Fedora Core への Samba インストール

Sambaのインストール

Fedora Core 3にはSambaのパッケージが含まれています。

ただし、デフォルトのインストールを行った状態では、Samba本体はインストールされていませんので別途インストールする必要があります。可能な限り、インターネットから最新版のパッケージを入手、インストールすることをお勧めします。

Sambaのインストール確認

Sambaのインストール状況を確認するには、以下のようにして端末(コマンドライン)上から rpm -qa コマンドを実行して確認するのが確実です。

[root@filesv01 ~]# rpm -qa | grep samba
samba-common-3.0.8-0.pre1.3
samba-client-3.0.8-0.pre1.3
※samba-commonおよびsamba-clientパッケージがインストールされています

通常の構成では、このように samba-common と samba-client という2行が出力されることが多いはずです。しかし、この状態ではSamba本体はインストールされていません。実は、Sambaは以下のように複数のパッケージ(RPMファイル、以下Samba関連パッケージと呼称します)から構成されています。最低でもsambaパッケージがインストールされていないと、Sambaサーバは機能しません。

パッケージ名	GUIからのインストール可否	説明
samba-common	Yes(※)	Sambaの共通プログラム/ファイル(smb.confなど)
samba	Yes	Sambaのサーバプログラム(smbd/nmbdなど)
samba-client	Yes	Sambaのクライアントプログラム(smbclientなど)
samba-swat	No	SWAT関連(swatなど)
system-config-samba-1.2.21-1	Yes	Fedora Core 3に付属するSamba設定ツール

※: 明示的に指定することはできませんが、パッケージ間の依存関係のため、sambaをインストールすると自動的にインストールされます。

以下Samba関連パッケージのインストール方法について説明しましょう。

なお、インストール時に「インストールの種類」画面で「サーバー」を選択した場合はデフォルトでSamba本体(sambaパッケージ)やSambaサーバー設定ツール(system-config-sambaパッケージ)もインストールされていますが、後述するSambaのWeb設定ツールであるSWAT(samba-swatパッケージ)はインストールされていません。SWATで管理を行なわない場合はsamba-swatパッケージはなくても構いませんが、インストールしたい場合は、以下で説明する方法にしたがってインストールを行ってください。

Samba関連パッケージのインストールとアップレード

Samba関連パッケージがインストールされていなかった場合は、Fedora Core 3のCD-ROMやDVD-ROMなどからインストールを行うか、次で説明するように、インターネット上から最新版のインストールを行います。CD-ROMからインストールを行う場合は、以下のように順に操作を行っていきます。これでCD-ROMからSamba関連のパッケージが全てインストールされます。

[root@filesv01 ~]# mount /media/cdrom
[root@filesv01 ~]# cd /media/cdrom/Fedora/RPMS
[root@filesv01 RPMS]# ls *samba* 
samba-3.0.8-0.pre1.3.i386.rpm         samba-swat-3.0.8-0.pre1.3.i386.rpm
samba-client-3.0.8-0.pre1.3.i386.rpm  system-config-samba-1.2.21-1.noarch.rpm
samba-common-3.0.8-0.pre1.3.i386.rpm
[root@filesv01 RPMS]# rpm --replacepkgs(※) -Uvh *samba*
Preparing...                ########################################### [100%]
   1:samba-common           ########################################### [ 20%]
   2:samba                  ########################################### [ 40%]
   3:samba-client           ########################################### [ 60%]
   4:samba-swat             ########################################### [ 80%]
   5:system-config-samba    ########################################### [100%]

※: --replacepkgsオプションがない場合、インストールされているパッケージとアップデートしようとしているパッケージのバージョンが同一だと、RPMコマンドが失敗します。

ただし、最近は各種セキュリティホールの発見により頻繁にアプリケーションのバージョンアップが行なわれています。残念ながらSambaも例外ではなく、記事執筆時点でもCD-ROMに収録されているパッケージと最新版のパッケージとには差異があります。このため、すでにSambaがインストールされていた場合も含め、可能であればインターネット上から最新版のパッケージを取得、アップデートすることを推奨します。

これはSambaに限った話ではなく、Apacheやsendmailなどサーバアプリケーションすべてについていえることです。不特定多数からアクセスがあるインターネットサーバーの場合、この作業は「必須」です。Sambaが実行される社内ファイル・サーバーの場合も随時アップデートを行うことが望ましいのですが、敢えて「必須」という表現は外しました。

インターネットから最新版のSamba関連パッケージのインストールやアップデートを行う場合は、yumコマンド、up2dateコマンド、aptコマンドが使えますが、ここではFedora Core 3標準のyumコマンドの場合に付いて説明します。

