1.5. AD 도메인 멤버 서버로 Samba 설정

절차

1. AD에 Kerberos 인증을 위한 더 이상 사용되지 않는 RC4 암호화 유형이 필요한 경우 RHEL에서 이러한 암호에 대한 지원을 활성화합니다.

   # update-crypto-policies --set DEFAULT:AD-SUPPORT

   Copy to Clipboard Toggle word wrap

2. 다음 패키지를 설치합니다.

   # dnf install realmd oddjob-mkhomedir oddjob samba-winbind-clients \
          samba-winbind samba-common-tools samba-winbind-krb5-locator krb5-workstation

   Copy to Clipboard Toggle word wrap

3. 도메인 구성원에서 디렉터리 또는 프린터를 공유하려면 samba 패키지를 설치합니다.

   # dnf install samba

   Copy to Clipboard Toggle word wrap

4. 기존 /etc/samba/smb.conf Samba 구성 파일을 백업합니다.

   # mv /etc/samba/smb.conf /etc/samba/smb.conf.bak

   Copy to Clipboard Toggle word wrap

5. 도메인에 가입합니다. 예를 들어 ad.example.com이라는 도메인에 가입하려면 다음을 수행합니다.

   # realm join --membership-software=samba --client-software=winbind ad.example.com

   Copy to Clipboard Toggle word wrap

   이전 명령을 사용하면 realm 유틸리티가 자동으로 수행됩니다.

   • ad.example.com 도메인 멤버십에 대한 /etc/samba/smb.conf 파일을 만듭니다.
   • 사용자 및 그룹 조회에 대한 winbind 모듈을 /etc/nsswitch.conf 파일에 추가합니다.
   • /etc/pam.d/ 디렉토리에서 PAM(Pluggable Authentication Module) 구성 파일을 업데이트합니다.
   • winbind 서비스를 시작하고 시스템이 부팅될 때 서비스가 시작됩니다.
6. 선택 사항: /etc/samba/smb.conf 파일에서 대체 ID 매핑 백엔드 또는 사용자 지정 ID 매핑 설정을 설정합니다.

1. winbind 서비스가 실행 중인지 확인합니다.

   # systemctl status winbind
   ...
      Active: active (running) since Tue 2018-11-06 19:10:40 CET; 15s ago

   Copy to Clipboard Toggle word wrap
   중요

   Samba를 활성화하여 도메인 사용자 및 그룹 정보를 쿼리하려면 smb 를 시작하기 전에 winbind 서비스를 실행해야 합니다.

2. 디렉터리 및 프린터를 공유하는 samba 패키지를 설치한 경우 smb 서비스를 활성화하고 시작합니다.

   # systemctl enable --now smb

   Copy to Clipboard Toggle word wrap
3. Active Directory에 대한 로컬 로그인을 인증하는 경우 winbind_krb5_localauth 플러그인을 활성화합니다. MIT Kerberos 용으로 로컬 권한 부여 플러그인 사용을 참조하십시오.

검증

1. AD 도메인의 AD 관리자 계정과 같은 AD 사용자의 세부 정보를 표시합니다.

   # getent passwd "AD\administrator"
   AD\administrator:*:10000:10000::/home/administrator@AD:/bin/bash

   Copy to Clipboard Toggle word wrap

2. AD 도메인에서 도메인 사용자 그룹의 멤버를 쿼리합니다.

   # getent group "AD\Domain Users"
       AD\domain users:x:10000:user1,user2

   Copy to Clipboard Toggle word wrap

3. 선택 사항: 파일 및 디렉터리에 대한 권한을 설정할 때 도메인 사용자 및 그룹을 사용할 수 있는지 확인합니다. 예를 들어 /srv/samba/example.txt 파일의 소유자를 AD\administrator 로 설정하고 그룹을 AD\Domain Users 로 설정하려면 다음을 수행합니다.

   # chown "AD\administrator":"AD\Domain Users" /srv/samba/example.txt

   Copy to Clipboard Toggle word wrap

4. Kerberos 인증이 예상대로 작동하는지 확인합니다.

   1. AD 도메인 멤버에서 administrator@AD.EXAMPLE.COM 주체의 티켓을 받습니다.

      # kinit administrator@AD.EXAMPLE.COM

      Copy to Clipboard Toggle word wrap

   2. 캐시된 Kerberos 티켓을 표시합니다.

      # klist
      Ticket cache: KCM:0
      Default principal: administrator@AD.EXAMPLE.COM
      
      Valid starting       Expires              Service principal
      01.11.2018 10:00:00  01.11.2018 20:00:00  krbtgt/AD.EXAMPLE.COM@AD.EXAMPLE.COM
              renew until 08.11.2018 05:00:00

      Copy to Clipboard Toggle word wrap

5. 사용 가능한 도메인을 표시합니다.

