ブランクがあるインフラエンジニアの備忘録

◆net コマンド
　netコマンドは、多数のサブコマンドを提供する多機能なコマンドです。以下にLinuxマシンからリモートのWindowsマシンを操作するサブコマンドを取り上げます。

【書式】 net 共有オプション … プロトコル　サブコマンド　サブコマンド固有のオプション

□共通オプション
・netコマンドの主な共通オプション

オプション	説明
-U ユーザー名 --user ユーザー名	認証時に使用するWindowsユーザー名
-W ドメイン名 --workgroup	認証に使用するドメイン名
-I IPアドレス	接続先マシンのIPアドレス
-S サーバー名 --server サーバー名	接続先のサーバー名

□プロトコル
・プロトコルの種類

引数	説明
ads	Kerberos認証を使用する（Active Directoryが前提）
rpc	通常の認証方式を使用する。（MS-RPC）
rap	古い認証方式を使用。

□サブコマンド

・netコマンドの主なリモート管理用サブコマンド

コマンド	なし	RAP	RPC	ADS	機能
【状況表示】
net session	〇	〇	－	－	セッションの状況表示
net status	〇	－	－	－	共有アクセス状況の表示
【リモートマシン上のユーザー、グループの管理】
net user	〇	〇	〇	〇	ユーザーの追加、削除、変更など
net group	〇	〇	〇	〇	グループの追加、削除、変更など
net password member	〇	〇	〇	〇	リモートマシン上のユーザーのパスワードの変更
【リモートマシン上のファイル・プリンタ共有】
net share	〇	〇	〇	－	共有の作成、削除など
net file	〇	〇	〇	－	ファイルの使用状況の確認など
net printq	〇	〇	－	－	サーバーの印刷キューの管理
【リモートマシンの管理】
net service	〇	〇	－	－	対象マシン上で動作しているサービスの管理
net rpc abortshutdown	×	×	〇	×	対象マシンのリモートシャットダウン中断
net rpc shutdown	×	×	〇	×	対象マシンのリモートシャットダウン

□リモートマシンのユーザーの管理

◆Windowsマシンのファイル共有のマウント
□事前作業
# mkdir smb1　　　　　　#共有のマウント先を作成
# dnf install cifs-utils　　　#cifsをインストールしないとエラーになる


□アンマウント


□認証情報の入力
　-o userオプションで指定するユーザー名を「user=ユーザー名%パスワード」という構文を記載することで、Windowsパスワードを同時に入力することが出来ますが、credentialsオプションを指定したファイルから読み取る方が、セキュリティ的には望ましい。

# mount -t cifs -o rw,credentials=/etc/cifs-utils/.credentials //WINSV2022AD/temp smb1　#パスワード抜きでログイン出来ることを確認。

◆メールの問題の切り分け
□送信と受信
　メールは、送信と受信で異なるプロトコルを使っています。そのため、トラブルの原因を分析する際は、送信トラブルか受信トラブルかを区別します。メールソフトの多くは、ワンタッチで送信と受信を行えるようになっているので、一見すると区別がつきませんが、エラーメッセージを確認するといずれのエラーかを区別出来ます。
　受信と送信の両方に異常がある場合は、メール受信を先に復旧させます。その理由は２つあります。
　1点目は、メール送信でPOP before SMTPを利用している場合があるからです。この場合、メールを送信するには、メール受信の処理で正常に認証される必要があります。
　2点目は、運用面での問題回避の為です。メール送信は、その内容に問題がなければ他の人が代わって送ってもらうことも可能ですが、メール受信は必ず本人のメールアカウントでなければ受信できません。

□エラーが発生する処理の特定
　トラブルの原因分析の際は、メール処理の流れをイメージします。

　前段階の処理の成功が確認できていない状態で、後の処理を調査しても意味がありません。例えば、メールアカウントやパスワードをチェックする前に、メールサーバーへの接続は必ず確認されている必要があります。

□認証関係
　メールサーバーに接続できても、IDやパスワードの誤りによってエラーとなる場合があります。メールサーバーに接続する為のIDを、メールアドレスまたは回線に接続するためのIDと誤っている場合があります。またメールアドレスをIDとして利用する場合も、”@”以降を付ける場合と付けない場合があります。まず、正確なIDやパスワードを使っているのかを確認します。
　また、付加的な認証機能についても注意します。具体的には次の点がメールサーバーに合っているかを確認します。
●APOP
●SMTP認証
●POP before SMTP

