다양한 유형의 서버 배포

절차

1. 서비스 주체를 생성하여 HTTP/<SERVER_NAME>@realm 주체의 keytab 파일에 대한 액세스를 활성화합니다.

   # ipa service-add HTTP/<SERVER_NAME>

2. /etc/gssproxy/http.keytab 파일에 저장된 keytab 탭을 검색합니다.

   # ipa-getkeytab -s $(awk '/^server =/ {print $3}' /etc/ipa/default.conf) -k /etc/gssproxy/http.keytab -p HTTP/$(hostname -f)

   이 단계에서는 권한을 400으로 설정하면 root 사용자만 keytab 파일에 액세스할 수 있습니다. apache 사용자는 그렇지 않습니다.

3. 다음 콘텐츠를 사용하여 /etc/gssproxy/80-httpd.conf 파일을 만듭니다.

   [service/HTTP]
     mechs = krb5
     cred_store = keytab:/etc/gssproxy/http.keytab
     cred_store = ccache:/var/lib/gssproxy/clients/krb5cc_%U
     euid = apache

4. gssproxy 서비스를 재시작하고 활성화합니다.

   # systemctl restart gssproxy.service
   # systemctl enable gssproxy.service

절차

1. /var/www/html/private/ 디렉터리를 보호하도록 mod_auth_gssapi 모듈을 구성합니다.

   <Location /var/www/html/private>
     AuthType GSSAPI
     AuthName "GSSAPI Login"
     Require valid-user
   </Location>

2. 시스템 단위 구성 드롭인 파일을 생성합니다.

   # systemctl edit httpd.service

3. 시스템 드롭인 파일에 다음 매개변수를 추가합니다.

   [Service]
   Environment=GSS_USE_PROXY=1

4. systemd 구성을 다시 로드합니다.

   # systemctl daemon-reload

5. httpd 서비스를 다시 시작합니다.

   # systemctl restart httpd.service

검증

1. Kerberos 티켓을 받습니다.

   # kinit

2. 브라우저에서 보호된 디렉터리의 URL을 엽니다.

절차

1. mod_ssl 패키지를 설치합니다.

   # yum install mod_ssl

2. /etc/httpd/conf.d/ssl.conf 파일을 편집하고 다음 설정을 <VirtualHost _default_:443> 지시문에 추가합니다.

   1. 서버 이름을 설정합니다.

      ServerName example.com

1. 선택 사항: 인증서에 SAN(Subject Alt Names) 필드에 추가 호스트 이름이 포함된 경우 이러한 호스트 이름에도 TLS 암호화를 제공하도록 mod_ssl을 구성할 수 있습니다. 이를 구성하려면 해당 이름으로 ServerAliases 매개변수를 추가합니다.

   ServerAlias www.example.com server.example.com

2. 개인 키, 서버 인증서 및 CA 인증서에 대한 경로를 설정합니다.

   SSLCertificateKeyFile "/etc/pki/tls/private/example.com.key"
   SSLCertificateFile "/etc/pki/tls/certs/example.com.crt"
   SSLCACertificateFile "/etc/pki/tls/certs/ca.crt"

   1. 보안상의 이유로 root 사용자만 개인 키 파일에 액세스할 수 있도록 구성합니다.

      # chown root:root /etc/pki/tls/private/example.com.key
      # chmod 600 /etc/pki/tls/private/example.com.key

      주의

      권한이 없는 사용자가 개인 키에 액세스한 경우 인증서를 취소하고 새 개인 키를 만들고 새 인증서를 요청합니다. 그렇지 않으면 TLS 연결이 더 이상 안전하지 않습니다.

   2. firewalld 를 사용하는 경우 로컬 방화벽에서 포트 443 을 엽니다.

      # firewall-cmd --permanent --add-port=443/tcp
      # firewall-cmd --reload

   3. httpd 서비스를 다시 시작합니다.

      # systemctl restart httpd

   참고

   개인 키 파일을 암호로 보호한 경우 httpd 서비스가 시작될 때마다 이 암호를 입력해야 합니다.

절차

1. /etc/httpd/conf/httpd.conf 파일을 편집하고 다음 설정을 TLS 프로토콜 버전을 설정하려는 <VirtualHost> 지시문에 추가합니다. 예를 들어 TLSv1.3 프로토콜만 활성화하려면 다음을 수행합니다.

   SSLProtocol -All TLSv1.3

2. httpd 서비스를 다시 시작합니다.

   # systemctl restart httpd

검증

1. 다음 명령을 사용하여 서버가 TLSv1.3을 지원하는지 확인합니다:

   # openssl s_client -connect example.com:443 -tls1_3

2. 다음 명령을 사용하여 서버가 TLSv1.2를 지원하지 않는지 확인합니다.

   # openssl s_client -connect example.com:443 -tls1_2

   서버가 프로토콜을 지원하지 않으면 명령에서 오류를 반환합니다.

   140111600609088:error:1409442E:SSL routines:ssl3_read_bytes:tlsv1 alert protocol version:ssl/record/rec_layer_s3.c:1543:SSL alert number 70

3. 선택 사항: 다른 TLS 프로토콜 버전에 대해 명령을 반복합니다.

절차

1. /etc/httpd/conf/httpd.conf 파일을 편집하고 SSLCipherSuite 매개변수를 TLS 암호를 설정하려는 <VirtualHost> 지시문에 추가합니다.

   SSLCipherSuite "EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH:!SHA1:!SHA256"

   이 예제에서는 EECDH+AESGCM,EDH+AESGCM,AES256+EECDH 및 AES256+EDH 암호만 활성화하며 SHA1 및 SHA256 메시지 인증 코드(MAC)를 사용하는 모든 암호를 비활성화합니다.

2. httpd 서비스를 다시 시작합니다.

   # systemctl restart httpd

검증

1. Apache HTTP Server에서 지원하는 암호 목록을 표시하려면 다음을 수행합니다.

   1. nmap 패키지를 설치합니다.

      # yum install nmap

   2. nmap 유틸리티를 사용하여 지원되는 암호를 표시합니다.

      # nmap --script ssl-enum-ciphers -p 443 example.com
      ...
      PORT    STATE SERVICE
      443/tcp open  https
      | ssl-enum-ciphers:
      |   TLSv1.2:
      |     ciphers:
      |       TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (ecdh_x25519) - A
      |       TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 (dh 2048) - A
      |       TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 (ecdh_x25519) - A
      ...

절차

1. mod_security,mod_security_crs, httpd 패키지를 설치합니다.

   # yum install -y mod_security mod_security_crs httpd

2. httpd 서버를 시작합니다.

   # systemctl restart httpd

검증

1. Apache HTTP 서버에서 ModSecurity 웹 기반 애플리케이션 방화벽이 활성화되어 있는지 확인합니다.

   # httpd -M | grep security
    security2_module (shared)

2. /etc/httpd/modsecurity.d/activated_rules/ 디렉터리에 mod_security_crs 에서 제공하는 규칙이 포함되어 있는지 확인합니다.

   # ls /etc/httpd/modsecurity.d/activated_rules/
   ...
   REQUEST-921-PROTOCOL-ATTACK.conf
   REQUEST-930-APPLICATION-ATTACK-LFI.conf
   ...

절차

1. 선택한 텍스트 편집기에서 /etc/httpd/conf.d/mod_security.conf 파일을 엽니다. 예를 들면 다음과 같습니다.

   # vi /etc/httpd/conf.d/mod_security.conf

2. SecRuleEngine On 으로 시작하는 행 뒤에 다음 예제 규칙을 추가합니다.

   SecRule ARGS:data "@contains evil" "deny,status:403,msg:'param data contains evil data',id:1"

   이전 규칙은 data 매개변수에 사악한 문자열이 포함된 경우 사용자에게 리소스 사용을 금지합니다.

3. 변경 사항을 저장하고 편집기를 종료합니다.

4. httpd 서버를 다시 시작합니다.

   # systemctl restart httpd

검증

1. 테스트.html 페이지를 만듭니다.

   # echo "mod_security test" > /var/www/html/test.html

2. httpd 서버를 다시 시작합니다.

   # systemctl restart httpd

3. HTTP 요청의 GET 변수에 악성 데이터가 없는 test.html 을 요청합니다.

   $ curl http://localhost/test.html?data=good
   
   mod_security test

4. HTTP 요청의 GET 변수에 악성 데이터가 있는 test.html 을 요청합니다.

   $ curl localhost/test.html?data=xxxevilxxx
   
   <!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
   <html><head>
   <title>403 Forbidden</title>
   </head><body>
   <h1>Forbidden</h1>
   <p>You do not have permission to access this resource.</p>
   </body></html>

5. /var/log/httpd/error_log 파일을 확인하고 잘못된 데이터 메시지가 포함된 param 데이터로 액세스를 거부하는 방법에 대한 로그 항목을 찾습니다.

