네트워크 파일 서비스 구성 및 사용

프로세스

1. /etc/samba/smb.conf 파일의 사본을 생성합니다.

   # cp /etc/samba/smb.conf /etc/samba/samba.conf.copy

   Copy to Clipboard
2. 복사한 파일을 편집하고 필요한 사항을 변경합니다.

3. /etc/samba/samba.conf.copy 파일에서 구성을 확인합니다.

   # testparm -s /etc/samba/samba.conf.copy

   Copy to Clipboard

   testparm이 오류를 보고하면 오류를 수정하고 명령을 다시 실행합니다.

4. /etc/samba/smb.conf 파일을 새 구성으로 재정의합니다.

   # mv /etc/samba/samba.conf.copy /etc/samba/smb.conf

   Copy to Clipboard

5. Samba 서비스가 구성을 자동으로 다시 로드하거나 구성을 수동으로 다시 로드할 때까지 기다립니다.

   # smbcontrol all reload-config

   Copy to Clipboard

프로세스

1. samba 패키지를 설치합니다.

   # dnf install samba

   Copy to Clipboard

2. /etc/samba/smb.conf 파일을 편집하고 다음 매개변수를 설정합니다.

   [global]
   	workgroup = Example-WG
   	netbios name = Server
   	security = user
   
   	log file = /var/log/samba/%m.log
   	log level = 1

   Copy to Clipboard

   이 구성은 Example-WG 작업 그룹 내에서 Server 라는 독립 실행형 서버를 정의합니다. 또한 이 구성을 사용하면 최소 수준(1)에서 로깅할 수 있으며 로그 파일은 /var/log/samba/ 디렉터리에 저장됩니다. Samba는 log file 매개 변수의 %m 매크로를 클라이언트 연결의 NetBIOS 이름으로 확장합니다. 이를 통해 각 클라이언트에 대한 개별 로그 파일이 활성화됩니다.

3. 선택 사항: 파일 또는 프린터 공유를 구성합니다. 다음 내용을 참조하십시오.

   • POSIX ACL을 사용하는 Samba 파일 공유 설정
   • Windows ACL을 사용하는 공유 설정
   • Samba를 인쇄 서버로 설정

4. /etc/samba/smb.conf 파일을 확인합니다.

   # testparm

   Copy to Clipboard

5. 인증이 필요한 공유를 설정하면 사용자 계정을 생성합니다.

   자세한 내용은 로컬 사용자 계정 생성 및 활성화를 참조하십시오.

6. 필요한 포트를 열고 firewall-cmd 유틸리티를 사용하여 방화벽 구성을 다시 로드합니다.

   # firewall-cmd --permanent --add-service=samba
   # firewall-cmd --reload

   Copy to Clipboard

7. smb 서비스를 활성화하고 시작합니다.

   # systemctl enable --now smb

   Copy to Clipboard

프로세스

1. 운영 체제 계정을 생성합니다.

   # useradd -M -s /sbin/nologin example

   Copy to Clipboard

   이 명령은 홈 디렉터리를 생성하지 않고 example 계정을 추가합니다. 계정이 Samba로 인증하는 데만 사용되는 경우 계정이 로컬에 로그인하지 못하도록 /sbin/nologin 명령을 쉘로 할당합니다.

2. 활성화하려면 암호를 운영 체제 계정으로 설정합니다.

   # passwd example
   Enter new UNIX password: password
   Retype new UNIX password: password
   passwd: password updated successfully

   Copy to Clipboard

   Samba는 운영 체제 계정에 설정된 암호를 사용하여 인증하지 않습니다. 그러나 계정을 활성화하려면 암호를 설정해야 합니다. 계정이 비활성화되어 있으면 Samba는 이 사용자가 연결하면 액세스를 거부합니다.

3. 사용자를 Samba 데이터베이스에 추가하고 암호를 계정으로 설정합니다.

   # smbpasswd -a example
   New SMB password: password
   Retype new SMB password: password
   Added user example.

   Copy to Clipboard

   이 계정을 사용하여 Samba 공유에 연결할 때 인증하려면 이 암호를 사용합니다.

4. Samba 계정을 활성화합니다.

   # smbpasswd -e example
   Enabled user example.

   Copy to Clipboard

프로세스

1. /etc/samba/smb.conf 파일에서 [global] 섹션을 편집합니다.

   1. 없는 경우 기본 도메인 (*)의 ID 매핑 구성을 추가합니다. 예를 들면 다음과 같습니다.

      idmap config * : backend = tdb
      idmap config * : range = 10000-999999

      Copy to Clipboard

   2. AD 도메인의 ad ID 매핑 백엔드를 활성화합니다.

      idmap config DOMAIN : backend = ad

      Copy to Clipboard

   3. AD 도메인의 사용자와 그룹에 할당된 ID 범위를 설정합니다. 예를 들면 다음과 같습니다.

      idmap config DOMAIN : range = 2000000-2999999

      Copy to Clipboard
      중요

      범위는 이 서버의 다른 도메인 구성과 겹치지 않아야 합니다. 또한 범위는 나중에 할당되는 모든 ID를 포함할 만큼 충분히 커야 합니다. 자세한 내용은 Planning Samba ID 범위를 참조하십시오.

   4. AD에서 속성을 읽을 때 Samba가 RFC 2307 스키마를 사용하도록 설정합니다.

      idmap config DOMAIN : schema_mode = rfc2307

      Copy to Clipboard

   5. Samba가 해당 AD 속성에서 로그인 쉘 및 사용자 홈 디렉터리 경로를 읽을 수 있도록 하려면 다음을 설정합니다.

      idmap config DOMAIN : unix_nss_info = yes

      Copy to Clipboard

      또는 모든 사용자에게 적용되는 균일한 도메인 전체 홈 디렉터리 경로 및 로그인 쉘을 설정할 수 있습니다. 예를 들면 다음과 같습니다.

      template shell = /bin/bash
      template homedir = /home/%U

      Copy to Clipboard

   6. 기본적으로 Samba는 사용자 오브젝트의 primaryGroupID 속성을 Linux의 사용자 기본 그룹으로 사용합니다. 또는 대신 gidNumber 특성에 설정된 값을 사용하도록 Samba를 구성할 수 있습니다.

      idmap config DOMAIN : unix_primary_group = yes

      Copy to Clipboard

2. /etc/samba/smb.conf 파일을 확인합니다.

   # testparm

   Copy to Clipboard

3. Samba 구성을 다시 로드합니다.

   # smbcontrol all reload-config

   Copy to Clipboard

프로세스

1. /etc/samba/smb.conf 파일에서 [global] 섹션을 편집합니다.

   1. 없는 경우 기본 도메인 (*)의 ID 매핑 구성을 추가합니다. 예를 들면 다음과 같습니다.

      idmap config * : backend = tdb
      idmap config * : range = 10000-999999

      Copy to Clipboard

   2. 도메인에 대해 rid ID 매핑 백엔드를 활성화합니다.

      idmap config DOMAIN : backend = rid

      Copy to Clipboard

   3. 향후 할당될 모든 RID를 포함할 만큼 큰 범위를 설정합니다. 예를 들면 다음과 같습니다.

      idmap config DOMAIN : range = 2000000-2999999

      Copy to Clipboard

      Samba는 이 도메인의 RID가 범위에 속하지 않는 사용자와 그룹을 무시합니다.

