SAMBA (Linuc level3 300対策)

[PR]

×
[PR]上記の広告は3ヶ月以上新規記事投稿のないブログに表示されています。新しい記事を書く事で広告が消えます。

◆NetBIOSとは？
　最大16ビットの名前で、伝統的なWindowsネットワークではNetBIOSの名前によって通信先の指定が行われており、NetBIOSの名前解決機構としてWINSサーバーが提供されている。最大16バイトの名前で、16バイト目は名前の用途を示すNetBIOSの識別子として用いられれる為、実際は最大15バイトになる。15バイトに満たない場合は15バイト目までスペース文字(0x20)で詰められます。小文字を使うことも可能ですが、内部的には大文字と同一視される。

・パラメータ設定例
netbios name = SambaServer_3

　コンピューター名が「 LENOVO-B42Y」で、NetBIOSの識別子が「20」というNetBIOS名は、通常「 LENOVO-B42Y<20>」のような形式で表記されます。（nmblookupコマンドの実行例を参照）

◆NetBIOSの名前解決

　最初にNetBIOSネームキャッシュによる名前解決が行われます。NetBIOSネームキャッシュの操作を行うコマンドとしてnet cache コマンドがあります。
　ネットワーク上の各マシンでは、Bノード、Hノードといったノードタイプを設定することで、ブロードキャストとWINSサーバーへの問い合わせの順序や問い合わせ自体を実行するかどうかを制御できます。WINSサーバーが設定されていない場合は自動的にBノードになります。

・ノードタイプと動作（重要。各ノードの違いを理解する）

ノードタイプ	識別子	動作
Bノード	0x1	ブロードキャストのみで名前解決を実施
Pノード	0x2	WINSサーバーへの問い合わせのでみ名前解決を実施
Mノード	0x4	ブロードキャストの後、WINSサーバーへ問い合わせ
Hノード	0x8	WINSサーバーへ問い合わせた後、ブロードキャスト

　引き続きlmhostファイルによる名前解決が行われます。このファイルはホスト名の解決に使われるhostsファイルと同様の位置づけで、IPアドレスと対応するNetBIOS名を設定します。
　最後にNetBIOS名をホスト名とみなして、DNS、hostsファイルを使った名前解決が実施されます。

◆name resolve orderパラメータ
　Sambaでは、使用する名前解決機構とその順序を制御する為にname resolve orderというパラメータが用意されています。

・name resolve orderパラメータのデフォルトの設定
name resolve order = lmhosts wins host bcast

・name resolve orderのキーワード（重要。パラメータの引数の意味について理解する）

キーワード	説明
lmhosts	lmhostsファイルを用いた名前解決
wins	win serverパラメータで指定したWINSサーバーによる名前解決
host	ホスト名の名前解決機構（DNS、hostsファイル、NIS等）を用いた名前解決
bcast	ブロードキャストを用いた名前解決

◆WINSサーバー
　NetBIOSの名前解決におけるDNSサーバーのような存在。SambaをWINSサーバーとして必要なことは以下の設定をするだけです。なお、WINSの情報はwins.datに格納されます。

[global]
wins support =yes　　　#デフォルトはno

《注意》
WINSサーバーを指定するwins serverパラメータとWINSサーバー機能を有効化するwins supportパラメータと混合しないように注意。

〇WINSサーバーの複製設定
以下の様な内容のファイル（ファイル名仮にwinspartner.txt）を作成。

$ vi winspartner.txt
dn: CN=WINSERVER,CN=PARTNERS
objectClass: wreplPartner
address: 192.168.1.10

$ cat winspartner.txt | ldbadd -H wins_config.ldb -a　#ldbaadコマンドを使って、wins_config.ldbファイルに追記
Added 1 records successfully

$ systemctl restart smbd　　　　　#sambaのリスタートで設定が有効化。

◆ホスト名の名前解決にNetBIOS名の名前解決機構を使用する
　以下設定例

$ vi /etc/nsswitch.conf
hosts: files dns wins

◆nmblookupコマンド
　名前解決照会に使うnslookupによく似たNetBIOS名機構用の名前解決を行うことが出来るnmblookupというコマンドがあり、これを使ってNetBIOS名前解決のデバッグや確認が可能。

【書式】nmblookup [-M] [-R -U WINSサーバーのIPアドレス] NetBIOS名
　　　　nmblookup -A IPアドレス

・nmblookupの主なオプション

オプション	説明
-M	マスターブラウザを検索する
-R	問い合わせパケット中の再起検索フラグを設定する
-A IPアドレス	IPアドレスで指定されたマシンが登録しているNetBIOS名の一覧とMACアドレスを出力する
-U ユニキャストアドレス	問い合わせ先のユニキャストアドレスを指定する。WINSサーバーへの問い合わせを行う際などに使用する。

# nmblookup -A 10.0.1.1

Looking up status of 10.0.1.1

LENOVO-B42Y <20> - M <ACTIVE>　　　　　#コンピューター名

LENOVO-B42Y <00> - M <ACTIVE>

WORKGROUP <00> - <GROUP> M <ACTIVE>　　#WORKGROUP名

MAC Address = 0A-00-27-00-00-06

MAC Address = 08-00-27-C7-71-3E

◆ブラウジング機能
　Windowsで「ネットワーク」を開くと、コンピューターやワークグループ一覧が表示される。この一覧はブラウザという役割のコンピューターが保持するブラウザリストという一種の簡易データベースから取得されています。
　ブラウザにはマスターブラウザとバックアップブラウザがあり、マスターブラウザは、ブラウザリストのマスターを維持し、ブラウザとしてサービスを提供します。マスターブラウザと同じワークグループに所属する同一IPサブネット内の各マシンは、定期的にホストアナウンスメント（ローカルアナウンスメント）というブロードキャスト通信を行い、自身の存在をマスターブラウザに通知します。マスターブラウザは各IPサブネットのワークグループごと、あるいはドメインごとに一台ずつ必要。
　バックアップブラウザは、マスターブラウザから定期的にブラウザリストの情報を受け取り、ブラウザとしてのサービスを提供します。

◆ブラウザ選定
・マスターブラウザの基本的な優先度

OS	優先度
Samba	0～255
ドメインコントローラー	32
ドメインコントローラー以外のWindowsNT系マシン	16
ファイルサーバー機能を有効化しているWindows9X 系マシン	1
ファイルサーバー機能を無効化しているWindows9X 系マシン	-(マスターブラウザになれない)

数字が高いほど優先度が高い。通常はドメインコントローラーがマスターブラウザになる。
しかし、Sambaに関しては「os level」パラメータ値でこれを変更できる。例えば「os level = 33」に設定すればドメインコントローラーよりも優先度が高くなり、必ずマスターブラウザになることも、逆に「os level = 0」に設定することで優先度を裁定にする事も可能。又、以下のコマンドで、強制的にブラウザ選定を行うことも出来る。

# smbcontrol nmbd force-election

◆Sambaのブラウジング機能設定
・Sambaのブラウジング機能関連の主なパラメータ

パラメータ	デフォルト	説明
workgroup	WORKGROUP	所属するワークグループ
local master	yes	ブラウザ選定に参加するかどうか
os level	20	基本的な優先度
peferred master	auto	優先マスターブラウザとなるかどうか
domain master	auto	ドメインマスターブラウザとなるかどうか

・smb.comf設定例
workgroup = WORKGROUP
os level = 20
local master = yes
preferred master = auto
domain master = auto

