Samba4とADの認証統合 試行錯誤

Using short domain name -- SAMBA4-AD
Joined `LOCALHOST` to dns domain `samba4-ad.local`
No DNS domain configured for localhost. Unable to perform DNS Update.
DNS update failed: NT_STATUS_INVALID_PARAMETER

これで躓いているところ。こちら様によると

Active DirectoryとLinuxの認証を統合しよう
第5回　SambaのWinbindによる認証統合
http://gihyo.jp/admin/serial/01/ad-linux/0005?page=2

　Joined `LOCALHOST` to dns domain `samba4-ad.local`

が表示される時点で、ドメインへの参加はできているようなのだが。DNS update failed の内容をそのまま検索すると次のような対策例もあり、
http://www.kombitz.com/2012/03/05/samba-net-ads-join-dns-update-failed-error-fixed/

試してみたが状況は変わらなかった。実際のトラフィックを確認すると、DNSクエリに対してDCからの応答がなく、DCが外部DNSへ問い合わせのトラフィックを創出しているので、DC側の問題のようだ。こうなると、ドメインプロビジョニングの際に設定を誤った、というか認識が不足していたということかもしれない。

そこで、samba-tools で変更を試みるも、作法について見当がつかない。知らないものを調べずにワカルわけがないという幼稚園児程度。

samba-tool(8)
http://www.samba.gr.jp/project/translation/4.0/htmldocs/manpages/samba-tool.8.html


[root@DC01 ~]# /usr/local/samba/bin/samba-tool dns add -h | more
Usage: samba-tool dns add <server> <zone> <name> <A|AAAA|PTR|CNAME|NS|MX|SRV|TXT> <data>

Add a DNS record

For each type data contents are as follows:
  A      ipv4_address_string
  AAAA   ipv6_address_string
  PTR    fqdn_string
  CNAME  fqdn_string
  NS     fqdn_string
  MX     "fqdn_string preference"
  SRV    "fqdn_string port priority weight"
  TXT    "'string1' 'string2' ..."


Options:
  -h, --help            show this help message and exit

  Samba Common Options:
    -s FILE, --configfile=FILE
                        Configuration file
    -d DEBUGLEVEL, --debuglevel=DEBUGLEVEL
                        debug level
    --option=OPTION     set smb.conf option from command line
    --realm=REALM       set the realm name

  Credentials Options:
    --simple-bind-dn=DN
                        DN to use for a simple bind
    --password=PASSWORD
                        Password
    -U USERNAME, --username=USERNAME
                        Username
    -W WORKGROUP, --workgroup=WORKGROUP
                        Workgroup
    -N, --no-pass       Don't ask for a password
    -k KERBEROS, --kerberos=KERBEROS
                        Use Kerberos
    --ipaddress=IPADDRESS
                        IP address of server

  Version Options:
    -V, --version       Display version number
[root@DC01 ~]#


余談だが、FSMOってなんだっけ? と検索した中で出てきた、ADのAWS以降の事例
http://dev.classmethod.jp/cloud/aws/active-directory-on-aws-4/

SambaじゃなくてWindowsそのものですね、ここに引用するのがイミフです。


ともあれ、Samba-tool で Aレコード追加を試みるも、ファイルサーバ側で135番のコネクションでエラー。一方でADDC側でDNSフォワーディングを無くそうとするも、手法を見つけられず、致しかたなくdomain provisoning からやり直せるかな? と思ったら、samba-tool での操作自体は問題ないものの、外部から接続する際に kinit の先でエラー。

とっ散らかってしまったので、やり直し。