   [Wed May 25 08:01:31.036297 2022] [:error] [pid 5839:tid 139874434791168] [client ::1:45658] [client ::1] ModSecurity: Access denied with code 403 (phase 2). String match "evil" at ARGS:data. [file "/etc/httpd/conf.d/mod_security.conf"] [line "4"] [id "1"] [msg "param data contains evil data"] [hostname "localhost"] [uri "/test.html"] [unique_id "Yo4amwIdsBG3yZqSzh2GuwAAAIY"]

절차

1. /etc/httpd/conf.modules.d/ 디렉터리의 구성 파일에서 모듈 이름을 검색합니다.

   # grep mod_ssl.so /etc/httpd/conf.modules.d/*

2. 모듈 이름을 찾은 구성 파일을 편집하고 모듈의 LoadModule 지시문의 주석을 제거합니다.

   LoadModule ssl_module modules/mod_ssl.so

3. 예를 들어 RHEL 패키지가 모듈을 제공하지 않기 때문에 모듈을 찾을 수 없는 경우 다음 지시문을 사용하여 /etc/httpd/conf.modules.d/30-example.conf 와 같은 구성 파일을 만듭니다.

   LoadModule ssl_module modules/<custom_module>.so

4. httpd 서비스를 다시 시작합니다.

   # systemctl restart httpd

절차

1. /etc/samba/smb.conf 파일의 사본을 생성합니다.

   # cp /etc/samba/smb.conf /etc/samba/samba.conf.copy

2. 복사한 파일을 편집하고 필요한 사항을 변경합니다.

3. /etc/samba/samba.conf.copy 파일에서 구성을 확인합니다.

   # testparm -s /etc/samba/samba.conf.copy

   testparm이 오류를 보고하면 오류를 수정하고 명령을 다시 실행합니다.

4. /etc/samba/smb.conf 파일을 새 구성으로 재정의합니다.

   # mv /etc/samba/samba.conf.copy /etc/samba/smb.conf

5. Samba 서비스가 구성을 자동으로 다시 로드하거나 구성을 수동으로 다시 로드할 때까지 기다립니다.

   # smbcontrol all reload-config

절차

1. samba 패키지를 설치합니다.

   # yum install samba

2. /etc/samba/smb.conf 파일을 편집하고 다음 매개변수를 설정합니다.

   [global]
   	workgroup = Example-WG
   	netbios name = Server
   	security = user
   
   	log file = /var/log/samba/%m.log
   	log level = 1

   이 구성은 Example-WG 작업 그룹 내에서 Server 라는 독립 실행형 서버를 정의합니다. 또한 이 구성을 사용하면 최소 수준(1)에서 로깅할 수 있으며 로그 파일은 /var/log/samba/ 디렉터리에 저장됩니다. Samba는 log file 매개 변수의 %m 매크로를 클라이언트 연결의 NetBIOS 이름으로 확장합니다. 이를 통해 각 클라이언트에 대한 개별 로그 파일이 활성화됩니다.

3. 선택 사항: 파일 또는 프린터 공유를 구성합니다. 다음 내용을 참조하십시오.

   • POSIX ACL을 사용하는 공유 설정
   • Windows ACL을 사용하는 공유 설정
   • Samba를 인쇄 서버로 설정

4. /etc/samba/smb.conf 파일을 확인합니다.

   # testparm

5. 인증이 필요한 공유를 설정하면 사용자 계정을 생성합니다.

   자세한 내용은 로컬 사용자 계정 생성 및 활성화를 참조하십시오.

6. 필요한 포트를 열고 firewall-cmd 유틸리티를 사용하여 방화벽 구성을 다시 로드합니다.

   # firewall-cmd --permanent --add-service=samba
   # firewall-cmd --reload

7. smb 서비스를 활성화하고 시작합니다.

   # systemctl enable --now smb

절차

1. 운영 체제 계정을 생성합니다.

   # useradd -M -s /sbin/nologin example

   이 명령은 홈 디렉터리를 생성하지 않고 example 계정을 추가합니다. 계정이 Samba로 인증하는 데만 사용되는 경우 계정이 로컬에 로그인하지 못하도록 /sbin/nologin 명령을 쉘로 할당합니다.

2. 활성화하려면 암호를 운영 체제 계정으로 설정합니다.

   # passwd example
   Enter new UNIX password: password
   Retype new UNIX password: password
   passwd: password updated successfully

   Samba는 운영 체제 계정에 설정된 암호를 사용하여 인증하지 않습니다. 그러나 계정을 활성화하려면 암호를 설정해야 합니다. 계정이 비활성화되어 있으면 Samba는 이 사용자가 연결하면 액세스를 거부합니다.

3. 사용자를 Samba 데이터베이스에 추가하고 암호를 계정으로 설정합니다.

   # smbpasswd -a example
   New SMB password: password
   Retype new SMB password: password
   Added user example.

   이 계정을 사용하여 Samba 공유에 연결할 때 인증하려면 이 암호를 사용합니다.

4. Samba 계정을 활성화합니다.

   # smbpasswd -e example
   Enabled user example.

절차

1. /etc/samba/smb.conf 파일에서 [global] 섹션을 편집합니다.

   1. 없는 경우 기본 도메인 (*)의 ID 매핑 구성을 추가합니다. 예를 들면 다음과 같습니다.

      idmap config * : backend = tdb
      idmap config * : range = 10000-999999

   2. AD 도메인의 ad ID 매핑 백엔드를 활성화합니다.

      idmap config DOMAIN : backend = ad

   3. AD 도메인의 사용자와 그룹에 할당된 ID 범위를 설정합니다. 예를 들면 다음과 같습니다.

      idmap config DOMAIN : range = 2000000-2999999

      중요

      범위는 이 서버의 다른 도메인 구성과 겹치지 않아야 합니다. 또한 범위는 나중에 할당되는 모든 ID를 포함할 만큼 충분히 커야 합니다. 자세한 내용은 Planning Samba ID 범위를 참조하십시오.

   4. AD에서 속성을 읽을 때 Samba가 RFC 2307 스키마를 사용하도록 설정합니다.

      idmap config DOMAIN : schema_mode = rfc2307

   5. Samba가 해당 AD 속성에서 로그인 쉘 및 사용자 홈 디렉터리 경로를 읽을 수 있도록 하려면 다음을 설정합니다.

      idmap config DOMAIN : unix_nss_info = yes

      또는 모든 사용자에게 적용되는 균일한 도메인 전체 홈 디렉터리 경로 및 로그인 쉘을 설정할 수 있습니다. 예를 들면 다음과 같습니다.

      template shell = /bin/bash
      template homedir = /home/%U

   6. 기본적으로 Samba는 사용자 오브젝트의 primaryGroupID 속성을 Linux의 사용자 기본 그룹으로 사용합니다. 또는 대신 gidNumber 특성에 설정된 값을 사용하도록 Samba를 구성할 수 있습니다.

      idmap config DOMAIN : unix_primary_group = yes

2. /etc/samba/smb.conf 파일을 확인합니다.

   # testparm

3. Samba 구성을 다시 로드합니다.

   # smbcontrol all reload-config

절차

1. /etc/samba/smb.conf 파일에서 [global] 섹션을 편집합니다.

   1. 없는 경우 기본 도메인 (*)의 ID 매핑 구성을 추가합니다. 예를 들면 다음과 같습니다.

      idmap config * : backend = tdb
      idmap config * : range = 10000-999999

   2. 도메인에 대해 rid ID 매핑 백엔드를 활성화합니다.

      idmap config DOMAIN : backend = rid

   3. 향후 할당될 모든 RID를 포함할 만큼 큰 범위를 설정합니다. 예를 들면 다음과 같습니다.

      idmap config DOMAIN : range = 2000000-2999999

      Samba는 이 도메인의 RID가 범위에 속하지 않는 사용자와 그룹을 무시합니다.

      중요

      범위는 이 서버의 다른 도메인 구성과 겹치지 않아야 합니다. 또한 범위는 나중에 할당되는 모든 ID를 포함할 만큼 충분히 커야 합니다. 자세한 내용은 Planning Samba ID 범위를 참조하십시오.

   4. 매핑된 모든 사용자에게 할당될 쉘 및 홈 디렉터리 경로를 설정합니다. 예를 들면 다음과 같습니다.

      template shell = /bin/bash
      template homedir = /home/%U

2. /etc/samba/smb.conf 파일을 확인합니다.

   # testparm

3. Samba 구성을 다시 로드합니다.

   # smbcontrol all reload-config

절차

1. /etc/samba/smb.conf 파일에서 [global] 섹션을 편집합니다.

   1. * 기본 도메인의 autorid ID 매핑 백엔드를 활성화합니다.

      idmap config * : backend = autorid

   2. 모든 기존 및 향후 객체에 ID를 할당할 수 있을 만큼 큰 범위를 설정합니다. 예를 들면 다음과 같습니다.

      idmap config * : range = 10000-999999

      Samba는 이 도메인에서 계산된 ID가 범위에 속하지 않는 사용자와 그룹을 무시합니다.

