Samba4: 既存のidmap backend adなドメインにDCを追加する その２

DC追加設定を続けます。前提条件は済んだので、ドメインコントローラーとして追加する準備を行います。
まず、サービスを停止・登録解除、samba-ad-dcの登録を行います。

systemctl stop smbd nmbd winbind
systemctl mask smbd nmbd
systemctl disable smbd nmbd
systemctl unmask samba-ad-dc
systemctl enable samba-ad-dc.service

次に、smb.confを記述します。

[global]
        dns forwarder = 1.1.1.1
        netbios name = SV64
        realm = MYDOMAIN.SITE
        workgroup = MYDOMAIN

        server role = active directory domain controller
        
;        idmap_ldb:use rfc2307 = yes ; 非推奨(samba wikiによる)
;        winbind nested groups =yes  ; 非推奨(samba wikiによる)

        template shell = /usr/sbin/nologin
        template homedir = /home/%D/%U

;        username map = /etc/samba/user.map; 使わない場合、コメント化または空の/etc/samba/user.mapを作成する。

        ea support = yes
        vfs objects = acl_xattr streams_xattr
        store dos attributes = yes
        map acl inherit = yes
        inherit permissions = yes

        load printers = no
        printing = bsd
        printcap name = /dev/null

[netlogon]
        path = /var/lib/samba/sysvol/xronos-msys.com/scripts
        read only = No

[sysvol]
        path = /var/lib/samba/sysvol
        read only = No

以上でドメインコントローラー追加の準備は整ったので、下記コマンドで追加します。

samba-tool domain join MYDOMAIN.SITE DC -U Administrator \
--realm=MYDOMAIN.SITE --dns-backend=SAMBA_INTERNAL --password=P@ssw0rd01234

一度再起動するか、下記コマンドでサービスを立ち上げます。

systemctl start samba-ad-dc winbind

つづいて動作の確認を行います。まず、レプリケーションされているか確認します。

sudo samba-tool drs showrepl

追加DC（sv64）上でユーザを作成し、メンバーサーバー上で追加されているかどうか確認します。

samba-tool user create user20001 P@ssw0rd98765 --description user20001 --nis-domain=mydomain.site --uid=user20001 --uid-number=20001 --gid-number=28513 --login-shell=/bin/bash --unix-home=/home/user20001

# on member machine
getent passwd user20001

user20001:*:20001:28513::/home/user20001:/bin/bash

次はsysvolのレプリケーションについてです。sambaはsysvolのレプリケーションは行わないので、たとえばrsyncをつかって定期的またはアドホックにsysvolをFSMO操作元から複製する必要があります。FSMO DC(10.1.4.63)と追加DC(10.1.4.64)間でpasswordを使わず、認証キーで相互にsshログインできていることが前提ですが、具体的には、たとえば以下のコマンドを追加DCで実行することで複製できます。

sudo rsync -e "ssh -i /root/.ssh/id_rsa" -XAavz root@10.1.4.63:/var/lib/samba/sysvol /var/lib/samba/

最後に以下の様に/etc/ntp.confを編集します。

#以下二行にmssntpを追加。
restrict -4 default kod notrap nomodify nopeer noquery limited mssntp
restrict -6 default kod notrap nomodify nopeer noquery limited mssntp

#以下を追加
listen on 10.1.4.64
restrict 10.1.4.0 mask 255.255.255.0 nomodify notrap nopeer noquery

ntpsigndsocket /var/lib/samba/ntp_signd

tinker panic 0

基本的なDC追加は以上です。おつかれさまでした。
今回は以上です。それでは。