□メールのサイズ
　メールサーバーによって、扱える最大サイズが異なります。ファイルを添付する場合には注意が必要です。特に受信メールサーバーは、サイズ超過を通知しないことが多いので注意します。受信メールサーバーが通知しないのはDoS攻撃対策の為です。
　送信時のサイズの見積もりにも注意が必要です。ファイルはそのままの形ではメールに添付することはできません。そのため、添付可能な形に変換されます。このときにサイズが膨らみます。したがって、上限に近いサイズのファイルは送信できなくなります。

□文字化け
　文字化けが発生している場合は、大半はコード系のミスマッチが原因です。コード系とは、文字を内部形式で表現する方式のことです。コード系が異なれば、同じ文字でも内部的に表現される数値が異なります。たとえば「愛」は、シフトJISコードでは16進数の88A4、EUCコードではA6B0 となります。通常は、メールソフトがコード系を自動的に判断しています。この自動判定がうまくいかないと、文字化けが発生します。このような場合は、メールソフトでコード系を変更すると、正常に表示できます。

◆インターネット接続の問題の切り分け
□近くから遠くへの原則
　インターネット接続の異常を調べる際には、近くから遠くへの原則が特に重要になります。インターネットを利用したネットワークでは、組織内や家庭内のネットワークに原因があるのか、インターネットに原因があるのかという点から切り分けを始める必要があります。インターネットが原因であると判断する為には、まずLANが正常であることが前提になります。家庭での利用であれば、ルーターとパソコンの接続がLANに相当します。

□正常な範囲の確認
　まず、正常に動作している範囲を正確に把握します。正常な範囲を特定するだけでも原因分析が進むこともあります。例えば、ネットワーク内に複数のパソコンがある場合は、1台でもインターネット接続できれば、ルーターの全般的な設定や回線は正常です。

□性能の問題
　性能に関するトラブルには、tracertコマンドが役立ちます。tracertコマンドは、宛先までのネットワーク経路を表示するコマンドです。

　途中で経由するIPアドレスの他に、応答時間がミリ秒単位で表示されています。応答時間が３つ表示されているのは、1回だけの測定では誤差があるので3回測定しているためです。もし、応答時間が急増しているポイントがあれば、そこが性能を低下させている原因です。このように、全体の性能を低下させている原因をボトルネックと呼びます。
　ボトルネックが回線やインターネットの中にあれば、技術的対処は出来ません。ボトルネックがISPのルーターならば、ISPに性能改善を依頼し改善されるのを待つか、ISPを変更するかのいずれかしか対応方法がありません。
　ボトルネックが組織内または家庭内のネットワークにあれば、性能低下の原因を分析します。
主な性の低下の原因は以下になります。

階層	性能低下の原因
アプリケーション層 プレゼンテーション層　 セッション	パソコンの処理性能 ファイアウォールの処理性能
トランスポート層	セッション管理の負荷
ネットワーク層	ルーターの性能
データリンク層	LANスイッチの性能 無線LANの暗号化処理の負荷
物理層	電磁波ノイズ、ケーブルの不良 無線LANにおける電波干渉

◆パソコンの異常
□設定の確認
　パソコンから見て、最も近くにあるのは自分自身です。したがって、パソコン自身の設定の確認をまず行います。インターネット接続においては、特に次の4点をipconfig/allコマンドで確認します。
●IPアドレス
●サブネットマスク
●デフォルトゲートウェイ
●DNSサーバーのIPアドレス

□デフォルトゲートウェイが間違っている場合の現象
　デフォルトゲートウェイの設定が間違っていると、ルーターより遠くへの通信が出来ません。デフォルトゲートウェイの異常は、LAN側インターフェイスと回線側インターフェイスがそれぞれについて、pingによるルーターへの接続確認を行うことにより発見できます。ルーターの回線側インターフェイスは、ルーターの状態表示画面などで確認出来ます。

　デフォルトゲートウェイに異常があれば、LAN側インターフェイスへの接続確認は成功しますが、回線側インターフェイスへの接続確認は失敗します。なお、ルーター自身がセキュリティ対策の為にICMPを遮断していると、同じ現象が起きるので注意してください。
　ルーターの回線側インターフェイスのIPアドレスが0.0.0.0の場合は、回線接続に失敗しています。この場合は、ルーターを起点にして近くから遠くへ設定を確認していきます。

