2003 R2でサポートされたRFC2307のスキーマオブジェクトの対応
winbinddにofflineモードを追加
root権限を必要としない共有管理ツールの追加
対応づけのできないユーザ、グループへの対処の追加

2006年7月21日 samba-3.0.23a
––
–
–
–

“wi nbi nd use def aul t domai n = yes” の時のドメイン名の処理の不具合修正
pam_winbindモジュールの引数処理の修正
winbinddを利用していないメンバーサーバ上でのローカルユーザ作成時の不具合修
正ACLにユーザがグループを追加する際の不具合修正“kernel opl ocks = yes” の時の不具合修正

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-3-

最近のSambaの修正(2)

2006年8月8日 samba-3.0.23b
–
–––



メンバーサーバにおけるsmb.confへのドメインアカウント名を利用する場合の制約の変更
ドメインコントローラに不正なIPアドレスが含まれている場合に、net ads joinコマンドが失敗する不具合の修正
SMB署名の不具合の修正
smbpasswdバックエンドでSambaをドメイン運用したときに、ドメインに参加できない不具合の修正

2006年9月1日 samba-3.0.23c––

Active Directoryのドメインポリシーでパスワードを無期限に設定した場合の不具合の修正「valid users」パラメータなどを利用する際の不具合の修正

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-4-

Samba3.0.24のTodoと今後
 MS-RPCの処理を、Samba4のライブラリ部分から移植
 winbinddのofflineモードの修正 winbinddにActive Directoryのサイト機能追加
 ドメイン参加時にDDNSとの連携
参照: http://wiki.samba.org/index.php/TODOs_for_3.0.24

開発・修正対象のほとんどがwinbind関連機能(AD連携)

Samba3.0で提供のNTドメイン互換機能はほぼ完成形
Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-5-Samba4winsの紹介
 Samba4のコードを利用したSamba3用のWINS複製サー

バ機能 Samba 3.0.20以降で利用可能

Samba3

Samba3

Samba4wins
WINS
SERVER

Samba4wins
WINS複製WINSSERVER

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-6-

Samba4 Samba4の開発目標
 Samba4のロードマップ
 Samba4の構成
 体験!! Samba4 (Technology Preview)

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-7-

Samba4の開発目標●●

SambaによるActive Directoryサーバの実現
従来のSambaの実装の大幅な書き直し

Samba4で実現されている、実現予定の機能など
Active Directoryのドメインコントローラ機能➔ NTFSと同等のファイル共有機能➔ Active Directoryと同等のLDAPサーバ機能➔ Kerberosサーバ機能の組み込み➔ 柔軟なプロセスモデル➔ SWAT2➔

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-8-

Samba4のロードマップ 2006年 1月 24日–

samba-4.0.0tp1 (Technology Preview1)リリース

 2006年 3月 22日–

samba-4.0.0tp2 (Technology Preview2)リリース

 2006年 10月10日現在–

samba-4.0.0tp3-xxxx SVN上で開発中

 リリースまでに–alpha版、beta版、RC版とリリースされるのが一般的となると.... 早くても来年後半のリリースか?
Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

-9-Samba4の構成
smb

ファイル共有機能などを提供

nbtd

ブラウジング機能などを提供

winbind

Windows 認証機能などを提供

LDAP

Samba4のLDAP機能を提供

KDC

Samba4のKerberos認証機能を提供

wrepld

WINS複製機能を提供

swat2

Samba4の設定機能を提供

smbd

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

- 10 -

Samba4の構成(2) Samba4では、組み込まれたLDAP機能を利用し、ユーザ情報などは全てLDAPデータとして格納される
 NTVFSと呼ばれるレイヤを実装し、論理的にNTFSと同等の操作を実現。ただし、実際にUNIX - Windows間においてACLなどの整合性を一致させるためには、たとえばLinux kernel 2.6で利用可能なXATTR属性を利用する必要がある。
 Windows Vistaで導入されるSMB 2.0(通称 SMB2)対応
コードが実装済み

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

- 11 -

Samba4のビルド
 パッケージは無いのでSubversionから最新ソースを取得し、コンパイルするのが最善の方法$ svn co svn://svnanon.samba.org/samba/branches/SAMBA_4_0 samba4$ cd samba4/source$ ./autogen.sh$ ./configure$ make proto all$ su# make install

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

- 12 -

Samba4の初期設定
 初期設定スクリプトを利用–

スクリプトでADドメインコントローラの初期設定が可能

初期化スクリプトの実行# PATH=/usr/local/samba/bin:$PATH# cd source# ./setup/provision --realm=OSSTECH.CO.JP --domain=OSSTECH –adminpass=secret.... 初期化処理 ...