・ブラウザリストの出力
　定期的にbrowse.datというファイルに書き込まれている。nmbdにHUPシグナルを送信することで、強制的にこのファイルへの書き込みを行うことも出来る。

・ドメイン構成なしに、別IPサブネット上に自ホストを表示させる設定例
[global]
remote announce = 192.168.2.255/HOME　#192.168.2.0/24というサブネット上にHOMEワークグループのマスターブラウザが存在していれば、HOMEワークグループのコンピューター一覧に、該当のSambaマシンも表示される。

◆Sambaのブラウジング関連コマンド
・smbclient -Lコマンド
　smbclient -Lコマンドは、指定したマシンの共有一覧を表示します。
【書式】smbclient [-I IPアドレス] -L コンピューター名

# sudo smbclient -L pro

Password for [NORA\root]:

Anonymous login successful

Sharename Type Comment

--------- ---- -------

print$ Disk Printer Drivers

tmp Disk

IPC$ IPC IPC Service (Samba 4.19.4)

SMB1 disabled -- no workgroup available

・findsmbコマンド

　nmblookup及びsmbclientコマンドのラッパーとして、特定のIPサブネット内にあるNetBIOSが有効なマシンの一覧を列挙します。

【書式】findsmb [ブロードキャストアドレス]

・smbtreeコマンド
　smbtreeコマンドはブラウジング機能を使ってIPサブネット内のドメイン、ワークグループや所属するマシンの情報などをツリー形式で表示します。

【書式】smbtree -N

・例題
問題集126～128頁問1～11
NetBIOSとWINS - Linux技術者認定 LinuC | LPI-Japan
NetBIOSとWINS - Linux技術者認定 LinuC | LPI-Japan
NetBIOSとWINS - Linux技術者認定 LinuC | LPI-Japan
Sambaの概念とアーキテクチャ - Linux技術者認定 LinuC | LPI-Japan

SAMBAのクライアント機能③（net）

◆net コマンド
　netコマンドは、多数のサブコマンドを提供する多機能なコマンドです。以下にLinuxマシンからリモートのWindowsマシンを操作するサブコマンドを取り上げます。

【書式】 net 共有オプション … プロトコル　サブコマンド　サブコマンド固有のオプション

□共通オプション
・netコマンドの主な共通オプション

オプション	説明
-U ユーザー名 --user ユーザー名	認証時に使用するWindowsユーザー名
-W ドメイン名 --workgroup	認証に使用するドメイン名
-I IPアドレス	接続先マシンのIPアドレス
-S サーバー名 --server サーバー名	接続先のサーバー名

□プロトコル
・プロトコルの種類

引数	説明
ads	Kerberos認証を使用する（Active Directoryが前提）
rpc	通常の認証方式を使用する。（MS-RPC）
rap	古い認証方式を使用。

□サブコマンド

・netコマンドの主なリモート管理用サブコマンド
コマンド	なし	RAP	RPC	ADS	機能
【状況表示】
net session	〇	〇	－	－	セッションの状況表示
net status	〇	－	－	－	共有アクセス状況の表示
【リモートマシン上のユーザー、グループの管理】
net user	〇	〇	〇	〇	ユーザーの追加、削除、変更など
net group	〇	〇	〇	〇	グループの追加、削除、変更など
net password member	〇	〇	〇	〇	リモートマシン上のユーザーのパスワードの変更
【リモートマシン上のファイル・プリンタ共有】
net share	〇	〇	〇	－	共有の作成、削除など
net file	〇	〇	〇	－	ファイルの使用状況の確認など
net printq	〇	〇	－	－	サーバーの印刷キューの管理
【リモートマシンの管理】
net service	〇	〇	－	－	対象マシン上で動作しているサービスの管理
net rpc abortshutdown	×	×	〇	×	対象マシンのリモートシャットダウン中断
net rpc shutdown	×	×	〇	×	対象マシンのリモートシャットダウン

□リモートマシンのユーザーの管理

# net -S WINSV2022AD -U Administrator%Passw0rd rpc user

Administrator

aduser01

aduser02

Guest

kenniti

krbtgt

kunio

・主なユーザー管理コマンド用サブコマンド

コマンド	機能
net user	該当マシン（ドメイン）上のユーザー一覧
net user info ユーザー名	ユーザーの所属グループの表示
net user add ユーザー名	ユーザーの追加
net user delete ユーザー名	ユーザーの削除
net user rename ユーザー名新しいユーザー名	ユーザー名の変更

□リモートマシンのグループ管理

# net -S WINSV2022AD -U Administrator%Passw0rd rpc group　#Windowsサーバのグループ一覧

Cloneable Domain Controllers

DnsUpdateProxy

Domain Admins

Domain Computers

Domain Controllers

Domain Guests

Domain Users
（略）

・主なグループ管理コマンド

コマンド	機能
net group	該当マシン（ドメイン）上のグループ一覧の表示
net group members グループ名	グループメンバーの一覧の表示
net group add グループ名	グループ追加
net group delete グループ名	グループ削除
net groupmember add グローバルグループ名ユーザー名	グローバルグループへのユーザー追加
net groupmember delete グローバルグループ名ユーザー名	グローバルグループからのユーザー削除

□リモートマシンの共有の管理

# net -S WINSV2022AD -U Administrator%Passw0rd rpc share　#Windowsサーバの共有一覧

ADMIN$

IPC$

kyouyuu

NETLOGON

SYSVOL

temp

民俗学研究

□まとめ

net share ：

ローカルリソースの公開や、公開した共有リソースの確認、変更、公開削除を行うためのコマンド。

net use ：

共有リソースとして公開されているネットワークドライブの確認や、共有リソースをローカルで使用するためのドライブへのマッピングの作成、削除を行うためのコマンド。

net view ：

特定のコンピューターが公開している共有リソースの一覧を調べるためのコマンド。

net file ：

公開したローカルリソースのうち、外部のコンピューターで使用されているファイルの一覧の表示、強制終了を行うためのコマンド。

net session ：

ローカルの共有リソースにアクセスしているクライアントの一覧表示や強制終了を行うためのコマンド。

net print ：

共有プリンタの情報や印刷キューの情報の表示や設定を行うためのコマンド。

例題
問題集139頁問8
Windowsクライアントの操作 - Linux技術者認定 LinuC | LPI-Japan
Windowsクライアントの操作 - Linux技術者認定 LinuC | LPI-Japan

SAMBAのクライアント機能➁(mount、smbcacls、smbcquotas、rdesktop)

◆Windowsマシンのファイル共有のマウント
□事前作業
# mkdir smb1　　　　　　#共有のマウント先を作成
# dnf install cifs-utils　　　#cifsをインストールしないとエラーになる

# mount -t cifs -o rw,user=aduser01 //WINSV2022AD/temp smb1

Password for aduser01@//WINSV2022AD/temp:

[root@pro ~]# df

ファイルシス 1K-ブロック使用使用可使用% マウント位置

devtmpfs 4096 0 4096 0% /dev

tmpfs 900988 0 900988 0% /dev/shm

tmpfs 360396 5588 354808 2% /run

/dev/mapper/almalinux-root 17141760 5136636 12005124 30% /

/dev/sda2 983040 517524 465516 53% /boot

/dev/sda1 613160 7228 605932 2% /boot/efi

tmpfs 180196 52 180144 1% /run/user/42

tmpfs 180196 36 180160 1% /run/user/0

//WINSV2022AD/temp 51709948 12044728 39665220 24% /root/smb1 #マウントを確認

# cd smb1/　　　　#以下、動作確認

# ls

test.txt testdir

# mkdir mounttest

# cd mounttest/

# touch success.txt | echo '成功！' > success.txt

# cat success.txt

成功！

Windows共有のtempフォルダ以下にmounttestフォルダが作成され、mounttest内の success.txtが作成されており、「成功！」と書かれていることを確認します。

□アンマウント

# umount smb1/

# df

ファイルシス 1K-ブロック使用使用可使用% マウント位置

devtmpfs 4096 0 4096 0% /dev

tmpfs 900988 0 900988 0% /dev/shm

tmpfs 360396 5584 354812 2% /run

/dev/mapper/almalinux-root 17141760 5132640 12009120 30% /

/dev/sda2 983040 517524 465516 53% /boot

/dev/sda1 613160 7228 605932 2% /boot/efi

tmpfs 180196 52 180144 1% /run/user/42

tmpfs 180196 36 180160 1% /run/user/0　#//WINSV2022AD/temp の行が無くなっていることを確認。

□cifsの主なオプション

オプション	説明
user=ユーザー名	認証時に使用するWindowsユーザー名
password=パスワード	認証時に使用するパスワード
domain=ドメイン名	認証時に使用するドメイン名
guest	空のパスワードを指定
credentials=ファイル名	認証時に使用するWindowsユーザー名、パスワードを格納したファイル
uid=ユーザー名	マウントしたファイル共有内のファイル、ディレクトリに設定する所有者ユーザー名もしくはUID
gid=グループ名	マウントしたファイル共有内のファイル、ディレクトリに設定する所有グループ名もしくはGID
file_mode	マウントしたファイル共有内のファイル、ディレクトリに設定するパーミッション
dir_mode	マウントしたファイル共有内のディレクトリに設定するパーミッション
noperm	パーミッションによる制御を無効化するか
setuids	新規に作成するファイル所有者や所有グループをLinuxの通常動作に準じて設定するか

□認証情報の入力
　-o userオプションで指定するユーザー名を「user=ユーザー名%パスワード」という構文を記載することで、Windowsパスワードを同時に入力することが出来ますが、credentialsオプションを指定したファイルから読み取る方が、セキュリティ的には望ましい。

# touch /etc/cifs-utils/.credentials | echo -e "user=aduser01\npassword=Passw0rd" > /etc/cifs-utils/.credentials　　　#「\n」は改行コード。改行しないと対話式ログインになってしまう。

# cat /etc/cifs-utils/.credentials　　#ユーザー名とパスワードが2行で作成されていることを確認

user=aduser01

password=Passw0rd

# mount -t cifs -o rw,credentials=/etc/cifs-utils/.credentials //WINSV2022AD/temp smb1　#パスワード抜きでログイン出来ることを確認。

# df

ファイルシス 1K-ブロック使用使用可使用% マウント位置

devtmpfs 4096 0 4096 0% /dev

（略）

//WINSV2022AD/temp 51709948 12045876 39664072 24% /root/smb1　#マウントされている事を確認。

◆リモートマシン上のアクセス許可の操作

# smbcacls -U Administrator%Passw0rd //WINSV2022AD/temp test.txt　　#Windowsサーバ上の共有ファイル「temp.txr」のアクセス許可の表示

REVISION:1

CONTROL:SR|DI|DP

OWNER:BUILTIN\Administrators

GROUP:NORA\Domain Users

ACL:NORA\Administrator:ALLOWED/I/FULL

ACL:BUILTIN\Administrators:ALLOWED/I/FULL

ACL:NT AUTHORITY\SYSTEM:ALLOWED/I/FULL

ACL:NORA\aduser01:ALLOWED/I/FULL

ACL:NORA\aduser02:ALLOWED/I/READ

◆リモートマシン上のクォーター設定の操作

# smbcquotas //WINSV2022AD/C$ -U Administrator%Passw0rd -F　#Windowsサーバ上のディスククォータの表示

File System QUOTAS:

Limits:

Default Soft Limit: 18446744073709551615

Default Hard Limit: 18446744073709551615

Quota Flags:

Quotas Enabled: Off

Deny Disk: Off

Log Soft Limit: Off

Log Hard Limit: Off

□smbcquotasコマンドの主なオプション

引数	説明
-L --list	各ユーザーのクォータ設定を表示
-F --fs	各ボリュームのクォータ設定を表示
-S クォータ設定 --set クォータ設定	各ボリュームのクォータ設定を変更

◆リモートマシンのGUIへの接続
　WindowsマシンではRDPというプロトコルにより、リモートのWindowsマシンに接続できる。RDPプロトコルはTCPポート3389番を使う。

【書式】rdesktop IPアドレス:[ポート番号] オプション

例題
問題集138~139頁問4,5,7
ファイルサービス - Linux技術者認定 LinuC | LPI-Japan
ファイルサービス - Linux技術者認定 LinuC | LPI-Japan
CIFS連携 - Linux技術者認定 LinuC | LPI-Japan
CIFS連携 - Linux技術者認定 LinuC | LPI-Japan

SAMBAのクライアント機能➀（smbclient、smbtar、smbget）

◆smbclientコマンドによるファイル伝送
□Windowsサーバ（ファイルサーバー）側の設定
・Cドライブ直下に共有フォルダ「temp」を作成
・「temp」フォルダに「aduser01」の「読み取り／書き込み」の権限を付与します。
・「temp」フォルダ内に「test.txt」ファイルを設置します。
・「temp」フォルダ直下に「testdir」フォルダを作成します。

　上記共有フォルダにLinuxクライアントからアクセスし、「test.txt」の取得及び、「testdir」フォルダに「smb.conf」ファイルを設置します。

【書式】smbclient //サーバー名/共有名 -U ユーザー名

# smbclient //WINSV2022AD/temp -U aduser01　#WINSV2022ADの共有フォルダへアクセス

Password for [NORA\aduser01]:

Try "help" to get a list of possible commands.

smb: \> get test.txt

getting file \test.txt of size 19 as test.txt (1.4 KiloBytes/sec) (average 1.4 KiloBytes/sec)

smb: \> cd testdir\

smb: \testdir\> put /etc/samba/smb.conf smb.conf

putting file /etc/samba/smb.conf as \testdir\smb.conf (26.0 kb/s) (average 26.0 kb/s)

smb: \testdir\> quit

・Linuxクライアント側でtest.txtを取得したことを確認します。

# ls

test.txt

・WindowsサーバのtestdirフォルダにLinuxクライアントから設置したsmb.confファイルが存在することを確認します。

上記確認後、次の検証のためにtestdir上の「smb.conf」ファイルを削除します。

□バッチ処理でファイル転送
　パスワード入力を自動化したうえで、-cオプションに続いて操作コマンドを記述することで、smbclientによるバッチ処理を実現できます。複数の操作コマンドを記述する場合は「;」で区切る為、「'」で囲むのを忘れないように。上記の例と同じ操作をバッチ処理で実行するには以下のようになります。

# smbclient //WINSV2022AD/temp -U aduser01%Passw0rd -c 'dir; get TEST.TXT; cd testdir; put /etc/samba/smb.conf smb.conf; quit'