      주의

      범위를 설정하고 Samba가 사용을 시작한 후 범위의 상한값만 늘릴 수 있습니다. 범위에 대한 다른 모든 변경으로 인해 새 ID 할당이 발생할 수 있으므로 파일 소유권이 손실될 수 있습니다.

   3. 선택 사항: 범위 크기를 설정합니다. 예를 들면 다음과 같습니다.

      idmap config * : rangesize = 200000

      Samba는 idmap 구성 * : range 매개변수에 설정된 범위의 모든 ID를 가져올 때까지 각 도메인의 개체에 대해 이 개수의 연속 ID를 할당합니다.

      참고

      범위 크기를 설정하는 경우 그에 따라 범위를 조정해야 합니다. 범위는 rangesize의 여러 개여야 합니다.

   4. 매핑된 모든 사용자에게 할당될 쉘 및 홈 디렉터리 경로를 설정합니다. 예를 들면 다음과 같습니다.

      template shell = /bin/bash
      template homedir = /home/%U

   5. 선택 사항: 도메인에 대한 ID 매핑 구성을 추가합니다. 개별 도메인에 대한 구성이 없는 경우 Samba는 이전에 구성된 * 기본 도메인에서 자동 만료 백엔드 설정을 사용하여 ID를 계산합니다.

      중요

      범위는 이 서버의 다른 도메인 구성과 겹치지 않아야 합니다. 또한 범위는 나중에 할당되는 모든 ID를 포함할 만큼 충분히 커야 합니다. 자세한 내용은 Planning Samba ID 범위를 참조하십시오.

2. /etc/samba/smb.conf 파일을 확인합니다.

   # testparm

3. Samba 구성을 다시 로드합니다.

   # smbcontrol all reload-config

절차

1. AD에 Kerberos 인증을 위한 더 이상 사용되지 않는 RC4 암호화 유형이 필요한 경우 RHEL에서 이러한 암호에 대한 지원을 활성화합니다.

   # update-crypto-policies --set DEFAULT:AD-SUPPORT

2. 다음 패키지를 설치합니다.

   # yum install realmd oddjob-mkhomedir oddjob samba-winbind-clients \
          samba-winbind samba-common-tools samba-winbind-krb5-locator krb5-workstation

3. 도메인 구성원에서 디렉터리 또는 프린터를 공유하려면 samba 패키지를 설치합니다.

   # yum install samba

4. 기존 /etc/samba/smb.conf Samba 구성 파일을 백업합니다.

   # mv /etc/samba/smb.conf /etc/samba/smb.conf.bak

5. 도메인에 가입합니다. 예를 들어 ad.example.com이라는 도메인에 가입하려면 다음을 수행합니다.

   # realm join --membership-software=samba --client-software=winbind ad.example.com

   이전 명령을 사용하면 realm 유틸리티가 자동으로 수행됩니다.

   • ad.example.com 도메인 멤버십에 대한 /etc/samba/smb.conf 파일을 만듭니다.
   • 사용자 및 그룹 조회에 대한 winbind 모듈을 /etc/nsswitch.conf 파일에 추가합니다.
   • /etc/pam.d/ 디렉토리에서 PAM(Pluggable Authentication Module) 구성 파일을 업데이트합니다.
   • winbind 서비스를 시작하고 시스템이 부팅될 때 서비스가 시작됩니다.

6. 선택 사항: /etc/samba/smb.conf 파일에서 대체 ID 매핑 백엔드 또는 사용자 지정 ID 매핑 설정을 설정합니다.

   자세한 내용은 Samba ID 매핑 이해 및 구성을 참조하십시오.

7. winbind 서비스가 실행 중인지 확인합니다.

   # systemctl status winbind
   ...
      Active: active (running) since Tue 2018-11-06 19:10:40 CET; 15s ago

   중요

   Samba를 활성화하여 도메인 사용자 및 그룹 정보를 쿼리하려면 smb 를 시작하기 전에 winbind 서비스를 실행해야 합니다.

8. 디렉터리 및 프린터를 공유하는 samba 패키지를 설치한 경우 smb 서비스를 활성화하고 시작합니다.

   # systemctl enable --now smb

9. Active Directory에 대한 로컬 로그인을 인증하는 경우 winbind_krb5_localauth 플러그인을 활성화합니다. MIT Kerberos용 로컬 인증 플러그인 사용을 참조하십시오.

검증

1. AD 도메인의 AD 관리자 계정과 같은 AD 사용자의 세부 정보를 표시합니다.

   # getent passwd "AD\administrator"
   AD\administrator:*:10000:10000::/home/administrator@AD:/bin/bash

2. AD 도메인에서 도메인 사용자 그룹의 멤버를 쿼리합니다.

   # getent group "AD\Domain Users"
       AD\domain users:x:10000:user1,user2

3. 선택 사항: 파일 및 디렉터리에 대한 권한을 설정할 때 도메인 사용자 및 그룹을 사용할 수 있는지 확인합니다. 예를 들어 /srv/samba/example.txt 파일의 소유자를 AD\administrator로 설정하고 그룹을 AD\Domain Users로 설정하려면 다음을 수행합니다.

   # chown "AD\administrator":"AD\Domain Users" /srv/samba/example.txt

4. Kerberos 인증이 예상대로 작동하는지 확인합니다.

   1. AD 도메인 멤버에서 administrator@AD.EXAMPLE.COM 주체에 대한 티켓을 받습니다.

      # kinit administrator@AD.EXAMPLE.COM

   2. 캐시된 Kerberos 티켓을 표시합니다.

      # klist
      Ticket cache: KCM:0
      Default principal: administrator@AD.EXAMPLE.COM
      
      Valid starting       Expires              Service principal
      01.11.2018 10:00:00  01.11.2018 20:00:00  krbtgt/AD.EXAMPLE.COM@AD.EXAMPLE.COM
              renew until 08.11.2018 05:00:00

5. 사용 가능한 도메인을 표시합니다.

   # wbinfo --all-domains
   BUILTIN
   SAMBA-SERVER
   AD

절차

1. 필수 패키지를 설치합니다.

   [root@ipaserver ~]# yum install ipa-server-trust-ad samba-client

2. IdM 관리자로 인증합니다.

   [root@ipaserver ~]# kinit admin

3. ipa-adtrust-install 유틸리티를 실행합니다.

   [root@ipaserver ~]# ipa-adtrust-install

   IdM이 통합된 DNS 서버와 함께 설치된 경우 DNS 서비스 레코드가 자동으로 생성됩니다.

   통합된 DNS 서버 없이 IdM을 설치한 경우, ipa-adtrust-install 은 DNS에 수동으로 추가해야 하는 서비스 레코드 목록을 인쇄합니다.

4. 스크립트에서 /etc/samba/smb.conf가 이미 존재하고 다시 작성됨을 묻는 메시지를 표시합니다.

   WARNING: The smb.conf already exists. Running ipa-adtrust-install will break your existing Samba configuration.
   
   Do you wish to continue? [no]: yes

5. 스크립트에서 이전 Linux 클라이언트가 신뢰할 수 있는 사용자로 작업할 수 있는 호환성 플러그인인 slapi-nis 플러그인을 구성하도록 프롬프트를 표시합니다.

   Do you want to enable support for trusted domains in Schema Compatibility plugin?
   This will allow clients older than SSSD 1.9 and non-Linux clients to work with trusted users.
   
   Enable trusted domains support in slapi-nis? [no]: yes

6. 메시지가 표시되면 IdM 도메인의 NetBIOS 이름을 입력하거나 Enter 를 눌러 제안된 이름을 수락합니다.

   Trust is configured but no NetBIOS domain name found, setting it now.
   Enter the NetBIOS name for the IPA domain.
   Only up to 15 uppercase ASCII letters, digits and dashes are allowed.
   Example: EXAMPLE.
   
   NetBIOS domain name [IDM]:

7. SID 생성 작업을 실행하여 기존 사용자의 SID를 생성하라는 메시지가 표시됩니다.

   Do you want to run the ipa-sidgen task? [no]: yes

   이는 리소스 집약적인 작업이므로 사용자가 많은 경우 한 번에 이 작업을 실행할 수 있습니다.

8. 선택 사항: 기본적으로 Dynamic RPC 포트 범위는 Windows Server 2008 이상에서는 49152-65535 로 정의됩니다. 환경에 대해 다른 Dynamic RPC 포트 범위를 정의해야 하는 경우 다른 포트를 사용하도록 Samba를 구성하고 방화벽 설정에서 해당 포트를 엽니다. 다음 예제에서는 포트 범위를 55000-65000으로 설정합니다.

