Samba4 で ActiveDirectory / Apache で Windows 統合認証

はじめに

ユーザアカウントをそれぞれのシステムで別々に管理するのでなく
ActiveDirectory で一元的に管理したいというのはある。
例えば HTTP 認証で保護されたページにアクセスする時の ユーザID / パスワードなど。
もうちょっと欲張るとドメインにログインしている状態であれば
その ユーザID / パスワード でもって自動的に認証処理がパスできればなお素晴らしい！
まぁそういう訳で Windows 統合認証 / Windows Desktop SSO 認証になります。
Apache であればモジュールを追加すると試せそうだ。
ActiveDirectory については Samba4 を使います。
ではでは Getting Started!!

環境

Primary Domain Controller

OS	ContOS 6.5(CentOS-6.5-x86_64-minimal.iso)
Samba	4.1.7
Bind	9.8.2
NTP	4.2.6p5
レルム	MYDOMAIN.LOCAL
ドメイン	MYDOMAIN
Host	pdc
IP	192.168.0.10
Gateway	192.168.0.1
DNS	127.0.0.1

Web Server

OS	ContOS 6.5(CentOS-6.5-x86_64-minimal.iso) VMware Player 6.0.2
Apache	2.2.15
Host	web01
IP	192.168.0.110
Gateway	192.168.0.1
DNS	192.168.0.10
FQDN	web01.mydomain.local

Windows クライアント

OS	Windows 8.1
レルム	MYDOMAIN.LOCAL
ドメイン	MYDOMAIN
Host	win01
IP	192.168.0.150
Gateway	192.168.0.1
DNS	192.168.0.10

Primary Domain Controller の構築

わたしも blog にまとめているのでそちらを参考に構築してみてください。
『Samba4 で Active Directory / SerNet Repo でセットアップ』
『Samba4 で ActiveDirectory / インストール編 - わたしもやってみた - 』
『Samba4 で ActiveDirectory / PDC編 - わたしもやってみた - 』

Web Server の構築

とりあえず SELinux と iptables は止めておこう。

/etc/selinux/config

...
SELINUX=disabled
...

service iptables stop
service ip6tables stop
chkconfig iptables off
chkconfig ip6tables off

ネットワークの設定は次のような感じ。

/etc/sysconfig/network-scripts/ifcfg-eth0

...
ONBOOT=yes
BOOTPROTO=static
IPADDR=192.168.0.110
NETMASK=255.255.255.0
GATEWAY=192.168.0.1
NETWORK=192.168.0.0
BROADCAST=192.168.0.255
...

/etc/sysconfig/network

NETWORKING=yes
NETWORKING_IPV6=no
HOSTNAME=web01

DNS は PDC のものを利用する。

/etc/resolv.conf

domain mydomain.local
nameserver 192.168.0.10

必要なモジュールをインストールしていく。
Apache は当然として Samba AD とアクセスするために Kerberos 関連のものと
テストページ用に php もインストールする。

yum -y install httpd krb5-workstation mod_auth_kerb php

サービスの起動設定をしておく。

chkconfig httpd on

ここで再起動します。

reboot

PDC にログインして Web Server の 正引き DNS の設定をします。
一応確認もしておく。

ssh root@pdc
samba-tool dns add pdc mydomain.local web01 A 192.168.0.110
dig web01.mydomain.local
exit

Windows クライアントの設定

とりあえず MYDOMAIN.LOCAL ドメインへの参加くらいでしょうか？
ドメイン参加しているのであれば DNS は PDC に設定されていると思うので DNS の設定は 大丈夫だと思う。
もし hosts ファイルに Web Server の IP を追加するなら以下のような感じ。

C:\Windows\System32\drivers\etc\hosts

...
192.168.0.110  web01.mydomain.local web01

ここまでできたら Web ブラウザで「http://web01.mydomain.local」を開いて Apache が動いているか確認する。

Samba AD のユーザで Basic 認証

手始めに Apache から Samba AD にアクセスできているかの確認も兼ねて
Basic 認証の設定をしてみようと思います。
雰囲気としては、.htpasswd ファイルの代わりに Samba AD のユーザデータを使う感じだと思います。
では Web Server の設定をしていきます。
httpd.conf に追加してもよいのだけれども mod_auth_kerb をインストールすると
auth_kerb.conf が生成されていると思うのでこちらを編集します。