. D 0 Thu Oct 24 23:49:13 2024

.. DHS 0 Thu Oct 24 23:40:36 2024

test.txt A 19 Thu Oct 24 23:36:46 2024

testdir D 0 Fri Oct 25 00:00:22 2024

12927487 blocks of size 4096. 9922252 blocks available

getting file \TEST.TXT of size 19 as TEST.TXT (3.7 KiloBytes/sec) (average 3.7 KiloBytes/sec)

putting file /etc/samba/smb.conf as \testdir\smb.conf (199.4 kb/s) (average 199.4 kb/s)

・Linuxクライアント側でTEST.TXT を取得したことを確認します。

# ls

TEST.TXT test.txt

・WindowsサーバのtestdirフォルダにLinuxクライアントから設置したsmb.confファイルが存在することを確認します。

◆Windowsマシンのプリンタ共有へ印刷
　smbclientではプリンタ共有に対する印刷も出来ます。印刷だけでなく印刷キューの制御も可能です。次の例では¥¥WINSV2022AD¥printerというWindowsマシンのプリンタ共有に対してaduser02がWindowsユーザーとして接続を行い、tiger.psというファイルを印刷します。

# smbclient //WINSV2022AD/printer -c 'print tiger.ps' -U aduser02%Passw0rd

◆smbtarスクリプトによるファイルの一括バックアップ、リストア
　smbtarはWindows共有からファイルの一括バックアップ・リストアを実施します。

□smbtarの主なオプション

オプション	説明
-r	サーバーへのリストアを指定。本オプションが指定されていない場合はバックアップ設定。
-v	冗長モード
-u ユーザー名	認証時に使用するWindowsユーザー名
-p パスワード	認証時に使用するパスワード
-s サーバー名	接続先のサーバー名
-x 共有名	接続先の共有名
-d フォルダ名	バックアップ・リストア対象のフォルダ名
-t ファイル名	バックアップ先のファイル

以下はWINSV2022AD サーバーの共有フォルダtempをbackup.tarというファイル名でバックアップを取得しています。

# smbtar -s WINSV2022AD -x temp -u aduser01 -p Passw0rd -t backup.tar

# ls

TEST.TXT backup.tar

◆smbgetコマンドによるファイルの一括転送
　smbgetはWindowsマシンの共有フォルダからファイルの一括ダウンロードを実現するコマンド。smbclientでも同様なことが出来ますが、より簡単。

【書式】smbget -R smb://ユーザー名:パスワード@サーバー名/共有名

□smbgetの主なオプション

オプション	説明
-u ユーザー名 --username=ユーザー名	認証時に使用するWindowsユーザー名
-p パスワード --password=パスワード	認証時に使用するパスワード
-w ドメイン名 --workgroup=ドメイン名	認証時に使用するドメイン名
-a guest	ゲスト認証を指定
-R --recursive	再起的にファイルを取得

【重要】smbclientとsmbgetで同じ意味を表す引数の名称や文法が微妙に異なっているので混同しないように注意。

# smbget -R smb://aduser01:Passw0rd@WINSV2022AD/temp

例題
問題集138頁問1～3,6
CIFS連携 - Linux技術者認定 LinuC | LPI-Japan

SAMBA構築⑧　Sambaの応用：ACLによる詳細なアクセス制御

◆アクセス制御方式の比較

アクセス制御方式	UNIX上のアクセス制御	Windowsクライアントからの制御	設定の難易度
共有単位での制御	×　一律に同じパーミッションで設定	×　共有単位で制御。ファイル単位では制御不可。	易
ACLによる制御	〇　ACLによる詳細なアクセス制御	△　ACLの設定可能な範囲でWindowsのアクセス許可に対応づけ	難
NTFS互換モジュールによる制御	×　アクセス許可の設定可能な範囲でACLに対応づけ。ただしUNIX上でのACL操作は想定されていない。	〇　NTFS互換のアクセス許可をサポート。	並

◆ACL設定
先ずは定義予定のグループを予め作成します。
# cd /var/lib/samba/shares/shared
# groupadd=/usr/sbin/groupadd　　　　#groupaddコマンドのパス入力メンドイので

# groupadd group

# groupadd group1

# groupadd group2

# setfacl -m group:group1:rw- test.txt　　#group1を読み書き可能に設定
# setfacl -m group:group2:r-- test.txt　　#group2を読み取り可能に設定
# setfacl -m user:user1:r-x test.txt　　　#user1ユーザーを読み取り実行可能に設定

# getfacl test.txt　　　#test.txtファイルのaclを表示。

# file: test.txt

# owner: root

# group: root

user::rw-

user:user1:r-x

group::r--

group:group1:rw-

group:group2:r--

mask::rwx

other::r--

Windowsクライアントからtest.txtの詳細を確認すると以下のようになります。

　又、マスクで設定の可能です。

# setfacl -m mask::r-x test.txt　　#マスクをr-xに設定

# getfacl test.txt

# file: test.txt

# owner: root

# group: root

user::rw-

user:user1:r-x

group::r--

group:group1:rw- #effective:r--　←パーミッションがマスクにより読み取り専用とされた

group:group2:r--

mask::r-x

other::r--

[root@smb01 shares]# mkdir dir1

# getfacl dir1/

# file: dir1/

# owner: root

# group: root

user::rwx

group::r-x

other::r-x

　
◆SamabaのACLとNTFSのアクセス許可のマッピング
　NTFSのアクセス許可ではさまざまな属性がサポートされていますが、LinuxのACLではrwxレベルの制御しか行えません。その為、NTFSのアクセス許可とLinuxのACLとでは以下の様なマッピングが行われます。

〇NTFSのアクセス許可からLinuxのACLへマッピング

NTFSのアクセス許可	LinuxのACL
変更	rwx
追加	rwx
追加と読み取り	rwx
読み取りと実行	rwx
フォルダ内容の一覧表示	r-x
読み取りと実行	r-x
読み取り	r--
書き込み	-w-

〇LinuxのACLからNTFSのアクセス許可へのマッピング

LinuxのACL	NTFSのアクセス許可
rwx	フルコントロール（acl map full controlパラメータがno）の時は「変更」にマッピングされる。
r-x	読み取りと実行／フォルダ内容の一覧表示
r--	読み取り
-w-	書き込み
--x	実行

◆NTFS互換モジュールによるNTFS互換のアクセス許可のサポート
　最近のSamabaでは、acl_xattrというモジュールによりNTFS互換のアクセスを許可によるアクセス制御がサポートされています。これはVFSモジュールを用いることで、Windowsマシンから渡されたアクセス許可の情報を、拡張属性やTDBファイルに格納出来るようになります。

例）

[aclshare]

path = /var/lib/samba/shares/aclshare

writeable = yes

vfs objects = acl_xattr　　　　　　　#NTFSアクセス許可のサポート

acl_xattr:ignore system acls = yes　　#アクセス制御の際にパーミッションやACL設定無視。
;EOF

# mkdir /var/lib/samba/shares/aclshare

# chown user1:root /var/lib/samba/shares/aclshare

# chmod 700 /var/lib/samba/shares/aclshare

# systemctl restart smb.service

　上記設定後、Windowsマシンでaclshareへアクセスし、user1でログイン後、aclshare共有フォルダの詳細を確認すると以下のようになります。

上記画面で「編集」をクリックします。

上記画面で「SYSTEM」のアクセス許可に「フルコントロール」にチェックし、同じように「user1」も同じチェックをし、「OK」をクリック。

上記メッセージが表示されたら「はい」をクリック。

　これにより、管理ユーザーとSYSTEMのアクセス許可が「フルコントロール」になり、かつアクセス許可の許可といったNTFS固有の設定も適切に設定されます。
　以降、通常のWindowsサーバのファイル共有と同様に、アクセス許可の設定を行うことが出来ます。

