最新版はこちら。 突っ込みは各日付の BBS エントリのほか、 メール (nakano@st.seikei.ac.jp) や フォーム からどうぞ。 なおスパム除けのため、BBS 機能には 緩い認証を入れて います。 検索エンジンから来た方は、エンジンの方のキャッシュを見るか、 下の簡易検索を試してみてください。
|
Namazu for hns による簡易全文検索 詳しくは 詳細指定/ヘルプを参照して下さい |
|||||||||||||||||||||||||||||||||||||||||||||
samba-tool user add ldapbind (PASSWORD) --description="LDAP Bind account"配布用の証明書 /var/lib/samba/private/tls/ca.pem を取り出しておく。
apt install sssd sssd-tools libpam-sss libnss-sss
# cp ca.pem /usr/local/share/ca-certificates/samba-ca.crt # update-ca-certificate
[sssd] services = nss, pam config_file_version = 2 domains = EMPLAB.ST.SEIKEI.AC.JP [domain/EMPLAB.ST.SEIKEI.AC.JP] id_provider = ldap auth_provider = ldap ldap_uri = ldaps://migrate.emplab.st.seikei.ac.jp:636 ldap_search_base = dc=emplab,dc=st,dc=seikei,dc=ac,dc=jp ldap_default_bind_dn = cn=ldapbind,cn=Users,dc=emplab,dc=st,dc=seikei,dc=ac,dc=jp ldap_default_authtok = パスワード ldap_id_mapping = Falseという感じで。ldap_uri は FQDN にしておかないと warning が出る。ファイルは 600 にしておく。
passwd: files systemd sss group: files systemd sss shadow: files systemd sss
sudo systemctl enable sssd --now
getent passwd nakano id nakanoという感じで。
dism.exe /online /enable-feature /featurename:Microsoft-Windows-Subsystem-Linux /all /norestart dism.exe /online /enable-feature /featurename:VirtualMachinePlatform /all /norestartをして再起動。再び（こんどは通常の）PowerShell から
wsl --set-default-version 2 wsl --install -d Debian参考情報：
%LOCALAPPDATA%\Packages\Microsoft.WindowsTerminal_8wekyb3d8bbwe\LocalStateに settings.json があるので旧機からコピー。
システム→システムの詳細設定→コンピュータ名→変更、でまずマシン名を変え、いちど再起動して同様のメニューから、ドメイン EMPLAB.ST.SEIKEI.AC.JP に参加すれば OK。 昨日決めた Administrator / (Password) であっさりドメインに参加できた。うへー簡単だ。
% sudo slapcat > slapcat.ldifこれを新サーバに食わせることを提案されたのだが、unix uid/gid が保存され、 あとの情報は後付けで追加できれば十分そうなので、この ldif の情報をもとにして samba-tool でユーザひとりずつ登録することにした。 slapcat.ldif からの情報抽出の awk スクリプトは ChatGPT さんとの会話 を参考にしつつ ldif_to_samba-tool.awk のような感じに。出力が
samba-tool user create 'nakano' 'nakano-Initial-PW2505' \ --uid-number=10000 \ --gid-number=100 \ --unix-home='/home/nakano' \ --login-shell='/usr/bin/tcsh'というような感じで出るので（パスワードはもちろんあとで変える）、これをシェルで実行すれば ok。 まずは 1 名だけ追加して、 nakano での Windows クライアントからのログオンと PW 変更を（後述のように設定を変えたあとで）確認できた。
[homes]
browseable = no
writable = yes
comment = Home Directories
[usrhome]
path = /home
browseable = yes
writable = yes
guest ok = No
[profiles]
path = /var/lib/samba/profiles/
browseable = yes
read only = no
guest ok = yes
store dos attributes = yes
# force uesr = %U
csc policy = disable
create mask = 0600
directory mask = 0700
などを追加。force user の行は warning が出るのでコメントアウト。
ほんとは profile はもうちょいちゃんとしないといけないようだが。
#!/bin/bash
# ユーザ一覧
USERS=( nakano foo bar baz )