□DNSサーバーの指定が誤っている場合の現象
　DNSサーバーの指定が誤っていると、名前解決が出来なくなります。この場合の名前解決とは、ホスト名からIPアドレスの対応づけです。IPアドレスとホスト名の両方でpingを実行し、IPアドレスで接続確認が成功する一方、ホスト名で接続確認が失敗する場合は、DNS関係の設定が原因です。
　ただし、DNS関係の設定が原因だとして特定できても、それがパソコンに設定されているとは限りません。ルーターのDNSリレー機能を利用している場合は、ルーターに設定されているDNSサーバーのアドレスを確認する必要があります。

◆ルーターや回線の異常
□ルーターの状況表示
　ルーターや回線に異常がある事が疑われたら、ルーターの状態表示画面で状況を確認します。状態表示画面で異常があれば、ルーターの設定を確認します。

　例えば「PPPoE状態」が「異常」となっていれば、これは接続が失敗している状態です。ルーターによっては、状態表示画面で原因が表示されるものもあります。ルーターの状態表示で原因が表示されない場合は、ルーターのログを確認します。

□回線の動作確認
　ルーターと、ONUやADSLモデムとの問題の切り分けは簡単ではありません。Windowsの標準機能であるPPPoE機能を使用すると、ルーターを介さずにパソコンをONUやADSLモデムと直接接続してインターネット接続出来るので、PPPoE機能で接続できればルーターに問題があり、回線やONUまたはADSLモデムに異常がないことが確認出来ます。

□ルーターのセキュリティ設定
　家庭向けブロードバンドルーターは、出来るだけ少ない設定で使用できるように、工場出荷の時の状態で様々な設定がなされています。場合によっては、セキュリティ向上のために一部の通信を遮断するように設定されています。
　例えば、ICMPプロトコルが遮断されている場合があります。この場合は、ルーターを越えてpingによる応答確認をすることはできません。そのため、pingを使って外部との接続確認を行うためには、セキュリティ設定を確認します。
　なお、ルーターのセキュリティ設定を変更する場合は、その影響範囲を慎重に確認することが必要です。安易な変更はセキュリティレベルを低下させます。

◆インターネットサーバーとの接続確認
□pingコマンドの限界
　インターネットで利用するWebサーバーやメールサーバーへの接続確認にpingコマンドが使えないことがあります。これはサーバーがDoS攻撃対策のためにpingへの応答を止めている場合です。また、セキュリティ対策のために、ルーターがICMPの通信をすべて遮断している場合もあります。このような場合は、正常に接続されていてもpingへの応答はありません。

◆ネットワークのトラブルの原因分析のポイント

□原因分析の優先順位付け
　全ての範囲を見ることは、原因分析の効率的な作業をするためにも必要です。
　原因分析は、「近くから遠くへ」の原因に則って調査していきます。

　　ここでは、3台のPC1～3がインターネットに接続しており、このネットワークで、左のPC1でインターネットが利用出来なくなるトラブルが発生した場合を想定します。ここで異常が起きている経路だけ調べようとするのは、正しい分析方法ではありません。まず、どこで異常でどこが正常なのかを把握します。
　PC1だけが異常で他のパソコンは正常ならば、ルーターや回線は正常です。この場合は、パソコンに異常があると考え、パソコンを起点にして近くから遠くへ分析します。逆に、PC1だけでなく他の全てのパソコンも異常ならば、全てのパソコンが一度に異常をきたすことは稀である為、先ずはルーターや回線等の共通部分に異常がある事を考えます。この場合は、ルーターを拠点にして近くから遠くへ分析します。
　このように、最初にすべてを見て状況を把握しないと、原因分析の起点を見誤ってしまいます。すべてを見て状況把握することの目的の一つは、原因分析の正しい優先づけを行うことです。

◆状況の分析
□結線の確認
　下から上への原則によると、最下層にあるのは物理層です。物理層では結線のトラブルがよく発生します。
　結線の確認をする際には、ネットワーク構成図を用意します。まずは机上で正しい結線状態を整理してから、実機での確認を行います。ネットワーク構成図を用意せずに、考えながら結線確認を行うと、思わぬ見落としが出ます。
　ネットワーク構成図が存在しない場合は、現状の構成からネットワーク構成図を起こします。その際には、次の点も整理します。
　●機器の接続関係
　●ケーブルを接続するポート（ルーターのLAN側ポート、HUBのアップリンクポート）
　●ケーブルの種類（ストレートケーブルとクロスケーブル）
　なお、IPアドレスなどの情報または記紀の配置の情報が必要な場合は、別途、構成図を作成します。異なる階層の情報を一つの構成図にまとめると煩雑になります。

