お知らせ

  • 利用規約を守って投稿してください。また、よくある質問および投稿の手引きも参照してください。
  • メッセージの投稿にはアカウントが必要です。未登録の方は、ユーザ登録ページからアカウントを作成することができます。

#1 2010-03-19 12:22:52

win2ubuntutest
新しいメンバ
登録日: 2010-03-19

Windows2003Serverのフォルダ共有時にシングルサインオンできますか?

初心者です、現在9.04をPCにインストールしLikewise-openを使ってWindows2003Serverのドメインに参加し利用テストを実施しています。
ネットワークに関すると思われましたのでこちらに投稿させていただきました。



ネットワーク状況

サーバー機:Windows2003Server

クライアント:Ubuntu9.04 Likewise-OpenをインストールしAD参加

共有したいフォルダ:WindowsServerにあり、ユーザーグループによるアクセス制限あり



実現したいこと(可能でしょうか?)

1 WindowsSERVERの共有フォルダ(アクティブディレクトリ以下ADによるアクセス制限あり:フォルダ名kyouyufolder)にアクセスしようとするとユーザー名とパスワードを必ず尋ねられます、WindowsクライアントのようにADログオン時のシングルサインオンにより再度ユーザー名とパスワードを入力することなく共有フォルダにアクセスできるようになることは可能でしょうか?
ユーザー名とパスワードを再入力さえすればADで設定したフォルダへのアクセス制御も正しく運用できています


2 WindowsServerの共有フォルダをWindowsでいう共有フォルダのショートカットとしてデスクトップに貼り付けてクリックすると開くするような運用は可能ですか?

3 2を実現する方法として、PC起動時に自動マウントするようにした場合、マウントの際に使うFstabファイル内にusernameとpasswordを記述せず、ログイン時のAD認証を使うことは可能でしょうか?


自動マウント用のfstabファイルには以下のように記述しています

//192.168.1.2/kyouyufolder       /media/smb_folder cifs  username=testuser,password=testpass,codepage=cp932,iocharset=utf8 0       0

(username=testuser,password=testpassを記述せずAD認証で接続したい)
usernameとpasswordをfstabに直接記述した場合、WindowsServer側でのログインパスワード変更時に全てのクライアントPCでfstabの書き換えが必要になると思われますので、是非AD認証でログインしたいのです。



Likewise-Openの状態

システム→システム管理から

Active Directory membershipを確認すると、JOINED と表示されていますので、ADには参加できていると思います。



手探りで設定しておりますので、ご教授いただければありがたいです、よろしくお願いいたします。

オフライン

 

#2 2010-03-19 19:00:06

のんき
メンバ
登録日: 2007-03-04

Re: Windows2003Serverのフォルダ共有時にシングルサインオンできますか?

事例が下記URLに紹介されているので参考にしてください。

Windows7, Ubuntuから WindowsServer2008のファイルサービスを利用
http://d.hatena.ne.jp/aaabbb_200904/20090513/1242221358Windows7, Ubuntuから WindowsServer2008のファイルサービスを利用
http://d.hatena.ne.jp/aaabbb_200904/20090513/1242221358

オフライン

 

#3 2010-03-23 12:18:53

win2ubuntutest
新しいメンバ
登録日: 2010-03-19

Re: Windows2003Serverのフォルダ共有時にシングルサインオンできますか?

返事がおそくなりまして申し訳ございません
回答ありがとうございました、早速URLを参考にやってみました

「ディレクトリの読み取りを許可するには、NTFSの許可部分で明示的にユーザーを指定する必要があった。」
というところで、当方の設定ではAD参加可能ユーザーをWindows側でユーザーグループとして管理しており、アクセス権もユーザーグループに付与しています。
しかしながらLikewise-OpenでADに参加できている表示がされているにも関わらず、PC起動後、最初に共有フォルダにアクセスする際にユーザー名とパスワードを要求される事態が続いています。(PCログイン時のユーザーとパスワードを入れるとフォルダアクセスもファイルの読み書きも実現できています)
またユーザーグループでのアクセス権が無いフォルダにアクセスを試みた場合でもユーザーとパスワードダイアログが表示されますが、結果としてアクセス拒否されますのでAD認証は成功していると思われます。