例題
問題集76頁11,12
Linuxファイルシステムと共有/サービスのパーミッション - Linux技術者認定 LinuC | LPI-Japan

SAMBA構築⑦　Sambaの応用：プリンタ共有の設定

◆Sambaによるプリンタ共有の概念
Sambaでは
①Windowsクライアントから印刷データの送信
②Sambaサーバーで一時ファイルとして保存。
③lprなどの印刷コマンド、或いはUNIXの印刷機構（CUPS）に引き渡し。
④プリンタで印刷
この様な手順で行われる為、予め③に相当するUNIX側の印刷機構を設定しておく必要があります。
なお、印刷コマンドの代わりに任意のコマンドを指定することで④として印刷以外の様々な処理を実現することも機能上としては可能。

◆プリンタ共有の設定
〇基本的なプリンタ共有の設定の例

[printer1]　　　　　　　　#プリンタ共有名
printable = yes　　　　　#このセクションがプリンタ共有であることを示す(出題しそう)
printer name = prn1　#printersセクションで読みこまれるprintcapファイル名がデフォルト以外の場合、指定
printing = cups　　　　　#UNIX側の印刷機構の指定(出題しそう)
use client driver = yes　　#エラーメッセージ出力を抑制。自動ドライバインストールするならno
path = /var/spool/samba 　#一時ファイルの保存場所
hosts allow = 10.0.1.0/255.255.255.0　#IPアドレスによるアクセス制御
;EOF

# mkdir -p /var/spool/samba
# chown 1777 /var/spool/samba
# systemctl restart smb.service

次にWindowsクライアントから共有フォルダにアクセスすると以下の様にプリンタ共有が表示される。

このアイコンをクリックすると以下のメッセージが表示されるので、手動で適切なドライバをインストールします。

◆プリンタドライバの自動ダウンロード
　実現するにはダウンロードすべきドライバを格納する共有として、「print$」というファイル共有を作成し、更にpathパラメータで指定したディレクトリの下に、あらかじめWIN40、W32X86といったディレクトリを作成しておきます。
　Windowsマシンに配布するドライバをアップロードするユーザーは、printer adminパラメータにプリンタ管理者として設定しておく必要があります。加えて、ユーザーがこの共有内にファイルの書き込み権限が必要。SetPrintOperatorPrivilegeというユーザー権利を付与したユーザーで作業を行うことも出来ます。

　Samaba設定終了後、Windowsクライアントからプリンタの権限があるユーザーがSamabaにアクセスし、「Samba Printer Port（Local Port）」のプリンタポートを選択し、ドライバをインストールします。

　インストール完了後、用紙設定などの詳細設定を行うとプリンタ設定などの情報はntprinters.tdb、プリンタドライバの情報はdrivers.tdbといったファイルに格納され、Samabaサーバ上で保管されます。

例題
問題集76頁問13,14
LPIC202 模擬試験17 | touch-q問題66
プリントサービス - Linux技術者認定 LinuC | LPI-Japan
プリントサービス - Linux技術者認定 LinuC | LPI-Japan
プリントサービス - Linux技術者認定 LinuC | LPI-Japan
SAMBA構築⑥　Sambaの応用：一歩進んだファイル共有の設定

◆ゲスト認証によるファイル共有へのアクセス
　WindowsにはGuestという特殊ユーザーが必ず存在しており、Guestユーザーを有効にすると、該当サーバー上に存在しないユーザーとしてアクセスした際に、自動的にGuestユーザーとして認識されます。これを便宜上ゲスト認証と言います。

⑴ゲスト認証の有効化とmap to guest パラメータ
　Sambaでもmap to guestパラメータの設定により、ゲスト認証を有効化出来ます。

[global]
map to guest = bad user　　#デフォルトは「never」でゲスト認証無効。「 bad user」で有効化。
guest account = nobody　#指定したユーザーとしてアクセスが行われる。デフォルトは「nobody」。

「map to guest = bad user」を設定することで、Sambaサーバーに対するゲスト認証が有効となります。しかし、セキュリティ上ゲスト認証による各ファイル共有へのアクセスは禁止されています。
　ゲスト認証によるファイル共有へのアクセスを許可するには、以下の様な設定を各ファイル共有で設定します。

[share3]
guest ok = yes　　#ゲスト認証に成功したユーザーはゲストとして共有内リソースへアクセス。
guest only = yes　　#全てのアクセスをゲスト認証として扱う。

例）誰でもアクセス可能な共有ファイル
# vi /etc/samba/smb.conf
; simple smb.conf file for checking
[global]
map to guet = bad user

[tmp]
path = /tmp
guest ok = yes

;EOF

例）ダウンロード用のファイルの共有

[global]

map to guest = baduser　　　　#Sambaユーザーが存在しない場合でもゲスト認証可能。

[public]

path = /var/lib/samba/shares/public

guest ok = yes

writeable = no

writelist = @publicadm　　　　#publicadmグループ書き込み可能

force create mode = 664

force directory mode = 775

force group = publicadm

;EOF

　publicadmグループに所属するユーザーが誰でもファイルを更新出来るようにpublicディレクトリを作成します。

# mkdir -p /var/lib/samba/shares/public

# groupadd publicadm

# chgrp publicadm /var/lib/samba/shares/public/

# ls -l /var/lib/samba/shares | grep -i publicadm

drwxr-xr-x 2 root publicadm 6 10月 9 18:29 public
# systemctl restart smb.service

◆ファイルやディレクトリの表示禁止
　Sambaでファイル共有を構築すると、デフォルトではpathパラメータで指定したディレクトリ以下のファイルをWindowsから閲覧可能になり、場合により制御のファイルが表示されたり、ファイルの内容をみせたくないといったケースも想定されます。
　また、誤って.exeファイルを実行することを避けたい場合、等、veto files パラメータを使用することで、指定の名前やディレクトリの作成やアクセスそのものを禁止させることが出来ます。

例）
veto files = /.?*/*.exe/*damedame*/　　#禁止したいファイルは「/」で区切り。ファイル名にはワイルドカード文字「?」「*」が使用可能。

　上記の場合、
・.（ドット）から始まる2文字のファイル
・拡張子が「.exe」ファイル。
・ファイル名途中に「damedame」が含まれるファイル
のアクセスや表示を禁止します。

・veto filesパラメータ無しの場合。

・veto filesパラメータを設定した場合。

・.exeファイルを共有ディレクトリにコピーしようとしてもエラーが発生して失敗する。

・特殊ファイルの表示、読み取り禁止。
/tmpや/devなどに共有を設定した場合、特殊ファイルの表示を防ぐ。

hide special files = yes　　　#FIFO、ソケットなどの表示、アクセス禁止

・アクセス権の無いファイルの表示、読み取り禁止。

hide unreadable = yes　　　　#読み取り権の無いファイル一覧が表示されなくなる。

◆ファイル属性
　WindowsにはUnixのファイルシステムには無い概念としてファイル属性という概念があります。例えばThums.dbやdesktop.iniといったシステムが使用するファイルを一般ユーザーから隠すために使われています。

