Benedicam te.

ノートPCからWinbind経由でidmap backend adなsamba4 ad dcにて認証を行おうとしたところ、サスペンドからの復帰に時間が2分ほどかかり、実用的ではありませんでした。オフラインでは認証すらできず、困っていたところ、いろいろ試してみましたが改善されません。 そこではたと思い付き、winbindではなくsssdによる認証に切り替えたところ、サスペンドからの復帰で数秒程度、ハイバネーションからの復帰でGUIが立ち上がってから10秒程度、オフライン状態でも数秒でcacheを参照しつつ認証でき実用的になったので本稿を挙げた次第です。なお、環境はサーバ・クライアント共にdebian10/buster(10.9)にて確認しています。追記2021/05/07：Debian 11/Bullseyeクライアントでも動作確認できました。 早速設定です。まず、idmap backend adなsamba4 サーバ上で、rfc2307スキーマを付与しつつユーザーを作成します。idmap backend adなsamba4 サーバの構築は こちら か こちら を参照してください。 sudo samba-tool user create user20000 P@ssw0rd98765 --description user20000 \ --nis-domain=mydomain.site --uid=user20000 --uid-number=20000 --gid-number=28513 \ --login-shell=/bin/bash --unix-home=/home/user20000 続いて クライアントのノートPCでのネットワーク名解決を設定しておきます。/etc/resolv.confが ad dc サーバを参照するようにしておいてください。 search mydomain.site nameserver 10.1.4.63 nameserver 2www.xxxx.yyyy.zzzz::63 また、ホストネームの設定も行っておきます。 ## /etc/hostsを編集 ===================== 127.0.0.1 localhost 127.0.1.1 m51.mydomain.s...

いわゆる統合認証の一種ですが、 idmap backend=adで構築したsamba ad dc から、winbindにてログイン認証を得ることで、WindowsとLinuxとで同じユーザ名とパスワードでログイン・ログオンできるようになります。さらに、idmap backend=adにしているのでlinuxマシン間ではuidが統一されます。 今回はLinux端末にWinbind認証を入れ、ユーザー情報をsamba ad dcから取得・認証させる設定をしたので、備忘録として本稿を挙げてみることにしました。なお、サーバ・クライアントは共にDebian10/Busterで構築しています。 2021/05/10追記：winbind経由の認証場合、オフライン認証、サスペンド・ハイバーネーションからの復帰時の認証に難がありますが、 sssd経由の場合、いずれもほぼ問題ありませんでしたので、ノートPCなどのモバイルPCでのad認証は、こちらの記事 をお勧めします。 前提ですが、 idmapのbackendがad(active directory)のsamba ad dc サーバは、こちらですでに構築している ものとします。 まず初めにクライアントのIPv4/IPv6アドレスですが、今回は説明のため固定にしてみました。 #/etc/network/interfaces.d/enp2s0 auto enp2s0 iface enp2s0 inet static address 10.1.4.53 netmask 255.255.255.0 gateway 10.1.4.23 iface enp2s0 inet6 static address 2www:xxxx:yyyy:zzzz::53 netmask 60 gateway 2www:xxxx:yyyy:zzzz::23 ネットワークの設定が済んだら、再起動してください。 つづいて、クライアントマシンでの名前解決に、samba ad dc(sv63.mydomain.site 10.1.4.63)を指定します。 #/etc/resolv.conf search mydomain.site domain mydomain.site nameserver 10.1.4.63 namese...

多くのサイトがidmap backend=ridでの構築方法を紹介していますが、本稿はSamba4 の AD DC(Active directory Domain Controller)を idmap backend=ad にて構築する方法です。要点としては、グループとユーザに対し、rfc2307スキーマ拡張分のデータを設定する必要がある、ということになります。 以下、フレッシュインストールの方法です。なお、OSはDebian 10/Buster, Samba4のバージョンは、4.9.5、インストール言語は日本語(LANG=ja_JP.UTF-8)、ファイルシステムはbtrfsにて確認しています。 また、先に、a. hostname, b. Active Directory Domain Name, c. fqdn domain name, d4. server ipv4 address, d6. server ipv6 address, e. dns forwarder を決めておきます。本稿では、 a. sv63 b. MYDOMAIN c. mydomain.site d4. 10.1.4.63/24 d6. 2www.xxxx.yyyy.zzzz::63/64 e. 2606:4700:4700::1111 1.1.1.1 としました。(2021/04/29:IPv6設定を追加しました。)上述のOSへの設定方法は割愛します。また、本稿では、ad dcにwinbindにてログインはしない前提としています。 信頼関係については設定しない前提でのインストールとしています。このため、DNSについては、SAMBA_INTERNALを使用します。（信頼関係を設定する場合、信頼関係を設定するドメインに対して名前解決する必要があるので、BIND9_DLZを使用する必要があります。) なお、AD DC上では、そもそもidmapについては、backend adはbackend ridと同じくサポートされません。（ samba wiki より） Identity Mapping works different on a Samba domain controller (DC) than on a domain member. For example...