既存のDSfWフォレスト内のNon-Name-Mapped子ドメインのプロビジョニング

このシナリオは、次のタスクで構成されます。タスクの詳細を表示するには、オプションを選択します。

プロビジョニングの事前確認

このタスクは、サーバの状態を検証し、サーバでプロビジョニングの準備ができていることを確認します。

プロビジョニングの事前確認動作の一環として、ヘルスチェックをバックグラウンドで実行してシステムの状態を検証し、システムが操作できない状態にならないようにします。システムの状態を検証しないと、システムで回復できないエラーが発生するおそれがあります。したがって、ヘルスチェックは非常に重要です。

ヘルスチェックでは、次の操作が実行されます。

  • インストールのために重要なサービス(Kerberos、Samba、NMBサービスなど)がリモートサーバで実行されていることを確認します。

  • DNSサーバとして設定されているサーバでDNSサービスがアクティブになっていることを確認します。

  • レプリカリングを構成するすべてのサーバがアクティブになっていて、サーバ間で時刻が同期されていることを確認します。

  • インストールが完了したサーバのeDirectoryのバージョンが8.8 SP2以降であることを確認します。

  • Name-Mappedインストールシナリオでは、サーバに既存のDSfW固有のオブジェクトが含まれているかどうかが確認されます。

  • リモートサーバでパージを行い、削除済みオブジェクトを消去します。

DNSおよびWINS設定

このタスクは、DSfWサーバのDNSおよびWINSを設定します。DSfWでは、DNSをロケーションサービスとして使用し、コンピュータがドメインコントローラの場所を見つけられるようにします。DSfWサーバをWINSサーバとして設定することもできます。WINSはネームサーバで、NetBIOSコンピュータ名用のサービスです。異なるサブセットにあるクライアントワークステーションに、NetBIOS名からIPアドレスへのマッピングを提供します。

DNS設定の一環として、次の操作が実行されます。

  • ドメイン名のルックアップでクエリを解決するために、ドメインに対してフォワードルックアップゾーンが設定されます。

  • DNS名をIPアドレスと関連付ける必要がある要求を解決するために、ドメインに対してリバースゾーンが設定されます。

  • NS、SRV、A、PTRの各タイプのリソースレコードが作成されます。

  • DNSサーバ、DNSグループオブジェクト、およびDNSロケータオブジェクトに、ゾーン参照が追加されます。

    現時点ではDSfWはNovell® DNSと密接に関連しているため、ドメインコントローラで動作するDNSサーバが少なくとも1つ必要ですが、いずれは、任意のDNSサーバでセキュアなDNS更新をサポートできるようにする予定です。

デフォルトでは、DNSサーバは、フォレスト内の最初のドメインコントローラ上で設定されます。フォレスト内の他のドメインコントローラについては、フォレスト内の既存のDNSサーバを使用するか、またはこのサーバをDNSサーバとして設定できます。ドメイン内の他のドメインコントローラを設定する前に、/etc/resolv.conf内のネームサーバエントリが、ドメインの最初のドメインコントローラが使用しているDNSサーバを指していることを確認してください。

WINS設定の一環として、次の操作が実行されます。

  • 対応するゾーンオブジェクトのDNSエントリが作成されます。

  • /etc/samba/smb.confファイルは、SambaサービスがWINSサーバとして動作するのに必要なパラメータで更新されます。

  • nmbプロセスが再開します。

タスクの事後確認操作では、WINSに対応するDNSエントリおよびデータファイルが作成されたかどうかを確認します。

ドメインパーティションの作成

このタスクは、ドメインのパーティションを作成します。

このパーティションには、すべてのドメインオブジェクトに関する完全な情報が含まれます。ドメインオブジェクトに関する情報は、同じドメイン内のドメインコントローラに複製されます。

メモ:このタスクは、Name-Mappedシナリオでは実行されません。

ドメインレプリカの追加

このタスクでは、ローカルサーバにレプリカを追加します。

メモ:このタスクは、Non-Name-Mappedとフォレストルートドメインのインストールを除くすべてのプロビジョニングのシナリオで実行されます。

SLAPIプラグインの設定

このタスクは、SLAPIプラグインをロードします。SLAPIプラグインは、Active Directory情報モデルを保持します。これにより、ドメイン固有のデータを追加する前に、SLAPIフレームワークを準備することができます。

設定処理中に、次のタスクが実行されます。

  • 属性とクラスが、Active DirectoryとeDirectoryスキーマオブジェクト間でマップされます。

  • NLDAPサーバが更新され、SLAPIプラグインがロードされます。

  • NADプラグインがロードされているかどうかが確認されます。

ドメインオブジェクトの追加

このタスクは、ドメイン固有の情報を表すドメインオブジェクトをドメインパーティションの下に追加します。

ドメインパーティションにより、そのドメイン内のドメインコントローラにのみデータが複製されます。また、その他に、設定パーティションとスキーマパーティション用のコンテナも作成され、後からパーティション化されます。

