ウェブサイト検索

Windows10からRSATを通じてSamba4 Active Directoryインフラを管理する - パート3

このSamba4 AD DCインフラストラクチャシリーズの部分では、Windows 10マシンをSamba4領域に参加させる方法と、Windows 10ワークステーションからドメインを管理する方法について話します。

Windows 10システムがSamba4 AD DCに参加したら、ドメインユーザーやグループを作成、削除、または無効化することができます。また、新しい組織単位を作成したり、ドメインポリシーを作成、編集、管理したり、Samba4ドメインDNSサービスを管理することも可能です。

上記のすべての機能およびドメイン管理に関するその他の複雑なタスクは、RSAT - Microsoft Remote Server Administration Toolsの助けを借りて、任意の最新のWindowsプラットフォームで実行できます。

要件

  1. Ubuntu 16.04上でSamba4を使用したADインフラストラクチャの作成 - 第1部
  2. LinuxコマンドラインからSamba4 ADインフラストラクチャを管理する - パート2
  3. WindowsからSamba4 ADドメインコントローラーのDNSとグループポリシーを管理する - パート4

ステップ 1: ドメイン時間同期の設定

1. RSATツールを使ってWindows 10からSamba4 ADDCを管理し始める前に、Active Directoryに必要な重要なサービスの一つである正確な時刻同期について知り、気を付ける必要があります。

時間同期は、ほとんどのLinuxディストリビューションにおいてNTPデーモンによって提供されます。ADがサポートできるデフォルトの最大時間差は約5分です。

分岐時間が5分を超える場合、ADユーザー、参加したマシン、または共有アクセスに関するさまざまなエラーが発生し始めるべきです。

UbuntuにネットワークタイムプロトコルデーモンとNTPクライアントユーティリティをインストールするには、以下のコマンドを実行してください。

$ sudo apt-get install ntp ntpdate

2. 次に、NTP設定ファイルを開いて編集し、デフォルトのNTPプールサーバーリストを、現在の物理設備の位置に地理的に近い新しいNTPサーバーのリストと置き換えます。

NTPサーバーのリストは、公式NTPプールプロジェクトのウェブページhttp://www.pool.ntp.org/en/を訪れることで取得できます。

$ sudo nano /etc/ntp.conf

デフォルトのサーバーリストにコメントを追加するには、各プール行の前に#を追加し、下記のスクリーンショットに示されているように、適切なNTPサーバーを持つプール行を追加してください。

pool 0.ro.pool.ntp.org iburst
pool 1.ro.pool.ntp.org iburst
pool 2.ro.pool.ntp.org iburst

Use Ubuntu's ntp server as a fallback.
pool 3.ro.pool.ntp.org

3. さて、まだファイルを閉じないでください。ファイルの一番上に移動し、driftfileステートメントの後に以下の行を追加します。この設定により、クライアントはAD署名付きのNTP要求を使用してサーバーに問い合わせることができます。

ntpsigndsocket /var/lib/samba/ntp_signd/

4. 最後に、ファイルの下部に移動し、下のスクリーンショットに示されているように、ネットワーククライアントがサーバーの時間を問い合わせることだけを許可する以下の行を追加します。

restrict default kod nomodify notrap nopeer mssntp

5. 完了したら、NTP構成ファイルを保存して閉じ、ntp_signedディレクトリを読み取るためにNTPサービスに適切な権限を付与します。

Samba NTP ソケットがあるシステムパスです。その後、変更を適用するために NTP デーモンを再起動し、netstat コマンドと grep フィルタを組み合わせて、システムネットワークテーブルに NTP がオープンソケットを持っているかを確認します。

$ sudo chown root:ntp /var/lib/samba/ntp_signd/
sudo chmod 750 /var/lib/samba/ntp_signd/
sudo systemctl restart ntp
sudo netstat –tulpn | grep ntp

ntpq コマンドラインユーティリティを使用して、-p フラグを使い、NTP デーモンを監視し、ピアの状態の要約を出力します。

$ ntpq -p

ステップ2: NTP時間の問題をトラブルシュートする

6. 時々、NTPデーモンは上流のNTPサーバーピアと時間を同期しようとする際に計算でスタックすることがあり、クライアント側でntpdateユーティリティを実行して手動で時間を強制的に同期しようとすると、次のエラーメッセージが表示されます:

# ntpdate -qu adc1
ntpdate[4472]: no server suitable for synchronization found

ntpdate コマンドを -d フラグと共に使用する時。

# ntpdate -d adc1.tecmint.lan
Server dropped: Leap not in sync

7. この問題を回避するために、次のトリックを使って問題を解決します: サーバーでNTPサービスを停止し、以下のように ntpdate クライアントユーティリティを使用して、外部のピアと手動で時間の同期を強制的に行います。-b フラグを使用します。

# systemctl stop ntp.service
# ntpdate -b 2.ro.pool.ntp.org  [your_ntp_peer]
systemctl start ntp.service
systemctl status ntp.service

8. 時間が正確に同期された後、サーバー上でNTPデーモンを起動し、次のコマンドを発行してローカルクライアントに時間を提供する準備ができているかどうかをクライアント側で確認します:

# ntpdate -du adc1.tecmint.lan    [your_adc_server]

現時点で、NTPサーバーは期待通りに動作するはずです。

ステップ3: Windows 10をレルムに参加させる

9. 前回のチュートリアルで見たように、Samba4 Active Directoryは、samba-toolユーティリティインターフェースを使用してコマンドラインから管理できます。これはサーバーのVTYコンソールから直接アクセスするか、SSHを通じてリモートで接続することができます。

他に、より直感的で柔軟な代替手段として、ドメインに統合されたWindowsワークステーションからSamba4 ADドメインコントローラーをMicrosoft Remote Server Administration Tools (RSAT)で管理することが考えられます。これらのツールは、ほぼすべての最新のWindowsシステムで利用可能です。

Windows 10または古いバージョンのMicrosoft OSをSamba4 AD DCに参加させるプロセスは非常に簡単です。まず、Windows 10のワークステーションが適切なSamba4 DNS IPアドレスを設定していることを確認し、適切なレルムリゾルバをクエリできるようにします。

コントロールパネルを開く -> ネットワークとインターネット -> ネットワークと共有センター -> イーサネットカード -> プロパティ -> IPv4 -> プロパティ -> 次のDNSサーバーアドレスを使用し、下記のスクリーンショットに示すようにネットワークインターフェースにSamba4 ADのIPアドレスを手動で入力してください。

ここで、192.168.1.254 はSamba4 AD ドメインコントローラーのIPアドレスで、DNS解決を担当しています。IPアドレスを適宜置き換えてください。

10. 次に、OK ボタンをクリックしてネットワーク設定を適用し、コマンドプロンプトを開いて、一般的なドメイン名とSamba4ホストのFQDNに対してpingコマンドを実行し、DNS解決を通じて領域に到達できるかどうかをテストします。

ping tecmint.lan
ping adc1.tecmint.lan

11. もしリゾルバーがWindowsクライアントのDNSクエリに正しく応答する場合は、時間が領域と正確に同期されていることを確認する必要があります。

コントロールパネルを開く -> 時計、言語および地域 -> 日時の設定 -> インターネット時刻タブ -> 設定の変更を選択し、"インターネット時刻サーバー"のフィールドにあなたのドメイン名を入力します。

今すぐ更新ボタンを押して領域と強制的に時間同期を行い、ウィンドウを閉じるにはOKを押してください。

12. 最後に、システムのプロパティを開き -> 変更 -> ドメインのメンバーを選択して、ドメイン名を入力し、OKをクリックし、ドメイン管理者アカウントの資格情報を入力してもう一度OKをクリックします。

新しいポップアップウィンドウが開き、あなたがドメインのメンバーであることが通知されます。ポップアップウィンドウを閉じるにはOKをクリックし、ドメイン変更を適用するためにマシンを再起動してください。

以下のスクリーンショットがこれらの手順を示します。

13. 再起動後に他のユーザーをクリックし、管理者権限を持つSamba4ドメインアカウントでWindowsにログオンすれば、次のステップに進む準備が整います。

ステップ4: RSATを使用してSamba4 AD DCを管理する

14. Microsoftリモートサーバー管理ツール（RSAT）は、Samba4 Active Directoryを管理するためにさらに使用されるもので、使用しているWindowsバージョンに応じて以下のリンクからダウンロードできます。

  1. Windows 10: https://www.microsoft.com/ja-jp/download/details.aspx?id=45520
  2. Windows 8.1: http://www.microsoft.com/ja-jp/download/details.aspx?id=39296
  3. Windows 8: http://www.microsoft.com/ja-jp/download/details.aspx?id=28972
  4. Windows 7: http://www.microsoft.com/ja-jp/download/details.aspx?id=7887

Windows 10のStandaloneインストーラーパッケージをシステムにダウンロードしたら、インストーラーを実行し、インストールが完了するのを待ってから、すべての更新を適用するためにマシンを再起動してください。

再起動後、コントロールパネルを開き、> プログラム（プログラムのアンインストール）> Windowsの機能をオンまたはオフにするを選択し、すべてのリモートサーバー管理ツールを確認します。

OKをクリックしてインストールを開始し、インストールプロセスが終了したら、システムを再起動します。

15. RSATツールにアクセスするには、コントロールパネル -> システムとセキュリティ -> 管理ツールに移動します。

ツールは、スタートメニューの管理ツールメニューにもあります。あるいは、Windows MMCを開き、ファイル -> スナップインの追加/削除メニューを使用してスナップインを追加できます。

最も使用されるツール、例えばAD UC、DNS、およびグループポリシー管理は、メニューの「送信」機能を使用してショートカットを作成することで、デスクトップから直接起動できます。

16. RSAT の機能を確認するには、AD UC を開いてドメインコンピュータのリストを表示します（新しく参加した Windows マシンはリストに表示されるはずです）、新しい 組織単位 や新しいユーザーまたはグループを作成します。

Samba4サーバー側からwbinfoコマンドを発行して、ユーザーまたはグループが適切に作成されているか確認してください。

それが全てです！このトピックの次の部分では、Samba4 Active Directoryの他の重要な側面を取り上げます。それには、RSATを通じて管理できる、DNSサーバーの管理、DNSレコードの追加、逆引きDNSルックアップゾーンの作成、ドメインポリシーの管理と適用、そしてドメインユーザーのためのインタラクティブログオンバナーの作成が含まれます。

関連記事: