第8章 ユーザ，グループ，アカウント・ポリシー，信頼関係の管理

オプション 1 の List users を使用すると， 以下の例のように CIFS Server アカウント・データベースに存在するすべてのユーザとマシン・アカウントを一覧表示できます。

Enumerating users in the domain PIANODOM.
  Please wait...

User name             Comment
---------------------------------------
sso                  Generic account for SSO team
ganga
cifsadmin
tunga                Account for user Tunga

Press Enter to continue:

オプション 2 の List a user を使用すると， HP CIFS Server アカウント・データベースに存在するユーザあるいはマシン・アカウントの詳細情報を表示できます。 アカウント名を入力するためのプロンプトが表示され，以下のように出力が表示されます。

 
 This option displays full information for the specified user.

Enter the username: tunga

OpenVMS username:     tunga
NT username:
Account Flags:        	[U          ]
User SID:             	S-1-5-21-4210255526-1716153954-2929367854-1005
Primary Group SID:    	S-1-5-21-4210255526-1716153954-2929367854-513
Full Name:
Home Directory:       	\\piano\tunga
HomeDir Drive:
Logon Script:
Profile Path:         	
Domain:               	PIANODOM
Account desc:         	Account for user Tunga
Workstations:
Munged dial:
Logon time:           	0
Logoff time:          	never
Kickoff time:         	never
Password last set:    	Mon, 03 May 2010 13:18:48 PDT
Password can change:  	Mon, 03 May 2010 13:18:48 PDT
Password must change: never
Last bad password   : 	0
Bad password count  : 	0
Logon hours         : 	FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF

Press Enter to continue:

オプション 3 の Add user を使用すると， CIFS Server アカウント・データベースにユーザあるいはマシン・アカウントを追加することができます。

CIFS Server が PDC あるいは BDC の場合，以下のようなメニューが表示されます。

HP CIFS Server User Account Creation Menu

                1. User name (*):
                2. Full name:
                3. Description:
                4. Home drive:
                5. Logon script:
                6. Profile path:

                * = required field

Enter item number or press Enter to accept current values [Done]:

CIFS Server がメンバーサーバーあるいはスタンドアロン・サーバーの場合， 以下のようなメニューが表示されます。

        
HP CIFS Server User Account Creation Menu

                1. User name (*):
                2. Full name:
                3. Description:

                * = required field

Enter item number or press Enter to accept current values [Done]:

選択したオプションに対して値を入力すると， ユーティリティは次のようにアカウントを修正するためのメニューを表示します。

HP CIFS Server User Account Flags Menu

                1. Disable Account: no
                2. Password not required: no
                3. Password does not expire: yes
                4. Automatic locking: no
                5. Account Type: user
Enter item number or press Enter to accept current values [Done]:

これらの各オプションについて，以下の項で詳しく説明します。

	注記: オプション 5. Account Type: user は， CIFS Server が PDC あるいは BDC の場合のみ表示されます。

CIFS Server アカウント・データベースのユーザあるいはマシン・アカウントを変更するには，オプション 4 のModify user を使用します。 このオプションを選択すると，変更するアカウント名の入力を促すプロンプトが表示されます。

CIFS Server が PDC あるいは BDC の場合，以下のようなメニューが表示されます。

        HP CIFS Server User Account Modification Menu


                1. User name (*): cifsadmin
                2. Full name: CIFS Administrator
                3. Description: CIFS Server administrator account
                4. Home drive: H:
                5. Logon script:
                6. Profile path: 
                7. Reset logon hours: no
                8. Reset bad password count: no

                * = required field

Enter item number or press Enter to accept current values [Done]:

CIFS Server がメンバーサーバーあるいはスタンドアロン・サーバーの場合は， 次のようなメニューが表示されます。

	HP CIFS Server User Account Modification Menu


                1. User name (*): cifsadmin
                2. Full name: CIFS Administrator
                3. Description: CIFS Server administrator account
                4. Reset logon hours: no
                5. Reset bad password count: no

                * = required field

Enter item number or press Enter to accept current values [Done]:

HP CIFS Server User Account Modification Menu には Reset logon hours および Reset bad password count の 2 つのオプションが追加されていますが，それ以外は HP CIFS Server User Account Creation Menu と同じです。 User name を除き， HP CIFS Server User Account Modification Menu のどのオプションも変更できます。

選択したオプションの値を変更すると，ユーティリティはアカウント・フラグを変更するためのメニューを表示します。 このメニューは，ユーザ・アカウントの作成時に表示される HP CIFS Server User Account Flags Menu に似ています。 CIFS Server が PDC あるいは BDC の場合，Account type を除くどのフラグも変更できます。

この項では，Reset logon hours および Reset bad password count について説明します。 HP CIFS Server User Account Modification Menu および HP CIFS Server User Account Flags Menu の残りのオプションについては， 8.2.1.3 項 「ユーザの追加」 を参照してください。

CIFS Server アカウント・データベースからのユーザあるいはマシン・アカウントの削除には，オプション 5 の Remove user を使用します。 次のように削除するアカウント名の入力を促すプロンプトが表示されます。

Enter the username to remove: tunga

Username tunga deleted.