# ドメインDN
BASEDN="DC=example,DC=com"
for USER in "${USERS[@]}"; do
cat <<EOF | ldbmodify -H /var/lib/samba/private/sam.ldb
dn: CN=$USER,CN=Users,$BASEDN
changetype: modify
replace: homeDirectory
homeDirectory: \\\\your_server\\users\\$USER
-
replace: homeDrive
homeDrive: U:
-
replace: profilePath
profilePath: \\\\your_server\\profiles\\$USER
EOF
done
というのの USERS を編集して実行すれば OK だった。
% sudo samba-tool domain passwordsettings set --min-pwd-age=0 Minimum password age changed! All changes applied successfully! % sudo samba-tool domain passwordsettings set --max-pwd-age=0 Maximum password age changed! All changes applied successfully!ということにした。
apt update apt upgrade --without-new-pkgs apt full-upgrade動作を確認して
apt autoremove --purge
% sudo apt install samba-ad-dc krb-user bind9-dnsutilsKerberos 関係で聞かれたことと答は：
デフォルトの Realm 名→EMPLAB.ST.SEIKEI.AC.JP Kerberos server→空白 Kerberos administrative server→空白続いて技評連載(1)の通り
% sudo systemctl disable --now smbd nmbd winbind % sudo systemctl mask smbd nmbd winbindでサーバをいったん停止。
% cd /etc/samba; sudo mv smb.conf smb.conf.dpkg-distプロビジョニング。
% samba-tool domain provision --use-rfc2307 --interactive Realm [FSLAB.ST.SEIKEI.AC.JP]: EMPLAB.ST.SEIKEI.AC.JP Domain [EMPLAB]: Server Role (dc, member, standalone) [dc]: DNS backend (SAMBA_INTERNAL, BIND9_FLATFILE, BIND9_DLZ, NONE) [SAMBA_INTERNAL]: DNS forwarder IP address (write 'none' to disable forwarding) [172.28.0.130]: Administrator password: Retype password:だーっと表示が出て停止。
#domain fslab.st.seikei.ac.jp #search fslab.st.seikei.ac.jp #nameserver 172.28.0.130 nameserver 127.0.0.1 search emplab.st.seikei.ac.jpその後
% sudo systemctl disable systemd-resolved --nowこれはそもそも実行されていなかったようだけど。
% diff -u krb5.conf /var/lib/samba/private/krb5.conf | lv % sudo mv krb5.conf krb5.conf.dpkg-dist % sudo cp /var/lib/samba/private/krb5.conf .までやって、サーバを起動
% sudo systemctl enable samba-ad-dc --nowということで samba のプロセスは起動した模様。
% kinit Administrator
Password for Administrator@EMPLAB.ST.SEIKEI.AC.JP:
Warning: Your password will expire in 41 days on 2025年10月01日 17時50分14秒
% klist
Ticket cache: FILE:/tmp/krb5cc_10001
Default principal: Administrator@EMPLAB.ST.SEIKEI.AC.JP
Valid starting Expires Service principal
2025-08-20T18:01:59 2025-08-21T04:01:59 krbtgt/EMPLAB.ST.SEIKEI.AC.JP@EMPLAB.ST.SEIKEI.AC.JP
renew until 2025-08-21T18:01:57
DNS の確認
% foreach srv (_ldap._tcp _kerberos._tcp _kerberos._udp _kpasswd._udp) foreach? dig @localhost +short -t srv $srv.emplab.st.seikei.ac.jp foreach? end 0 100 389 migrate.emplab.st.seikei.ac.jp. 0 100 88 migrate.emplab.st.seikei.ac.jp. 0 100 88 migrate.emplab.st.seikei.ac.jp. 0 100 464 migrate.emplab.st.seikei.ac.jp.ということで大丈夫みたい。