一般的な前提条件

1. Active Directory および DNS サーバーをインストールおよび構成するには、以下が必要です。

   • 管理特権を持つ Windows Server 2019 マシン
   • PowerShell コマンドおよび Windows Server 管理に関する基本的な知識

2. Samba Winbind を使用して RHEL システムを Active Directory に直接接続するには、以下が必要です。

   • Samba Winbind を実行できる RHEL システム
   • RHEL コマンド・ライン・インターフェースおよびシステム構成についての知識
   • Active Directory ドメインへのアクセス権限と、そのドメインに参加するための適切な権限

ネットワークの前提条件

1. ネットワーク接続: Windows Server 2019 マシン ( Active Directory と DNS がインストールされているマシン) と、ドメインに参加している RHEL システムとの間に、安定した信頼性の高いネットワーク接続が必要です。 重要なポートをブロックしているネットワーク通信の問題やファイアウォールがないことを確認します。

2. ファイアウォール・ルール: ファイアウォール・ルールを確認および更新して、Windows Server 2019 マシン、RHEL システム、およびドメイン・コントローラーの間で必要な通信を許可します。 Active Directory 通信に使用されるキー・ポートには、TCP/UDP 53 (DNS)、TCP/UDP 88 (Kerberos)、TCP 135 (RPC)、TCP/UDP 389 (LDAP)、TCP/UDP 445 (SMB)、および TCP/UDP 636 (LDAPS) があります。

3. ドメイン・コントローラーの到達可能性: RHEL システムが、接続の問題なしに Active Directory ドメイン・コントローラーに到達できることを確認します。 ping や nslookup などのツールを使用して、RHEL システムからドメイン・コントローラーのホスト名と IP アドレスを解決できることを確認します。

4. 時刻の同期: Active Directory ドメインに参加しているすべてのシステム (Windows Server 2019 マシンおよび RHEL システムを含む) のクロックが、信頼できる時刻ソースと同期していることを確認します。 時刻の同期は、適切な認証と Kerberos チケットの検証のために重要です。

5. ドメイン DNS 構成: Active Directory ドメインで DNS 設定が適切に構成されている必要があります。 Active Directory ドメインの一部であるすべてのシステム (Windows Server 2019 マシンおよび RHEL システムを含む) で、ドメイン・コントローラーの IP アドレスを 1 次 DNS サーバーとして設定します。

6. DNS 解決: フォワードとリバースの両方の DNS 解決が正しく機能していることを確認します。 ドメイン・コントローラーのホスト名は Windows Server 2019 マシンおよび RHEL システムから解決可能でなければならず、Windows Server 2019 マシンのホスト名は RHEL システムから解決可能でなければなりません。

7. DNS ドメイン・ネーム: Active Directory の DNS ドメイン・ネームが、構成プロセス中に使用されるドメイン・ネームと一致していることを確認します。 この場合、 Active Directory に使用されるドメイン・ネーム「POCDOMAIN.LOCAL」は、構成全体で一貫している必要があります。

8. 管理特権を持つActive Directory ユーザー・アカウント: 構成プロセス中に、管理特権を持つ Active Directory ユーザー・アカウントが使用可能であることを確認します。 このアカウントは、Windows Server 2019 マシンをドメイン・コントローラーとしてプロモートし、RHEL システムを Active Directory ドメインに参加させるために使用されます。