設定パーティションの作成

このタスクは、ドメインオブジェクトの追加タスクの一環として作成された設定コンテナ(cn=configuration)をパーティション化します。この設定パーティションには、サイトトポロジなど、フォレストの物理的な構造や設定に関する情報が含まれます。

子ドメインのインストールの場合、設定コンテナのレプリカがローカルサーバに追加されます。

設定パーティションはフォレスト固有で、デフォルトでは各ドメインの最初のドメインコントローラがレプリカを受け取ります。インストール時にYaSTの[スキーマと設定のパーティションの複製]オプションを選択すると、追加のドメインコントローラがこのパーティションのレプリカを受け取ります。

スキーマパーティションの作成

このタスクは、ドメインオブジェクトの追加タスクで作成されたスキーマコンテナ(cn=schema)をパーティション化します。

スキーマパーティションには、フォレスト内のオブジェクトのクラスと属性の定義が含まれます。子ドメインまたは追加のドメインコントローラがある場合は、スキーマコンテナのレプリカがローカルサーバに追加されます。

設定パーティションはフォレスト固有で、デフォルトでは各ドメインの最初のドメインコントローラがレプリカを受け取ります。インストール時にYaSTの[スキーマと設定のパーティションの複製]オプションを選択すると、追加のドメインコントローラがこのパーティションのレプリカを受け取ります。

設定オブジェクトの追加

このタスクは、設定およびスキーマパーティションオブジェクトを追加します。

これは、Active Directory情報モデルとの整合性を維持するために役立ちます。

権利の割り当て

このタスクは、ドメインと、プロビジョニング対象のドメイン管理者に対するディレクトリ固有のアクセス権を設定します。

このタスクでは、次の操作が実行されます。

  • 効果的なACLの計算

  • NDS®スーパバイザ権ACLのインポートと、コンテナレベルでの管理者の権利の設定

  • NDS管理者ACLのインポート

サイトの設定

このタスクにより、eDirectoryのコンテナオブジェクトとして表されるドメインコントローラオブジェクト(mSDS:Server)をパーティション分割します。このドメインコントローラオブジェクトは、cn=Servers,cn=<sitename>,cn=Sites,cn=Configuration,dc=<domain name>にあります。

このタスクでは次のアクションを実行します。

  • オブジェクトをパーティション分割する前にDSfW環境を事前確認します。

  • ドメインコントローラオブジェクトをパーティション分割します。

  • オブジェクトをパーティション分割した後に、DSfW環境を事後確認します。

DSfWサービスの再開

このタスクは、依存関係の順にサービスを再開します。

サービスの再開は、変更を有効にするためには必要不可欠です。このタスクの一環として再開されるサービスは次のとおりです。

  1. ndsd(eDirectory)

  2. novell-named(DNS)

  3. nscd(ネームサーバキャッシュデーモン)

  4. rpcd(RPCサーバ)

  5. Xad-krb5kdc(Kerberos)

  6. xad-kpasswdd(Kpassword)

  7. xadsd(XADデーモン)

  8. nmb(NMBサーバ、NETBIOSルックアップ)

  9. winbind(winbind)

  10. smb(Samba)

  11. sshd(SSH)

  12. rsyncd(rsync)

サービスが再開されたら、ドメインが稼働するようになります。ただし、実際に使用できる状態にするには、さらにいくつかのタスクを実行する必要があります。

アカウントの資格情報の設定

このタスクは、管理者、krbgt、およびゲストアカウントのパスワードを設定し、Kerberos認証を有効にします。

Kerberosの有効化

DSfWでは、Kerberosがドメイン内の認証のための主要なセキュリティプロトコルです。Kerberos認証メカニズムでは、ネットワークサービスへのアクセスのためのチケットが発行されます。

このタスクの一環として、krb5.confファイルが更新され、管理者プリンシパルにチケットが送信されます。

これらの変更により、sysvolに保存されているKerberosポリシーファイルが変更されます。この変更には、eDirectoryの同期更新が必要です。これはgpo2nmasユーティリティを使用して行われます。

信頼の確立

信頼とは、ドメイン間で確立される関係です。これにより、あるドメインのユーザが他のドメインのドメインコントローラによって認証されるようになります。ドメイン間の認証は、信頼を介して実行されます。

このタスクは、プロビジョニング対象のドメインとそのペアレントドメインの間に、双方向の遷移的な信頼関係を確立します。遷移的な信頼では、同じフォレストに属するすべてのドメインが互いを信頼するようになります。新しいドメインがさらに追加された場合、ルートドメインと新しいドメインの間には自動的に信頼関係が確立されます。

たとえば、ドメインAがドメインBを信頼し、ドメインBがドメインCを信頼している場合、ドメインCのユーザはドメインAのリソースにアクセスできます。

クリーンアップ

このタスクは、sshdrsynckrb5などのサービスの設定を変更します。また、sysvolポリシーの設定、グループポリシーとNMAS™との同期、ポリシーの以降の同期のためのcrontabエントリの追加を行います。

このタスクは、部分インストールまたは失敗したインストールからファイルを削除します。また、プロビジョニング中に作成された一時ディレクトリとチェックポイントファイルも削除されます。

詳細については、「 保証と著作権.