〇ファイル属性一覧
属性：略字：意味
読み取り専用：R：ファイルを読み取り専用にする
アーカイブ：A：ファイルがバックアップ済みか如何かの情報を保持する。主にバックアップツールが用いる。
隠しファイル：H：ファイル一覧で表示されないようにする。主にシステムが利用するファイル。
システムファイル：S：ファイルシステムの使用するものであることを明示する。
ディレクトリ：D：ディレクトリであることを示す特殊な属性
属性なし：N：属性が設定されていないファイル。便宜上の属性。

〇拡張属性を用いたファイル属性の有効化
　Sambaのデフォルトでは、読み取り専用属性とアーカイブ属性のみがサポートされ、その他のファイル属性は無視されます。ファイル属性に関するデフォルトのパラメータは以下になります。

map archive = yes　　#アーカイブ属性のマッピングを行う。
map hidden = no　　　# 隠し属性のマッピングは行わない。
map system = no　　　#システム属性のマッピングは行わない。

　又、最近のSambaではExtend Attributes（拡張属性）という領域にファイル属性の情報を格納する機能がサポートされており、store dos attributes パラメータで有効化が可能で、上記よりもこちらの使用が推奨されています。

store dos attributes = yes　　#拡張属性にファイル属性を格納を有効化する。

　「store dos attributes」を有効化すると上記の「map ~」が無効化される。

◆時刻精度とディレクトリの作成時刻をWindows互換にする。
　WindowsとUnixのファイルシステムでは、ファイルシステム中の時刻情報の扱いに差があります。その為、Samba共有上にVisual Studioのビルド環境などを置く場合は、以下の様な設定を行わないと不具合（再コンパイル不要なファイルが毎回再コンパイル）が生じます。

dos filetime resolution = yes　　　　#2秒単位というFAT互換の精度の低い時刻分解能のサポート
fake directory create times = yes　　#ディレクトリの作成時間が常に1980年1月1日で返される。

◆シンボリックリンクの追跡
　UNIXでは、シンボリックリンクを作成することで、ファイルやディレクトリが実際の名前、パスと別の名前、パスで存在するかのように扱う手法が広く使われています。

　便利な機能ですが、ファイル共有外へのシンボリックリンク作成を許可してしまうとサーバー内の任意のパスが実質的に共有されてしまい、セキュリティ上好ましくない面もあるため、Sambaのデフォルトでは同一ファイル共有内へのシンボリックリンクのみが有効となっています。

　ファイル共有内に、ファイル共有外へのシンボリックリンクを作成したうえで、Windowsクライアントからアクセスしようとしても、エラーになりシンボリックリンクを辿ることは出来ません。

　何らかの理由でファイル共有外へのシンボリックリンクを有効したい場合は以下の設定を行います。

wide links = yes
allow insecure wide links = yes

　ファイル共有内へのシンボリックリンクを含め、Sambaのシンボリックリンクの解析を全面的に無効にするには以下のパラメータの設定を行います。

follow symlinks = no　#共有内を含め、シンボリックリンクのリンク先へのアクセスを全面禁止。

◆VFSによるファイル共有の機能拡張
　Sambaではファイルシステムへのアクセスを仮想化するVFSという機能が実装されています。VFSモジュールを使うことで、Sambaが行うほぼすべてのファイル操作に対して、処理のフックや代替処理の呼び出しなどが可能になります。

〇主なVFSモジュール( vfs objects = ・・・形式）
モジュール名：機能
acl_tdb：NTFS情報をTDBに格納することでNTFS互換アクセス許可。
acl_xattr：NTFS情報を拡張属性に格納することでNTFS互換アクセス許可。
audit：簡単な監査機能。ユーザーのアクセスログ機能（syslogへ出力）
extd_audit：ユーザーのアクセスログ機能（syslog+Sambaのログへも出力）
full_audit：auditモジュールよりも詳細なログを出力
recycle：ごみ箱機能
shadow_copy：ボリュームシャドウコピー機能。
vscan-fsav：ウィルススキャン機能。

例1）ごみ箱機能の有効化
[home]
vfs objects = recycle　　　　　#ごみ箱機能の有効化

recycle : keeptree = yes　　　#ディレクトリの構造を保持する。
recycle : version = yes　　　　#同一ファイル名のファイルを上書きしない。
recycle : touch = yes　　　　　#ごみ箱に入れたファイルの最終アクセス時刻を更新する。
recycle : maxsize = 20000000　#指定したサイズよりも大きなファイルはごみ箱に入らず削除。
recycle : exclude = *.tmp ~$*　　#ごみ箱に入れないファイルの指定。ここでは一時ファイル（*.tmp）やWordが生成する一時ファイルがごみ箱に入らず即時に削除される。

例2）アクセスの監査
[shared]
vfs objects = full_audit
full_audit : facility = local1

上記設定をした場合、rsyslog.confファイルに次のような行を追加する。
# vi /etc/rsyslog.conf
;*.info;mail.none;authpriv.none;cron.none /var/log/messages　#以下の内容に変更
*.info;local1.none;mail.none;authpriv.none;cron.none /var/log/messages
local1.*　　/var/log/samba/audit.log　　　#local1のファシリティログを適切なファイルに出力。
;EOF

# touch /var/log/samba/audit.log
# systemctl restart rsyslog.service smb.service

# systemctl is-active rsyslog.service smb.service

active

active

# tail -f /var/log/samba/audit.log　　　　#ログが書き込まれるハズ？

例題
問題集75頁問7,10,11
ファイルサービス - Linux技術者認定 LinuC | LPI-Japan
Linuxファイルシステムと共有/サービスのパーミッション - Linux技術者認定 LinuC | LPI-Japan
ユーザアカウントとグループアカウントの管理 - Linux技術者認定 LinuC | LPI-Japan
SAMBA構築⑤　Sambaの応用：ファイルサーバー

◆ファイル共有の基本
⑴単にファイル共有するだけの場合。
# vi /etc/samba/smb.conf

[share1]

path = /var/lib/samba/shares/share1

read only = No　　　#或いは「writeable = yes」も同じ
;EOF

# chmod 1777 /var/lib/samba/shares/share1

# echo test > /var/lib/samba/shares/share1/test.txt
# systemctl restart smb.service

　この場合、Windowsクライアントからアクセスすると以下の様になる。

⑵共有一覧における表示制限
# vi /etc/samba/smb.conf

[share1-2]

path = /var/lib/samba/shares/share1

comment = %S on %L　　　　　　#共有名とNetBIOS名をコメントに表示。

[share1-3]

path = /var/lib/samba/shares/share1

browseable = no

[share1-4$]

path = /var/lib/samba/shares/share1
;EOF

# systemctl restart smb.service

この場合、Windowsクライアントからアクセスすると以下の様になる。

　share1-3は「browseable = no」、share1-4$は「$」で隠し共有となっている為表示されません。
　上記表示を詳細に変えると以下になります。

　share1-2はcommentパラメータを設定している為、コメントが表示され、それはSamba変数も使用可能です。

⑶複数用のファイル共有

# vi /etc/samba/smb.conf

[shared]

path = /var/lib/samba/shares/shared

hosts allow = 10.0.1.0/255.255.255.0

writeable = no

write list = @project1

valid users = @project1 @users

writeable = yes

force group = project1　　　　#所有グループは必ずproject1になる

force create mode = 664　　　#ディレクトリ内に新規に作成されるファイルは必ず644

force directory mode = 775　　#ディレクトリ内に新規に作成されるディレクトリは必ず775
;EOF

# mkdir -p /var/lib/samba/shares/shared

# groupadd project1

# chgrp project1 /var/lib/samba/shares/shared

# chmod g+w /var/lib/samba/shares/shared

# ls -l /var/lib/samba/shares | grep -i shared

drwxrwxr-x 2 root project1 6 10月 8 18:04 shared

　複数ユーザー用のファイル共有において、
①ファイル（ディレクトリ）へのアクセス、作成、編集時に適用される所有グループが常に一定になる。
②作成、編集したファイル（ディレクトリ）に対して常に所有グループの書き込み権が設定される。
という設定を行います。
　①の設定を行うにはforce groupというパラメータがあり、このパラメータによりファイル共有内ファイルやディレクトリへのアクセス、作成、編成時に強制的に適用される所有グループを指定できます。