      중요

      범위는 이 서버의 다른 도메인 구성과 겹치지 않아야 합니다. 또한 범위는 나중에 할당되는 모든 ID를 포함할 만큼 충분히 커야 합니다. 자세한 내용은 Planning Samba ID 범위를 참조하십시오.

   4. 매핑된 모든 사용자에게 할당될 쉘 및 홈 디렉터리 경로를 설정합니다. 예를 들면 다음과 같습니다.

      template shell = /bin/bash
      template homedir = /home/%U

      Copy to Clipboard

2. /etc/samba/smb.conf 파일을 확인합니다.

   # testparm

   Copy to Clipboard

3. Samba 구성을 다시 로드합니다.

   # smbcontrol all reload-config

   Copy to Clipboard

프로세스

1. /etc/samba/smb.conf 파일에서 [global] 섹션을 편집합니다.

   1. * 기본 도메인의 autorid ID 매핑 백엔드를 활성화합니다.

      idmap config * : backend = autorid

      Copy to Clipboard

   2. 모든 기존 및 향후 객체에 ID를 할당할 수 있을 만큼 큰 범위를 설정합니다. 예를 들면 다음과 같습니다.

      idmap config * : range = 10000-999999

      Copy to Clipboard

      Samba는 이 도메인에서 계산된 ID가 범위에 속하지 않는 사용자와 그룹을 무시합니다.

      주의

      범위를 설정하고 Samba가 이를 사용하기 시작하면 범위의 상한만 늘릴 수 있습니다. 범위를 다른 모든 변경으로 인해 새 ID 할당이 발생할 수 있으므로 파일 소유권이 손실됩니다.

   3. 선택 사항: 범위 크기를 설정합니다. 예를 들면 다음과 같습니다.

      idmap config * : rangesize = 200000

      Copy to Clipboard

      Samba는 idmap config * : range 매개변수에 설정된 범위의 모든 ID가 사용될 때까지 각 도메인의 오브젝트에 대한 연속 ID 수를 할당합니다.

      참고

      범위 크기를 설정하는 경우 적절하게 범위를 조정해야 합니다. 범위는 범위 크기의 여러 개여야 합니다.

   4. 매핑된 모든 사용자에게 할당될 쉘 및 홈 디렉터리 경로를 설정합니다. 예를 들면 다음과 같습니다.

      template shell = /bin/bash
      template homedir = /home/%U

      Copy to Clipboard

   5. 선택 사항: 도메인에 대한 ID 매핑 구성을 추가합니다. 개별 도메인에 대한 구성이 없는 경우 Samba는 이전에 구성된 * 기본 도메인에서 autorid 백엔드 설정을 사용하여 ID를 계산합니다.

      중요

      범위는 이 서버의 다른 도메인 구성과 겹치지 않아야 합니다. 또한 범위는 나중에 할당되는 모든 ID를 포함할 만큼 충분히 커야 합니다. 자세한 내용은 Planning Samba ID 범위를 참조하십시오.

2. /etc/samba/smb.conf 파일을 확인합니다.

   # testparm

   Copy to Clipboard

3. Samba 구성을 다시 로드합니다.

   # smbcontrol all reload-config

   Copy to Clipboard

프로세스

1. AD에 Kerberos 인증을 위한 더 이상 사용되지 않는 RC4 암호화 유형이 필요한 경우 RHEL에서 이러한 암호에 대한 지원을 활성화합니다.

   # update-crypto-policies --set DEFAULT:AD-SUPPORT

   Copy to Clipboard

2. 다음 패키지를 설치합니다.

   # dnf install realmd oddjob-mkhomedir oddjob samba-winbind-clients \
          samba-winbind samba-common-tools samba-winbind-krb5-locator krb5-workstation

   Copy to Clipboard

3. 도메인 구성원에서 디렉터리 또는 프린터를 공유하려면 samba 패키지를 설치합니다.

   # dnf install samba

   Copy to Clipboard

4. 기존 /etc/samba/smb.conf Samba 구성 파일을 백업합니다.

   # mv /etc/samba/smb.conf /etc/samba/smb.conf.bak

   Copy to Clipboard

5. 도메인에 가입합니다. 예를 들어 ad.example.com이라는 도메인에 가입하려면 다음을 수행합니다.

   # realm join --membership-software=samba --client-software=winbind ad.example.com

   Copy to Clipboard

   이전 명령을 사용하면 realm 유틸리티가 자동으로 수행됩니다.

   • ad.example.com 도메인 멤버십에 대한 /etc/samba/smb.conf 파일을 만듭니다.
   • 사용자 및 그룹 조회에 대한 winbind 모듈을 /etc/nsswitch.conf 파일에 추가합니다.
   • /etc/pam.d/ 디렉토리에서 PAM(Pluggable Authentication Module) 구성 파일을 업데이트합니다.
   • winbind 서비스를 시작하고 시스템이 부팅될 때 서비스가 시작됩니다.

6. 선택 사항: /etc/samba/smb.conf 파일에서 대체 ID 매핑 백엔드 또는 사용자 지정 ID 매핑 설정을 설정합니다.

   자세한 내용은 Samba ID 매핑 이해 및 구성을 참조하십시오.

7. /etc/krb5.conf 파일을 편집하고 다음 섹션을 추가합니다.

   [plugins]
       localauth = {
           module = winbind:/usr/lib64/samba/krb5/winbind_krb5_localauth.so
           enable_only = winbind
       }

   Copy to Clipboard

8. winbind 서비스가 실행 중인지 확인합니다.

   # systemctl status winbind
   ...
      Active: active (running) since Tue 2018-11-06 19:10:40 CET; 15s ago

   Copy to Clipboard
   중요

   Samba를 활성화하여 도메인 사용자 및 그룹 정보를 쿼리하려면 smb 를 시작하기 전에 winbind 서비스를 실행해야 합니다.

9. 디렉터리 및 프린터를 공유하는 samba 패키지를 설치한 경우 smb 서비스를 활성화하고 시작합니다.

   # systemctl enable --now smb

   Copy to Clipboard

검증

1. AD 도메인의 AD 관리자 계정과 같은 AD 사용자의 세부 정보를 표시합니다.

   # getent passwd "AD\administrator"
   AD\administrator:*:10000:10000::/home/administrator@AD:/bin/bash

   Copy to Clipboard

2. AD 도메인에서 도메인 사용자 그룹의 멤버를 쿼리합니다.

   # getent group "AD\Domain Users"
       AD\domain users:x:10000:user1,user2

   Copy to Clipboard

3. 선택 사항: 파일 및 디렉터리에 대한 권한을 설정할 때 도메인 사용자 및 그룹을 사용할 수 있는지 확인합니다. 예를 들어 /srv/samba/example.txt 파일의 소유자를 AD\administrator로 설정하고 그룹을 AD\Domain Users로 설정하려면 다음을 수행합니다.

   # chown "AD\administrator":"AD\Domain Users" /srv/samba/example.txt

   Copy to Clipboard

4. Kerberos 인증이 예상대로 작동하는지 확인합니다.

   1. AD 도메인 멤버에서 administrator@AD.EXAMPLE.COM 주체에 대한 티켓을 받습니다.

      # kinit administrator@AD.EXAMPLE.COM

      Copy to Clipboard

   2. 캐시된 Kerberos 티켓을 표시합니다.

      # klist
      Ticket cache: KCM:0
      Default principal: administrator@AD.EXAMPLE.COM
      
      Valid starting       Expires              Service principal
      01.11.2018 10:00:00  01.11.2018 20:00:00  krbtgt/AD.EXAMPLE.COM@AD.EXAMPLE.COM
              renew until 08.11.2018 05:00:00

      Copy to Clipboard

5. 사용 가능한 도메인을 표시합니다.

   # wbinfo --all-domains
   BUILTIN
   SAMBA-SERVER
   AD

   Copy to Clipboard

프로세스

1. samba-gpupdate 패키지를 설치합니다.

   # dnf install samba-gpupdate

   Copy to Clipboard

2. /etc/samba/smb.conf 파일에 다음 설정을 추가합니다.

   kerberos method = secrets and keytab
   sync machine password to keytab = "/etc/krb5.keytab:account_name:sync_spns:spn_prefixes=host:sync_kvno:machine_password", "/etc/samba/cepces.keytab:account_name:machine_password"
   apply group policies = yes

   Copy to Clipboard

   Samba 구성에 지정된 설정에는 다음 구성이 포함됩니다.

   Kerberos 방법 = secrets 및 keytab

   먼저 Kerberos 티켓을 확인한 다음 /etc/krb5.keytab 파일을 확인하려면 /var/lib/samba/private/secrets.tdb 파일을 사용하도록 Samba를 구성합니다.

   sync machine password to keytab = <list_of_keytab_files_and_their_principals>

   Samba가 유지 관리하는 키탭 파일의 경로와 이러한 파일에서 Kerberos 주체를 정의합니다. 표시된 값을 사용하면 Samba는 /etc/krb5.keytab 시스템 키탭을 계속 유지 관리하며, 또한 certmonger 에 대한 cepces-submit 제출 도우미가 CA에 인증하는 데 사용하는 /etc/samba/cepces.keytab 파일을 유지합니다.

   그룹 정책 적용 = yes

   gpupdate 명령을 간격으로 실행하도록 winbind 서비스를 구성합니다. 업데이트 간격은 90분과 0분에서 30분 사이의 임의 오프셋입니다.

3. /etc/samba/cepces.keytab 파일을 만듭니다.

   # net ads keytab create

   Copy to Clipboard

4. /etc/cepces/cepces.conf 파일을 편집하고 다음과 같이 변경합니다.

   1. [global] 섹션에서 server 변수를 CA 서비스를 실행하는 Windows 서버의 FQDN(정규화된 도메인 이름)으로 설정합니다.

      [global]
      server=win-server.ad.example.com

      Copy to Clipboard

   2. [kerberos] 섹션에서 keytab 변수를 /etc/samba/cepces.keytab 으로 설정합니다.

      [kerberos]
      keytab=/etc/samba/cepces.keytab

      Copy to Clipboard

5. certmonger 서비스를 활성화하고 시작합니다.

   # systemctl enable --now certmonger

   Copy to Clipboard

   certmonger 서비스는 CA에서 인증서를 요청하고 만료되기 전에 자동으로 갱신합니다.

6. samba-gpupdate 를 수동으로 실행하여 AD에서 그룹 정책이 로드되었는지 확인합니다.

   # samba-gpupdate

   Copy to Clipboard

7. certmonger 서비스는 다음 디렉터리에 키와 인증서를 저장합니다.

   • 개인 키: /var/lib/samba/private/certs/

   • 발행된 인증서: /var/lib/samba/certs/

     이제 동일한 호스트의 서비스에서 키와 인증서를 사용할 수 있습니다.

8. 선택 사항: certmonger 에서 관리하는 인증서를 표시합니다.

   # getcert list
   Number of certificates and requests being tracked: 1.
   Request ID 'AD-ROOT-CA.Machine':
   	status: MONITORING
   	stuck: no
   	key pair storage: type=FILE,location='/var/lib/samba/private/certs/AD-ROOT-CA.Machine.key'
   	certificate: type=FILE,location='/var/lib/samba/certs/AD-ROOT-CA.Machine.crt'
   	CA: AD-ROOT-CA
   	issuer: CN=AD-ROOT-CA,DC=ad,DC=example,DC=com
   	subject: CN=rhel9.ad.example.com
   	issued: 2025-03-25 14:22:07 CET
   	expires: 2026-03-25 14:22:07 CET
   	dns: rhel9.ad.example.com
   	key usage: digitalSignature,keyEncipherment
   	eku: id-kp-clientAuth,id-kp-serverAuth
   	certificate template/profile: Machine
   	profile: Machine
   	pre-save command:
   	post-save command:
   	track: yes
   	auto-renew: yes

   Copy to Clipboard

   기본적으로 Windows CA는 머신 인증서 템플릿을 사용하여 인증서만 발행합니다. 이 호스트에 적용되는 추가 템플릿을 Windows CA에 구성한 경우 certmonger 도 이러한 템플릿에 대한 인증서를 요청하고 getcert list 출력에 대한 항목도 포함됩니다.

프로세스

1. 필수 패키지를 설치합니다.

   [root@ipaserver ~]# dnf install ipa-server-trust-ad samba-client

   Copy to Clipboard

2. IdM 관리자로 인증합니다.

   [root@ipaserver ~]# kinit admin

   Copy to Clipboard

3. ipa-adtrust-install 유틸리티를 실행합니다.

   [root@ipaserver ~]# ipa-adtrust-install

   Copy to Clipboard

   IdM이 통합된 DNS 서버와 함께 설치된 경우 DNS 서비스 레코드가 자동으로 생성됩니다.

   통합된 DNS 서버 없이 IdM을 설치한 경우, ipa-adtrust-install 은 DNS에 수동으로 추가해야 하는 서비스 레코드 목록을 인쇄합니다.

4. 스크립트에서 /etc/samba/smb.conf가 이미 존재하고 다시 작성됨을 묻는 메시지를 표시합니다.

   WARNING: The smb.conf already exists. Running ipa-adtrust-install will break your existing Samba configuration.
   
   Do you wish to continue? [no]: yes

   Copy to Clipboard

5. 스크립트에서 이전 Linux 클라이언트가 신뢰할 수 있는 사용자로 작업할 수 있는 호환성 플러그인인 slapi-nis 플러그인을 구성하도록 프롬프트를 표시합니다.

   Do you want to enable support for trusted domains in Schema Compatibility plugin?
   This will allow clients older than SSSD 1.9 and non-Linux clients to work with trusted users.
   
   Enable trusted domains support in slapi-nis? [no]: yes

   Copy to Clipboard

6. SID 생성 작업을 실행하여 기존 사용자의 SID를 생성하라는 메시지가 표시됩니다.

   Do you want to run the ipa-sidgen task? [no]: yes

   Copy to Clipboard

   이는 리소스 집약적인 작업이므로 사용자가 많은 경우 한 번에 이 작업을 실행할 수 있습니다.

7. 선택 사항: 기본적으로 Dynamic RPC 포트 범위는 Windows Server 2008 이상에서는 49152-65535 로 정의됩니다. 환경에 대해 다른 Dynamic RPC 포트 범위를 정의해야 하는 경우 다른 포트를 사용하도록 Samba를 구성하고 방화벽 설정에서 해당 포트를 엽니다. 다음 예제에서는 포트 범위를 55000-65000으로 설정합니다.

   [root@ipaserver ~]# net conf setparm global 'rpc server dynamic port range' 55000-65000
   [root@ipaserver ~]# firewall-cmd --add-port=55000-65000/tcp
   [root@ipaserver ~]# firewall-cmd --runtime-to-permanent

   Copy to Clipboard

8. ipa 서비스를 다시 시작하십시오.