□IPインターフェイスの状況
　IPレベルでのインターフェイスの状況を確認するには、コマンドプロンプトの画面でipconfigコマンドを利用します。「/all」オプションを付けることにより、詳細な情報を表示できます。DNSサーバーのIPアドレスやコンピューター名を確認する場合には、「/all」オプションが必要です。IPアドレスを手動で設定している場合と、自動で取得している場合では表示内容が異なります。自動で取得している場合は、DHCPサーバーのIPアドレスや、IPアドレスのリース開始/終了事項も表示されます。ipconfigコマンドで得られた情報を基に、以下の項目が適切に設定されているか確認します。

IPアドレス	・値は正しいか ・他のコンピューターと重複していないか
サブネットマスク	・値は正しいか
デフォルトゲートウェイ	・同一ネットワーク上のルーターアドレスが指定されているか
DNSサーバーのIPアドレス	・正しいアドレスが指定されているか
コンピューター名	・他のコンピューターと重複していないか
DHCPサーバーのIPアドレス	・適切なサーバーアドレスになっているか
IPアドレスのリース開始時刻	・有効期限が切れていないか
IPアドレスのリース終了時刻	・「169.254」で始まるIPアドレスが設定されていないか

□APIPA（Auto Private IP Address）
　DHCPサーバーからのIPアドレスの自動取得に失敗した場合は、ローカルPC同士でネゴシエートし、IPアドレスを自動的に割り当てます。その範囲が169.254.1.0~169.254.254.255となります。ipconfigコマンドを実行し、「169.254」で始まるIPアドレスが設定されている場合は、DHCPサーバーのIPアドレスの再取得を行うか、手動でIPアドレスの設定を行います。
　DHCPサーバーからIPアドレスの再取得を行う場合は、以下のコマンドを実行します。

　ipconfig /release　：　IPアドレスの返却
　ipconfig /renew　  ：　IPアドレスの再要求

　なお、LANケーブルに接続されていない場合、または無線LANでアクセスポイントに接続されていない場合は、「イーサネット　アダプター　ローカル　エリア接続」で「メディアは接続されていません」と表示されます。

□タスクバーへの状況表示
　ネットワーク接続が切れやすい状況では、ネットワークへの接続状態を常に表示できると便利です。Windowsでは通知領域アイコンの設定で、ネットワークについて「アイコンと通知の表示」に設定すれば、タスクバーの通知領域にネットワークの接続状況をアイコンで表示できます。この機能を有効にすると、ネットワークのトラブルがあった場合、警告のアイコンやメッセージが表示されます。


◆接続の確認
□有線ＬＡＮにおける接続の確認
　有線LAＮにおける接続は、ネットワーク機器のリンクランプで確認可能。
　また、LANの伝送性能を示すリンクスピードを確認出来ます。リンクスピードは、100BASE-TXならば100Mbps、1000BASE-Tならば１Gbpsです。LEDの色でどのリンクスピードで接続しているかを確認出来ます。

□無線LANの接続
　無線LANを使用している場合、[設定]→[ネットワークとインターネット]→[Wi-Fi]を選ぶと、以下のように接続状態が表示されます。また、タスクバーのネットワークアイコンをクリックしても確認出来ます。「接続」の表示によって、無線LANレベルでは正常である事を確認出来ます。




□無線LANにおける接続の確認
　無線LANには物理的なポートが無い為、アクセスポイントの外観を見るだけでは接続が正常であるか確認出来ません。しかし、多くのアクセスポイントでは、設定画面の中で接続相手の無線LAN端末の一覧を表示する機能を持っています。
　無線LANでの接続状況を確認する際には、電波状況やリンクスピードについても確認が必要です。電波状況が悪い場合は、ノイズ源を調べて可能な限り除去します。ノイズ源が外部にある場合には、チャネルの見直しを行います。
　無線LANでの接続に異常がある場合は、物理層とデータリンク層に分けて分断します。簡単にいえば、物理層では電波が届く事の確認、データリンク層では届いた電波に乗せてデータが届いていることを確認します。なぜなら、無線LANのセキュリティ対策に誤りがあると、電波が届いても、利用できない場合があるからです。したがって、原因分析を進める際には、一時的にセキュリティ機能を無効にして、単純に接続できるか確認します。なお、セキュリティ昨日を無効にする際は、不正侵入による被害を抑えるためにアクセスポイントをLANから切り離します。