   # wbinfo --all-domains
   BUILTIN
   SAMBA-SERVER
   AD

   Copy to Clipboard Toggle word wrap

절차

1. samba-gpupdate 패키지를 설치합니다.

   # dnf install samba-gpupdate

   Copy to Clipboard Toggle word wrap

2. /etc/samba/smb.conf 파일에 다음 설정을 추가합니다.

   kerberos method = secrets and keytab
   sync machine password to keytab = "/etc/krb5.keytab:account_name:sync_spns:spn_prefixes=host:sync_kvno:machine_password", "/etc/samba/cepces.keytab:account_name:machine_password"
   apply group policies = yes

   Copy to Clipboard Toggle word wrap

   Samba 구성에 지정된 설정에는 다음 구성이 포함됩니다.

   Kerberos 방법 = secrets 및 keytab

   먼저 Kerberos 티켓을 확인한 다음 /etc/krb5.keytab 파일을 확인하려면 /var/lib/samba/private/secrets.tdb 파일을 사용하도록 Samba를 구성합니다.

   sync machine password to keytab = <list_of_keytab_files_and_their_principals>

   Samba가 유지 관리하는 키탭 파일의 경로와 이러한 파일에서 Kerberos 주체를 정의합니다. 표시된 값을 사용하면 Samba는 /etc/krb5.keytab 시스템 키탭을 계속 유지 관리하며, 또한 certmonger 에 대한 cepces-submit 제출 도우미가 CA에 인증하는 데 사용하는 /etc/samba/cepces.keytab 파일을 유지합니다.

   그룹 정책 적용 = yes

   gpupdate 명령을 간격으로 실행하도록 winbind 서비스를 구성합니다. 업데이트 간격은 90분과 0분에서 30분 사이의 임의 오프셋입니다.

3. /etc/samba/cepces.keytab 파일을 만듭니다.

   # net ads keytab create

   Copy to Clipboard Toggle word wrap

4. /etc/cepces/cepces.conf 파일을 편집하고 다음과 같이 변경합니다.

   1. [global] 섹션에서 server 변수를 CA 서비스를 실행하는 Windows 서버의 FQDN(정규화된 도메인 이름)으로 설정합니다.

      [global]
      server=win-server.ad.example.com

      Copy to Clipboard Toggle word wrap

   2. [kerberos] 섹션에서 keytab 변수를 /etc/samba/cepces.keytab 으로 설정합니다.

      [kerberos]
      keytab=/etc/samba/cepces.keytab

      Copy to Clipboard Toggle word wrap

5. certmonger 서비스를 활성화하고 시작합니다.

   # systemctl enable --now certmonger

   Copy to Clipboard Toggle word wrap

   certmonger 서비스는 CA에서 인증서를 요청하고 만료되기 전에 자동으로 갱신합니다.

6. samba-gpupdate 를 수동으로 실행하여 AD에서 그룹 정책이 로드되었는지 확인합니다.

   # samba-gpupdate

   Copy to Clipboard Toggle word wrap

7. certmonger 서비스는 다음 디렉터리에 키와 인증서를 저장합니다.

   • 개인 키: /var/lib/samba/private/certs/

   • 발행된 인증서: /var/lib/samba/certs/

     이제 동일한 호스트의 서비스에서 키와 인증서를 사용할 수 있습니다.

8. 선택 사항: certmonger 에서 관리하는 인증서를 표시합니다.

   # getcert list
   Number of certificates and requests being tracked: 1.
   Request ID 'AD-ROOT-CA.Machine':
   	status: MONITORING
   	stuck: no
   	key pair storage: type=FILE,location='/var/lib/samba/private/certs/AD-ROOT-CA.Machine.key'
   	certificate: type=FILE,location='/var/lib/samba/certs/AD-ROOT-CA.Machine.crt'
   	CA: AD-ROOT-CA
   	issuer: CN=AD-ROOT-CA,DC=ad,DC=example,DC=com
   	subject: CN=rhel9.ad.example.com
   	issued: 2025-03-25 14:22:07 CET
   	expires: 2026-03-25 14:22:07 CET
   	dns: rhel9.ad.example.com
   	key usage: digitalSignature,keyEncipherment
   	eku: id-kp-clientAuth,id-kp-serverAuth
   	certificate template/profile: Machine
   	profile: Machine
   	pre-save command:
   	post-save command:
   	track: yes
   	auto-renew: yes

   Copy to Clipboard Toggle word wrap

   기본적으로 Windows CA는 머신 인증서 템플릿을 사용하여 인증서만 발행합니다. 이 호스트에 적용되는 추가 템플릿을 Windows CA에 구성한 경우 certmonger 도 이러한 템플릿에 대한 인증서를 요청하고 getcert list 출력에 대한 항목도 포함됩니다.