   [root@ipaserver ~]# ipactl restart

   Copy to Clipboard

9. smbclient 유틸리티를 사용하여 Samba가 IdM 측에서 Kerberos 인증에 응답하는지 확인합니다.

   [root@ipaserver ~]# smbclient -L ipaserver.idm.example.com -U user_name --use-kerberos=required
   lp_load_ex: changing to config backend registry
       Sharename       Type      Comment
       ---------       ----      -------
       IPC$            IPC       IPC Service (Samba 4.15.2)
   ...

   Copy to Clipboard

프로세스

1. ipa-client-samba 패키지를 설치합니다.

   [root@idm_client]# dnf install ipa-client-samba

   Copy to Clipboard

2. ipa-client-samba 유틸리티를 사용하여 클라이언트를 준비하고 초기 Samba 구성을 생성합니다.

   [root@idm_client]# ipa-client-samba
   Searching for IPA server...
   IPA server: DNS discovery
   Chosen IPA master: idm_server.idm.example.com
   SMB principal to be created: cifs/idm_client.idm.example.com@IDM.EXAMPLE.COM
   NetBIOS name to be used: IDM_CLIENT
   Discovered domains to use:
   
    Domain name: idm.example.com
   NetBIOS name: IDM
            SID: S-1-5-21-525930803-952335037-206501584
       ID range: 212000000 - 212199999
   
    Domain name: ad.example.com
   NetBIOS name: AD
            SID: None
       ID range: 1918400000 - 1918599999
   
   Continue to configure the system with these values? [no]: yes
   Samba domain member is configured. Please check configuration at /etc/samba/smb.conf and start smb and winbind services

   Copy to Clipboard

3. 기본적으로 ipa-client-samba는 사용자가 연결할 때 사용자의 홈 디렉토리를 동적으로 공유하는 /etc/samba/smb.conf 파일에 [homes] 섹션을 자동으로 추가합니다. 이 서버에 홈 디렉터리가 없거나 공유하려는 경우 /etc/samba/smb.conf에서 다음 행을 제거하십시오.

   [homes]
       read only = no

   Copy to Clipboard

4. 디렉토리와 프린터를 공유합니다. 자세한 내용은 다음을 참조하십시오.

   • POSIX ACL을 사용하는 Samba 파일 공유 설정
   • Windows ACL을 사용하는 공유 설정
   • Samba를 인쇄 서버로 설정

5. 로컬 방화벽에서 Samba 클라이언트에 필요한 포트를 엽니다.

   [root@idm_client]# firewall-cmd --permanent --add-service=samba-client
   [root@idm_client]# firewall-cmd --reload

   Copy to Clipboard

6. smb 및 winbind 서비스를 활성화하고 시작합니다.

   [root@idm_client]# systemctl enable --now smb winbind

   Copy to Clipboard

프로세스

1. 호스트의 keytab을 사용하여 인증합니다.

   [root@idm_client]# kinit -k

   Copy to Clipboard

2. ipa idrange-find 명령을 사용하여 새 도메인의 기본 ID와 ID 범위 크기를 모두 표시합니다. 예를 들어 다음 명령은 ad.example.com 도메인의 값을 표시합니다.

   [root@idm_client]# ipa idrange-find --name="AD.EXAMPLE.COM_id_range" --raw
   ---------------
   1 range matched
   ---------------
     cn: AD.EXAMPLE.COM_id_range
     ipabaseid: 1918400000
     ipaidrangesize: 200000
     ipabaserid: 0
     ipanttrusteddomainsid: S-1-5-21-968346183-862388825-1738313271
     iparangetype: ipa-ad-trust
   ----------------------------
   Number of entries returned 1
   ----------------------------

   Copy to Clipboard

   다음 단계에서 ipabaseid 및 ipaidrangesize 속성의 값이 필요합니다.

3. 사용 가능한 가장 높은 ID를 계산하려면 다음 공식을 사용합니다.

   maximum_range = ipabaseid + ipaidrangesize - 1

   Copy to Clipboard

   이전 단계의 값을 사용하여 ad.example.com 도메인에 사용 가능한 가장 높은 ID는 1918599999 (1918400000 + 200000 - 1)입니다.

4. /etc/samba/smb.conf 파일을 편집하고 도메인의 ID 매핑 구성을 [global] 섹션에 추가합니다.

   idmap config AD : range = 1918400000 - 1918599999
   idmap config AD : backend = sss

   Copy to Clipboard

   ipabaseid 특성의 값을 가장 낮은 값으로 지정하고 이전 단계의 계산된 값을 가장 높은 범위 값으로 지정합니다.

5. smb 및 winbind 서비스를 다시 시작합니다.

   [root@idm_client]# systemctl restart smb winbind

   Copy to Clipboard

프로세스

1. 디렉터리가 없는 경우 해당 디렉터리를 생성합니다. 예를 들면 다음과 같습니다.

   # mkdir -p /srv/samba/example/

   Copy to Clipboard

2. enforcing 모드에서 SELinux를 실행하는 경우 디렉터리에 samba_share_t 컨텍스트를 설정합니다.

   # semanage fcontext -a -t samba_share_t "/srv/samba/example(/.*)?"
   # restorecon -Rv /srv/samba/example/

   Copy to Clipboard

3. 디렉터리에 파일 시스템 ACL을 설정합니다. 자세한 내용은 다음을 참조하십시오.

   • POSIX ACL을 사용하는 Samba 공유에서 표준 ACL 설정
   • POSIX ACL을 사용하는 공유에서 확장된 ACL을 설정합니다.

4. 예제 공유를 /etc/samba/smb.conf 파일에 추가합니다. 예를 들어, 쓰기 가능 공유를 추가하려면 다음을 수행합니다.

   [example]
   	path = /srv/samba/example/
   	read only = no

   Copy to Clipboard
   참고

   파일 시스템 ACL에 관계없이 read only = no를 설정하지 않으면 Samba는 읽기 전용 모드로 디렉토리를 공유합니다.

5. /etc/samba/smb.conf 파일을 확인합니다.

   # testparm

   Copy to Clipboard

6. 필요한 포트를 열고 firewall-cmd 유틸리티를 사용하여 방화벽 구성을 다시 로드합니다.

   # firewall-cmd --permanent --add-service=samba
   # firewall-cmd --reload

   Copy to Clipboard

7. smb 서비스를 다시 시작하십시오.

   # systemctl restart smb

   Copy to Clipboard

프로세스

1. /etc/samba/smb.conf 파일의 공유 섹션에서 다음 매개 변수를 활성화하여 확장 ACL의 ACL 상속을 활성화합니다.

   inherit acls = yes

   Copy to Clipboard

   자세한 내용은 smb.conf(5) 도움말 페이지의 매개 변수 설명을 참조하십시오.

2. smb 서비스를 다시 시작하십시오.

   # systemctl restart smb

   Copy to Clipboard

3. 디렉터리에 ACL을 설정합니다. 예를 들면 다음과 같습니다.

   예 1.2. 확장 ACL 설정

   다음 절차에서는 Domain Admins 그룹에 대한 읽기, 쓰기 및 실행 권한을 설정하고, Domain Users 그룹에 대한 읽기, 쓰기 및 실행 권한을 설정하고, /srv/samba/example/ 디렉터리에 있는 모든 사용자에 대한 액세스를 거부합니다.