　②の設定を行うにはforce create mode と force directory mode パラメータを使用します。両パラメータにより、ファイル共有内に新規に作成するファイルやディレクトリに特定のパーミッションを強制的に設定することが出来ます。

⑷最低限の複数ユーザー用ファイル共有の設定
# vi /etc/samba/smb.conf

[global]

#文字コード関連の設定

dos charset = CP932

# ホームディレクトリの共有設定

[home]

browseable = no

writeable = yes

# 複数ユーザー用のファイル共有設定

[shared]

path = /var/lib/samba/shares/shared

writeable = yes

force group = project1　　　　　#ファイルやディレクトリ作成時のグループはproject1になる。

force create mode = 664　　　　#create mask = 664 と同じ

force directory mode = 775　　　#directory mask = 775 と同じ

;EOF

# useradd user1

# pdbedit -a user1

# useradd user2

# pdbedit -a user2
# systemctl restart smb.service

続いてWindowsクライアントからuser1でSAMBAサーバーの共有フォルダにアクセスします。

（前回共有フォルダへログオンしたユーザーのアクセスした情報が残っておりユーザー変更出来ない？

具体的には

# smbstatus

Samba version 4.19.4

PID Username Group Machine Protocol Version Encryption Signing

----------------------------------------------------------------------------------------------------------------------------------------

2109 testuser1 testuser1 10.0.1.1 (ipv4:10.0.1.1:63781) SMB3_11 - partial(AES-128-CMAC)

Service pid Machine Connected at Encryption Signing

---------------------------------------------------------------------------------------------

No locked files

# smbcontrol 2109 close-share shared　　#←smbcontrol <dest> close-share <sharename>なので

これでセッション切断できなかった
smbstutsを確認しながら何回か試す。

# smbstatus

Samba version 4.19.4

PID Username Group Machine Protocol Version Encryption Signing

----------------------------------------------------------------------------------------------------------------------------------------

Service pid Machine Connected at Encryption Signing

---------------------------------------------------------------------------------------------

No locked files

これでもログオン情報を覚えているのでWindowsクライアントから
net use \\10.0.1.12\ /USER:user

これでもダメだった

暫く経つとセッションアウトになってた……。仮想マシンとPC両方シャットダウンすれば情報は消えた。）

user1でWindowsクライアントからsharedフォルダへアクセスし、user1フォルダを作成します。

作成したuser1フォルダ内にuser1.txtを作成します。

続いてuser2でSambaサーバーのsharedフォルダにアクセス出来ることを確認し（仮想マシンとPCシャットダウンしてから？）

user1.txtが編集出来ることを確認します。

user1フォルダの中でuser2フォルダを作成出来ることを確認し

user2フォルダの中でuser2.txtを作成出来ることを確認します。

これをUnixサーバー側から確認すると以下のようになります。

# ls -lR /var/lib/samba/shares/shared/

/var/lib/samba/shares/shared/:

合計 0

drwxrwxr-x 3 user1 project1 36 10月 9 01:24 user1

/var/lib/samba/shares/shared/user1:

合計 4

-rwxrw-r-- 1 user1 project1 5 10月 9 01:18 user1.txt

drwxrwxr-x 2 user2 project1 23 10月 9 01:28 user2

/var/lib/samba/shares/shared/user1/user2:

合計 0

-rwxrw-r-- 1 user2 project1 0 10月 9 01:28 user2.txt

　先程定義した通り、全てのファイル、ディレクトリの所有グループがproject1になっており、書き込み権が設定されていることが確認出来ます。

⑸共有単位のアクセス制御
◆一部のIPアドレスからアクセスのみ許可する。
・ネットワークアドレス（x.x.x.x）／サブネットマスク(x.x.x.x)
・x.x.x.x(特定ホストを指定する場合)

〇設定例
hosts allow = 192.168.1.0/255.255.255.0 192.168.10.1

・hosts allowパラメータ：複数の条件を列挙して指定できる。
　また、EXCEPTというキーワードを設定することで、192.168.1.0/24の範囲のIPアドレスからのアクセスを原則許可するが、192.168.1.1からのアクセスは例外として拒否するといった要件を実現出来る。以下設定例。

hosts allow = 192.168.1.0/255.255.255.0 EXCEPT 192.168.1.1

　hosts deny パラメータも文法は同じ。hosts allowとhosts denyの両方から指定されたIPアドレスはアクセス拒否されます。

⑹ファイル共有にアクセス可能なグループを制御する
　valid usersパラメータにより、共有アクセス可能なユーザーの制限が出来ます。
　以下、共有アクセス可能なユーザーを、test1、project1グループのメンバー、usersグループのメンバーに限定する設定。

vaild users = @project1 +users test1　　#グループ名を指定する場合は名前の前に「+」か「@」

　逆に拒否するパラメータは、Invalid usersで、このパラメータで設定されたユーザーやグループは例え vaild usersが設定されていてもアクセス拒否されます。

⑺一部のユーザー、グループに対してのみ書き込みを許可する。
　write listパラメータにより、一部のユーザーやグループのみ書き込みを許可するファイル共有を作成することも出来ます。

writeable = no
write list = test1 @project1　　　#valid usersパラメータと同じ。

writeable = noとwrite listを設定することでユーザーtest1及びproject1グループは書き込み。それ以外のユーザーは読み込みのみ可能となります。

⑺複雑なアクセス制御
writeable = no
write list = @project1

valid users = @project1 @users

　上記の設定でvalid usersにより共有フォルダへアクセス出来るのはproject1とusersグループのメンバーに制限されています。さらに「writeable = no」の設定とwrite listパラメータによりproject1メンバーのみ書き込み可能になっており、次の様なアクセス制御が実現されています。

・project1グループのメンバー：書き込み
・usersグループのメンバー：読み込み
・その他のメンバー：アクセス拒否

⑻ホームディレクトリの一括共有
　homeセクション設定により、各ユーザーのホームディレクトリを一括で共有可能。Sambaサーバーにアクセスすると自分のホームディレクトリが自分のユーザー名の共有として、自動的に共有一覧に表示されます。
　典型的なhomesセクションの設定例は以下になります。

[homes]
browseable = no　#homesセクションでは必ず設定。しても自分のホームディレクトリは表示
writeable = yes　　#自分のホームディレクトリに書き込みする為通常はyes
valid users = %S　#共有名の変数。共有名がユーザー名になるので、例えばuser1がアクセスすると、valid users = user1 になるので、結果自分以外のホームディレクトリへのアクセスが禁止になる。

