Jelmer R. Vernooij

John H. Terpstra

Gerald (Jerry) Carter

アップデート要求の要点

Samba-3.xシリーズにおける新しい機能

• admin log

• alternate permissions

• character set

• client codepage

• code page directory

• coding system

• domain admin group

• domain guest group

• enable rid algorithm

• enable svcctl

• force unknown acl user

• hosts equiv

• ldap filter

• min password length

• nt smb support

• post script

• printer admin

• printer driver

• printer driver file

• printer driver location

• read size

• source environment

• status

• strip dot

• total print jobs

• unicode

• use rhosts

• valid chars

• vfs options

• winbind enable local accounts

• winbind max idle children

• wins partners

• abort shutdown script

• shutdown script

• add group script

• add machine script

• add user to group script

• algorithmic rid base

• delete group script

• delete user from group script

• passdb backend

• rename user script

• set primary group script

• username map script

• auth methods

• ldap password sync

• passdb expand explicit

• realm

• add port command

• afs token lifetime

• client lanman auth

• client NTLMv2 auth

• client schannel

• client signing

• client use spnego

• defer sharing violations

• disable netbios

• dmapi support

• enable privileges

• use kerberos keytab

• log nt token command

• ntlm auth

• paranoid server security

• sendfile

• server schannel

• server signing

• smb ports

• svcctl list

• use spnego

• allocation roundup size

• acl check permissions

• acl group control

• acl map full control

• aio read size

• aio write size

• dfree cache time

• dfree command

• ea support

• enable asu support

• fam change notify

• force unknown acl user

• get quota command

• hide special files

• hide unwriteable files

• inherit owner

• hostname lookups

• kernel change notify

• mangle prefix

• map acl inherit

• map read only

• max stat cache size

• msdfs proxy

• open files database hash size

• set quota command

• store dos attributes

• use sendfile

• usershare allow guests

• usershare max shares

• usershare owner only

• usershare path

• usershare prefix allow list

• usershare prefix deny list

• usershare template share

• vfs objects

• cups options

• cups server

• force printername

• iprint server

• max reported print jobs

• printcap cache time

• display charset

• dos charset

• UNIX charset

• idmap backend

• idmap gid

• idmap uid

• username map script

• winbind nss info

• winbind offline logon

• winbind refresh tickets

• winbind trusted domains only

• template primary group

• ldap delete dn

• ldap group suffix

• ldap idmap suffix

• ldap machine suffix

• ldap passwd sync

• ldap replication sleep

• ldap timeout

• ldap user suffix

• eventlog list

• preload modules

• reset on zero vc

• privatedir

• acl group control (新しい既定値は No, 廃止されるパラメーター)

• change notify timeout (スコープが変更)

• dos filemode (既定値で無効に)

• dos filetimes (既定値で有効に)

• enable asu support (既定値で無効に)

• enable privileges (既定値で有効に)

• encrypt passwords (既定値で有効に)

• host msdfs (既定値で有効に)

• mangling method (既定値でhash2を設定)

• map to guest

• only user (廃止)

• passwd chat

• passwd program

• password server

• restrict anonymous (整数値)

• security (新しくadsが追加)

• strict locking (既定値でautoに)

• winbind cache time (5分に増加)

• winbind enum groups (既定値で無効に)

• winbind enum users (既定値で無効に)

• winbind nested groups (既定値で有効に)

• winbind uid (idmap uidのために廃止に)

• winbind gid (idmap gidのために廃止に)

• winbindd nss info

• write cache (廃止)

Table 35.1. Samba-2.2.xのTDBファイルの説明

1. 操作がWindowsドメインのメンバーの場合、Samba-2.2は、もしもUIDがgetpwnam() 呼び出し経由で得られなかった場合、"guest account"に、リモート DCによって認証された任意のユーザーをマップする。Samba-3は、 "NT_STATUS_LOGON_FAILURE"というエラーメッセージで接続を 拒否する。Samba-2.2の動作を再度確立するための現時点での回避策はない。

2. Samba-2.2で制御されたドメインにマシンを追加するとき、 "add user script"はマシン信頼アカウントのUNIX識別子を 作成するのに使われる。Samba-3では新しい "add machine script"という、この目的のために指定しなければ ならないスクリプトを導入している。Samba-3は、 "add machine script"がない場合に、 "add user script"を使うように切り替える事はしない。

1. 暗号化されたパスワードは、Windowsクライアントをそのまま使える事との 相互運用性を向上させるために、既定値で有効になった。これは、(a) Sambaアカウントは各ユーザー毎に作成する必要があるか、(b) "encrypt passwords = no"を明示的に smb.conf中で定義する 必要があるということである。

2. ネイティブなWindows Kerberos 5とLDAPプロトコルを使う、Active Directory ドメインとの統合のための、新しいsecurity = ads オプションの包含。

新しいオブジェクトクラス(sambaSamAccount)が古いsambaAccountを置き換える ために導入された。この変更は、他のベンダからの属性を破壊するのを防ぐための、 属性の変更を支援する。LDIFファイルを新しいスキーマに変更するための変換 スクリプトがexamples/LDAP/convertSambaAccountにある。

例:

		$ ldapsearch .... -LLL -b "ou=people,dc=..." > old.ldif
		$ convertSambaAccount --sid <DOM SID> --input old.ldif --output new.ldif
		

<DOM SID>は以下を、Samba PDC上で、rootで動かすことで入手できる。

$ net getlocalsid <DOMAINNAME>

Samba-2.x下では、ドメインSIDは以下を実行することで得られる:

$ smbpasswd -S <DOMAINNAME>

古いsambaAccountスキーマは、 ldapsam_compatpassdb バックエンドを指定することで 引き続き使っても良い。しかし、sambaAccountと関連する属性はスキーマ ファイルの歴史的セクションに移動済みで、もしも必要な場合、使う前に コメントアウトしなければならない。sambaAccount に対するSamba-2.2オブジェクトクラスの定義は、Samba-3の samba.schemaファイル中では変更されていない。

他の新しいオブジェクトクラスとそれが使うものは以下の通り:

以下の新しいsmb.confパラメーターは、 passdb backend = ldapsam://...が指定された時に 特定のLDAPクエリを指示するのを支援するために追加された。

もしも、ldap suffixが定義されていた場合、これは残りの subsuffixパラメーターに追加される。この場合、smb.conf中のサフィックスの 記述順序は重要である。常時、他のものよりも前に、 ldap suffixを記述すること。

Sambaのsmb.conf解析の制限により、引用符でドメイン名を囲ってはいけない。

Samba-3はidmapサブシステムにもLDAPバックエンドをサポートしている。以下の オプションは、Sambaにidmapテーブルを、ディレクトリサーバー onteroseの ou=Idmap,dc=quenya,dc=org部分に格納する事を指示する。

この設定では、UID/GID名前空間を複数のサーバー上で共有するWinbindの利用が 出来るようになり、Samba-2.2で存在していた、NFSとの相互運用の問題を 解決する。