   1. 기본 사용자 계정 그룹에 자동 부여 권한을 비활성화합니다.

      # setfacl -m group::--- /srv/samba/example/
      # setfacl -m default:group::--- /srv/samba/example/

      Copy to Clipboard

      디렉터리의 기본 그룹은 동적 CREATOR GROUP 주체에 추가로 매핑됩니다. Samba 공유에 확장 POSIX ACL을 사용하면 이 주체가 자동으로 추가되며 제거할 수 없습니다.

   2. 디렉터리에 대한 권한을 설정합니다.

      1. Domain Admins 그룹에 읽기, 쓰기 및 실행 권한을 부여합니다.

         # setfacl -m group:"DOMAIN\Domain Admins":rwx /srv/samba/example/

         Copy to Clipboard

      2. Domain Users 그룹에 읽기 및 실행 권한을 부여합니다.

         # setfacl -m group:"DOMAIN\Domain Users":r-x /srv/samba/example/

         Copy to Clipboard

      3. other ACL 항목과 일치하지 않는 사용자에 대한 액세스를 거부하도록 다른 ACL 항목에 대한 권한을 설정합니다.

         # setfacl -R -m other::--- /srv/samba/example/

         Copy to Clipboard

      이러한 설정은 이 디렉터리에만 적용됩니다. Windows에서는 이러한 ACL이 This folder only에만 매핑됩니다.

   3. 이전 단계에서 설정한 권한을 이 디렉터리에 생성된 새 파일 시스템 개체에서 상속하려면 다음을 수행합니다.

      # setfacl -m default:group:"DOMAIN\Domain Admins":rwx /srv/samba/example/
      # setfacl -m default:group:"DOMAIN\Domain Users":r-x /srv/samba/example/
      # setfacl -m default:other::--- /srv/samba/example/

      Copy to Clipboard

      이러한 설정을 사용하면 보안 주체에 대한 This folder only 모드가 이제 이 폴더, 하위 폴더 및 파일로 설정됩니다.

   Samba는 절차에 설정된 권한을 다음 Windows ACL에 매핑합니다.

   주체	액세스	적용 대상
   도메인\Domain 관리자	전체 제어	이 폴더, 하위 폴더 및 파일
   도메인\Domain 사용자	읽기 및 실행	이 폴더, 하위 폴더 및 파일
   Everyone [a]	없음	이 폴더, 하위 폴더 및 파일
   소유자 (Unix 사용자\소유자) [b]	전체 제어	이 폴더만 해당
   primary_group (Unix User\primary_group) [c]	없음	이 폴더만 해당
   CREATOR OWNER [d] [e]	전체 제어	하위 폴더 및 파일만 해당
   CREATOR GROUP [e] [f]	없음	하위 폴더 및 파일만 해당
   [a] Samba는 이 주체에 대한 권한을 other ACL 항목에서 매핑합니다. [b] Samba는 디렉터리의 소유자를 이 항목에 매핑합니다. [c] Samba는 디렉터리의 기본 그룹을 이 항목에 매핑합니다. [d] 새 파일 시스템 개체에서 작성자는 이 주체의 권한을 자동으로 상속합니다.On new file system objects, the creator inherits automatically the permissions of this principal. [e] POSIX ACL을 사용하는 공유에서 지원되지 않는 ACL에서 이러한 주체를 구성하거나 제거합니다. [f] 새 파일 시스템 개체에서 작성자의 기본 그룹은 이 주체의 권한을 자동으로 상속합니다.

프로세스

1. 예를 들어 사용자 계정에 대한 액세스가 거부되는 동안 Domain Users 그룹의 모든 멤버가 공유에 액세스할 수 있도록 하려면 공유 구성에 다음 매개변수를 추가합니다.

   valid users = +DOMAIN\"Domain Users"
   invalid users = DOMAIN\user

   Copy to Clipboard

   잘못된 users 매개변수는 유효한 users 매개변수보다 우선 순위가 높습니다. 예를 들어 사용자 계정이 Domain Users 그룹의 멤버인 경우 이전 예제를 사용할 때 이 계정에 대한 액세스가 거부됩니다.

2. Samba 구성을 다시 로드합니다.

   # smbcontrol all reload-config

   Copy to Clipboard

프로세스

1. /etc/samba/smb.conf 파일의 공유 구성에 다음 매개 변수를 추가합니다.

   hosts allow = 127.0.0.1 192.0.2.0/24 client1.example.com
   hosts deny = client2.example.com

   Copy to Clipboard

   hosts 거부 매개 변수는 호스트 허용 보다 우선 순위가 높습니다. 예를 들어 client1.example.com 이 hosts allow 매개변수에 나열된 IP 주소로 확인되면 이 호스트에 대한 액세스가 거부됩니다.

2. Samba 구성을 다시 로드합니다.

   # smbcontrol all reload-config

   Copy to Clipboard

프로세스

1. 예를 들어 DOMAIN\Domain Admins 그룹에 SeDiskOperatorPrivilege 권한을 부여하려면 다음을 수행합니다.

   # net rpc rights grant "DOMAIN\Domain Admins" SeDiskOperatorPrivilege -U "DOMAIN\administrator"
   Enter DOMAIN\administrator's password:
   Successfully granted rights.

   Copy to Clipboard
   참고

   도메인 환경에서 도메인 그룹에 SeDiskOperatorPrivilege 를 부여합니다. 이를 통해 사용자의 그룹 멤버십을 업데이트하여 권한을 중앙에서 관리할 수 있습니다.

2. SeDiskOperatorPrivilege 가 부여된 모든 사용자 및 그룹을 나열하려면 다음을 수행하십시오.

   # net rpc rights list privileges SeDiskOperatorPrivilege -U "DOMAIN\administrator"
   Enter administrator's password:
   SeDiskOperatorPrivilege:
     BUILTIN\Administrators
     DOMAIN\Domain Admins

   Copy to Clipboard

프로세스

1. 모든 공유에 대해 전역적으로 활성화하려면 /etc/samba/smb.conf 파일의 [global] 섹션에 다음 설정을 추가합니다.

   vfs objects = acl_xattr
   map acl inherit = yes
   store dos attributes = yes

   Copy to Clipboard

   또는 공유 섹션에 동일한 매개 변수를 추가하여 개별 공유에 대해 Windows ACL 지원을 활성화할 수 있습니다.

2. smb 서비스를 다시 시작하십시오.

   # systemctl restart smb

   Copy to Clipboard

프로세스

1. 폴더가 없는 경우 해당 폴더를 생성합니다. 예를 들면 다음과 같습니다.

   # mkdir -p /srv/samba/example/

   Copy to Clipboard

2. enforcing 모드에서 SELinux를 실행하는 경우 디렉터리에 samba_share_t 컨텍스트를 설정합니다.

   # semanage fcontext -a -t samba_share_t "/srv/samba/example(/.)?"*
   # restorecon -Rv /srv/samba/example/

   Copy to Clipboard

3. 예제 공유를 /etc/samba/smb.conf 파일에 추가합니다. 예를 들어, 쓰기 가능 공유를 추가하려면 다음을 수행합니다.

   [example]
   	path = /srv/samba/example/
   	read only = no

   Copy to Clipboard
   참고

   파일 시스템 ACL에 관계없이 read only = no를 설정하지 않으면 Samba는 읽기 전용 모드로 디렉토리를 공유합니다.