ファイル・サーバーからHTTPプロキシサーバーを経由せずにインターネット上のWebサイトにアクセスできる場合は、以下のようにyum updateに続いてインストールしたいパッケージ名を指定するだけで、そのパッケージのインストールに必要な依存パッケージをyumコマンド側で自動的に認識して、最終的にインストール対象のパッケージのインストールを行ってくれます。

[root@filesv01 ~]# rpm --import /usr/share/rhn/RPM-GPG-KEY-fedora ←最初にyumコマンドを使用する前に1回だけ行うこと
[root@filesv01 ~]# yum update system-config-samba ← system-config-sambaパッケージのアップデート
Setting up Update Process
Setting up Repo:  base
repomd.xml                100% |=========================| 1.1 kB    00:00
Setting up Repo:  updates-released
repomd.xml                100% |=========================|  951 B    00:00
Reading repository metadata in from local files
primary.xml.gz            100% |=========================| 797 kB    00:01
MD Read   : ################################################## 2623/2623
base      : ################################################## 2622/2622
primary.xml.gz            100% |=========================| 300 kB    00:00
MD Read   : ################################################## 738/738
updates-re: ################################################## 738/738
Resolving Dependencies
--> Populating transaction set with selected packages. Please wait.
---> Downloading header for system-config-samba to pack into transaction set.
system-config-samba-1.2.2 100% |=========================|  23 kB    00:00
---> Package system-config-samba.noarch 0:1.2.28-0.fc3.1 set to be updated
--> Running transaction check

Dependencies Resolved
Transaction Listing:
  Update: system-config-samba.noarch 0:1.2.28-0.fc3.1
Is this ok [y/N]: y ←パッケージを本当にインストールするかを聞いているので「y」を入力
Downloading Packages:
system-config-samba-1.2.2 100% |=========================| 204 kB    00:00
Running Transaction Test
Finished Transaction Test
Transaction Test Succeeded
Running Transaction
Updating: system-config-samba 100 % done 1/2
Completing update for system-config-samba  - 2/2

Updated: system-config-samba.noarch 0:1.2.28-0.fc3.1
Complete!
[root@filesv01 ~]# yum update samba samba-common samba-swat samba-client
(以下出力は省略)

※はじめてyumコマンドを使用する場合は初期化に若干時間が掛かりますが異常ではありません。

HTTPプロキシ経由でのアクセスが必要な環境の場合は、環境変数http_proxyにHTTPプロキシのIPアドレスやホスト名とポート番号を設定します。例えば、HTTPプロキシのIPアドレスが192.168.1.1でポート番号が8080の場合は、yumコマンドの実行前に以下のような設定を行ってください。

[root@filesv01 ~]# export http_proxy=http://192.168.1.1:8080/(※)
[root@filesv01 ~]# yum update samba-client
※: tcshなどcsh系のシェルを用いている場合は、「setenv http_proxy http://192.168.1.1:8080/」と入力します。

HTTPプロキシを経由してもインターネットにアクセスできない環境においてSambaの最新版をインストールしたい場合は、Fedora Core 3のWebサイトなどから最新版のパッケージをダウンロードした上で、なんらかの方法でFedora Core 3上にパッケージを転送した上で、前述したようにRPMコマンドを用いてインストールを行ってください。

ファイアウォールの設定

lokkitを起動したところ

Fedora Core 3では、セキュリティ強化のため、デフォルトの設定でインストールを行うと、ファイアウォール機能が有効になっています。この機能はインターネットサーバとしての使用を意識したものとなっていますので、そのままではWindowsマシンからSambaサーバにアクセスすることができません。従って何らかの設定変更が必須です。

設定方法は幾つかありますが、ここではコマンドラインからでもGUI的な設定が可能なlokkitコマンドを使う方法を説明しましょう。コマンドラインから「lokkit」と入力すると、右のような画面が現れます

「カスタマイズ」ボタンを押すと現れる画面

必要最低限のポートだけをオープンしたいという場合は、「カスタマイズ」ボタンを押すと現れる右の画面で、「その他のポート」欄に以下のように入力してください。

445:tcp,139:tcp,138:udp,137:udp,901:tcp
※SWATを用いない場合、901:tcpは不要

上記のように入力する代わりに「信頼できるデバイス」欄のインタフェース(eth0など)をチェックすることもできますが、この場合、そのLANインタフェースに関してファイアウォール機能が無効になります。LANカードが複数接続されているマシンでない限り、これはセキュリティレベルを無効にしたのと同じ意味になりますので、注意してください。

iptables --listコマンド

設定が反映されているかどうかは右のようにiptables --listコマンドで確認できます。

図では、netbios-ssn(139/tcp), netbios-dgm(138/udp), netbios-ns(137/udp)といったポートがACCEPTになっていることが確認できます。