Setting up DNS zone: osstech.co.jp
Please install the zone located in /usr/local/samba/private/osstech.co.jp.zone into your DNS
serverCopyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

- 13 -

Samba4のBIND設定
 Active DirectoryはLDAP、Kerberos、DNSなどの連携により実現。LinuxではBINDの設定が必要
 Provisioningにより作成されたzoneファイルを/var/namedにコピー
 /etc/named.confにAD用のzone設定を追加...
zone “osstech.co.jp” {type master;
file “osstech.co.jp.zone”}:...
Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

- 14 -

Sambaのサービス起動 namedを起動# /sbin/service named start smbdを起動–

デバッグ、開発用の1プロセスモードの起動# /usr/local/samba/sbin/smbd -M single 運用の場合–

サービスごとにsmbdプロセスが起動# /usr/local/samba/sbin/smbd

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

- 15 -

Samba4のADドメインにWindows参加
 administrator、初期化時のパスワードでADドメインに参加可能
 Kerberos認証のために、マシンの時刻合わせが重要。

マシンの時刻がずれている場合、「Administrator」のユーザ、パスワードが間違っているというエラーとなるため、原因が分かりにくい Samba3で必要だったマシンアカウント作成の作業は不要–Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

- 16 -

Samba4のユーザ作成とパスワード設定
 ユーザ作成–

あらかじめUNIXユーザアカウントが必要# /usr/bin/useradd yasuma# PATH=/usr/local/samba/bin:$PATH# cd source/setup# ./newuser –adduser yasuma –password secret パスワード設定・変更# PATH=/usr/local/samba/bin:$PATH# cd source/setup# sh setpassword –username yasuma –newpassword password2

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

- 17 -

Samba4のSWAT
 smbd起動後にhttp://localhost:901にアクセス ユーザ名: root、rootのパスワードで認証可能

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

- 18 -

Samba4のSWAT(2) qooxdoo(クックスドゥ)によるGUIインターフェース改善 現在はサーバステータスの表示、Samba4の初期化(provisioning)、ユーザ追加機能などのみ実装

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

- 19 -

Samba4のパラメータ
 サーバの役割の指定(server role)

standalone... ファイルサーバ– member server ... メンバーサーバ– pdc... プライマリ・ドメイン・コントローラ– bdc... バックアップ・ドメイン・コントローラ– Samba4の国際化関係パラメータ–

Samba3のiconvの実装概念を引き継ぎ、以下の3つのパラメータによる設定が有効
 unix charset
 dos charset
 display charset

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

- 20 -

Samba4のファイルサーバ機能
 ユーザ認証は正常に行われる
 ファイルの作成、削除なども可能

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

- 21 -

Samba4のまとめ
Samba4のコアとなるコンポーネントの完成度は高まっている
Active Directory実現に必要なコンポーネントをほとんどSamba4に取り込んであるため、Samba3よりも設定が簡単
ユーザ管理など、運用に必要なツールがほとんど出来上がっていないため、実際に利用するのはまだ難しい

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

- 22 -Windows Vistaについて
 Windows Vistaのおさらい Samba3.0のファイル共有機能
 Samba3.0にドメインログオン
 Windows VistaからSambaのパスワード変更
 Windows VistaでUSRMGR.EXE

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

- 23 -

SambaのWindows Vista対応状況
 検証環境Windows Vista
RC1
CentOS 4.4samba 3.0.10-1.4E

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

- 24 -Windows Vistaのおさらい Windows Vistaの各Editionと機能差分

Home Edition– Home Premium Edition– Business Edition– Enterprise Edition– Ultimate Edition–

RC1で提供中[注意]Windows XPと同様にHome系Editionはドメイン参加不可能
http://itpro.nikkeibp.co.jp/article/COLUMN/20060606/240133/
Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

- 25 -Windows VistaでSamba3.0ファイル共有にアクセス

Windows XPと同じ

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

- 26 -Windows VistaでSamba3.0ファイル共有にアクセス(2) ファイル共有へのアクセスは問題無し

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

- 27 -Windows VistaをSamba3.0ドメインに参加(1)
コントロールパネルシステムとメンテナンスシステム

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

- 28 -Windows VistaをSamba3.0ドメインに参加(2)ドメイン名の入力

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

- 29 -Windows VistaをSamba3.0ドメインに参加(3)ドメイン管理者のパスワード入力

画面 - smb.confに下記設定
admin users=Administrator
Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

- 30 -Windows VistaをSamba3.0ドメインに参加(4)ドメイン参加成功!!

Windows VistaでもWindows XPと同様にSambaドメインに参加可能
Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

- 31 -Sambaドメインへのログオン画面

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

- 32 -Windows Vistaからのパスワード変更
 samba 3.0.23cでは問題無し
 CentOS 4のsamba 3.0.10ではパスワード変更不可能。

Sambaのバージョンアップが必要

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

- 33 -Windows Vista上でUSRMGR.EXE
 Sambaサーバのユーザ管理にUSRMGR(ユーザマネージャ)を利用。
 Windows Vista上ではエラー発生!!

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

- 34 -Windows Vista上でUSRMGR.EXE
 USRMGR.EXEは以下の3つのDLLが必要

netui0.dll

netui1.dll

netui2.dll

 Windows XPやWindows 2000の「C:\WINDOWS\system32」フォルダに格納されている。

これらの３つのDLLをWindows Vistaの「C:\WINDOWS\system32」フォルダにコピーすると...

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

- 35 -USRMGR.EXEも動作可能

Copyright © 2006 Open Source Solution Technology Corporation All Rights Reserved.

- 36 -