4. 모든 공유에 대해 [global] 섹션에서 Windows ACL 지원을 활성화하지 않은 경우 [example] 섹션에 다음 매개변수를 추가하여 이 공유를 위해 이 기능을 활성화합니다.

   vfs objects = acl_xattr
   map acl inherit = yes
   store dos attributes = yes

   Copy to Clipboard

5. /etc/samba/smb.conf 파일을 확인합니다.

   # testparm

   Copy to Clipboard

6. 필요한 포트를 열고 firewall-cmd 유틸리티를 사용하여 방화벽 구성을 다시 로드합니다.

   # firewall-cmd --permanent --add-service=samba
   # firewall-cmd --reload

   Copy to Clipboard

7. smb 서비스를 다시 시작하십시오.

   # systemctl restart smb

   Copy to Clipboard

프로세스

1. 로컬 example 그룹이 없는 경우 해당 그룹을 생성합니다.

   # groupadd example

   Copy to Clipboard

2. Samba에서 사용자 공유 정의를 저장하고 권한을 올바르게 설정하도록 디렉터리를 준비합니다. 예를 들면 다음과 같습니다.

   1. 디렉터리를 만듭니다.

      # mkdir -p /var/lib/samba/usershares/

      Copy to Clipboard

   2. example 그룹에 대한 쓰기 권한을 설정합니다.

      # chgrp example /var/lib/samba/usershares/
      # chmod 1770 /var/lib/samba/usershares/

      Copy to Clipboard
   3. 사용자가 이 디렉터리의 다른 사용자가 저장한 파일의 이름을 변경하거나 삭제하지 않도록 stick bit를 설정합니다.

3. /etc/samba/smb.conf 파일을 편집하고 [global] 섹션에 다음을 추가합니다.

   1. 사용자 공유 정의를 저장하도록 구성한 디렉터리의 경로를 설정합니다. 예를 들면 다음과 같습니다.

      usershare path = /var/lib/samba/usershares/

      Copy to Clipboard

   2. 이 서버에서 Samba를 생성할 수 있는 사용자 공유 수를 설정합니다. 예를 들면 다음과 같습니다.

      usershare max shares = 100

      Copy to Clipboard

      usershare max shares 매개변수에 기본값 0을 사용하는 경우 사용자 공유가 비활성화됩니다.

   3. 선택 사항: 절대 디렉터리 경로 목록을 설정합니다. 예를 들어 Samba가 /data 및 /srv 디렉터리의 하위 디렉토리만 공유할 수 있도록 구성하려면 다음을 설정합니다.

      usershare prefix allow list = /data /srv

      Copy to Clipboard

   설정할 수 있는 추가 사용자 공유 관련 매개변수 목록은 시스템의 smb.conf(5) 도움말 페이지의 USERSHARES 섹션을 참조하십시오.

4. /etc/samba/smb.conf 파일을 확인합니다.

   # testparm

   Copy to Clipboard

5. Samba 구성을 다시 로드합니다.

   # smbcontrol all reload-config

   Copy to Clipboard

   이제 사용자가 사용자 공유를 생성할 수 있습니다.

프로세스

1. 사용자가 만든 모든 사용자 공유를 표시하려면 다음을 수행하십시오.

   $ net usershare info -l
   [share_1]
   path=/srv/samba/
   comment=
   usershare_acl=Everyone:R,host_name\user:F,
   guest_ok=y
   ...

   Copy to Clipboard

   명령을 실행하는 사용자가 생성한 공유만 나열하려면 -l 매개변수를 생략합니다.

2. 특정 공유에 대한 정보만 표시하려면 공유 이름 또는 와일드카드를 명령에 전달합니다. 예를 들어 이름이 share_ 로 시작하는 공유에 대한 정보를 표시하려면 다음을 수행합니다.

   $ net usershare info -l share_* 

   Copy to Clipboard

프로세스

1. 사용자가 생성한 공유를 나열하려면 다음을 수행합니다.

   $ net usershare list -l
   share_1
   share_2
   ...

   Copy to Clipboard

   명령을 실행하는 사용자가 생성한 공유만 나열하려면 -l 매개변수를 생략합니다.

2. 특정 공유만 나열하려면 공유 이름 또는 와일드카드를 명령에 전달합니다. 예를 들어 이름이 share_:로 시작하는 공유만 나열하려면 다음을 수행합니다.

   $ net usershare list -l share_* 

   Copy to Clipboard

프로세스

1. /etc/samba/smb.conf 파일을 편집합니다.

   1. 이 서버에서 첫 번째 게스트 공유인 경우 다음을 수행합니다.

      1. [global] 섹션에서 guest = Bad User에 map을 설정합니다.

         [global]
                 ...
                 map to guest = Bad User

         Copy to Clipboard

         이 설정에서 Samba는 사용자 이름이 존재하지 않는 한 잘못된 암호를 사용하는 로그인 시도를 거부합니다. 지정된 사용자 이름이 없고 공유에서 게스트 액세스가 활성화된 경우 Samba는 연결을 게스트 로그인으로 처리합니다.

      2. 기본적으로 Samba는 게스트 계정을 Red Hat Enterprise Linux의 nobody 계정에 매핑합니다. 또는 다른 계정을 설정할 수 있습니다. 예를 들면 다음과 같습니다.

         [global]
                 ...
                 guest account = user_name

         Copy to Clipboard

         이 매개 변수에 설정된 계정은 Samba 서버에 로컬로 존재해야 합니다. 보안상의 이유로 유효한 쉘이 할당되지 않은 계정을 사용하는 것이 좋습니다.

   2. [example] 공유 섹션에 guest ok = yes 설정을 추가합니다.

      [example]
              ...
              guest ok = yes

      Copy to Clipboard

2. /etc/samba/smb.conf 파일을 확인합니다.

   # testparm

   Copy to Clipboard

3. Samba 구성을 다시 로드합니다.

   # smbcontrol all reload-config

   Copy to Clipboard

프로세스

1. /etc/samba/smb.conf 파일을 편집하고 [global] 섹션에서 작물과 streams_xattr VFS 모듈을 활성화합니다.

   vfs objects = fruit streams_xattr

   Copy to Clipboard
   중요

   streams_xattr 을 활성화하기 전에 fruit 모듈을 활성화해야 합니다. fill 모듈은 대체 데이터 스트림(ADS)을 사용합니다. 이러한 이유로 streams_xattr 모듈도 활성화해야 합니다.

2. 선택 사항: 공유에서 macOS Time Machine 지원을 제공하려면 /etc/samba/smb.conf 파일의 공유 구성에 다음 설정을 추가합니다.

   fruit:time machine = yes

   Copy to Clipboard

3. /etc/samba/smb.conf 파일을 확인합니다.

   # testparm

   Copy to Clipboard

4. Samba 구성을 다시 로드합니다.

   # smbcontrol all reload-config

   Copy to Clipboard

프로세스

1. 공유에 연결합니다.

