MIRACLE LINUX Standard Edition V2.1 および Red Hat Linux Advanced Server 2.1 powered by MIRACLE では Samba 2.2.4 日本語版が採用されています。

Samba 2.2.4 日本語版でのさまざまな新機能の中で、Winbind 機能は従来のドメインメンバ (Security=DOMAIN) 機能を置き換える重要でかつ大変便利な機能です。
ここではこの Winbind 機能の利用方法を紹介します。

Winbind は以下の機能を提供します。

• Linux と Windows の間の統一ログオン

  Windows ドメイン内の（ドメインに参加した）すべてのマシンに対し、同じユーザアカウントとパスワードを使って Linux、Windows のログオンを統一可能にします。

  Fig1. Winbind 機能

  従来の Samba 2.0系でも Samba マシンを Windows ドメインに参加させることが可能でしたが、その場合はパスワードだけが Windows ドメインに認証されるだけで、各 Linux マシン上にユーザやグループの登録が別途必要でした。

  そのため、Linux + Sambaのマシンが多くなるとユーザやグループの管理が面倒でした。

  Winbind はこうした問題を解決しますが、以下の制限事項も残っています。

• winbind の制限事項
  • ドメインコントローラを Windows NT4.0/2000にしないとドメインを構築することができない。
    Sambaをドメインコントローラにすると winbind は利用できません。
    
    
  • Windows の RID から UNIX の ID（uid、gid)へのマップは演算的に作られたものではなく、winbind が未登録とみなしたユーザーやグループから割り当てられます。
    従って、ドメイン内のすべての Linux で uid、gid は同じになるとは限らないし、マップ情報を保持しているファイルが改ざんされたり，破壊されると RID から UNIX の ID へのマップを復旧することは困難です。
    （NFSを使用する時、uid と gid が統一されないので問題となります）
    
    
  • Linux の passwd コマンドでの Windows ドメインパスワードの変更はできません。
    

    smbpasswd -r ドメインサーバ名

    
    で可能なので
    
    

    alias passwd = smbpasswd -r ドメインサーバ名

    
    を一般ユーザの bash_profile に入れたり、SWAT によるパスワード変更をルール付けるといいでしょう。
    
    
  • 現状の winbind の PAM モジュールは、ユーザ毎にログインできるワークステーションを制限することやログオン時間を制限する機能などを実現していません。
  
  

Winbind の設定は以下の手順で行います。

1. Samba インストール確認
2. Winbind (smb.conf) の設定
3. Windows ドメインに Samba マシンを登録
4. マシン・アカウントの作成
5. Winbind デーモンの起動と動作確認
6. NSSWITCH (/etc/nsswitch.conf) の設定
7. PAM (/etc/pam.d/system-auth) の設定

以下に順を追って説明します。

Winbind を利用するには、Samba 2.2.4 日本語版（もしくはこれより新しい版のもの）が必要です。

Samba がインストールされているかは以下のコマンドで確認します。

Samba のパッケージとバージョンが表示されればインストールされていることになります。

もし、インストールされていなければ、MIRACLE LINUX のインストール CD をマシンに挿入し、以下のコマンドでインストールします。

すでにインストールされている場合でも、以下の作業を行う前にSambaデーモンを停止させておく必要がありますので、以下のようにして停止しておいてください。

Winbind は従来の Samba の smbd や nmbd と異なるデーモンですが、設定ファイルは同じ /etc/samba/smb.conf を使用し、以下の項目を設定します。（下記以外のものは SWAT のドキュメント参照してください）

*注1）Windows NT による NT ドメインには、PDC (Primary Domain Controler) と BDC (Backup Domain Controler) が存在しますが、Windows 2000 の Active Directory には PDC、BDC は存在せず DC (Domain Controler) のみとなります。

Fig.2 に smb.conf の設定を載せます。
なお Winbind を使用する場合、以下のパラメータは決して指定してはいけません。

[global]
	coding system = euc
	client code page = 932
	workgroup = MIRACLE
	server string = Samba %v on %h
	security = DOMAIN
	encrypt passwords = Yes
	password server = win2kdc
	deadtime = 15
	read size = 65536
	socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192
	lm announce = False
	preferred master = False
	local master = No
	domain master = False
	dns proxy = No
	wins server = 192.168.0.1
	winbind uid = 1000-1500
	winbind gid = 2000-2500
	template shell = /bin/bash
	winbind separator = _

Windows NT4.0／2000 Server をドメインコントローラとして、ドメインを構築する必要があります。
（必要に応じてこのマシンをWINSサーバやDNSサーバとすると良いでしょう）

次に Windows ドメインのドメイン・コントローラである Windows NT4.0 /2000 Server上の "サーバマネージャ"(SRVMGR.EXE) を使って Samba マシンを Windows NT Workstaton として Windows ドメインに追加します。
（Windows2000ではスタート・メニューにないので「ファイル名を指定して実行」を使って起動します）

Fig3. サーバマネージャ

この時、Sambaマシンでなく、ドメインに参加するWindows NT/2000/XPマシンすべてを登録すると良いでしょう。
（Windows 95/98/Meは必要ない）

今度はドメインのメンバになるすべての Samba マシンの上で root ユーザになってドメイン参加のためのトラスト・アカウントを作成します。
参加する Windows ドメインの名前が DOMNAME , PDC（プライマリ・ドメイン・コントローラ） のコンピュータ名が DOMPDC の場合の方法は以下の通りです。