/etc/httpd/conf.d/auth_kerb.conf

<location "/">
  AuthName "AD authentication"
  AuthBasicProvider ldap
  AuthType Basic
  AuthLDAPGroupAttribute member
  AuthLDAPGroupAttributeIsDN On
  AuthLDAPURL ldap://pdc:389/cn=Users,dc=mydomain,dc=local?sAMAccountName?sub?(objectClass=*)
  AuthLDAPBindDN cn=administrator,cn=Users,dc=mydomain,dc=local
  AuthLDAPBindPassword passwd-123
  require valid-user 
</Location>

Apache から Samba AD にアクセスするユーザを administrator にしています。
パスワードは passwd-123 にしています。

確認用のテストページを以下の内容で作成します。

/var/www/html/index.php

<html>
  <head>
    <title>Samba AD User</title>
  </head>
  <body>
    <h2>Samba AD User</h2>
    <pre>
      USER : <?php echo $_SERVER['PHP_AUTH_USER']; ?>
      PASS : <?php echo $_SERVER['PHP_AUTH_PW']; ?>
    </pre>
  </body>
</html>

ここで再起動します。

reboot

再起動が終わったら Windows で Web ブラウザから「http://web01.mydomain.local」を開いてみます。
Basic 認証 のダイアログが表示されると思います。
適当な Samba AD ユーザを入力して「OK」ボタンを押します。
すると画面に入力したユーザIDとパスワードが表示されていると思います。
パスワードまでが表示されてしまっているのは Basic 認証 なんで仕方ないのでしょう。

今は Basic 認証 の確認なので Windows はドメインログインでなくローカルログインでも
検証できると思います。
また、Web Server もドメイン参加していなくても大丈夫そうです。

Windows Desktop SSO 認証の設定

さて、いよいよ本題の Windows 統合認証の設定に入りたいと思います。
まず、PDC 側での作業から始めます。
Web Server の DNS の正引きの設定に加えて逆引きの設定も必要だとのことなので
PDC の DNS に逆引きゾーンを追加して Web Server の 逆引き設定をする。

ssh root@pdc
samba-tool dns zonecreate pdc 0.168.192.in-addr.arpa
samba-tool dns add pdc 0.168.192.in-addr.arpa 110 PTR web01.mydomain.local

わたしのPDCの場合 administrator@MYDOMAIN.LOCAL のパスワードは passwd-123 になります。

DNS の正引き、逆引き設定ができているか確認します。

dig web01.mydomain.local 
dig -x 192.168.0.110

次に Web Server のための Service Principal を追加します。
どのユーザでも構わないと思うのですが
Service Principal 追加時に関連付けするユーザが必要なので
ここでは sso ユーザを作成しています。
そして作成した Service Principal を keytab ファイルに出力します。

cd /root
samba-tool user create --random-password sso
samba-tool user setexpiry --noexpiry sso
samba-tool spn add HTTP/web01.mydomain.local sso
samba-tool domain exportkeytab httpd.keytab --principal=HTTP/web01.mydomain.local

出力した keytab ファイルを Web Server に転送して
Web Server に戻ります。

scp httpd.keytab root@192.168.0.110:/etc/httpd/conf/httpd.keytab
rm httpd.keytab
exit

Web Server に戻ってきたら 転送した keytab ファイルの権限を変更します。
一応、keytab ファイルの中身も確認しておきます。

chown root:apache /etc/httpd/conf/httpd.keytab
chmod 640 /etc/httpd/conf/httpd.keytab
klist -ke /etc/httpd/conf/httpd.keytab

次は Kerberos の設定をします。

mv /etc/krb5.conf /etc/krb5.conf.original

以下のような内容で krb5.conf を作成します。

/etc/krb5.conf

[logging]
  default = FILE:/var/log/krb5libs.log
  kdc = FILE:/var/log/krb5kdc.log
  admin_server = FILE:/var/log/kadmind.log

[libdefaults]
  default_realm = MYDOMAIN.LOCAL
  dns_lookup_realm = false
  dns_lookup_kdc = false
  ticket_lifetime = 24h
  renew_lifetime = 7d
  forwardable = true

[realms]
  MYDOMAIN.LOCAL = {
    kdc = pdc.mydomain.local
    admin_server = pdc.mydomain.local
  }

[domain_realm]
  .mydomain.local = MYDOMAIN.LOCAL
  mydomain.local = MYDOMAIN.LOCAL

Kerberos チケットのクリアと初期化、そして確認をします。

kdestroy
kinit administrator@MYDOMAIN.LOCAL
klist

その次に Apache の設定をします。
auth_kerb.conf を以下のような内容に編集します。