   # smbclient -U "DOMAIN\user_name" //server_name/share_name

   Copy to Clipboard

2. /example/ 디렉터리로 변경합니다.

   smb: \> d /example/

   Copy to Clipboard

3. 디렉터리에 파일을 나열합니다.

   smb: \example\> ls
     .                    D         0  Thu Nov 1 10:00:00 2018
     ..                   D         0  Thu Nov 1 10:00:00 2018
     example.txt          N   1048576  Thu Nov 1 10:00:00 2018
   
            9950208 blocks of size 1024. 8247144 blocks available

   Copy to Clipboard

4. example.txt 파일을 다운로드합니다.

   smb: \example\> get example.txt
   getting file \directory\subdirectory\example.txt of size 1048576 as example.txt (511975,0 KiloBytes/sec) (average 170666,7 KiloBytes/sec)

   Copy to Clipboard

5. 공유에서 연결을 끊습니다.

   smb: \example\> exit

   Copy to Clipboard

프로세스

1. /etc/samba/smb.conf 파일을 편집합니다.

   1. [ Cryostats] 섹션을 추가하여 Samba에서 출력 백엔드를 활성화합니다.

      [printers]
              comment = All Printers
              path = /var/tmp/
              printable = yes
              create mask = 0600

      Copy to Clipboard
      중요

      [ Cryostat] 공유 이름은 하드 코딩되어 있으며 변경할 수 없습니다.

   2. CUPS 서버가 다른 호스트 또는 포트에서 실행되는 경우 [ Cryostats] 섹션에 설정을 지정합니다.

      cups server = printserver.example.com:631

      Copy to Clipboard

   3. 프린터 수가 많은 경우 CUPS에 연결된 프린터 수보다 유휴 초 수를 더 높은 값으로 설정합니다. 예를 들어 프린터가 100개 있는 경우 [global] 섹션에 설정된 프린터를 설정합니다.

      rpcd_spoolss:idle_seconds = 200

      Copy to Clipboard

      환경에서 이 설정이 확장되지 않으면 [global] 섹션의 rpcd_spools 작업자 수도 늘립니다.

      rpcd_spoolss:num_workers = 10

      Copy to Clipboard

      기본적으로 rpcd_spoolss 는 5개의 작업자를 시작합니다.

2. /etc/samba/smb.conf 파일을 확인합니다.

   # testparm

   Copy to Clipboard

3. 필요한 포트를 열고 firewall-cmd 유틸리티를 사용하여 방화벽 구성을 다시 로드합니다.

   # firewall-cmd --permanent --add-service=samba
   # firewall-cmd --reload

   Copy to Clipboard

4. smb 서비스를 다시 시작하십시오.

   # systemctl restart smb

   Copy to Clipboard

   서비스를 다시 시작한 후 Samba는 CUPS 백엔드에 구성된 모든 프린터를 자동으로 공유합니다. 특정 프린터만 수동으로 공유하려면 다음을 참조하십시오.

프로세스

1. /etc/samba/smb.conf 파일을 편집합니다.

   1. [global] 섹션에서 설정을 설정하여 자동 프린터 공유를 비활성화합니다.

      load printers = no

      Copy to Clipboard

   2. 공유할 각 프린터에 대해 섹션을 추가합니다. 예를 들어 CUPS 백엔드에서 Samba로 example 이라는 프린터를 공유하려면 다음 섹션을 추가합니다.

      [Example-Printer]
              path = /var/tmp/
              printable = yes
              printer name = example

      Copy to Clipboard

      각 프린터에 대해 개별 스풀 디렉터리가 필요하지 않습니다. [ Cryostats] 섹션에서 설정한 것처럼 프린터의 path 매개변수에 동일한 spool 디렉토리를 설정할 수 있습니다.

2. /etc/samba/smb.conf 파일을 확인합니다.

   # testparm

   Copy to Clipboard

3. Samba 구성을 다시 로드합니다.

   # smbcontrol all reload-config

   Copy to Clipboard

프로세스

1. 예를 들어 Se CryostatOperatorPrivilege 권한을 printadmin 그룹에 부여하려면 다음을 수행합니다.

   # net rpc rights grant "printadmin" SePrintOperatorPrivilege -U "DOMAIN\administrator"
   Enter DOMAIN\administrator's password:
   Successfully granted rights.

   Copy to Clipboard
   참고

   도메인 환경에서 Se CryostatOperatorPrivilege 를 도메인 그룹에 부여합니다. 이를 통해 사용자의 그룹 멤버십을 업데이트하여 권한을 중앙에서 관리할 수 있습니다.

2. Se CryostatOperatorPrivilege 가 부여된 모든 사용자 및 그룹을 나열하려면 다음을 수행하십시오.

   # net rpc rights list privileges SePrintOperatorPrivilege -U "DOMAIN\administrator"
   Enter administrator's password:
   SePrintOperatorPrivilege:
     BUILTIN\Administrators
     DOMAIN\printadmin

   Copy to Clipboard

프로세스

1. [print$] 섹션을 /etc/samba/smb.conf 파일에 추가합니다.

   [print$]
           path = /var/lib/samba/drivers/
           read only = no
           write list = @printadmin
           force group = @printadmin
           create mask = 0664
           directory mask = 2775

   Copy to Clipboard

   이러한 설정을 사용하여 다음을 수행합니다.

   • printadmin 그룹의 멤버만 프린터 드라이버를 공유에 업로드할 수 있습니다.
   • 새로 생성된 파일과 디렉토리의 그룹이 printadmin으로 설정됩니다.
   • 새 파일의 권한은 664로 설정됩니다.
   • 새 디렉터리의 권한은 2775로 설정됩니다.

2. 모든 프린터에 대한 64비트 드라이버만 업로드하려면 /etc/samba/smb.conf 파일의 [global] 섹션에 이 설정을 포함합니다.

   spoolss: architecture = Windows x64

   Copy to Clipboard

   이 설정이 없으면 Windows는 32비트 버전을 업로드한 드라이버만 표시합니다.

3. /etc/samba/smb.conf 파일을 확인합니다.

   # testparm

   Copy to Clipboard

4. Samba 구성 다시 로드

   # smbcontrol all reload-config

   Copy to Clipboard

5. printadmin 그룹이 없는 경우 해당 그룹을 생성합니다.

   # groupadd printadmin

   Copy to Clipboard

6. printadmin 그룹에 Se>-<OperatorPrivilege 권한을 부여합니다.

   # net rpc rights grant "printadmin" SePrintOperatorPrivilege -U "DOMAIN\administrator"
   Enter DOMAIN\administrator's password:
   Successfully granted rights.

   Copy to Clipboard

7. enforcing 모드에서 SELinux를 실행하는 경우 디렉터리에 samba_share_t 컨텍스트를 설정합니다.

   # semanage fcontext -a -t samba_share_t "/var/lib/samba/drivers(/.*)?"
   
   # restorecon -Rv /var/lib/samba/drivers/

   Copy to Clipboard

8. /var/lib/samba/drivers/ 디렉터리에 대한 권한을 설정합니다.

   • POSIX ACL을 사용하는 경우 다음을 설정합니다.

     # chgrp -R "printadmin" /var/lib/samba/drivers/
     # chmod -R 2775 /var/lib/samba/drivers/

     Copy to Clipboard

   • Windows ACL을 사용하는 경우 다음을 설정합니다.

     주체	액세스	적용 대상
     CREATOR OWNER	전체 제어	하위 폴더 및 파일만 해당
     Authenticated Users	읽기 및 실행, 폴더 내용 보기, 읽기	이 폴더, 하위 폴더 및 파일
     printadmin	전체 제어	이 폴더, 하위 폴더 및 파일

     Windows에서 ACL 설정에 대한 자세한 내용은 Windows 설명서를 참조하십시오.