   [root@ipaserver ~]# net conf setparm global 'rpc server dynamic port range' 55000-65000
   [root@ipaserver ~]# firewall-cmd --add-port=55000-65000/tcp
   [root@ipaserver ~]# firewall-cmd --runtime-to-permanent

9. ipa 서비스를 다시 시작하십시오.

   [root@ipaserver ~]# ipactl restart

10. smbclient 유틸리티를 사용하여 Samba가 IdM 측에서 Kerberos 인증에 응답하는지 확인합니다.

    [root@ipaserver ~]# smbclient -L ipaserver.idm.example.com -U user_name --use-kerberos=required
    lp_load_ex: changing to config backend registry
        Sharename       Type      Comment
        ---------       ----      -------
        IPC$            IPC       IPC Service (Samba 4.15.2)
    ...

절차

1. ipa-client-samba 패키지를 설치합니다.

   [root@idm_client]# yum install ipa-client-samba

2. ipa-client-samba 유틸리티를 사용하여 클라이언트를 준비하고 초기 Samba 구성을 생성합니다.

   [root@idm_client]# ipa-client-samba
   Searching for IPA server...
   IPA server: DNS discovery
   Chosen IPA master: idm_server.idm.example.com
   SMB principal to be created: cifs/idm_client.idm.example.com@IDM.EXAMPLE.COM
   NetBIOS name to be used: IDM_CLIENT
   Discovered domains to use:
   
    Domain name: idm.example.com
   NetBIOS name: IDM
            SID: S-1-5-21-525930803-952335037-206501584
       ID range: 212000000 - 212199999
   
    Domain name: ad.example.com
   NetBIOS name: AD
            SID: None
       ID range: 1918400000 - 1918599999
   
   Continue to configure the system with these values? [no]: yes
   Samba domain member is configured. Please check configuration at /etc/samba/smb.conf and start smb and winbind services

3. 기본적으로 ipa-client-samba는 사용자가 연결할 때 사용자의 홈 디렉토리를 동적으로 공유하는 /etc/samba/smb.conf 파일에 [homes] 섹션을 자동으로 추가합니다. 이 서버에 홈 디렉터리가 없거나 공유하려는 경우 /etc/samba/smb.conf에서 다음 행을 제거하십시오.

   [homes]
       read only = no

4. 디렉토리와 프린터를 공유합니다. 자세한 내용은 다음을 참조하십시오.

   • POSIX ACL을 사용하는 Samba 파일 공유 설정
   • Windows ACL을 사용하는 공유 설정
   • Samba를 인쇄 서버로 설정

5. 로컬 방화벽에서 Samba 클라이언트에 필요한 포트를 엽니다.

   [root@idm_client]# firewall-cmd --permanent --add-service=samba-client
   [root@idm_client]# firewall-cmd --reload

6. smb 및 winbind 서비스를 활성화하고 시작합니다.

   [root@idm_client]# systemctl enable --now smb winbind

절차

1. 호스트의 keytab을 사용하여 인증합니다.

   [root@idm_client]# kinit -k

2. ipa idrange-find 명령을 사용하여 새 도메인의 기본 ID와 ID 범위 크기를 모두 표시합니다. 예를 들어 다음 명령은 ad.example.com 도메인의 값을 표시합니다.

   [root@idm_client]# ipa idrange-find --name="AD.EXAMPLE.COM_id_range" --raw
   ---------------
   1 range matched
   ---------------
     cn: AD.EXAMPLE.COM_id_range
     ipabaseid: 1918400000
     ipaidrangesize: 200000
     ipabaserid: 0
     ipanttrusteddomainsid: S-1-5-21-968346183-862388825-1738313271
     iparangetype: ipa-ad-trust
   ----------------------------
   Number of entries returned 1
   ----------------------------

   다음 단계에서 ipabaseid 및 ipaidrangesize 속성의 값이 필요합니다.

3. 사용 가능한 가장 높은 ID를 계산하려면 다음 공식을 사용합니다.

   maximum_range = ipabaseid + ipaidrangesize - 1

   이전 단계의 값을 사용하여 ad.example.com 도메인에 사용 가능한 가장 높은 ID는 1918599999 (1918400000 + 200000 - 1)입니다.

4. /etc/samba/smb.conf 파일을 편집하고 도메인의 ID 매핑 구성을 [global] 섹션에 추가합니다.

   idmap config AD : range = 1918400000 - 1918599999
   idmap config AD : backend = sss

   ipabaseid 특성의 값을 가장 낮은 값으로 지정하고 이전 단계의 계산된 값을 가장 높은 범위 값으로 지정합니다.

5. smb 및 winbind 서비스를 다시 시작합니다.

   [root@idm_client]# systemctl restart smb winbind

절차

1. 폴더가 없는 경우 해당 폴더를 생성합니다. 예를 들면 다음과 같습니다.

   # mkdir -p /srv/samba/example/

2. enforcing 모드에서 SELinux를 실행하는 경우 디렉터리에 samba_share_t 컨텍스트를 설정합니다.

   # semanage fcontext -a -t samba_share_t "/srv/samba/example(/.*)?"
   # restorecon -Rv /srv/samba/example/

3. 디렉터리에 파일 시스템 ACL을 설정합니다. 자세한 내용은 다음을 참조하십시오.

   • POSIX ACL을 사용하는 Samba 공유에서 표준 ACL 설정
   • POSIX ACL을 사용하는 공유에서 확장된 ACL을 설정합니다.

4. 예제 공유를 /etc/samba/smb.conf 파일에 추가합니다. 예를 들어, 쓰기 가능 공유를 추가하려면 다음을 수행합니다.

   [example]
   	path = /srv/samba/example/
   	read only = no

   참고

   파일 시스템 ACL에 관계없이 read only = no를 설정하지 않으면 Samba는 읽기 전용 모드로 디렉토리를 공유합니다.

5. /etc/samba/smb.conf 파일을 확인합니다.

   # testparm

6. 필요한 포트를 열고 firewall-cmd 유틸리티를 사용하여 방화벽 구성을 다시 로드합니다.

   # firewall-cmd --permanent --add-service=samba
   # firewall-cmd --reload

7. smb 서비스를 다시 시작하십시오.

   # systemctl restart smb

절차

1. /etc/samba/smb.conf 파일의 공유 섹션에서 다음 매개 변수를 활성화하여 확장 ACL의 ACL 상속을 활성화합니다.

   inherit acls = yes

   자세한 내용은 smb.conf(5) 도움말 페이지의 매개 변수 설명을 참조하십시오.

2. smb 서비스를 다시 시작하십시오.

   # systemctl restart smb

3. 디렉터리에 ACL을 설정합니다. 예를 들면 다음과 같습니다.

   예 3.2. 확장 ACL 설정

   다음 절차에서는 Domain Admins 그룹에 대한 읽기, 쓰기, 실행 권한을 설정하고, Domain Users 그룹에 대한 읽기, 실행 권한을 설정하고, /srv/samba/example/ 디렉터리의 다른 모든 사용자에 대한 액세스를 거부합니다.

   1. 기본 사용자 계정 그룹에 자동 부여 권한을 비활성화합니다.

      # setfacl -m group::--- /srv/samba/example/
      # setfacl -m default:group::--- /srv/samba/example/

      디렉터리의 기본 그룹은 동적 CREATOR GROUP 주체에 추가로 매핑됩니다. Samba 공유에 확장 POSIX ACL을 사용하면 이 주체가 자동으로 추가되며 제거할 수 없습니다.

   2. 디렉터리에 대한 권한을 설정합니다.

      1. Domain Admins 그룹에 읽기, 쓰기 및 실행 권한을 부여합니다.

         # setfacl -m group:"DOMAIN\Domain Admins":rwx /srv/samba/example/

      2. Domain Users 그룹에 읽기 및 실행 권한을 부여합니다.

         # setfacl -m group:"DOMAIN\Domain Users":r-x /srv/samba/example/

      3. other ACL 항목과 일치하지 않는 사용자에 대한 액세스를 거부하도록 다른 ACL 항목에 대한 권한을 설정합니다.

         # setfacl -R -m other::--- /srv/samba/example/

      이러한 설정은 이 디렉터리에만 적용됩니다. Windows에서는 이러한 ACL이 This folder only에만 매핑됩니다.

   3. 이전 단계에서 설정한 권한을 이 디렉터리에 생성된 새 파일 시스템 개체에서 상속하려면 다음을 수행합니다.

      # setfacl -m default:group:"DOMAIN\Domain Admins":rwx /srv/samba/example/
      # setfacl -m default:group:"DOMAIN\Domain Users":r-x /srv/samba/example/
      # setfacl -m default:other::--- /srv/samba/example/

      이러한 설정에서 보안 주체의 이 폴더만 이 폴더, 하위 폴더 및 파일로 설정됩니다.

   Samba는 절차에 설정된 권한을 다음 Windows ACL에 매핑합니다.

   Principal	액세스	적용 대상
   도메인\Domain 관리자	전체 제어	이 폴더, 하위 폴더 및 파일
   도메인\Domain 사용자	읽기 및 실행	이 폴더, 하위 폴더 및 파일
   Everyone [a]	없음	이 폴더, 하위 폴더 및 파일
   소유자 (Unix 사용자\소유자) [b]	전체 제어	이 폴더만
   primary_group (Unix 사용자\primary_group) [c]	없음	이 폴더만
   CREATOR OWNER [d] [e]	전체 제어	하위 폴더 및 파일만
   CREATOR 그룹 [e] [f]	없음	하위 폴더 및 파일만
   [a] Samba는 이 주체에 대한 권한을 other ACL 항목에서 매핑합니다. [b] Samba는 디렉터리의 소유자를 이 항목에 매핑합니다. [c] Samba는 디렉터리의 기본 그룹을 이 항목에 매핑합니다. [d] 새 파일 시스템 개체에서 작성자는 이 주체의 권한을 자동으로 상속합니다. [e] POSIX ACL을 사용하는 공유에서 지원되지 않는 ACL에서 이러한 주체를 구성하거나 제거합니다. [f] 새 파일 시스템 개체에서 작성자의 기본 그룹은 이 주체의 권한을 자동으로 상속합니다.

절차

1. 예를 들어, 사용자 계정에 대한 액세스가 거부되는 동안 Domain Users 그룹의 모든 구성원이 공유에 액세스할 수 있도록 하려면 공유의 구성에 다음 매개변수를 추가합니다.

   valid users = +DOMAIN\"Domain Users"
   invalid users = DOMAIN\user

   잘못된 users 매개변수는 유효한 users 매개변수보다 우선 순위가 높습니다. 예를 들어 사용자 계정이 Domain Users 그룹의 멤버인 경우 이전 예제를 사용할 때 이 계정에 대한 액세스가 거부됩니다.

2. Samba 구성을 다시 로드합니다.

   # smbcontrol all reload-config

절차

1. /etc/samba/smb.conf 파일에 있는 공유 구성에 다음 매개변수를 추가합니다.

   hosts allow = 127.0.0.1 192.0.2.0/24 client1.example.com
   hosts deny = client2.example.com

   hosts deny 매개 변수는 호스트 허용 보다 우선 순위가 높습니다. 예를 들어 client1.example.com 이 hosts allow 매개 변수에 나열된 IP 주소로 확인되면 이 호스트에 대한 액세스가 거부됩니다.

2. Samba 구성을 다시 로드합니다.

   # smbcontrol all reload-config

절차

1. 예를 들어, DOMAIN\Domain Admins 그룹에 SeDiskOperatorPrivilege 권한을 부여하려면 다음을 수행합니다.

   # net rpc rights grant "DOMAIN\Domain Admins" SeDiskOperatorPrivilege -U "DOMAIN\administrator"
   Enter DOMAIN\administrator's password:
   Successfully granted rights.

   참고

   도메인 환경에서 도메인 그룹에 SeDiskOperatorPrivilege 을 부여합니다. 이를 통해 사용자의 그룹 멤버십을 업데이트하여 권한을 중앙에서 관리할 수 있습니다.

2. SeDiskOperatorPrivilege 이 부여된 모든 사용자 및 그룹을 나열하려면 다음을 수행하십시오.

   # net rpc rights list privileges SeDiskOperatorPrivilege -U "DOMAIN\administrator"
   Enter administrator's password:
   SeDiskOperatorPrivilege:
     BUILTIN\Administrators
     DOMAIN\Domain Admins

절차

1. 모든 공유에 대해 전역적으로 활성화하려면 /etc/samba/smb.conf 파일의 [global] 섹션에 다음 설정을 추가합니다.

   vfs objects = acl_xattr
   map acl inherit = yes
   store dos attributes = yes

   대신 공유의 섹션에 동일한 매개 변수를 추가하여 개별 공유에 대해 Windows ACL 지원을 활성화할 수 있습니다.

2. smb 서비스를 다시 시작하십시오.

   # systemctl restart smb

절차

1. 폴더가 없는 경우 해당 폴더를 생성합니다. 예를 들면 다음과 같습니다.

   # mkdir -p /srv/samba/example/

2. enforcing 모드에서 SELinux를 실행하는 경우 디렉터리에 samba_share_t 컨텍스트를 설정합니다.

   # semanage fcontext -a -t samba_share_t "/srv/samba/example(/.)?"*
   # restorecon -Rv /srv/samba/example/

3. 예제 공유를 /etc/samba/smb.conf 파일에 추가합니다. 예를 들어, 쓰기 가능 공유를 추가하려면 다음을 수행합니다.

   [example]
   	path = /srv/samba/example/
   	read only = no

   참고

   파일 시스템 ACL에 관계없이 read only = no를 설정하지 않으면 Samba는 읽기 전용 모드로 디렉토리를 공유합니다.

4. [global] 섹션에서 모든 공유에 대해 Windows ACL 지원을 활성화하지 않은 경우 [example] 섹션에 다음 매개변수를 추가하여 이 공유에 대해 이 기능을 활성화합니다.

   vfs objects = acl_xattr
   map acl inherit = yes
   store dos attributes = yes

5. /etc/samba/smb.conf 파일을 확인합니다.

   # testparm

6. 필요한 포트를 열고 firewall-cmd 유틸리티를 사용하여 방화벽 구성을 다시 로드합니다.

   # firewall-cmd --permanent --add-service=samba
   # firewall-cmd --reload

7. smb 서비스를 다시 시작하십시오.

   # systemctl restart smb

절차

1. 로컬 example 그룹이 없는 경우 해당 그룹을 생성합니다.

   # groupadd example

2. Samba에서 사용자 공유 정의를 저장하고 권한을 올바르게 설정하도록 디렉터리를 준비합니다. 예를 들면 다음과 같습니다.

   1. 디렉터리를 만듭니다.

      # mkdir -p /var/lib/samba/usershares/

   2. example 그룹에 대한 쓰기 권한을 설정합니다.

      # chgrp example /var/lib/samba/usershares/
      # chmod 1770 /var/lib/samba/usershares/

   3. 사용자가 이 디렉터리의 다른 사용자가 저장한 파일의 이름을 변경하거나 삭제하지 않도록 Sticky bit를 설정합니다.

3. /etc/samba/smb.conf 파일을 편집하고 [global] 섹션에 다음을 추가합니다.

   1. 사용자 공유 정의를 저장하도록 구성한 디렉터리의 경로를 설정합니다. 예를 들면 다음과 같습니다.

      usershare path = /var/lib/samba/usershares/

   2. 이 서버에서 Samba를 만들 수 있는 사용자 공유 수를 설정합니다. 예를 들면 다음과 같습니다.

      usershare max shares = 100

      usershare max shares 매개변수에 기본값 0을 사용하는 경우 사용자 공유가 비활성화됩니다.

   3. 선택 사항: 절대 디렉터리 경로 목록을 설정합니다. 예를 들어 Samba가 /data 및 / srv 디렉토리의 하위 디렉터리만 공유할 수 있도록 허용하려면 다음을 설정합니다.

      usershare prefix allow list = /data /srv

   설정할 수 있는 추가 사용자 공유 관련 매개변수 목록은 시스템의 smb.conf(5) 도움말 페이지의 USERSHARES 섹션을 참조하십시오.

4. /etc/samba/smb.conf 파일을 확인합니다.

   # testparm

5. Samba 구성을 다시 로드합니다.

   # smbcontrol all reload-config

   이제 사용자가 사용자 공유를 생성할 수 있습니다.

절차

1. 사용자가 만든 모든 사용자 공유를 표시하려면 다음을 수행하십시오.

   $ net usershare info -l
   [share_1]
   path=/srv/samba/
   comment=
   usershare_acl=Everyone:R,host_name\user:F,
   guest_ok=y
   ...

   명령을 실행하는 사용자가 생성한 공유만 나열하려면 -l 매개 변수를 생략합니다.

2. 특정 공유에 대한 정보만 표시하려면 공유 이름 또는 와일드카드를 명령에 전달합니다. 예를 들어 share_ 로 시작하는 공유의 정보를 표시하려면 다음을 수행합니다.

   $ net usershare info -l share_* 

절차

1. 사용자가 생성한 공유를 나열하려면 다음을 수행합니다.

   $ net usershare list -l
   share_1
   share_2
   ...

   명령을 실행하는 사용자가 생성한 공유만 나열하려면 -l 매개 변수를 생략합니다.

2. 특정 공유만 나열하려면 공유 이름 또는 와일드카드를 명령에 전달합니다. 예를 들어, share_ 로 시작하는 이름의 공유만 나열하려면 다음을 실행합니다.

   $ net usershare list -l share_* 

절차

1. /etc/samba/smb.conf 파일을 편집합니다.

   1. 이 서버에서 설정한 첫 번째 게스트 공유인 경우:

      1. [global] 섹션에서 guest = Bad User에 map을 설정합니다.

         [global]
                 ...
                 map to guest = Bad User

         이 설정에서 Samba는 사용자 이름이 존재하지 않는 한 잘못된 암호를 사용하는 로그인 시도를 거부합니다. 지정된 사용자 이름이 없고 공유에서 게스트 액세스가 활성화된 경우 Samba는 연결을 게스트 로그인으로 처리합니다.

      2. 기본적으로 Samba는 게스트 계정을 Red Hat Enterprise Linux의 nobody 계정에 매핑합니다. 또는 다른 계정을 설정할 수 있습니다. 예를 들면 다음과 같습니다.

         [global]
                 ...
                 guest account = user_name

         이 매개 변수에 설정된 계정은 Samba 서버에 로컬로 존재해야 합니다. 보안상의 이유로 유효한 쉘이 할당되지 않은 계정을 사용하는 것이 좋습니다.

   2. 게스트 ok = yes 설정을 [example] 공유 섹션에 추가합니다.

      [example]
              ...
              guest ok = yes

2. /etc/samba/smb.conf 파일을 확인합니다.

   # testparm

3. Samba 구성을 다시 로드합니다.

   # smbcontrol all reload-config

절차

1. /etc/samba/smb.conf 파일을 편집하고 [global] 섹션에서 advertise 및 streams_xattr VFS 모듈을 활성화합니다.

   vfs objects = fruit streams_xattr

   중요

   streams_xattr 을 활성화하기 전에 coding 모듈을 활성화해야 합니다. popular 모듈은 대체 데이터 스트림(ADS)을 사용합니다. 이러한 이유로 streams_xattr 모듈도 활성화해야 합니다.

2. 선택 사항: 공유에서 macOS Time Machine 지원을 제공하려면 /etc/samba/smb.conf 파일의 공유 구성에 다음 설정을 추가합니다.

   fruit:time machine = yes

3. /etc/samba/smb.conf 파일을 확인합니다.

   # testparm

4. Samba 구성을 다시 로드합니다.

   # smbcontrol all reload-config

절차

1. 공유에 연결합니다.

   # smbclient -U "DOMAIN\user_name" //server_name/share_name

2. /example/ 디렉터리로 변경합니다.

   smb: \> d /example/

3. 디렉터리에 파일을 나열합니다.

   smb: \example\> ls
     .                    D         0  Thu Nov 1 10:00:00 2018
     ..                   D         0  Thu Nov 1 10:00:00 2018
     example.txt          N   1048576  Thu Nov 1 10:00:00 2018
   
            9950208 blocks of size 1024. 8247144 blocks available

4. example.txt 파일을 다운로드합니다.

   smb: \example\> get example.txt
   getting file \directory\subdirectory\example.txt of size 1048576 as example.txt (511975,0 KiloBytes/sec) (average 170666,7 KiloBytes/sec)

5. 공유에서 연결을 끊습니다.

   smb: \example\> exit

절차

1. /etc/samba/smb.conf 파일을 편집합니다.

   1. [ECDHEs] 섹션을 추가하여 Samba에서 출력 백엔드를 활성화합니다.

      [printers]
              comment = All Printers
              path = /var/tmp/
              printable = yes
              create mask = 0600

      중요

      [printers] 공유 이름은 하드 코딩되며 변경할 수 없습니다.

   2. CUPS 서버가 다른 호스트 또는 포트에서 실행되는 경우 [ECDHEs] 섹션에 설정을 지정합니다.

      cups server = printserver.example.com:631

   3. 프린터가 많은 경우 유휴 상태의 수를 CUPS에 연결된 프린터 수보다 높은 값으로 설정합니다. 예를 들어 프린터가 100개 있는 경우 [global] 섹션에서 설정합니다.

      rpcd_spoolss:idle_seconds = 200

      이 설정이 환경에서 확장되지 않는 경우 [global] 섹션의 CloudEvent d_spoolss 작업자 수도 늘립니다.

      rpcd_spoolss:num_workers = 10

      기본적으로 CloudEvent d_spoolss는 작업자 5개를 시작합니다.

2. /etc/samba/smb.conf 파일을 확인합니다.

   # testparm

3. 필요한 포트를 열고 firewall-cmd 유틸리티를 사용하여 방화벽 구성을 다시 로드합니다.

   # firewall-cmd --permanent --add-service=samba
   # firewall-cmd --reload

4. smb 서비스를 다시 시작하십시오.

   # systemctl restart smb

   서비스를 다시 시작한 후 Samba는 CUPS 백엔드에 구성된 모든 프린터를 자동으로 공유합니다. 특정 프린터만 수동으로 공유하려면 특정 프린터 수동 공유를 참조하십시오.

절차

1. /etc/samba/smb.conf 파일을 편집합니다.

   1. [global] 섹션에서 설정을 설정하여 자동 프린터 공유를 비활성화합니다.

      load printers = no

   2. 공유할 각 프린터에 대해 섹션을 추가합니다. 예를 들어 Samba 에서 CUPS 백엔드의 example 라는 프린터를 Example- printer로 공유하려면 다음 섹션을 추가합니다.

      [Example-Printer]
              path = /var/tmp/
              printable = yes
              printer name = example

      각 프린터에 대해 개별 스풀 디렉토리가 필요하지 않습니다. [printers] 섹션에 설정한 것과 동일한 스풀 디렉토리를 프린터 매개변수에 설정할 수 있습니다.

2. /etc/samba/smb.conf 파일을 확인합니다.

   # testparm

3. Samba 구성을 다시 로드합니다.

   # smbcontrol all reload-config

절차

1. 예를 들어, printadmin 그룹에 Se print OperatorPrivilege 권한을 부여하려면 다음을 수행합니다.

   # net rpc rights grant "printadmin" SePrintOperatorPrivilege -U "DOMAIN\administrator"
   Enter DOMAIN\administrator's password:
   Successfully granted rights.

   참고

   도메인 환경에서 도메인 그룹에 Se printOperatorPrivilege 을 부여합니다. 이를 통해 사용자의 그룹 멤버십을 업데이트하여 권한을 중앙에서 관리할 수 있습니다.

2. SePrintOperatorPrivilege 이 부여된 모든 사용자 및 그룹을 나열하려면 다음을 수행하십시오.

   # net rpc rights list privileges SePrintOperatorPrivilege -U "DOMAIN\administrator"
   Enter administrator's password:
   SePrintOperatorPrivilege:
     BUILTIN\Administrators
     DOMAIN\printadmin

절차

1. [print$] 섹션을 /etc/samba/smb.conf 파일에 추가합니다.

   [print$]
           path = /var/lib/samba/drivers/
           read only = no
           write list = @printadmin
           force group = @printadmin
           create mask = 0664
           directory mask = 2775

   다음 설정을 사용합니다.

   • printadmin 그룹의 구성원만 프린터 드라이버를 공유에 업로드할 수 있습니다.
   • 새로 생성된 파일과 디렉토리의 그룹이 printadmin으로 설정됩니다.
   • 새 파일의 권한은 664로 설정됩니다.
   • 새 디렉터리의 권한은 2775로 설정됩니다.

2. 모든 프린터에 대해 64비트 드라이버만 업로드하려면 /etc/samba/smb.conf 파일의 [global] 섹션에 이 설정을 포함하십시오.

   spoolss: architecture = Windows x64

   이 설정이 없으면 Windows에는 최소 32비트 버전을 업로드한 드라이버만 표시됩니다.

3. /etc/samba/smb.conf 파일을 확인합니다.

   # testparm

4. Samba 구성 다시 로드

   # smbcontrol all reload-config

5. printadmin 그룹이 없는 경우 해당 그룹을 생성합니다.

   # groupadd printadmin

6. printadmin 그룹에 Se print OperatorPrivilege 권한을 부여합니다.

   # net rpc rights grant "printadmin" SePrintOperatorPrivilege -U "DOMAIN\administrator"
   Enter DOMAIN\administrator's password:
   Successfully granted rights.

7. enforcing 모드에서 SELinux를 실행하는 경우 디렉터리에 samba_share_t 컨텍스트를 설정합니다.

   # semanage fcontext -a -t samba_share_t "/var/lib/samba/drivers(/.*)?"
   
   # restorecon -Rv /var/lib/samba/drivers/

8. /var/lib/samba/drivers/ 디렉터리에 대한 권한을 설정합니다.

   • POSIX ACL을 사용하는 경우 다음을 설정합니다.

     # chgrp -R "printadmin" /var/lib/samba/drivers/
     # chmod -R 2775 /var/lib/samba/drivers/

   • Windows ACL을 사용하는 경우 다음을 설정합니다.

     Principal	액세스	적용 대상
     CREATOR OWNER	전체 제어	하위 폴더 및 파일만
     Authenticated Users	읽기 및 실행, 폴더 내용 나열, 읽기	이 폴더, 하위 폴더 및 파일
     printadmin	전체 제어	이 폴더, 하위 폴더 및 파일

     Windows에서 ACL 설정에 대한 자세한 내용은 Windows 설명서를 참조하십시오.