「2 WindowsServerの共有フォルダをWindowsでいう共有フォルダのショートカットとしてデスクトップに貼り付けてクリックすると開くするような運用は可能ですか?」
これは 場所→サーバーへ接続→Windows共有 で実現できそうですが、未だに「サーバーへ接続からWindows共有」では接続できない状態です(理由をつかめませんでした)

やはり、Ubuntu9.04をWindowsデスクトップOSの代替として利用することは難しく感じました。
AD認証のワンタイムパスワードで認証成功している事例を発見できませんでした、セキュリティ上、AD認証のパスワードは定期的に変更する運用が必要な為fstab上や別ファイルにパスワードを記述しなければならない運用では実用にならないと感じました。

オフライン

 

#4 2010-03-23 13:35:07

ack
メンバ
登録日: 2007-06-01

Re: Windows2003Serverのフォルダ共有時にシングルサインオンできますか?

fstabには記述を行わず(=mount.cifsを使わず)、「サーバへ接続」でユーザ名とパスワードを入力して共有をマウントする事(gvfsによるマウント)が出来れば
ユーザ名とパスワードをキーリングの管理下に置けるため問題が解決できるように思うのですが、試しにfstabでの共有フォルダのマウント用の記述を
コメントアウトして再起動の後「サーバへ接続」を使うと何か状況に変化があるでしょうか?

オフライン

 

#5 2010-03-23 18:28:10

win2ubuntutest
新しいメンバ
登録日: 2010-03-19

Re: Windows2003Serverのフォルダ共有時にシングルサインオンできますか?

回答ありがとうございます、早速やってみました

fstabの自動マウントをコメントアウトし、場所→サーバーへ接続から以下の内容で処理いたしました



サービスの種類:Windows共有

サーバー名:サーバーのIPアドレス 192.168.1.2 

共有する場所:共有フォルダ名 kyouyufolder

フォルダ名:空白です

ユーザー名:[email protected]

ドメイン名:userdomain.local

と設定すると途中でパスワードを尋ねてきますので、パスワードを入力すると接続できました





ユーザー名をtestuserとしただけ(@以下が無い)では接続できませんでした

やはり途中でパスワード入力を求められてしまうのは、AD認証を使っていないということでしょうか?

オフライン

 

#6 2010-03-23 18:45:17

ack
メンバ
登録日: 2007-06-01

Re: Windows2003Serverのフォルダ共有時にシングルサインオンできますか?

まず、申し訳ございませんが実際にAD環境で試せたわけではなく、私自身はADをよく理解しておらず、全て推測でのお話になってしまうことをご了承下さい。

win2ubuntutest による投稿:

途中でパスワードを尋ねてきますので、

このパスワードを尋ねてくる時に、
・今すぐパスワードを破棄する
・ログアウトするまでパスワードを記憶する
・期限なしで記憶する

など選択できますでしょうか?

ここで「期限なしで記憶する」を選択できれば、共有フォルダへ接続する際のパスワードがADのアカウントに保存されて(保存したパスワードはAD認証で守られている)
以降AD認証でログインに成功すれば、「サーバへ接続」が保存されたパスワードを使って共有フォルダへ接続する・・・んじゃないか・・・?
という発想をしています。

# 根本的に発想が間違っている可能性があります・・・お詳しい方いらっしゃいましたら何卒ご教示下さい。

オフライン

 

#7 2010-03-24 13:00:54

win2ubuntutest
新しいメンバ
登録日: 2010-03-19

Re: Windows2003Serverのフォルダ共有時にシングルサインオンできますか?