構成の検証

サーバーが再始動した後、プロモーション・プロセス中に作成したドメイン管理者アカウントを使用してログインできます。

Active Directory および DNS の適切な構成を検証するには、以下の確認を行います。

1. Active Directory 管理を検証するには、 「サーバー・マネージャー」 を開き、 「ダッシュボード」 で、 「ツール」 セクションにリストされている「Active Directory ユーザーとコンピューター」および「DNS」が存在することを確認します。 これは、 Active Directory および DNS 管理ツールが正常にインストールされたことを示しています。
2. ユーザーおよびグループの管理を確認するには、 Active Directory 「ユーザーおよびコンピューター」 を開始して、ドメイン内のユーザー・アカウント、グループ、および組織単位 (OU) を管理します。
3. DNS 管理を検証するには、 「DNS マネージャー」 にアクセスして、ドメインの DNS ゾーンとレコードを管理します。
4. クライアント・マシンの統合を検証するには、同じネットワーク内のクライアント・マシンで、新しくプロモートされたドメイン・コントローラーの IP アドレスを指すように DNS 設定を構成します。 次に、クライアント・マシンを POCDOMAIN.LOCAL ドメインに参加させます。 接続が成功すると、適切な DNS 解決と機能する Active Directory ドメイン・サービスが確認されます。

これで、 PowerShellを使用した Windows Server 2019 での Active Directory および DNS サーバーのインストールと構成が正常に完了しました。 これで、統合 DNS を使用する新しいドメイン・コントローラーで、 POCDOMAIN.LOCAL ドメイン内のユーザー・アカウント、コンピューター、およびその他のネットワーク・リソースを管理する準備ができました。

直接統合でサポートされる Windows プラットフォーム

Active Directory フォレストとの直接統合は、以下のフォレストおよびドメインの機能レベルと互換性があります。

• フォレスト機能レベルの範囲: Windows Server 2008-Windows Server 2016
• ドメイン機能レベル範囲: Windows Server 2008-Windows Server 2016

直接統合でサポートされるオペレーティング・システム:

• Windows Server 2022 (RHEL 8.7 以降)
• Windows Server 2019
• Windows Server 2016
• Windows Server 2012 R2

Windows Server 2019 および Windows Server 2022 では、新しい機能レベルが導入されておらず、Windows Server 2016 の最高機能レベルが使用されています。

Active Directory および RHEL での一般的な暗号化タイプのサポートの確認

Samba Winbind は、デフォルトで RC4、 AES-128、および AES-256 Kerberos 暗号化タイプをサポートします。 ただし、セキュリティー上の考慮事項により、 RC4 暗号化は非推奨になり、デフォルトで無効になっています。 Active Directory のユーザー資格情報と信頼は引き続き RC4 暗号化に依存する可能性があるため、認証の問題が発生する可能性があります。

互換性を確保するために、以下の 2 つのオプションがあります。

1. Active Directory での AES 暗号化サポートの有効化
2. RHEL での RC4 サポートの有効化

RHEL で RC4 サポートを有効にする場合、手順は RHEL のバージョンによって異なります。 詳しい説明については、公式資料 (RHEL 資料サイトのリンク) を参照してください。

LSF クラスター・ノードを Active Directory ドメインに参加させる

Samba Winbind および realmd を使用して、RHEL 8.4 でホストされている LSF クラスター・ノードを Active Directory ドメインに参加させるには、以下の手順を実行します。

Samba Winbind は、RHEL システムを Active Directoryに接続するための System Security Services Daemon (SSSD) の代替手段です。 このセクションでは、 realmd を使用して RHEL システムを Active Directory ドメインに参加させ、 Samba Winbind を構成する方法について説明します。

1. 以下のパッケージをインストールします。

   # yum install realmd oddjob-mkhomedir oddjob samba-winbind-clients samba-winbind samba-common-tools samba-winbind-krb5-locator openldap-clients krb5-workstation samba adcli bind-utils
   

2. パッケージを更新します。

   # yum update
   

3. Active Directory ドメインの IP と名前を追加して、 /etc/hosts を更新します。

   例:

   [root@amit-rhel84 ~]# cat /etc/hosts
   127.0.0.1   localhost localhost.localdomain localhost4 localhost4.localdomain4
   ::1         localhost localhost.localdomain localhost6 localhost6.localdomain6
   10.243.0.39 addc1.POCDomain.local
   
   Note:- addc1.POCDomain.local is the AD server FQDN name
   

4. 以下のコマンドを実行して、 /etc/resolv.conf ファイル内の DNS エントリーを更新します。

   sudo nmcli connection modify "System eth0" ipv4.dns "10.243.0.39" ipv4.ignore-auto-dns yes
   