なお、デスクトップの［アプリケーション］-［システム設定］-［セキュリティレベルの設定］を開くと表示される「セキュリティレベルの設定」画面から同様の設定を行うことも可能です。

「セキュリティレベルの設定」画面

SE Linuxの設定

Fedora Core 3ではセキュリティ強化の一貫としてSE Linuxという機能がデフォルトで有効になっています。しかしSE Linuxを有効にした状態で、ファイル・サーバーを適切に運用するには相応の知識が必要となりますので、初心者の方での運用は難しいでしょう。そのため、ここではSE Linux機能を無効にする方法を紹介します。SE Linux機能を無効にしてもFedora Core 2のデフォルト状態と同様になるだけで、それ以上にセキュリティが低下することはありません。

SE Linux機能を無効にするには、/etc/selinux/configファイルのSELINUX行を以下のように設定します。なおインストール時にSE Linux機能を無効にしてインストールした場合、以下の設定は既に行われています。

# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#       enforcing - SELinux security policy is enforced.
#       permissive - SELinux prints warnings instead of enforcing.
#       disabled - SELinux is fully disabled.
SELINUX=disabled ←disabled以外の場合は、disabledに変更する
# SELINUXTYPE= type of policy in use. Possible values are:
#       targeted - Only targeted network daemons are protected.
#       strict - Full SELinux protection.
SELINUXTYPE=targeted

SE Linuxの設定も、デスクトップの［アプリケーション］-［システム設定］-［セキュリティレベルの設定］から行うことが可能です。

SWATのインストールと構成

SWATはSambaの設定や管理をWebから行なうためのツールでSambaに同梱されています。SWATを使用することで、簡単な設定や管理であればLinux上で行なう必要がなくなります。SWATには問題点もありますので、すべての環境での使用を推奨するものではありませんが、初心者やLinuxに不慣れな管理者にとっては便利なツールですので、本稿ではSWATを用いて設定を行なう方法を紹介します。

SWATを使用するには前述したようにsamba-swatパッケージをインストールしておく必要があります。ただし、それだけではSWATが使用可能になりません。Windowsなど別端末のブラウザから接続する際には、前述したファイアウォールの設定でSWATが通常使用するポート(901/tcp)をオープンした上で、/etc/xinetd.d/swatファイルを修正して端末からの接続を許可する設定が必要です。

デフォルトではlocalhostからのアクセスのみが許可されていますので、以下のようにonly_from行を追加してSWATへの接続を許可するIPアドレスを追加します。

# default: off
# description: SWAT is the Samba Web Admin Tool. Use swat \
#              to configure your Samba server. To use SWAT, \
#              connect to port 901 with your favorite web browser.
service swat
{
        port    = 901
        socket_type     = stream
        wait    = no
        only_from = localhost
        only_from += 192.168.1.0/24 ← この行を追加
        user    = root
        server  = /usr/sbin/swat
        log_on_failure  += USERID

        disable = no ← yesをnoに変更
}
※上記は192.168.1.0～192.168.1.255からの接続を許可する場合の例

修正後は以下のようにして設定を反映させます。

[root@filesv01 ~]# chkconfig swat on
[root@filesv01 ~]# service xinetd reload
Reloading configuration:                                   [  OK  ]

SWATの起動画面

まずは、WindowsマシンからWebブラウザで接続してみましょう。認証を求められますので、Fedora Core 3側のrootユーザとそのパスワードを入力してください。右のような画面が表示されればインストールは成功です。

ただし、Samba関連パッケージをCD-ROMからインストールしてからアップデートしていない場合などに用いられる、samba-swat-3.0.8-0.pre1.3という古いSWAT(samba-swatパッケージ)の場合、このままではこれ以外の画面で文字化けが発生してしまいます。

この場合は/etc/samba/smb.confファイルを開いて、以下のように「display charset = UTF-8」という1行をworkgroup行の下などに追加しておくことによりSWATの文字化けを防ぐ必要があります。

# This is the main Samba configuration file. You should read the
# smb.conf(5) manual page in order to understand the options listed
(中略)
# NOTE: Whenever you modify this file you should run the command "testparm"
# to check that you have not made any basic syntactic errors.
#
#======================= Global Settings =====================================
[global]

# workgroup = NT-Domain-Name or Workgroup-Name
        workgroup = HOME
        display charset = UTF-8 ←この行を追加

# server string is the equivalent of the NT Description field
        server string = Samba Server
(以下省略)

なお、古いSWATパッケージから新しいSWATパッケージにアップデートした場合は、必ず/var/cache/sambaにあるlang_ja.tdbというファイルを一度削除して、SWATの日本語メッセージのキャッシュを再構築するようにしてください。