回答ありがとうございます、早速テストを行ないました



場所→サーバーへ接続→Windows共有 を実行しました

 ↓

××○○を共有するにはパスワードが必要です

パスワード:パスワードAAAAを入力しました

 ↓

○今すぐパスワードを破棄する(I)

○ログアウトするまでパスワードを記憶する(L)

●期限なしで記憶する(F)

 ↓

期限なしで記憶すると選択して次処理に

 ↓

キーリング(デフォルト)のロックを解除するパスワードを入力してください

アプリケーション”Windows共有のファイルシステムサービス”(/usr/lib/gvfsd-smb)がデフォルトのキーリングへアクセスしようとしましたが、ロックがかかっていました。

パスワード:AAAA

拒否する(D) OK(O)

 ↓

ここでも最初と同じパスワードAAAAを入れてOKを押すと

 ↓

「接続を拒否されました」とメッセージが表示されましたが、メッセージを消すとデスクトップ上にフォルダが作成されていましたので、フォルダをクリックすると共有フォルダが開き、中のファイルを読み書きできました。

 ↓

その後は自由に読み書き可能になりました




再起動するとどうなるか一度ubuntuを再起動してみました

 ↓

再起動後ログインし再び、場所→サーバーへ接続→Windows共有 を実行

 ↓

キーリング(デフォルト)のロックを解除するパスワードを入力してください

アプリケーション”Windows共有のファイルシステムサービス”(/usr/lib/gvfsd-smb)がデフォルトのキーリングへアクセスしようとしましたが、ロックがかかっていました。

パスワード:AAAA

拒否する(D) OK(O)

 ↓

OKを選択

 ↓

その後は自由に読み書き可能になります




【WindowsADのログインパスワードをBBBBに変更してみました】


《わざと旧パスワード:AAAAでubnutuにログインしてみます》

ADサーバー(Windows2003Server)上のユーザーとコンピュータを操作してtestuserのADログインパスワードを変更してみました

 ↓

ubuntuにログインする時にパスワードをわざと古いパスワードAAAAでやってみました

 ↓

古いパスワードでも、何故かubuntuにログイン出来ました(Likewise-OpenもJOINEDになっています)

 ↓

場所→サーバーへ接続→Windows共有 を実行しました

 ↓

××○○を共有するにはパスワードが必要です

パスワード:古いパスワードAAAAを入力しました

 ↓

○今すぐパスワードを破棄する(I)

○ログアウトするまでパスワードを記憶する(L)

●期限なしで記憶する(F)

 ↓

古いパスワードAAAAを再度入力し、期限なしで記憶する(F)と選択しても次処理に移らず、「××○○を共有するにはパスワードが必要です」を繰り返します

ずっと繰り返していると結局、接続タイムアウトメッセージが表示され("smb://domain.local;[email protected]×××という場所を表示できません")DBus error org.freedesktop.DBus.Error.NoReply:Message did not receive a reply(Timeout by message bus)で接続できずに終了しデスクトップ画面に戻ります

 ↓

キャンセル で終了(この場合、古いパスワードAAAAでログインしているので接続できないのが正常と言えますね)




《今度は変更後の新ADパスワードBBBBでログインしてみます》

ubuntuにログインする時にパスワードを変更後の新ADパスワードBBBBでやってみました

 ↓

なぜかubuntuにログイン出来ませんでした(認証に失敗しましたと表示され、再度ユーザー名入力画面に戻ります)




《旧パスワードでログインしtestuserのプロパティからパスワードをドメインと同じパスワードBBBBにして再度ログインを試みる》

プロパティを開いて、ubuntuのパスワードを新パスワードBBBBにしてみました

 ↓

一旦再起動すると、きちんとubuntuにログインできました

 ↓

場所→サーバーへ接続→Windows共有 を実行しました

 ↓

キーリング(デフォルト)のロックを解除するパスワードを入力してください

アプリケーション”Windows共有のファイルシステムサービス”(/usr/lib/gvfsd-smb)がデフォルトのキーリングへアクセスしようとしましたが、ロックがかかっていました。

パスワード:BBBB

拒否する(D) OK(O)

 ↓

OKを選択

 ↓

××○○を共有するにはパスワードが必要です

パスワード:新しいパスワードBBBBを入力しました

 ↓

○今すぐパスワードを破棄する(I)