事前に Samba サーバを停止させ、PDC の名前解決と ping ができるように確認しておきましょう。
(上記の例では ping DOMPDC がうまくいくことを確認)
ping がうまくいかない時は、PDC のコンピュータ名と IP アドレスを /etc/hosts に記述するか、もしくは後述する LIBNSS_WINS を設定するのが良いでしょう。

該当マシンを Samba でしか利用しない場合（telnet や ftp で使用しない場合）は、NSSWITCH の設定だけ（PAM の設定無し）で Winbind は利用可能になります。

/etc/nsswitch.conf の中で以下の行を探し、変更します。

[変更前の例]

passwd:    files nisplus nis
group:     files nisplus nis

[変更後の例]

passwd:     files winbind
group:      files winbind

ネットワークが複数セグメントにまたがっている場合やマシン台数がある程度ある場合は、PDC(Primary Domain Controler)の Windows サーバを WINS サーバとして、すべての Linux/Windows マシンで LIBNSS_WINS を利用することを推奨します。

該当マシンを Samba でだけでなく ssh や telnet、ftp でも使用する場合は、ローカルマシンの認証方法を指定するため、PAM の設定も必要です。

/etc/pam.d/system-auth を以下のように

auth        sufficient    /lib/security/pam_winbind.so

と

account     sufficient    /lib/security/pam_winbind.so

を追加して修正します。

ユーザホームを自動で作成したい場合は

session     required      /lib/security/pam_mkhomedir.so skel=/etc/skel umask=0022

も追加するといいでしょう。

#%PAM-1.0
auth        required      /lib/security/pam_env.so
auth        sufficient    /lib/security/pam_unix.so likeauth nullok
auth        sufficient    /lib/security/pam_winbind.so
auth        required      /lib/security/pam_deny.so

account     required      /lib/security/pam_unix.so
account     sufficient    /lib/security/pam_winbind.so

password    required      /lib/security/pam_cracklib.so retry=3
password    sufficient    /lib/security/pam_unix.so nullok use_authtok md5 shadow
password    required      /lib/security/pam_deny.so

session     required      /lib/security/pam_limits.so
session     required      /lib/security/pam_unix.so
session     required      /lib/security/pam_mkhomedir.so skel=/etc/skel umask=0022

以上で設定は完了で各マシンで winbind デーモンと Samba プロセス（nmbd、smbd デーモン）を設定すれば完了です。

OS 起動時にデーモンが自動起動するように以下も設定しておきましょう。

もし、うまく起動できなければ、/var/log/samba/ にあるエラーログの内容を確認し、設定を修正しましょう。

Winbind を利用する場合は PDC となる Windows NT/2000 サーバにユーザを追加するだけで、Linux への telnet、ftp、ssh ログインも Samba へのファイル共有も同じパスワードでアクセス可能になります。

Windows NT4.0 サーバでのユーザ管理は「ドメインユーザマネージャ」（usrmgr.exe）で、Windows 2000 サーバでのユーザ管理は「Active Directory ユーザーとコンピュータ」で行います。

Fig5. Windows 2000 サーバの「Active Directory ユーザーとコンピュータ」

wbinfo コマンドを使うと winbind から情報を取り出すことができ、winbind の設定がうまくいっているか確認できます。使用方法は以下の通りです。

[コマンドの文法]

wbinfo [-t] [-u] [-g] [-m] 
       [-h NETBIOS名]
       [-i IPアドレス] 
       [-n ユーザ名／グループ名] 
       [-s セキュリティ識別子] 
       [-U ユーザID] 
       [-G グループID] 
       [-S セキュリティ識別子] 
       [-Y セキュリティ識別子] 
       [-r ユーザ名] 
       [-a ユーザ名%パスワード] 
       [-A ユーザ名%パスワード]

[引数の意味]

Fig6. Wbinfo 実行例

ドメインに参加している Windows サーバを利用する方法と同じ方法で Samba マシンが利用できます。

• クライアントが Windows NT/2000/XP の場合は、Samba と同様にクライアントをドメインに参加させる設定をすること。
•  ドメインサーバにドメインユーザを登録する。
•  ドメインユーザが登録されていれば、Windows クライアントおよび Samba マシンにはユーザ登録は必要ない。
• ユーザホーム機能を使用する場合は、予めホームディレクトリを以下のように作成する必要がある。
  ただし、Fig4 で説明した pam_mkhomedir.so を設定した場合は、Linux にログインした時に自動的にユーザホームが作成される。
  
  ホームディレクトリ作成例）
  
  ドメイン名が MIRACLE、ユーザ名が odagiri、smb.conf の設定が Fig2 の場合
  

  # mkdir -p /home/MIRACLE/odagiri # chown MIRACLE_odagiri /home/MIRACLE/odagiri

Fig7 に Winbind を使って MIRACLE ドメインの odagiri がログインした場合の SWAT STATUS ページの表示例を示します。

Fig7 SWAT STATUS ページの表示例

これを見てわかる通り UNIX/Linux 上でのユーザ名は、「ドメイン名＋ユーザ名」となります。

例えば、ドメイン名が MIRACLE （必ず英大文字）でユーザ名が odagiri、セパレータが _ の場合は、Linux 上のユーザ名は MIRACLE_odagiri となります。
ssh や ftp を使用するときは注意してください。

以上が winbind の機能であり、従来の Samba 2.0系の security=domain 機能よりも格段に Windows NT ドメインとの親和性が向上していることがわかると思います。