例題
問題集72～75頁　問1～6,8
Linuxファイルシステムと共有/サービスのパーミッション - Linux技術者認定 LinuC | LPI-Japan
Linuxファイルシステムと共有/サービスのパーミッション - Linux技術者認定 LinuC | LPI-Japan
Linuxファイルシステムと共有/サービスのパーミッション - Linux技術者認定 LinuC | LPI-Japan
Linuxファイルシステムと共有/サービスのパーミッション - Linux技術者認定 LinuC | LPI-Japan
ユーザアカウントとグループアカウントの管理 - Linux技術者認定 LinuC | LPI-Japan
Sambaを設定する - Linux技術者認定 LinuC | LPI-Japan
SAMBA構築④　Sambaの応用設定：認証

◆SambaユーザーとUNIXユーザーのパスワードは別々に管理されますが、設定を行うことで、片方のパスワードを変更した時に、もう一方のパスワードを自動的に変更させることが出来ます。

・UNIXユーザーのパスワードをSambaユーザーのパスワードと同期させる

＊出題しそう
# vi /etc/samba/smb.conf

unix password sync = yes　　#Sambaユーザーの認証情報の変更に同期してUNIXパスワードも変更

pam password change = yes　#一般ユーザーがSambaユーザーのパスワード変更に成功した時点で、PAMによりUNIXユーザーのパスワード変更が行われる。

◆ユーザーのマッピング
　Windowsクライアントから送信されたWindowsユーザーに対応するSambaユーザーを別の名前にせざるを得ない場合（例えば、Windowsユーザーがスペースの入ったユーザー名を利用している場合や8バイトよりも長いユーザー名を用いている場合等）、username mapパラメータを用いることでWindowsユーザーのユーザー名と異なる名前のSambaユーザーを対応付けることが可能。

・WindowsユーザーとSambaユーザーのマッピング設定
# vi /etc/samba/smb.conf
username map = /etc/samba/smbusers　#WindowsユーザーとSambaユーザーのユーザー名を対応付けるファイルのフルパス

# vi /etc/samba/smbuser　　　#smbuserファイルの作成

# Unix_name = SMB_name1 SMB_name2 ...

!takashi = "タカシ"　　# 先頭の「!」があるとその行にマッチした時点で以降の行の解析をしない

testuser1 = "TEST user1"　　#空白を含むユーザー名は前後を「”」で囲む。

testbuser2 = smbuser_two
guest = *　　　　　　　　　　#「*」は任意のユーザー

　上記の場合、例えばWindowsユーザーが「TEST user1」というユーザー名でアクセスした場合、Sambaサーバー上では「testuser1」というSambaユーザーの認証情報を使って認証が行われる。

例題
問題集　88頁問5,6
LPIC202 模擬試験16 | touch-q問題62
SAMBA構築③　基本的なSambaユーザー管理

◆Sambaの認証処理の流れ
WindowsクライアントからSambaサーバー上の共有ファイルへアクセス処理する時の流れ

①Windowsユーザー名と、ユーザーと入力したパスワードをWindows形式でハッシュ化した認証情報がSambaサーバーに送付される。

②SambaはWindowsユーザーと同じ名前のSambaユーザーを検索し、見つかった場合は該当Sambaユーザーの認識情報を参照し、認証処理を行う。

③続いてSambaユーザーと同じ名前のUNIXユーザーを/etc/passwdファイルなどから検索し、見つかった場合はユーザーID（UID）情報（1000等）やGID情報を取得する。/etc/shadowファイルなどに格納されているUNIXユーザーのパスワード情報は参照されない。

④最終的にUID、GID情報を使ってSambaサーバー上のファイルにアクセスする。ファイルに最適なパーミッションが付与されていない場合、アクセス拒否される。

◆Sambaユーザーの管理
　smbpasswdが使われていたが、現在では基本的にpdbeditコマンドで行う。

・pdbeditコマンドのオプション
-a / --create Sambaユーザー名　　#Sambaユーザーの追加
-x / --deleate Sambaユーザー名　　#Sambaユーザーの削除
-t / --password-from-stdin　　　　　#パスワードのパッチ入力
-L / --list　　　　　　　　　　　　#Sambaユーザーの一覧
-w / --smbpasswd-style　　　　　　#smbpasswd形式での表示
-P アカウントポリシー変更
-i 移行元認証データベース -e 移行先認証データベース　#smbpasswdファイルからTDBファイルへ移行
（例）
# pdbedit -i smbpasswd:/etc/samba/smbpasswd -e tdbsam:/usr/local/samba/private/passwd.tdb

　 pdbeditは最後のコマンドは出題されそう。

・smbpasswdコマンドの主なオプション
-a Sambaユーザー名　　　　#Sambaユーザーの追加（実行後、パスワードも設定する）
-x Sambaユーザー名　　　　#Samba ユーザーの削除
-e Sambaユーザー名　　　　#Samba ユーザーを有効化
-d Sambaユーザー名　　　　#Samba ユーザーを無効化

◆Sambaユーザーの作成、削除を実行
# useradd -m test1　　#UNIXユーザーtest1作成。test1ホームディレクトリも作成。（パスワード設定不要）

# pdbedit -a test1　　　#Sambaユーザーのtest1作成。

new password:　　　　#パスワード入力

retype new password:　　#再度パスワード入力

Unix username: test1

NT username:

Account Flags: [U ]

（中略）

Last bad password : 0

Bad password count : 0

Logon hours : FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF

・バッチ処理などでSambaユーザーのパスワードを自動入力する場合。
# printf "password\npassword" | pdbedit -a test1 -t　　　#2回目パスワード自動入力前にnが必要

# pdbedit -x test1　　　#Sambaユーザーのtest1削除

# userdel test1　　　　#UNIXユーザーのtest1削除

◆Sambaユーザーのパスワード変更実行

[root@smb01 ~]# su - test1　　　　#作成したtest1でログイン

[test1@smb01 ~]$ smbpasswd　　　#一般ユーザーの場合ユーザー名は指定しない。

Old SMB password:

New SMB password:

Retype new SMB password:

Password changed for user test1

＊パスワードの変更はWindowsのサインイン画面でも可能

◆Sambaユーザーの無効化と有効化

# smbpasswd -d test1

Disabled user test1.

# smbpasswd -e test1

Enabled user test1.

◆Sambaユーザーの情報確認

# pdbedit -Lw

test1:1001:XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX:8744D1C199D3496CABCD34EC43B423DB:[U ]:LCT-6702DDCA:

例題
問題集88～90頁　問1,4
ユーザアカウントとグループアカウントの管理 - Linux技術者認定 LinuC | LPI-Japan
ユーザアカウントとグループアカウントの管理 - Linux技術者認定 LinuC | LPI-Japan

プロフィール

HN：

のらくら

性別：

非公開

自己紹介：

介護と自身の手術でブランクが出来たインフラエンジニアの学習メモ。VirtualBOXで仮想サーバーを建て、GNS3でCiscoルーター＆スイッチによるネットワークのエミュレーションもしています。GNS3ネットワーク内に仮想サーバーと連携させて、実際のネットワーク環境におけるサーバーをシミュレートする他、LinuC level3 300の対策もしています。

SAMBA (Linuc level3 300対策)

プロフィール

カテゴリー

最新記事

RSS

リンク

P R