CIFS Server データベースにユーザ・アカウントを追加する手順は以下のとおりです。

CIFS Server データベースのユーザ・アカウントは次のコマンドで変更します。

	注記: ここでは，すでに前の項で説明済みのオプションについては説明していません。 それらのオプションについては，8.2.1.3 項 「ユーザの追加」 を参照してください。 1 つのコマンド行で複数のオプションを指定することも可能です。

CIFS Server データベースのアカウントの削除には次のコマンドを使用します。

pdbedit -x ユーザ名

たとえば，ユーザ・アカウント GANGA を削除する場合は，次のコマンドを実行します。

$ pdbedit -x ganga

CIFS Server アカウント・データベースにあるすべてのユーザを一覧表示するには，次のコマンドを実行します。

pdbedit --list

あるいは

net sam list users

アカウントの詳細情報を表示するには，次のコマンドを実行します。

pdbedit --list --verbose ユーザ名

たとえば，ユーザ・アカウント GANGA についての詳細を表示するには，次のコマンドを実行します。

$ pdbedit --list --verbose ganga

オプション 1 の List groups を選択すると， CIFS Server アカウント・データベースに存在するすべてのグループ・アカウントが表示されます。 表示例を以下に示します。

Enumerating groups in the domain PIANODOM.
  Please wait...

Domain Admins
Domain Users
Domain Guests
Print Operators
Backup Operators
Replicator
RAS Servers
Pre-Windows 2000 Compatible Access
Administrators
Users
Guests
Power Users
Account Operators
Server Operators

Press Enter to continue

オプション 2 の Add group を選択すると，CIFS Server アカウント・データベースにグループ・アカウントを追加できます。 出力例を以下に示します。

        HP CIFS Server Group Account Creation Menu

                1. CIFS Server group name (*):
                2. OpenVMS resource identifier name (*):
                3. Group account description:
                4. Group Type (*): domain

                * = required field

        Enter item number or press Enter to accept current values [Done]:

	注記: CIFS Server がメンバーサーバーあるいはスタンドアロン・サーバーの場合， 4. Group Type (*): domain は表示されません。

CIFS Server アカウント・データベースからグループ・アカウントを削除するには オプション 3 の Remove group を選択します。 削除するグループ・アカウント名を入力するためのプロンプトが表示され， 以下のような出力が表示されます。

Enter the group name to delete: testgroup
  Deleting group testgroup. Please wait...
Sucessfully removed testgroup from the mapping db

CIFS Server データベースに存在するグループ・アカウントのメンバーを一覧表示するには，オプション 4 の List group members を使用します。 以下のように，メンバーを一覧表示させるグループの名前を入力するためのプロンプトが表示されます。

Enter group name to list members: administrators

BUILTIN\administrators has 1 members
 PIANODOM\Domain Admins

Press Enter to continue:

オプション 5 の Add group members を使用して，グループのメンバー・リストにメンバーを追加することができます。 メンバーを追加するグループの名前を入力するためのプロンプトが表示されます。

CIFS Server がメンバーサーバーの場合は，以下のユーザおよびグループ・アカウントをメンバーとして追加できます。

CIFS Server が PDC あるいは BDC の場合は， メンバーとして以下のユーザ・アカウントおよびグループ・アカウントを DOMAIN (あるいは GLOBAL) グループに追加できます。

CIFS Server が PDC あるいは BDC の場合は， 以下のユーザ・アカウントおよびグループ・アカウントを LOCAL グループに追加できます。

CIFS Server がスタンドアロン・サーバーの場合は，以下のユーザ・アカウントおよびグループ・アカウントをメンバーとして追加できます。

グループ・メンバー・アカウント名の指定には，以下の構文を使用します。

<domain-name>\<group-member-name>

グループに対して，メンバーとして複数のアカウントを同時に追加することができます。 これを可能にするために，ユーザがグループ・メンバー名を指定せずに Enter キーを押すまで，次のグループ・メンバー名を入力するためのプロンプトが表示されます。

次のような出力が表示されます。

Enter group name: cifsteam

Enter group member name: ganga
Added PIANODOM\ganga to PIANODOM\cifsteam

Enter next group member name: tunga
Added PIANODOM\tunga to PIANODOM\cifsteam

Enter next group member name: domain admins
Added PIANODOM\domain admins to PIANODOM\cifsteam

Enter next group member name:

オプション 6 の Remove group members を使用すると， 指定したメンバーをグループのメンバー・リストから削除できます。 削除するべきグループ・メンバー・アカウント名を指定するためのプロンプトとは別に， そのメンバーを削除するグループ・アカウント名を入力するためのプロンプトが表示されます。

グループ・メンバー・アカウント名を指定するには，次のように入力します。

<domain-name>\<group-member-name>

グループのメンバー・リストから同時に複数のアカウントを削除することができます。 このため，グループ・メンバー名を指定せずにユーザが Enter キーを押すまで，次のグループ・メンバー名を入力するためのプロンプトを表示します。

次のような出力が表示されます。

Enter group name: cifsteam

Enter group member name to remove: ganga
Deleted PIANODOM\ganga from PIANODOM\cifsteam

Enter next group member name to remove: tunga
Deleted PIANODOM\tunga from PIANODOM\cifsteam

Enter next group member name to remove: domain admins
Deleted PIANODOM\domain admins from PIANODOM\cifsteam

Enter next group member name to remove:

NET コマンドでグループを作成する際， グループ・アカウント・タイプを指定することが重要です。 メンバーサーバーあるいはスタンドアロン・サーバーとして構成された HP CIFS Server では，すべてのグループ・アカウントは LOCAL でなければなりません。

HP CIFS Server が PDC あるいは BDC の場合， CIFS Server データベースには 2 種類のタイプのグループ・アカウントを作成できます。

グループ・アカウントを CIFS Server データベースに追加した後， それらのグループ・アカウントに複数のユーザあるいはグループ・アカウントをメンバーとして追加することができます。 メンバーとして追加可能なユーザおよびグループ・カウントは，CIFS Server の役割に依存します 。 CIFS Server がメンバーサーバーの場合，次のユーザおよびグループ・アカウントをメンバーとして追加できます。

CIFS Server が PDC あるいは BDC の場合， 以下のユーザおよびグループ・アカウントを DOMAIN (あるいは GLOBAL) タイプのグループ・アカウントにメンバーとして追加可能です。

HP CIFS Server が PDC あるいは BDC の場合， 以下のユーザおよびグループ・アカウントを LOCAL タイプのグループ・アカウントにメンバーとして追加可能です。

HP CIFS Server がスタンドアロン・サーバーの場合，以下のユーザおよびグループ・アカウントをメンバーとして追加可能です。

HP CIFS Server グループの管理は以下の手順で行います。

オプション 1 の List Account policies を選択すると， CIFS Server のアカウント・ポリシーを表示できます。 次のような表示が出力されます。

 
 Account Policy for domain "PIANODOM":

Account policy "min password length" value is: 5
Account policy "password history" value is: 0
Account policy "user must logon to change password" value is: 0
Account policy "maximum password age" value is: -1
Account policy "minimum password age" value is: 0
Account policy "lockout duration" value is: 30
Account policy "reset count minutes" value is: 30
Account policy "bad lockout attempt" value is: 3
Account policy "disconnect time" value is: -1
Account policy "refuse machine password change" value is: 0

Press Enter to continue:

オプション 1 の Set Account policies で，CIFS Server データベースのアカウント・ポリシーを設定できます。 次のような表示が出力されます。

            
    HP CIFS Server Set Account Policies Management Menu

                 1  - Minimum password length
                 2  - Password history
                 3  - User must logon to change password
                 4  - Maximum password age
                 5  - Minimum password age
                 6  - Lockout duration
                 7  - Reset count minutes
                 8  - Bad lockout attempt
                 9  - Disconnect time
                10 - Refuse machine password change
                [E] - Exit
Enter set account policies menu option:

この項の残りの部分で， アカウント・ポリシーを設定する際に利用できる各オプションについて詳しく説明します。 パラメータの設定を変更するには，Enter set account policies menu option プロンプトでオプション番号を指定します。

list trusts オプションを選択すると， CIFS Server データベースに現在存在する， 信頼する関係(入力方向の信頼)，および信頼される関係(出力方向の信頼)が表示されます。 たとえば，次のような出力が表示されます。

Trusted domains list:

CIFSDOM             S-1-5-21-160935111-2493731623-2036278074

Trusting domains list:

CIFSDOM             S-1-5-21-3707034097-1477131719-1377839329

Press Enter to continue:

CIFS ドメインに属するユーザが外部ドメインのリソースにアクセスできるようにするために，CIFS ドメインが外部ドメインを信頼できるように設定する必要があります。 この処理は，次の 2 段階の処理で行います。

入力方向の信頼アカウントの削除には， オプション Remove in-coming trust が使用できます。 ドメインに対する入力方向の信頼を削除すると，CIFS ドメインから外部ドメインのリソースにアクセスするユーザの能力が削除されます。 入力方向の信頼アカウントを正しく削除するために， このユーティリティは，CIFS ドメインの管理者の認証情報を尋ねるプロンプトを表示します。

外部ドメインに属するユーザが CIFS ドメインのリソースにアクセスできるようにするには，外部ドメインと信頼を確立する必要があります。 この処理は，次の 2 段階の処理で行います。

このユーティリティで出力方向の信頼アカウントを追加する際，次のような項目を入力するためのプロンプトが表示されます。

	注記: 外部ドメインが Windows ドメインの場合， 8.5.2.9 項 「Windows ドメインでの信頼の確立」 を参照して，CIFS ドメインおよび Windows ドメイン間で入力方向の信頼あるいは双方向の信頼を追加して手順 1 を完了してください。

出力方向の信頼関係の削除には Remove out-going trust オプションを使用できます。 ドメインの出力方向の信頼関係を削除すると， 外部ドメイン・ユーザは CIFS ドメインのリソースにアクセスできなくなります。 出力方向の信頼を正しく削除するために， ユーティリティは， 削除する出力方向の信頼名 (外部ドメイン) とともに CIFS ドメインの管理者の認証情報の入力を促すプロンプトを表示します。

CIFS Server データベースの既存の信頼関係は次のコマンドで表示できます。

NET RPC TRUSTDOM LIST -U <CIFS domain administrator user>

たとえば，アカウント CIFSADMIN　を使用した信頼関係を一覧表示するには，次のようなコマンドを実行します。

$ NET RPC TRUSTDOM LIST -U CIFSADMIN
Password: 

プロンプトに対して，CIFS ドメインの管理者のパスワードを入力します。

CIFS Server PDC で外部ドメインに対して 入力方向の信頼 (信頼するアカウント) を追加する方法について以下に説明します。

	注記: 信頼関係を完成させるには，外部ドメイン (たとえば TRUSTINGDOM ドメイン) で， 上記の手順 2 で指定したものと同じ信頼アカウント・パスワードを使用して， CIFS ドメイン に対する出力方向の信頼(信頼されたドメイン・アカウント) を追加する必要があります。 外部ドメインが Windows ドメインの場合，8.5.2.9 項 「Windows ドメインでの信頼の確立」 を参照して CIFS ドメインと Windows ドメイン間に出力方向の信頼あるいは双方向の信頼を追加してくださ。

外部ドメインに対する入力方向の信頼アカウント(信頼するアカウント) を削除するためのコマンド構文は，以下のとおりです。

NET RPC TRUSTDOM DEL <foreign-domain-name> -U <CIFS domain administrator user>

たとえば，外部ドメイン trustingdom に対する入力方向の信頼アカウントを削除するには，CIFS 管理者名が CIFSADMIN の場合，次のコマンドを実行します。

$ NET RPC TRUSTDOM DEL TRUSTINGDOM -U CIFSADMIN
Password: 

プロンプトに対して CIFS ドメインの管理者のパスワードを入力します。

外部ドメインで CIFS ドメインに対する入力方向の信頼アカウント(信頼するアカウント) を追加した後，信頼関係の確立を完了させるには，外部ドメインに対する出力方向の信頼 (信頼されたドメイン関係) を確立しなければなりません。 この処理には，NET RPC TRUSTDOM コマンドで出力方向の信頼関係を確立するのとは別に，必要に応じて idmap domains パラメータ値を設定する作業も含まれます。

信頼されたドメインのユーザが CIFS Server PDC のリソースにアクセスできるように，idmap domains パラメータ値を設定することができます。 この設定はオプションで，CIFS Server が OpenVMS ユーザ・アカウントおよびリソース識別子の作成とマッピングに WINBIND の自動マッピングを使用する場合のみ設定が必要です。 idmap domains パラメータはドメインのリストを定義し，WINBIND の SID/UID/GID テーブルを管理するためにそれぞれはバックエンドで構成されます。 このリストには，WINBIND のプライマリあるいは信頼されたドメイン全体のための短いドメイン名が含まれます。 idmap domains パラメータのデフォルト値はありません。