절차

1. AD 도메인 Administrator 사용자와 같은 그룹 정책을 편집할 수 있는 계정을 사용하여 Windows 컴퓨터에 로그인합니다.
2. Group Policy Management Console을 엽니다.

3. AD 도메인을 마우스 오른쪽 버튼으로 클릭하고 Create a GPO in this domain(이 도메인에서 GPO 만들기)을 선택하고 여기에 연결합니다.

   
4. Legacy Printer Driver Policy 와 같은 GPO 이름을 입력하고 OK(확인 )를 클릭합니다. 새 GPO가 도메인 항목에 표시됩니다.
5. 새로 만든 GPO를 마우스 오른쪽 버튼으로 클릭하고 Edit(편집 )를 선택하여 그룹 정책 관리 편집기 를 엽니다.

6. Computer Configuration → Policies → Templates Printers(관리 템플릿 프린터) 로 이동합니다.

   

7. 창 오른쪽에서 Point and Print Restriction 을 두 번 클릭하여 정책을 편집합니다.

   1. 정책을 활성화하고 다음 옵션을 설정합니다.

      1. Users(사용자)는 이러한 서버를 가리키고 출력할 수 있으며 Samba 인쇄 서버의 FQDN(정규화된 도메인 이름)을 이 옵션 옆에 있는 필드에 입력합니다.

      2. Security Prompts (보안 프롬프트) 아래에 있는 두 확인란 모두에서 Do not show warning or elevation prompt(경고 또는 승격 프롬프트 표시 안 함)를 선택합니다.

         
   2. OK(확인)를 클릭합니다.

8. Package Point and Print - Approved servers 를 두 번 클릭하여 정책을 편집합니다.

   1. 정책을 활성화하고 Show (표시) 버튼을 클릭합니다.

   2. Samba 출력 서버의 FQDN을 입력합니다.

      
   3. OK (확인)를 클릭하여 Show Contents (콘텐츠 표시) 및 정책의 속성 창을 둘 다 닫습니다.
9. 그룹 정책 관리 편집기 를 닫습니다.
10. 그룹 정책 관리 콘솔 을 닫습니다.

절차

1. RHEL에서 FIPS 모드를 활성화합니다.

   # fips-mode-setup --enable

2. 서버를 재부팅합니다.

   # reboot

3. testparm 유틸리티를 사용하여 구성을 확인합니다.

   # testparm -s

   명령에서 오류 또는 비호환성을 표시하는 경우 이를 수정하여 Samba가 올바르게 작동하는지 확인합니다.

절차

1. /etc/samba/smb.conf 파일의 [global] 섹션에서 server max protocol 매개 변수를 제거합니다.

2. Samba 구성 다시 로드

   # smbcontrol all reload-config

절차

1. 공유의 모든 파일의 이름을 소문자로 바꿉니다.

   참고

   이 절차의 설정을 사용하면 소문자 이외의 이름이 있는 파일이 더 이상 표시되지 않습니다.

2. 공유의 섹션에서 다음 매개변수를 설정합니다.

   case sensitive = true
   default case = lower
   preserve case = no
   short preserve case = no

   매개변수에 대한 자세한 내용은 시스템의 smb.conf(5) 도움말 페이지에서 해당 설명을 참조하십시오.

3. /etc/samba/smb.conf 파일을 확인합니다.

   # testparm

4. Samba 구성을 다시 로드합니다.

   # smbcontrol all reload-config

절차

1. /etc/samba/smb.conf 파일을 편집하고 server min protocol 매개 변수를 추가하고, 매개 변수를 서버가 지원해야 하는 최소 SMB 프로토콜 버전으로 설정합니다. 예를 들어 최소 SMB 프로토콜 버전을 SMB3 로 설정하려면 다음을 추가합니다.

   server min protocol = SMB3

2. smb 서비스를 다시 시작하십시오.

   # systemctl restart smb

절차

1. 다음 설정으로 /etc/samba/smb.conf 파일을 수동으로 생성합니다.

   • AD 도메인 멤버의 경우:

     [global]
     workgroup = domain_name
     security = ads
     passdb backend = tdbsam
     realm = AD_REALM

   • NT4 도메인 멤버의 경우:

     [global]
     workgroup = domain_name
     security = user
     passdb backend = tdbsam

2. * 기본 도메인과 /etc/samba/smb.conf 파일의 [global] 섹션에 참여할 도메인에 대한 ID 매핑 구성을 추가합니다.

3. /etc/samba/smb.conf 파일을 확인합니다.

   # testparm

4. 도메인에 도메인 관리자로 가입합니다.

   • AD 도메인에 가입하려면 다음을 수행합니다.

     # net ads join -U "DOMAIN\administrator"

   • NT4 도메인에 가입하려면 다음을 수행합니다.

     # net rpc join -U "DOMAIN\administrator"

5. winbind 소스를 /etc/nsswitch.conf 파일의 passwd 및 그룹 database 항목에 추가합니다.

   passwd:     files winbind
   group:      files winbind

6. winbind 서비스를 활성화하고 시작합니다.

   # systemctl enable --now winbind

7. 선택 사항: authselect 유틸리티를 사용하여 PAM을 구성합니다.

   자세한 내용은 시스템의 authselect(8) 도움말 페이지를 참조하십시오.

8. 선택 사항: AD 환경의 경우 Kerberos 클라이언트를 구성합니다.

   자세한 내용은 Kerberos 클라이언트 설명서를 참조하십시오.

1. 계정을 추가합니다.

   # net user add user password -U "DOMAIN\administrator"
   User user added

2. 선택 사항: RPC(원격 프로시저 호출) 쉘을 사용하여 AD DC 또는 NT4 PDC에서 계정을 활성화합니다. 예를 들면 다음과 같습니다.

   # net rpc shell -U DOMAIN\administrator -S DC_or_PDC_name
   Talking to domain DOMAIN (S-1-5-21-1424831554-512457234-5642315751)
   
   net rpc> user edit disabled user: no
   Set user's disabled flag from [yes] to [no]
   
   net rpc> exit

절차

1. 명령을 사용자로 실행하는 경우 smbpasswd 는 명령을 실행하는 사용자의 Samba 암호를 변경합니다. 예를 들면 다음과 같습니다.

   [user@server ~]$ smbpasswd
   New SMB password: password
   Retype new SMB password: password

2. root 사용자로 smbpasswd를 실행하는 경우 유틸리티를 사용하여 다음을 수행할 수 있습니다.

   • 새 사용자를 생성합니다.

     [root@server ~]# smbpasswd -a user_name
     New SMB password: password
     Retype new SMB password: password
     Added user user_name.

     참고

     사용자를 Samba 데이터베이스에 추가하려면 로컬 운영 체제에서 계정을 만들어야 합니다. 기본 시스템 설정 구성 가이드 의 명령줄에서 새 사용자 추가 섹션을 참조하십시오.

   • Samba 사용자를 활성화합니다.

     [root@server ~]# smbpasswd -e user_name
     Enabled user user_name.

   • Samba 사용자를 비활성화합니다.

     [root@server ~]# smbpasswd -x user_name
     Disabled user user_name

   • 사용자를 삭제합니다.

     [root@server ~]# smbpasswd -x user_name
     Deleted user user_name.

절차

1. /etc/named.conf 파일에 영역 정의를 추가합니다.

   zone "example.com" {
       type master;
       file "example.com.zone";
       allow-query { any; };
       allow-transfer { none; };
   };

   이러한 설정은 다음과 같습니다.

   • 이 서버는 example.com 영역의 기본 서버(마스터 유형)로 사용됩니다.
   • /var/named/example.com.zone 파일은 영역 파일입니다. 이 예에서와 같이 상대 경로를 설정한 경우 이 경로는 options 문의 디렉터리에 설정된 디렉터리 와 상대적입니다.
   • 모든 호스트에서 이 영역을 쿼리할 수 있습니다. 또는 액세스를 제한하려면 IP 범위 또는 BIND ACL(액세스 제어 목록) 별 이름을 지정합니다.
   • 호스트가 영역을 전송할 수 없습니다. 보조 서버를 설정하고 보조 서버의 IP 주소에 대해서만 영역 전송을 허용합니다.

2. /etc/named.conf 파일의 구문을 확인합니다.

   # named-checkconf

   명령이 출력을 표시하지 않으면 구문이 올바르게 표시됩니다.

3. 다음 콘텐츠를 사용하여 /var/named/example.com.zone 파일을 만듭니다.