프로세스

1. AD 도메인 Administrator 사용자와 같은 그룹 정책을 편집할 수 있는 계정을 사용하여 Windows 컴퓨터에 로그인합니다.
2. Group Policy Management Console을 엽니다.

3. AD 도메인을 마우스 오른쪽 버튼으로 클릭하고 이 도메인에서 GPO 만들기를 선택하고 여기에 연결합니다.

   
4. Legacy Cryostat Driver Policy 와 같은 GPO 이름을 입력하고 OK 를 클릭합니다. 새 GPO가 도메인 항목에 표시됩니다.
5. 새로 생성된 GPO를 마우스 오른쪽 버튼으로 클릭하고 편집을 선택하여 그룹 정책 관리 편집기 를 엽니다.

6. 컴퓨터 구성 → 정책으로 이동합니다.

   

7. 창 오른쪽에서 Point 및 Print Restriction 을 두 번 클릭하여 정책을 편집합니다.

   1. 정책을 활성화하고 다음 옵션을 설정합니다.

      1. Users can only point and print to these servers and enter the fully-qualified domain name (FQDN) of the Samba print server to the field next to this option.

      2. 두 확인란의 보안 프롬프트 아래의 확인란에서 Do not show warning or evation 프롬프트를 선택합니다.

         
   2. OK를 클릭합니다.

8. Package Point and Print - Approved servers 를 두 번 클릭하여 정책을 편집합니다.

   1. 정책을 활성화하고 표시 버튼을 클릭합니다.

   2. Samba 출력 서버의 FQDN을 입력합니다.

      
   3. 확인을 클릭하여 콘텐츠 표시 및 정책의 속성 창을 모두 닫습니다.
9. 그룹 정책 관리 편집기 를 닫습니다.
10. 그룹 정책 관리 콘솔을 종료합니다.

프로세스

1. RHEL에서 FIPS 모드를 활성화합니다.

   # fips-mode-setup --enable

   Copy to Clipboard

2. 서버를 재부팅합니다.

   # reboot

   Copy to Clipboard

3. testparm 유틸리티를 사용하여 구성을 확인합니다.

   # testparm -s

   Copy to Clipboard

   명령에서 오류 또는 비호환성을 표시하는 경우 이를 수정하여 Samba가 올바르게 작동하는지 확인합니다.

프로세스

1. /etc/samba/smb.conf 파일의 [global] 섹션에서 server max protocol 매개변수를 제거합니다.

2. Samba 구성 다시 로드

   # smbcontrol all reload-config

   Copy to Clipboard

프로세스

1. 공유의 모든 파일의 이름을 소문자로 변경합니다.

   참고

   이 절차의 설정을 사용하면 소문자 이외의 이름의 파일이 더 이상 표시되지 않습니다.

2. 공유 섹션에서 다음 매개변수를 설정합니다.

   case sensitive = true
   default case = lower
   preserve case = no
   short preserve case = no

   Copy to Clipboard

   매개변수에 대한 자세한 내용은 시스템의 smb.conf(5) 도움말 페이지에서 해당 설명을 참조하십시오.

3. /etc/samba/smb.conf 파일을 확인합니다.

   # testparm

   Copy to Clipboard

4. Samba 구성을 다시 로드합니다.

   # smbcontrol all reload-config

   Copy to Clipboard

프로세스

1. /etc/samba/smb.conf 파일을 편집하고, server min protocol 매개 변수를 추가하고, 매개 변수를 서버가 지원할 최소 SMB 프로토콜 버전으로 설정합니다. 예를 들어 최소 SMB 프로토콜 버전을 SMB3 로 설정하려면 다음을 추가합니다.

   server min protocol = SMB3

   Copy to Clipboard

2. smb 서비스를 다시 시작하십시오.

   # systemctl restart smb

   Copy to Clipboard

프로세스

1. 다음 설정을 사용하여 /etc/samba/smb.conf 파일을 수동으로 생성합니다.

   • AD 도메인 멤버의 경우:

     [global]
     workgroup = domain_name
     security = ads
     passdb backend = tdbsam
     realm = AD_REALM

     Copy to Clipboard

   • NT4 도메인 멤버의 경우:

     [global]
     workgroup = domain_name
     security = user
     passdb backend = tdbsam

     Copy to Clipboard
2. * 기본 도메인 및 /etc/samba/smb.conf 파일의 [global] 섹션에 결합하려는 도메인에 대한 ID 매핑 구성을 추가합니다.

3. /etc/samba/smb.conf 파일을 확인합니다.

   # testparm

   Copy to Clipboard

4. 도메인 관리자로 도메인에 가입합니다.

   • AD 도메인에 가입하려면 다음을 수행합니다.

     # net ads join -U "DOMAIN\administrator"

     Copy to Clipboard

   • NT4 도메인에 가입하려면 다음을 수행합니다.

     # net rpc join -U "DOMAIN\administrator"

     Copy to Clipboard

5. winbind 소스를 /etc/nsswitch.conf 파일의 passwd 및 그룹 데이터베이스 항목에 추가합니다.

   passwd:     files winbind
   group:      files winbind

   Copy to Clipboard

6. winbind 서비스를 활성화하고 시작합니다.

   # systemctl enable --now winbind

   Copy to Clipboard

7. 선택 사항: authselect 유틸리티를 사용하여 PAM을 구성합니다.

   자세한 내용은 시스템의 authselect(8) 도움말 페이지를 참조하십시오.

8. 선택 사항: AD 환경의 경우 Kerberos 클라이언트를 구성합니다.

   자세한 내용은 Kerberos 클라이언트 설명서를 참조하십시오.

1. 계정을 추가합니다.

   # net user add user password -U "DOMAIN\administrator"
   User user added

   Copy to Clipboard

2. 선택 사항: RPC(원격 프로시저 호출) 쉘을 사용하여 AD DC 또는 NT4 PDC에서 계정을 활성화합니다. 예를 들면 다음과 같습니다.

   # net rpc shell -U DOMAIN\administrator -S DC_or_PDC_name
   Talking to domain DOMAIN (S-1-5-21-1424831554-512457234-5642315751)
   
   net rpc> user edit disabled user: no
   Set user's disabled flag from [yes] to [no]
   
   net rpc> exit

   Copy to Clipboard

프로세스

1. 사용자로 명령을 실행하는 경우 smbpasswd 는 명령을 실행하는 사용자의 Samba 암호를 변경합니다. 예를 들면 다음과 같습니다.

   [user@server ~]$ smbpasswd
   New SMB password: password
   Retype new SMB password: password

   Copy to Clipboard

2. root 사용자로 smbpasswd를 실행하는 경우 유틸리티를 사용하여 다음을 수행할 수 있습니다.

   • 새 사용자를 생성합니다.

     [root@server ~]# smbpasswd -a user_name
     New SMB password: password
     Retype new SMB password: password
     Added user user_name.

     Copy to Clipboard
     참고

     사용자를 Samba 데이터베이스에 추가하려면 먼저 로컬 운영 체제에서 계정을 만들어야 합니다.

   • Samba 사용자를 활성화합니다.

     [root@server ~]# smbpasswd -e user_name
     Enabled user user_name.

     Copy to Clipboard

   • Samba 사용자를 비활성화합니다.

     [root@server ~]# smbpasswd -x user_name
     Disabled user user_name

     Copy to Clipboard

   • 사용자를 삭제합니다.

     [root@server ~]# smbpasswd -x user_name
     Deleted user user_name.

     Copy to Clipboard