SWATの画面上部にある「Globals」、「Shares」といったメニューをクリックすることで、Sambaの設定を行なうことが可能です。各々のメニューの意味については以下を参照してください。詳細については順次説明を行なっていきます。

アイコン名	説明
HOMES	各種ドキュメントの閲覧
GLOBALS	Samba全体を設定する[global]セクションの設定
SHARES	各ファイル共有の設定ユーザホーム機能を実現する [homes] セクションの設定
PRINTERS	各プリンタ共有の設定 OSが定義したプリンタを共有する [printers] セクションの設定
WIZARD	ウィザード形式によるSambaの設定残念ながら、日本語環境には対応していません
STATUS	Sambaデーモンの起動と終了アクセス状況の表示、セッションの強制切断も可能
VIEW	smb.confファイルの内容表示
PASSWORD	Sambaユーザの追加や削除、パスワードの変更リモートマシンに対する操作も可能

コラム:SWATの注意点と使用の指針

Webブラウザによる簡易な設定を実現するSWATですが、実際の使用に当たっては注意が必要です。以下SWATを使用することによる問題点を列挙します。

設定ファイルを上書きしてしまう

SWATで設定を行なうと、設定ファイルが再生成され、コメント行やデフォルト設定のままの行が削除されてしまう他、パラメータの並び順なども「整頓」されてしまいます。

このため、smb.confファイルを修正して設定を行なっている場合、SWATでの設定は行なわないようにしてください。

セキュリティが脆弱

SWATで設定を行なうためには基本的にSambaサーバ上でroot権限を持つアカウント(通常root)でSWATに接続を行なう必要があります。ただし、SWAT自身はパスワードの暗号化処理などは行ないませんので、このままではアカウントのパスワードがネットワーク上に送出されてしまいます。これを防ぐには、以下のような対策を行なう必要があります。

必ずSambaサーバ自身から接続し、ネットワーク上にSWATの通信を流さない
stoneやsshなどを用いてネットワーク上の処理を暗号化する
やはりSWATを使わず、直接smb.confを編集する

今回の記事では、なるべく設定を簡単にするために、WindowsマシンからInternet ExplorerでSambaサーバー上のSWATにアクセスする例を紹介していますが、セキュリティ上はSambaサーバー上のWebブラウザからアクセスすることを強く推奨します。

includeなどのパラメータに対応していない

includeやconfig fileといった別のファイルを動的に読み込むパラメータには対応していません。

また、SWATを使うことで、viなどLinux上の各種ツールが使えなくてもsmb.confファイルの編集が可能となりますが、smb.conf中の各パラメータをどのように設定すべきかについての知識が不要となるわけではありません。

これらの点を考慮しますと、初心者が簡易に設定を行なう目的であればSWATを使用した設定でよいと思いますが、本格的に使用していく場合はsmb.confの直接編集を行なった方がよいでしょう。

Sambaの起動とWindowsマシンからの接続

Sambaのインストールが完了したところで、とりあえずSambaを起動してWindowsマシンから接続を行なってみましょう。

ここではFedora Core 3上にdamedameというパスワードのmonyoというユーザを作成して、Windowsマシンからは、このmonyoというユーザでアクセスする場合を例にとって説明します。

Sambaユーザの作成

Windowsマシンからアクセスを行なうためには、Fedora Core 3側でアクセス時に使用するSambaユーザを作成しておく必要があります。Sambaユーザを作成する際には必ず対応するユーザがLinux上に存在している必要がありますので、先にLinux上でユーザを作成しておきます。作成方法はいろいろありますが、コマンドラインから行なう場合はrootユーザで

# useradd monyo

のようにuseraddコマンドを使って作成しておけばよいでしょう。もちろんすでに存在しているユーザをそのまま流用することもできます。なおSamba経由でしかLinuxマシンに接続しないのであれば、パスワードを設定する必要はありません。

ついでSambaユーザを作成します。SWATで行なう場合はPASSWORDメニューを選択すると現れる画面で、右のように「ユーザ名」欄に作成したいSambaユーザ(ここではmonyo)、その下の新パスワード欄にパスワードを二度入力した上で、「新規ユーザ追加」ボタンを押します。作成が成功すると、ボタンの下に

図xx22: SWATによるSambaユーザの作成 (swat3.bmp) ※Sambaユーザとしてmonyoを追加しようとしているところ

Added user monyo.

というメッセージが表示される筈です。なおコマンドラインから行なう場合は

smbpasswd(もしくはpdbedit) -a monyo

と入力した上で、後は指示にしたがってください。

Sambaユーザを作成する際にはSamba本体は停止していても構いません。またSambaユーザの作成は直ちに反映されますので、Sambaを再起動したりする必要はありません。