たとえば，外部ドメイン WINDOM に対して CIFS Server で出力方向の信頼を追加する場合，次のように設定します。

idmap domains = WINDOM

idmap alloc backend = tdb

ドメイン名をコンマで区切って，idmap domains に複数のドメイン名を指定することができます。

CIFS ドメインの CIFS Server PDC および外部ドメインの PDC エミュレータで 出力方向の信頼関係を確立する際に使用する名前解決の方法を決定します。 名前の解決に WINS Server を使用しない場合は，CIFS Server PDC の samba$root:[lib]lmhosts ファイルを外部ドメインのためのエントリで更新します

次の例は，ドメイン WINDOM の IP アドレス 10.20.20.40 の WINPDC という名前の Windows PDC Emulator に対して，CIFS Server PDC で必要となる lmhosts. ファイルのエントリです。

10.20.20.40 WINPDC
10.20.20.40 WINDOM#1B
10.20.20.40 WINDOM#1C

CIFS Server で外部ドメインに対して出力方向の信頼を確立するためのコマンド構文は，次のとおりです。

NET RPC TRUSTDOM ESTABLISH <foreign domain name>

プロンプトに対して入力するパスワードは，外部ドメインで CIFS ドメインに対して入力方向の信頼アカウント(信頼するアカウント) を追加する際に提供される信頼アカウント・パスワードと同じでなければなりません。

	注記: 出力方向の信頼関係を CIFS Server の外部ドメインに追加する前に， 外部ドメインで CIFS ドメインに対して入力方法の信頼アカウント (信頼するアカウント) を追加しておかなければなりません。 外部ドメインが Windows ドメインの場合，CIFS ドメインと Windows ドメイン間で入力方向の信頼あるいは双方向の信頼を追加するには，8.5.2.9 項 「Windows ドメインでの信頼の確立」 を参照してください。

CIFS Server で外部ドメインに対する出力方向の信頼関係を削除するには，次のコマンドを使用します。

NET RPC TRUSTDOM REVOKE <foreign-domain-name> -U <CIFS domain administrator user>

十分な特権を持った OpenVMS アカウント (たとえば SYSTEM) を使用して OpenVMS システムにログインした場合，次のコマンドが使用できます。

$ NET RPC TRUSTDOM REVOKE <foreign-doimain-name>

プロンプトが表示されたら，CIFS ドメインの管理者のパスワードを入力します。

CIFS ドメインと Windows ドメイン間で入力方向 (信頼する) と出力方向 (信頼される) の関係を完成させるには，CIFS ドメインと Windows ドメインで 双方向 (入力方向および出力方向) の信頼関係を確立する必要があります。 8.5.1 項 「 CIFS Server 管理ユーティリティによる信頼の管理 」 および 8.5.2 項 「NET コマンドによる信頼の管理」 では， HP CIFS Server で入力方向の信頼および出力方向の信頼を，自動化された手順あるいは手動でコマンドを実行して追加する方法を，それぞれ説明しています。 この項では，Windows システムで入力方向の信頼と出力方向の信頼を別々に追加する方法と，双方向の信頼関係を確立する方法を説明しています。

8.5.2.9.1 LMHOSTS. ファイルの更新

CIFS ドメインと Windows ドメイン間でいずれかのタイプの信頼関係を追加する前に， CIFS ドメインの CIFS Server PDC と Windows ドメインの PDC エミュレータが使用する名前解決方法を決定する必要があります。 Windows ドメインの PDC エミュレータが WINS Server を使用して CIFS ドメインの PDC 名を解決できない場合，Windows PDC エミュレータ上の lmhosts ファイルは CIFS ドメインの CIFS Server PDC のエントリで更新しなければなりません。

下記に示すのは，CIFS ドメイン PIANODOM にある IP アドレス 10.20.30.40 の PIANO という名前の CIFS Server PDC に対する Windows PDC エミュレータで必要となる lmhosts. ファイルのエントリの例です。

10.20.30.40 piano #PRE #DOM:pianodom 10.20.30.40 "pianodom \0x1b" #PRE 10.20.30.40 "pianodom \0x1c" #PRE

	注記: 上記のエントリの引用符で囲まれた部分は，正確に 20 文字でなければなりません。 ドメイン名はスペースを埋め込んで 15 文字とし，最後に \0x1b あるいは \0x1c を付けます。