samba4/接続

SAMBA4ADドメインにwindows7マシンを参加させてみる。ある意味、samba4の基本的な使い方になるのかな。

windows7のＡＤドメイン参加操作資格者†

ADドメイン参加操作をするユーザは、

AD参加画策windowsマシンで管理者権限(Administrators)を持つユーザ
*PowerUsersグループではだめみたい
SAMBA4のアカウントを持っている

となる。後者はMS謹製のADだとドメインユーザでいいのだがSAMBA4だとどうもその権限では無理みたい...

↑

操作†

手続きは[コンピュータ]のプロパティを開いて、[設定の変更]リンクをクリックして、[システムのプロパティ]を開く

開いた[システムのプロパティ]画面の[コンピュータ名]タブにある[変更..]ボタンをクリックする

新たに[コンピュータ名/ドメイン名の変更]画面が表示される。
所属するグループ欄内のドメインを有効にして、SAMBA4で作成したドメイン名cerius.localを入力して[OK]ボタンをクリック

認証画面が表れます。ここにADドメインのadministratorとそのパスワードを入力して、[OK]ボタンをクリックすれば

ドメイン参加作業は完了です。お疲れ様でした。

↑

制御の委任†

ADドメインへの参加認証において、Domein Users所属のユーザで行うと

とエラーが発生します。

どうやらadministratorsグループもしくはDomainAdminsグループに所属したユーザで認証を行う必要があるみたい。
っが、セキュリティー的には大きな穴なんだけどね。
グループポリシーとかsamba4のldapデータベースへのACLを修正すればできそうな気がするけど....

解決策がここにあった
https://wiki.samba.org/index.php/Delegating_Administration_Permissions
１．「ActiveDirectoryユーザとコンピュータ(ADUC)」を開いて、新たなグループ「supporters」を作成する
　

２－１．「Computers」フォルダ(CN=Computers)を右クリックして、「制御の委任...」を選択する
　

２－２．「オブジェクト制御の委任ウィザード」画面が表示される
　
　「次へ」ボタンをクリック

２－３．「ユーザまたはグループ」画面で制御を委任されるグループ「supporters」を指定する
　
　「次へ」ボタンをクリック

２－４．「委任するタスク」画面で「委任するカスタムタスクを作成する」を選択する
　
　「次へ」ボタンをクリック

２－５．「Active Directoryオブジェクトの種類」画面で「フォルダ内の次のオブジェクトのみ」制御を委任して
　
　そのフォルダ内は、「コンピューターオブジェクト」のみ選択して、同時に下部の
　「選択されたオブジェクトをこのフォルダに作成する」と「選択されたオブジェクトをこのフォルダから削除する」を有効にする
　
　「次へ」ボタンをクリック

２－６．「アクセス許可」画面で「全般」と「プロパティ固有」のみアクセス許可を渡して
　
　アクセス許可リストで、
　　「パスワードのリセット」Reset password
　　「アカウントの制限の読み取りと書き込み」Read and write account restrictions
　　「DNSホスト名の属性の読み取りと書き込み」Read and write DNS host name attributes
　　「DNSホスト名への検証された書き込み」Validated write to DNS host name
　　「サービスプリンシパル名への検証された書き込み」Validated write to service principal name
　　「servicePrincipalNameの書き込み」Write servicePrincipalName
　らを有効にする
　一例：
　　
　「次へ」ボタンをクリック

２－７．「オブジェクト制御の委任ウィザードの完了」画面で作業結果の内容を確認して終了

この新たに作ったグループ「supporters」にADにPCを参加させる操作を行うユーザを加える

↑

委任の確認†

「ActiveDirectoryユーザとコンピュータ(ADUC)」を開いて、メニューの「表示」から「拡張機能」を選択する。

再描画された「Computers」を選択して、右クリックから「プロパティ」を選択する。
表示された「Computersのプロパティ」から「セキュリティ」タグを選択する。
*「拡張機能」が有効になっていないと、この「セキュリティ」タグが表示されない。

ここに表示されているのに「委任」されたものがある。といえる。
具体的な委任の中身は、「詳細設定」ボタンを押して、表示された「Computersのセキュリティの詳細設定」画面で確認できる。

特殊な選択が多いので分かりずらいのだが......

↑

特定ユーザでPCをActiveDirecotryに参加させてみる。†

作成した「supporters」にユーザsaberさんに入ってもらいました。こんな感じで

そして、新規に作成したwindows7マシン「c130」をcerius.localドメインに参加させてみます。
「システムのプロパティ」から「コンピュータ名/ドメイン名の変更」画面で
　所属するグループを「ドメイン」にして、値を「cerius.local」にします。
　
「ＯＫ」ボタンをクリックすると認証が求められます。アカウント名は「saber」、パスワードはそのユーザのパスワードを入力します。
「ＯＫ」ボタンをクリックします。

暫くすると、

と表示され、このPCは「cerius.local」ドメインに参加成功となる。