□IPレベルでの接続の確認
　ネットワークの接続状況を確認するには、pingコマンドを使います。インターネットに接続している場合は、pingコマンドが使えない場合があります。
　pingコマンドの書式は、次の通りです。
　ping 127.0.0.1　　　　　　→TCP/IPが正しく動いている
　ping ルーターのアドレス　→LANインターフェイスが正しく動作している
　ping <リモートホストのIPアドレス>　→正しくルーティングが出来ている
　ping <リモートホストのコンピューター名>　→DNSによる名前解決が出来ている。

□パソコン以外からの接続の確認
　ルターや無線LAN、アクセスポイントなどもpingを実装している。

□ping使用時の注意
　パソコンやネットワーク機器によっては、pingを返さないものもあります。これはセキュリティの為に、pingに応答しない様に設定している為です。
　パソコンの場合は、Windowsファイアウォール機能によりICMPが遮断されていると、このような現象が発生します。Windowsファイアウォール機能は、インストール直後の状態ではpingを返さないように設定されています。市販のパーソナルファイアウォール製品でも、インストール直後の状態でpingを返さないものが多く存在します。
　ICMPをすべて遮断することによるセキュリティ的なメリットより、トラブル発生時にpingが使えないデメリットの方が大きければ、pingへの応答をするように設定します。また、pingへの応答を許可する場合は、できるだけ組織内LANからの接続確認要求にのみ応答するように設定します。


注意）Windows10の場合、ファイルとプリンターの共有（エコー要求）を有効化にしても、pingが通らない場合があります。その際は、一旦Windowsファイアウォールを無効化して確認します。その場合はネットワークが安全である事を確認してから操作します。

◆ファイル共有の問題の切り分け

□状況把握のポイント
　原因分析の際は、次のどの箇所に異常があるかを意識します。
　　●サービスを利用する側のPC（クライアント）の設定
　　●サービスを利用する側のPC（サーバー）のフォルダに関する設定
　　●サービスを利用する側のPC（サーバー）のユーザーアカウントに関する設定
　ファイル共有の異常が発生したら、先ずは次の点を確認します。
　　●全てのクライアントか、一部のクライアントか
　　●全てのユーザーアカウントか、一部のユーザーアカウントか

　例えば、全てのクライアントと全てのユーザーアカウントで異常が発生したら、ほぼサーバー側の原因と特定出来ます。

◆ファイル共有の場合の階層
　ファイル共有の異常と判断する為には、最低限、IPレベルでの通信が確認出来ていなければなりません。これは、下から上への原理の一つです。ファイル共有の異常を分断する場合は、階層を次の様に考えます。



◆コンピュータ名の表示のトラブル
□コンピュータ名の表示方法
　コンピューター名の表示を確認するにはコンピュータの検索を利用。コンピュータの検索を行っても表示されない場合には異常があると判断します。

□名前解決
　名前解決の有無を確認するにはコンピューター名とIPアドレスの両方で接続確認を行います。pingでIPアドレス、コンピューター名のそれぞれで宛先の接続確認を行います。

　名前解決に異常がある場合は、次の点をチェックします。
　●コンピューター名の設定
　●ネットワーク構成の確認
　●hostsファイルの内容

　1点目のコンピューター名の設定では、正しいコンピューター名が設定されているか確認します。他のコンピューターが誤って重複した名前を付けている場合も、名前解決に異常が発生する場合があります。
　2点目は、ネットワークを越えてファイル共有を行っている場合の注意点です。ファイル共有における名前解決はおもにブロードキャストを使っています。そのため、他のネットワークのコンピュータに対しては名前解決を行えません。ネットワークの変更によって、クライアントとサーバーが異なるネットワークに変更されると、ブロードキャストによる名前解決が行えなくなります。このような場合は、hostsファイルやDNSサーバーにより名前解決を行う必要があります。
　●hostnameコマンドで確認可能。
　3点目は、上記のhostsファイルについての注意点です。hostsファイルを利用している場合、コンピューター名やIPアドレスに変更があればhostsファイルも修正する必要があります。
　●nslookupコマンドで確認可能