   $TTL 8h
   @ IN SOA ns1.example.com. hostmaster.example.com. (
                             2022070601 ; serial number
                             1d         ; refresh period
                             3h         ; retry period
                             3d         ; expire time
                             3h )       ; minimum TTL
   
                     IN NS   ns1.example.com.
                     IN MX   10 mail.example.com.
   
   www               IN A    192.0.2.30
   www               IN AAAA 2001:db8:1::30
   ns1               IN A    192.0.2.1
   ns1               IN AAAA 2001:db8:1::1
   mail              IN A    192.0.2.20
   mail              IN AAAA 2001:db8:1::20

   이 영역 파일은 다음과 같습니다.

   • 리소스 레코드에 대한 기본 TTL(Time-to-live) 값을 8시간으로 설정합니다. 시간 접미사(예: h for hour)가 없으면 BIND는 값을 초로 해석합니다.
   • 영역에 대한 세부 정보와 함께 필요한 SOA 리소스 레코드를 포함합니다.
   • ns1.example.com 을 이 영역에 대한 권한 있는 DNS 서버로 설정합니다. 작동하려면 영역에 하나 이상의 네임 서버(NS) 레코드가 필요합니다. 그러나 RFC 1912를 준수하려면 두 개 이상의 이름 서버가 필요합니다.
   • mail.example.com 을 example.com 도메인의 메일 교환기(MX)로 설정합니다. 호스트 이름 앞에 있는 숫자 값은 레코드의 우선 순위입니다. 값이 낮은 항목은 우선 순위가 높습니다.
   • www.example.com,mail.example.com 및 ns1.example.com 의 IPv4 및 IPv6 주소를 설정합니다.

4. named 그룹만 읽을 수 있는 영역 파일에 대한 보안 권한을 설정합니다.

   # chown root:named /var/named/example.com.zone
   # chmod 640 /var/named/example.com.zone

5. /var/named/example.com.zone 파일의 구문을 확인합니다.

   # named-checkzone example.com /var/named/example.com.zone
   zone example.com/IN: loaded serial 2022070601
   OK

6. BIND를 다시 로드합니다.

   # systemctl reload named

   change-root 환경에서 BIND를 실행하는 경우 systemctl reload named-chroot 명령을 사용하여 서비스를 다시 로드합니다.

절차

1. /etc/named.conf 파일에 영역 정의를 추가합니다.

   zone "2.0.192.in-addr.arpa" {
       type master;
       file "2.0.192.in-addr.arpa.zone";
       allow-query { any; };
       allow-transfer { none; };
   };

   이러한 설정은 다음과 같습니다.

   • 이 서버는 2.0.192.in-addr.arpa 역방향 영역의 기본 서버(마스터 유형)입니다.
   • /var/named/2.0.192.in-addr.arpa.zone 파일은 영역 파일입니다. 이 예에서와 같이 상대 경로를 설정한 경우 이 경로는 options 문의 디렉터리에 설정된 디렉터리 와 상대적입니다.
   • 모든 호스트에서 이 영역을 쿼리할 수 있습니다. 또는 액세스를 제한하려면 IP 범위 또는 BIND ACL(액세스 제어 목록) 별 이름을 지정합니다.
   • 호스트가 영역을 전송할 수 없습니다. 보조 서버를 설정하고 보조 서버의 IP 주소에 대해서만 영역 전송을 허용합니다.

2. /etc/named.conf 파일의 구문을 확인합니다.

   # named-checkconf

   명령이 출력을 표시하지 않으면 구문이 올바르게 표시됩니다.

3. /var/named/2.0.192.in-addr.arpa.zone 파일을 만듭니다(예: 다음 콘텐츠).

   $TTL 8h
   @ IN SOA ns1.example.com. hostmaster.example.com. (
                             2022070601 ; serial number
                             1d         ; refresh period
                             3h         ; retry period
                             3d         ; expire time
                             3h )       ; minimum TTL
   
                     IN NS   ns1.example.com.
   
   1                 IN PTR  ns1.example.com.
   30                IN PTR  www.example.com.

   이 영역 파일은 다음과 같습니다.

   • 리소스 레코드에 대한 기본 TTL(Time-to-live) 값을 8시간으로 설정합니다. 시간 접미사(예: h for hour)가 없으면 BIND는 값을 초로 해석합니다.
   • 영역에 대한 세부 정보와 함께 필요한 SOA 리소스 레코드를 포함합니다.
   • 이 역방향 영역에 대한 권한 있는 DNS 서버로 ns1.example.com 을 설정합니다. 작동하려면 영역에 하나 이상의 네임 서버(NS) 레코드가 필요합니다. 그러나 RFC 1912를 준수하려면 두 개 이상의 이름 서버가 필요합니다.
   • 192.0.2.1 및 192.0.2.30 주소에 대한 포인터(PTR) 레코드를 설정합니다.

4. named group만 읽을 수 있는 영역 파일에 대한 보안 권한을 설정합니다.

   # chown root:named /var/named/2.0.192.in-addr.arpa.zone
   # chmod 640 /var/named/2.0.192.in-addr.arpa.zone

5. /var/named/2.0.192.in-addr.arpa.zone 파일의 구문을 확인합니다.

   # named-checkzone 2.0.192.in-addr.arpa /var/named/2.0.192.in-addr.arpa.zone
   zone 2.0.192.in-addr.arpa/IN: loaded serial 2022070601
   OK

6. BIND를 다시 로드합니다.

   # systemctl reload named

   change-root 환경에서 BIND를 실행하는 경우 systemctl reload named-chroot 명령을 사용하여 서비스를 다시 로드합니다.

절차

1. 선택 사항: /etc/named.conf 파일에서 영역 파일의 경로를 식별합니다.

   options {
       ...
       directory       "/var/named";
   }
   
   zone "example.com" {
       ...
       file "example.com.zone";
   };

   영역 정의의 file 문에서 영역 파일의 경로를 찾습니다. 상대 경로는 options 문의 디렉터리에 설정된 디렉터리를 기준으로 합니다.

2. 영역 파일을 편집합니다.

   1. 필요한 변경 작업을 수행합니다.

   2. SOA(시작 권한) 레코드의 일련번호를 늘립니다.

      중요

      일련 번호가 이전 값과 같거나 낮으면 보조 서버에서 영역의 복사본을 업데이트하지 않습니다.

3. 영역 파일의 구문을 확인합니다.

   # named-checkzone example.com /var/named/example.com.zone
   zone example.com/IN: loaded serial 2022062802
   OK

4. BIND를 다시 로드합니다.

   # systemctl reload named

   change-root 환경에서 BIND를 실행하는 경우 systemctl reload named-chroot 명령을 사용하여 서비스를 다시 로드합니다.

절차

1. /etc/named.conf 파일을 편집하고 dnssec-policy 기본값 을 DNSSEC를 활성화하려는 영역에 추가합니다.

   zone "example.com" {
       ...
       dnssec-policy default;
   };

2. BIND를 다시 로드합니다.

   # systemctl reload named

   change-root 환경에서 BIND를 실행하는 경우 systemctl reload named-chroot 명령을 사용하여 서비스를 다시 로드합니다.

3. BIND는 /var/named/K <zone_name > .+ <algorithm> + <key_ID > .key 파일에 공개 키를 저장합니다. 이 파일을 사용하여 상위 영역에 필요한 형식으로 영역의 공개 키를 표시합니다.

   • DS 레코드 형식:

     # dnssec-dsfromkey /var/named/Kexample.com.+013+61141.key
     example.com. IN DS 61141 13 2 3E184188CF6D2521EDFDC3F07CFEE8D0195AACBD85E68BAE0620F638B4B1B027

   • DNSKEY 형식:

     # grep DNSKEY /var/named/Kexample.com.+013+61141.key
     example.com. 3600 IN DNSKEY 257 3 13 sjzT3jNEp120aSO4mPEHHSkReHUf7AABNnT8hNRTzD5cKMQSjDJin2I3 5CaKVcWO1pm+HltxUEt+X9dfp8OZkg==

4. 영역의 공개 키를 상위 영역에 추가하도록 요청합니다. 이 작업을 수행하는 방법에 대한 자세한 내용은 도메인 공급자 또는 레지스트리에 문의하십시오.

검증

1. DNSSEC 서명을 활성화한 영역에서 자체 DNS 서버를 쿼리합니다.

   # dig +dnssec +short @localhost A www.example.com
   192.0.2.30
   A 13 3 28800 20220718081258 20220705120353 61141 example.com. e7Cfh6GuOBMAWsgsHSVTPh+JJSOI/Y6zctzIuqIU1JqEgOOAfL/Qz474 M0sgi54m1Kmnr2ANBKJN9uvOs5eXYw==

   이 예에서는 BIND가 동일한 호스트에서 실행되고 localhost 인터페이스의 쿼리에 응답하는 것으로 가정합니다.

2. 공개 키가 상위 영역에 추가되고 다른 서버로 전파된 후 서버에서 서명된 영역에 쿼리에 인증된 데이터(ad) 플래그를 설정하는지 확인합니다.

   #  dig @localhost example.com +dnssec
   ...
   ;; flags: qr rd ra ad; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1
   ...