質問: LDAP上のUNIX(Linux)ユーザーアカウントをそのまま利用してSamba3にて Windowsのドメイン参加およびユーザー認証を行いたいのですが何を どのように設定すれば可能でしょうか? 現在、以下のような構成になっています。 既存OpenLDAP(UNIXユーザーアカウント)→新設OpenLDAP+Samba→WindowsXP(クライアント) 事情があって、ユーザーアカウントを新設LDAPに保存できないためバックエンドDBを LDAPにして、既存LDAPを指定しています。 また、既存LDAP側の設定などを変更することも難しい状態です。 ユーザーは既存LDAP側でUNIXユーザーとして追加、変更されます。 以上、よろしくお願いします。
回答: [samba-jp:19096] Re: SAMBA + LDAP おそらく、新規に LDAP + Samba の環境構築に関しては調べられていると思いますし、有名な書籍もありますので、ここで説明することは無いと思うのですが、既存の LDAP アカウントからの移行となると、大きな問題がパスワードに関するアトリビュートの扱いです。 Samba で使うパスワード情報は、LDAP で一般的にパスワードとして使われる「userPassword」ではなく、「sambaNTPassword」「sambaLMPassword」という、いわば samba 専用アトリビュートに格納されます。そして、これらのアトリビュートには、生のパスワードが保存される訳ではなく、ハッシュ値が保存されます。しかもそのハッシュ値が、userPassword で使われる SHA-1 や MD5 では無く、それ用のハッシュ関数が使われます。 このため、既に userPassword に生のパスワードが保存されてないでハッシュ値で保存されている場合、理論上、sambaNTPassword や sambaLMPassword に設定されるべきパスワードのハッシュ値を決める事ができません。sambaNTPassword や sambaLMPassword を埋めるためには、何らかの形で生のパスワードが分かっていることが前提になります。 ということで、パスワードを含めた UNIX 用の LDAP アカウントをそのままの形で Samba で使うのには条件が付きますが、LDAP を使った Samba そのものに関しては下記のサイト参考になるかもしれません。 Windowsネットワーク用統合認証サーバー構築(OpenLDAP+Samba) - Fedoraで自宅サーバー構築