○ログアウトするまでパスワードを記憶する(L)

●期限なしで記憶する(F)

 ↓

期限なしで記憶すると選択して次処理に

 ↓

その後は自由に読み書き可能になります

 ↓

一度フォルダをアンマウントし、再起動せずに再び 場所→サーバーへ接続→Windows共有 を実行すると今度はパスワードを尋ねられることもなく接続できました。(この状態が理想なんですが・・・)





ubuntuを再起動した後、再び 場所→サーバーへ接続→Windows共有 を実行すると



キーリング(デフォルト)のロックを解除するパスワードを入力してください

アプリケーション”Windows共有のファイルシステムサービス”(/usr/lib/gvfsd-smb)がデフォルトのキーリングへアクセスしようとしましたが、ロックがかかっていました。

パスワード:BBBB

拒否する(D) OK(O)

 ↓

OKを選択

 ↓

☆キーリング(デフォルト)のロックを解除するパスワードを入力してください

アプリケーション”Windows共有のファイルシステムサービス”(/usr/lib/gvfsd-smb)がデフォルトのキーリングへアクセスしようとしましたが、ロックがかかっていました。

パスワード:BBBB

拒否する(D) OK(O)

 ↓

OKを選択 (新しいパスワードBBBBでは☆マークの処理をずっと繰り返します

 ↓(繰り返すので古いパスワードを入れてみる)

キーリング(デフォルト)のロックを解除するパスワードを入力してください

アプリケーション”Windows共有のファイルシステムサービス”(/usr/lib/gvfsd-smb)がデフォルトのキーリングへアクセスしようとしましたが、ロックがかかっていました。

パスワード:AAAA(古いパスワード)を入力すると

 ↓

なぜかAAAAでは接続できました



また☆マークの処理時にOKでなく拒否するを選択すると

 ↓

××○○を共有するにはパスワードが必要です

パスワード:新しいパスワードBBBBを入力しました

 ↓

○今すぐパスワードを破棄する(I)

○ログアウトするまでパスワードを記憶する(L)

●期限なしで記憶する(F)

 ↓

OKを選択

 ↓

再び☆マーク処理を繰り返します



繰り返し処理を停止するため、「キャンセル」を選ぶと画面上にフォルダが作成され、何故か共有フォルダがデスクトップに表示されアクセスできるようになります



ココまでのテストで気がついたこととして

1:WindowsOSの場合ですと、ADサーバー側でログインパスワードが変更されるとwindows起動時ドメインにログインできませんが、ubuntuは出来てしまう(ログインパスワードはUbuntu内に持っている、windowsの「このコンピュータ」にログインするようなイメージです)

2:ログインパスワードに関係なくlikewise-openによるドメイン参加は可能であること

3:おそらく「デフォルトのキーリングへアクセスしようとしましたが、ロックがかかっていました。」となるのがキーとなりそうなのですが当方では、その語句の意味が判らない

4:処理をキャンセルしたとしても何故か共有フォルダが表示され共有できてしまうことが理解できません

5:何故か旧パスワードでも共有フォルダへアクセスできてしまいます

WindowsOSを代替する道は険しく簡単にはいかないものだと感じています

オフライン

 

#8 2010-03-24 13:55:51

ack
メンバ
登録日: 2007-06-01

Re: Windows2003Serverのフォルダ共有時にシングルサインオンできますか?

win2ubuntutest による投稿:

1:WindowsOSの場合ですと、ADサーバー側でログインパスワードが変更されるとwindows起動時ドメインにログインできませんが、ubuntuは出来てしまう(ログインパスワードはUbuntu内に持っている、windowsの「このコンピュータ」にログインするようなイメージです)
2:ログインパスワードに関係なくlikewise-openによるドメイン参加は可能であること