   このコマンドは、 /etc/resolv.conf ファイル内の DNS エントリーを更新するだけでなく、DNS エントリーがクラウド・ベースの DNS サーバーに自動的に更新されないようにします。

5. DNS ファイルで変更を確認します。

   [root@amit-rhel84 ~]# cat /etc/resolv.conf
   # Generated by NetworkManager
   nameserver 10.240.0.39
   [root@amit-rhel84 ~]#
   

   次に、 Active Directory ドメインを使用してドメイン・コントローラーを ping します。以下に例を示します。

   [root@amit-rhel84 ~]#
   In addition to the confirmation, ping the Domain Controller with Name : - Ping POCDOMAIN.LOCAL
   [root@amit-rhel84 ~]# ping POCDOMAIN.LOCAL
   PING POCDOMAIN.LOCAL (10.240.0.39) 56(84) bytes of data.
   64 bytes from addc1.POCDomain.local (10.240.0.39): icmp_seq=1 ttl=128 time=0.365 ms
   64 bytes from addc1.POCDomain.local (10.240.0.39): icmp_seq=2 ttl=128 time=0.722 ms
   64 bytes from addc1.POCDomain.local (10.240.0.39): icmp_seq=3 ttl=128 time=0.581 ms
   64 bytes from addc1.POCDomain.local (10.240.0.39): icmp_seq=4 ttl=128 time=0.525 ms
   

6. nslookup を実行して、 Active Directory ドメインが解決可能であることを確認します。以下に例を示します。

   [root@amit-rhel84 ~]#  nslookup pocdomain.local
   Server:         10.240.0.39
   Address:        10.240.0.39#53
   
   Name:   pocdomain.local
   Address: 10.240.0.39
   

7. Active Directory で、 Kerberos 認証のために非推奨の RC4 暗号化タイプが必要な場合は、RHEL で以下の暗号のサポートを有効にします。

   # update-crypto-policies --set DEFAULT:AD-SUPPORT
   

   このコマンドを実行すると、暗号ポリシーが更新され、マシンの再始動が求められます。

8. ここで、既存の /etc/samba/smb.conf Samba 構成ファイルをバックアップする必要があります。

   # mv /etc/samba/smb.conf /etc/samba/smb.conf.bak
   

9. RHEL 8.x ホストを Active Directory ドメインに参加させます。 以下の例では、 POCDOMAIN.LOCAL という名前のドメインを結合します。

   # realm join --membership-software=samba --client-software=winbind POCDOMAIN.LOCAL
   

   このコマンドを実行すると、 realm ユーティリティーは以下を自動的に実行します。

   • POCDOMAIN.LOCAL ドメイン内のメンバーシップ用の /etc/samba/smb.conf ファイルを作成します。
   • ユーザーおよびグループの検索用の Winbind モジュールを /etc/nsswitch.conf ファイルに追加します。
   • /etc/pam.d/ ディレクトリー内の Pluggable Authentication Module (PAM) 構成ファイルを更新します。
   • Winbind サービスを開始し、システムのブート時にサービスを開始できるようにします。

10. (オプション) /etc/samba/smb.conf ファイルで、代替 ID マッピング・バックエンドまたはカスタマイズされた ID マッピング設定を設定します。 詳しくは、 Samba ID マッピングの理解と構成を参照してください。

11. /etc/krb5.conf ファイルを編集して、以下のセクションを追加します。

[plugins]
localauth = {
        module = winbind:/usr/lib64/samba/krb5/winbind_krb5_localauth.so
        enable_only = winbind
    }

12. Winbind サービスが実行中であることを確認します。

# systemctl status winbind

要求と応答の例:

[root@amit-rhel84 ~]# systemctl status winbind
winbind.service - Samba Winbind Daemon
Loaded: loaded (/usr/lib/systemd/system/winbind.service; enabled; vendor preset: disabled)
Active: active (running) since Wed 2023-08-09 08:16:16 EDT; 1h 42min ago
 Docs: man:winbindd(8)
       man:samba(7)
       man:smb.conf(5)
Main PID: 4889 (winbindd)
 Status: "winbindd: ready to serve connections..."
 Tasks: 5 (limit: 49264)
 Memory: 10.9M
CGroup: /system.slice/winbind.service
        ├─4889 /usr/sbin/winbindd --foreground --no-process-group
        ├─4893 /usr/sbin/winbindd --foreground --no-process-group
        ├─4894 /usr/sbin/winbindd --foreground --no-process-group
        ├─4924 /usr/sbin/winbindd --foreground --no-process-group
        └─5997 /usr/sbin/winbindd --foreground --no-process-group Important

Samba がドメイン・ユーザーおよびグループ情報を照会できるようにするには、 smb を開始する前に Winbind サービスが実行されている必要があります。

13. ディレクトリーとプリンターを共有するために Samba パッケージをインストールした場合は、 smb サービスを使用可能にして開始します。

# systemctl enable --now smb ----tobe noted

14. 以下の例に示すように、`/etc/ssh/sshd_config`` ファイルでパスワード認証が「yes」に設定されていることを確認します。

[root@amit-adclnt ~]# cat /etc/ssh/sshd_config | grep "PasswordAuth"
#PasswordAuthentication yes
PasswordAuthentication yes
# PasswordAuthentication.  Depending on your PAM configuration,
# PAM authentication, then enable this but set PasswordAuthentication

統合の検証

1. Active Directory ドメイン内の Active Directory 管理者アカウントなど、 Active Directory ユーザーの詳細を確認します。

   # getent passwd "POCDOMAIN\administrator"
   

   出力例:

   POCDOMAIN\administrator:*:2000500:2000513::/home/administrator@POCDOMAIN:/bin/bash
   

2. Active Directory ドメイン内のドメイン・ユーザー・グループのメンバーを確認します。

   # getent group "POCDOMAIN\Domain Users"
   

   出力例:

   POCDOMAIN\domain users:x:10000:lsfuser01,user2
   

3. (オプション) ファイルおよびディレクトリーに対する許可を設定するときに、ドメイン・ユーザーおよびグループを使用できることを確認します。 例えば、 /srv/samba/example.txt ファイルの所有者を AD\administrator に設定し、グループを AD\Domain Users に設定するには、次のようにします。

   # sudo chown "POCDOMAIN\administrator":"POCDOMAIN\Domain Users" example.txt
   

4. Kerberos 認証が予期したとおりに機能することを確認します。 Active Directory ドメイン・メンバーで、 administrator@POCDOMAIN.LOCAL プリンシパルのチケットを取得します。

   # kinit administrator@POCDOMAIN.LOCAL
   

   キャッシュされた Kerberos チケットを表示します。

   # klist
   

   出力例:

   Ticket cache: KCM:0
   Default principal: Administrator@POCDOMAIN.LOCAL
   Valid starting       Expires              Service principal
   07/10/2023 16:28:51  07/11/2023 02:28:51  krbtgt/POCDOMAIN.LOCAL@POCDOMAIN.LOCAL
       renew until 07/17/2023 16:28:46
   

5. 使用可能なドメインを表示します。

   [root@rhelad01 ~]# realm list
   pocdomain.local
     type: kerberos
     realm-name: POCDOMAIN.LOCAL
     domain-name: pocdomain.local
     configured: kerberos-member
     server-software: active-directory
     client-software: winbind
     required-package: oddjob-mkhomedir
     required-package: oddjob
     required-package: samba-winbind-clients
     required-package: samba-winbind
     required-package: samba-common-tools
     login-formats: POCDOMAIN\%U
     login-policy: allow-any-login
           [root@rhelad01 ~]# wbinfo --all-domains
           BUILTIN
           RHELAD01
           POCDOMAIN
   

非推奨の RC4 暗号を使用しない場合は、 Active Directoryで AES 暗号化タイプを有効にすることができます。

すべてのクラスター・ノードで上記のステップを繰り返して、すべてのクラスター・ノードが Active Directory ドメインに追加されるようにします。