□ファイル共有の異常
　IPアドレスレベルで接続できない場合、ファイル共有レベルで接続の異常が発生しています。この場合、次の点などを確認します。
　●サーバー側のファイル共有機能
　●Windowsファイアウォールの設定
　1点目は、共有フォルダーが置かれているサーバー側で、ファイル共有の機能が有効になっていることの確認です。次に示すように「Microsoftネットワーク用ファイルとプリンター共有」が無効になっていると、ファイル共有は利用できません。


　2点目のWindowsファイアウォール設定では、ファイル共有の通信が遮断されていないかを確認します。Windowsファイアウォールをはじめとして、パーソナルファイアウォール製品には、インストール直後の条立ちでファイル共有を禁止しているものがあります。そのような場合には、パーソナルファイアウォールの設定を変更する必要があります。
　Windowsファイアウォールでは次のように「ファイルとプリンターの共有」を有効にします。



　ファイアウォール製品でファイル共有を許可する設定は、製品によって異なります。すべて地力で設定しなくてはならない場合、ファイル共有が使用する宛先ポート番号を許可する様に設定します。ファイル共有が使用するポート番号は次の通りです。

機能名	ポート番号	プロトコル
netbios-ns	137	TCP,UDP
netbios-dgm	138	UDP
netbios-ssn	139	TCP
netbios-ds	445	TCP,UDP

◆共有フォルダーへのアクセスのトラブル
□アクセス権
　コンピューター名の一覧から共有フォルダーの一覧までは表示出来る一方、共有フォルダーの中には表示できない場合には、アクセス権を確認します。
　以下の流れで確認作業をします。

１．共有フォルダーのあるコンピューターを操作し、エクスプローラで、対象フォルダーの「セキュリティ」の「詳細設定」を開きます。


２．「有効なアクセス」タブを開き、アクセス権の設定状況を確認します。



3．共有フォルダーのアクセス権を一旦「everyone:フルコントロール」の設定にし、再度他のコンピューターからアクセスします。

□同時接続数
　ドメインに参加しておらず、ワークグループ環境の場合、同時接続数の上限は20です。20を超える場合はドメインに参加する必要があります。
　なお、同時接続では、一度、共有フォルダーにアクセスすると、ログオフするまで接続状態は継続します。共有フォルダーを閉じても接続は切れないので注意が必要です。

□0文字パスワードのユーザーアカウント
　Windowsのデフォルト設定では、パスワードが0文字（空白パスワード）のユーザーアカウントは、ファイルやプリンターを共有はできません。0文字パスワードを持つユーザーアカウントは、セキュリティ敵に危険な存在しとして扱われるため、ユーザーアカウントには適切なパスワードを設定します。

◆samba-toolでユーザー管理の設定

〇ユーザー登録
【書式】samba-tool user add ユーザー名 パスワード [オプション]

User 'test1' added successfully


 〇ユーザーの削除
【書式】samba-tool user delete ユーザー名 [オプション]

◆samba-toolによるADドメイン管理
・samba-tool domainコマンドの主なサブコマンド

サブコマンド	意味
provision	新規ドメインコントローラーの構築。
join	既存ドメインへ追加のドメインコントローラーやメンバサーバーとしての参加。
classicupgrade	Samabaで構築したNTドメインからのアップグレード。
demote	ドメインコントローラーの降格。
level	フォレストやドメインの機能レベルの上昇。
passwordsettings	アカウントポリシーの設定。

◆DCの降格。
　DCを追加すると、AD各所に関連する設定が追加されます。その為、不要になったDCを単に停止しておくと、同名のDCが追加できない。複製エラーが発生し続けるといった問題が発生します。
　こうした問題はAD機能不全に直結するものではないので、意味を理解したうえで無視することも出来ますが、不要になったDCを降格して、これらの設定を削除することが強く推奨されています。
　SamabaのDC降格は、samba-tool domain demote コマンドを使用します。このコマンドは必ず降格するDC上で実行する必要があります。

$  sudo samba-tool domain demote -Uadministrator
◆アカウントポリシーの設定
【書式】sudo samba-tool domain passwordsettings {show | set --設定名=値}

　Samabaの実装上の制限で、パスワードの最低長や有効期限といったADドメインのアカウントポリシーについては、グループポリシーの設定が反映されません。
　その為、samba-tool passwordsettingsコマンドで設定を行う必要はあります。

〇パスワードのアカウントポリシーの確認。

前回作成したドメインコントローラーに、もう一台のドメインコントローラーを追加します。

◆ドメインコントローラー2の設計