Likewise-Open-5-Quick-Start-Linux.pdf
http://www.likewise.com/resources/user_documentation/Likewise-Open-5-Quick-Start-Linux.pdf
によると、LinuxPC(=Ubuntu)にログインする際にユーザ名として DOMAIN\\username の形で、ドメイン名を付け足したユーザ名でログインするらしいのですが
Ubuntuにどのようにログインしていますでしょうか?
※私は likewise-open(どころかAD認証自体)を使った事がなく推測で申し訳ありませんが、どうもADへの参加とUbuntuへのログインが結びついてない(=実はADに参加できてない?)ように見えます。
※今は【windowsの「このコンピュータ」にログインするような】状態にあるのかもしれません。

win2ubuntutest による投稿:

3:おそらく「デフォルトのキーリングへアクセスしようとしましたが、ロックがかかっていました。」となるのがキーとなりそうなのですが当方では、その語句の意味が判らない

キーリングは
Likewise_SSO.pdf
http://www.toyo.co.jp/file/pdf/it/centeris/pdf/Likewise_SSO.pdf
の言うところの【ユーザーに代わってパスワードを自動入力する「入力補助機能」】で、"パスワード入力補助機能"の使用にパスワードロックがかかっている意味です。

win2ubuntutest による投稿:

4:処理をキャンセルしたとしても何故か共有フォルダが表示され共有できてしまうことが理解できません

"パスワード入力補助機能"(キーリング)の使用をキャンセルしても
共有フォルダへのアクセスのためのパスワードは自分で入力しているので、共有できるという事と思います。

win2ubuntutest による投稿:

5:何故か旧パスワードでも共有フォルダへアクセスできてしまいます

こちらはよくわかりません。

なお、Likewise_SSO.pdf を読んで

ack による投稿:

共有フォルダへ接続する際のパスワードがADのアカウントに保存されて(保存したパスワードはAD認証で守られている)
以降AD認証でログインに成功すれば、「サーバへ接続」が保存されたパスワードを使って共有フォルダへ接続する・・・んじゃないか・・・?
という発想をしています。

という発想は間違っていたことがわかりました(仮にこれが出来たとしてもこの方法はSSOではないようです)。申し訳ございません。

オフライン

 

#9 2010-03-25 15:48:04

win2ubuntutest
新しいメンバ
登録日: 2010-03-19

Re: Windows2003Serverのフォルダ共有時にシングルサインオンできますか?

御検討ありがとうございます



Likewise-OpenでADに参加する手順は以下のサイトを参考にしました

http://78tch.blog49.fc2.com/blog-entry-16.html

そのページ内にあります



●●ADに参加する

を参考にして作業しました



DOMAIN¥¥usernameでログインしていましたが、そのHPにあります

6.毎回「ドメイン名」¥¥、とするのを省略させることもできる。

/etc/likewise-open5/lsassd.conf で、80行目あたり。

# assume-default-domain = yes

のコメントアウト「#」をとって、

assume-default-domain = yes

とする。

を実施しています



上記設定を実施したUbuntuの一旦電源を切り、WindowsServerのユーザーとコンピュータから

コンピューター名を削除してみて、Ubuntuの電源ONでコンピューターが登録されるか確認してみたところ

再度ubuntuに電源を入れた状態で システム→システム管理→ActiveDirectory membership を確認しましたところ JOINEDになっていました

しかしWindowsServer上にコンピューター名は作成されていませんでした

そこでUbuntu上のActiveDirectory membership画面からLeaveDomainを選び、一旦ドメインから抜け、ActiveDirectory membership画面からドメイン参加してみましたら、WindowsServer上にコンピューター名が作成されました。

憶測ですが、ただ単にログインしただけではADに参加できていないのかもしれません(設定不足の気がしますが)



キーリング(デフォルト)のロックを解除するパスワードを入力してください

アプリケーション”Windows共有のファイルシステムサービス”(/usr/lib/gvfsd-smb)がデフォルトのキーリングへアクセスしようとしましたが、ロックがかかっていました。

この画面では「必ず一旦、以下の画面は表示されますし、旧パスワードでないと共有フォルダにアクセスすることはできませんでした」



ご紹介されている

Likewise-openのホワイトペーパーを参考に再度、様々なテストを実施したいと思います。

オフライン

 

Board footer

Powered by FluxBB