1.5.3. Samba クライアントで証明書の自動登録を有効にする

手順

1. samba-gpupdate パッケージをインストールします。

   # dnf install samba-gpupdate

2. /etc/samba/smb.conf ファイルに次の設定を追加します。

   kerberos method = secrets and keytab
   sync machine password to keytab = "/etc/krb5.keytab:account_name:sync_spns:spn_prefixes=host:sync_kvno:machine_password", "/etc/samba/cepces.keytab:account_name:machine_password"
   apply group policies = yes

   Samba 設定で指定される設定には、次の設定が含まれます。

   kerberos method = secrets and keytab

   最初に /var/lib/samba/private/secrets.tdb ファイルを使用して Kerberos チケットを検証し、次に /etc/krb5.keytab ファイルを使用するように Samba を設定します。

   sync machine password to keytab = <list_of_keytab_files_and_their_principals>

   Samba が管理するキータブファイルへのパスと、これらのファイル内の Kerberos プリンシパルを定義します。表示されている値では、Samba は /etc/krb5.keytab システムキータブと、さらに /etc/samba/cepces.keytab ファイルを維持し続けます。certmonger の cepces-submit 送信ヘルパーは、このファイルを使用して CA に対して認証を行います。

   apply group policies = yes

   winbind サービスが gpupdate コマンドを一定間隔で実行するように設定します。更新間隔は 90 分で、これに 0 - 30 分の間のランダムオフセットが加算されます。

3. /etc/samba/cepces.keytab ファイルを作成します。

   # net ads keytab create

4. /etc/cepces/cepces.conf ファイルを編集し、次の変更を加えます。

   1. [global] セクションで、server 変数を、CA サービスを実行している Windows サーバーの完全修飾ドメイン名 (FQDN) にします。

      [global]
      server=win-server.ad.example.com

   2. [kerberos] セクションで、keytab 変数を /etc/samba/cepces.keytab に設定します。

      [kerberos]
      keytab=/etc/samba/cepces.keytab

5. certmonger サービスを有効にして起動します。

   # systemctl enable --now certmonger

   certmonger サービスは CA からの証明書を要求し、有効期限が切れる前に自動的に更新します。

6. samba-gpupdate を手動で実行して、グループポリシーが AD からロードされていることを確認します。

   # samba-gpupdate

7. certmonger サービスは、キーと証明書を次のディレクトリーに保存します。

   • 秘密鍵: /var/lib/samba/private/certs/

   • 発行された証明書: /var/lib/samba/certs/

     これで、同じホスト上のサービスでキーと証明書の使用を開始できます。

8. オプション: certmonger が管理する証明書を表示します。

   # getcert list

   Number of certificates and requests being tracked: 1.
   Request ID 'AD-ROOT-CA.Machine':
   	status: MONITORING
   	stuck: no
   	key pair storage: type=FILE,location='/var/lib/samba/private/certs/AD-ROOT-CA.Machine.key'
   	certificate: type=FILE,location='/var/lib/samba/certs/AD-ROOT-CA.Machine.crt'
   	CA: AD-ROOT-CA
   	issuer: CN=AD-ROOT-CA,DC=ad,DC=example,DC=com
   	subject: CN=rhel9.ad.example.com
   	issued: 2025-03-25 14:22:07 CET
   	expires: 2026-03-25 14:22:07 CET
   	dns: rhel9.ad.example.com
   	key usage: digitalSignature,keyEncipherment
   	eku: id-kp-clientAuth,id-kp-serverAuth
   	certificate template/profile: Machine
   	profile: Machine
   	pre-save command:
   	post-save command:
   	track: yes
   	auto-renew: yes

   デフォルトでは、Windows CA は Machine 証明書テンプレートのみを使用して証明書を発行します。Windows CA でこのホストに適用される追加のテンプレートを設定している場合、certmonger はこれらのテンプレートの証明書を要求します。getcert list の出力には、それらのエントリーも含まれています。