テックメモ

Samba DC

まだ検証途中

●●●=利用環境のグローバルIPアドレス

・ufw

ufw allow from ●●● to any port 9922,3306,53,88,135,139,389,445,464,636,3268,3269,49152:49252 proto tcp
ufw allow from ●●● to any port 53,88,123,137:138,389,464 proto udp

・フォルダ作成

cd /home
mkdir samba
cd samba
mkdir data
mkdir config

vim setup.sh

chmod 700 data
chmod 700 config
chmod 700 setup.sh

Docker

▲▲▲=Administratorのパスワード
◯◯◯=VPSのIPアドレス
△△△=ドメイン名

vim docker-compose.yml

・もし再実行で既にコンテナがあるようだったら

docker ps -a
docker compose down
※カレントディレクトリにdocker-compose.ymlがある状態で実行

バインドボリューム削除
rm -rf ./data/* && rm -rf ./config/*

※通常終了しない場合
docker ps -a
docker rm -f コンテナID

・再起動の場合
docker restart samba-dc

・一時停止の場合
docker pause samba-dc
docker unpause samba-dc

・起動

docker compose up -d
※カレントディレクトリにdocker-compose.ymlがある状態で実行
※dはバックグランド実行

・停止
※もし自動で再起動を繰り返している場合止める
docker stop samba-dc

・初回のみエラー

53ポートが使用中とのことでエラー。

sudo lsof -i :53

vim /etc/systemd/resolved.conf
DNSStubListener
>no
に変更する。
systemctl restart systemd-resolved

・RPCポート変更

※直接変更する方法(不要)
docker exec -it samba-dc vi /etc/samba/smb.conf

※バインドしたconfを変更

cd config
vim smb.conf
rpc server dynamic port range = 49152-49172
を
rpc server dynamic port range = 49152-49252
に変更。

ポートが多すぎるコンテナ生成で失敗する。(タイムアウトしてしまう)
ポートが少なすぎるとADの同期で問題が発生する。

コンテナエントリポイントを調べる

※初回起動で確認後docker-composeに追加したので初回のみの処理

docker exec -it samba-dc bash
cat /proc/1/cmdline

※command: sh -c “/setup.sh && exec /init.sh”
の中の
/init.sh
の部分を知るため

コンテナエラー確認

・ログ確認
docker logs –tail 100 samba-dc

・Samba内のログ

一覧
docker exec -it samba-dc bash -c “cd /var/log/samba && ls -l”

開く
docker exec -it samba-dc bash -c “vi /var/log/samba/log.smbd”

Windowクライアント設定

ncpa.cpl
利用しているNICのDNSをVPSのIPアドレスにする。

sysdm.cpl
コンピュータ名タブ＞変更
ドメインを選択しドメイン名を入力する。

ユーザーはadministrator
パスワードはdocker-compose
で指定したパスワードを入力する。

再起動したらログイン画面で
ドメイン名\administrator
のように入力しログイン。
初回ログイン時は時間がかかる。

※アカウントもADに参加しないと以下コマンドは使えないが、このタイミングでローカルorMSアカウントを入力して、端末だけAD参加という状態も可能。

Windows RSAT 有効化
システム＞オプション機能＞機能表示＞使用可能な機能を表示する
RSAT: ActiveDirectoryDomainServices およびライトウェイトディレクトリサービスツール
をチェックし追加すると、
Active Directory サイトとサービス
Active Directory ドメインと信頼関係
Active Directory ユーザーとコンピュータ
Active Directory 管理センター(Samba-DCでは利用不可)
が有効化される。

RSAT: グループポリシー管理ツール
をチェックし追加すると、
gpmc.msc
が有効化される。

・接続状況確認(信頼関係)

nltest /sc_verify:ドメイン名
nltest /dsgetdc:ドメイン名

・時刻関係

w32tm /config /syncfromflags:domhier /update
※DCから取得に変更

w32tm /query /status
ソースを確認

w32tm /resync
同期実行

NTP修正

※Win側の時刻同期で失敗するための処置
※起動スクリプト化したので手動不要。

docker logs samba-dc | grep ntp
でntp系のエラー確認

・Dockerシェルへ
docker exec -it samba-dc bash

・アクセス権限
cd /var/lib/ && ls -la
chown ntp:ntp /var/lib/ntp
chmod 755 /var/lib/ntp
になっていればOK。

・ntpユーザがいるかどうか
id ntp

ntpq -p
現在のntpサーバーの確認し、*アドレスにping

sntp 129.250.35.222
>129.250.35.222 no UCST response after 5 seconds
これでエラーが発生していた。

vi /etc/ntp.conf
or
vi /etc/ntpd.conf (こちらが利用されていた、調べ方ps aux | grep ntpd)
を編集し、
server ntp.nict.jp iburst prefer
を追加し、
ntpsigndsocket /usr/local/samba/var/lib/ntp_signd/
を
ntpsigndsocket /var/lib/samba/ntp_signd/
に変更する

supervisorctl restart ntpd

コンテナ再起動するとダメだけど、一旦これで同期される。

Windowクライアント設定

・DNSが問題ないか確認する。

nslookup ドメイン
これでVPSのIPアドレスが返ってくればOK。

nslookup VPSのIPアドレス
これでドメイン名が返ってくればOK。

 

 

 

安価なプランのIndigoVPSで色々なOSS運用していたが､1つにまとめることにした｡今回はXserverVPS。すでにOSSは稼働状態なので､新しい環境と並行稼働してから切り替えることにした。

ssh

sudo vim /etc/ssh/sshd_config
Port
>9922

PasswordAuthentication
ChallengeResponseAuthentication
GSSAPIAuthentication
>no

sudo service ssh restart

ufw

※Xserverにもパケットフィルタがあるので要設定。

sudo vim /etc/default/ufw
>IPV6=no

sudo ufw allow from ●●●.●●●.●●●.●●● to any port 9922 proto tcp

sudo ufw enable
sudo ufw status

・メモ

削除
sudo ufw status numbered
sudo ufw delete [番号]

Docker

sudo apt update
sudo apt install -y ca-certificates curl gnupg
sudo install -m 0755 -d /etc/apt/keyrings
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo gpg –dearmor -o /etc/apt/keyrings/docker.gpg
sudo chmod a+r /etc/apt/keyrings/docker.gpg
echo \
“deb [arch=$(dpkg –print-architecture) signed-by=/etc/apt/keyrings/docker.gpg] https://download.docker.com/linux/ubuntu \
$(. /etc/os-release && echo “$VERSION_CODENAME”) stable” | \
sudo tee /etc/apt/sources.list.d/docker.list > /dev/null
sudo apt update
sudo apt install -y docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin

MySQL

このMySQLは外部接続用で単独で使用。
今までは直接インストールしていたが今回はDocker｡

sudo mkdir project_management
cd project_management

sudo mkdir data
sudo chown -R 999:999 ./data
sudo chmod 700 ./data

sudo mkdir conf.d
sudo chown -R 999:999 ./conf.d
sudo chmod 700 ./conf.d

sudo vim docker-compose.yml

sudo docker compose up –d

cd conf.d
sudo touch external.cnf
sudo chown 999:999 external.cnf
sudo chmod 644 external.cnf

sudo vim external.cnf
[mysqld]
bind-address = 0.0.0.0
require_secure_transport = ON

sudo docker restart production_management

sudo ufw allow from ●●●.●●●.●●●.●●● to any port 3306 proto tcp
※Xserverのパケットフィルタも要設定。

dataフォルダの
client-cert.pem
client-key.pem
ca.pem
をダウンロード。

・pfx作成

pass=$(head /dev/urandom | tr -dc a-km-np-z1-9 | head -c 13);openssl pkcs12 -export -inkey client-key.pem -in client-cert.pem -out client.pfx -passout pass:${pass};echo $pass;

メモ

コンテナ一覧
sudo docker ps

コンテナに入る
docker exec -it production_management bash

コンテナ再起動
sudo docker restart production_management

コンテナ削除
sudo docker rm -f production_management

MySQL設定ファイル
/etc/my.cnf

MySQL Workbench

Standard TCP/IPを選択。

・Parametersタブ
Hostname：IPアドレス
Port：3306
Username：DBユーザー
パスワード：DBパスワード

・SSLタブ
Use SSL：Require and Verify CA
SSL Key File：client-key.pem
SSL CERT File：client-cert.pem
SSL CA File：ca.pem
ダウンロードしたファイルを選択。登録後ファイルの移動はできない。

これでVPS上のDockerのMySQLに外部から接続することが可能。

MySQLバックアップ

cd /home/project_management
sudo mkdir backup
sudo chmod 700 backup

sudo vim backup.sh

weekday=date +%w
f=/home/project_management/backup/dump_${weekday}.sql
docker exec production_management mysqldump –single-transaction -u root -p●●● project_management > $f

sudo chmod 700 backup.sh

・cron

cd /etc/cron.d
sudo vim /etc/cron.d/mysql_backup

0 2 * * * root /home/project_management/backup.sh

sudo chmod 600 mysql_backup

sudo systemctl status cron

VPS+Docker Samba-DC