Samba active directoryに参加したPCで時刻同期しない

　raspbian stretch & samba active direcotry 4.9.3に参加したWindows 10がドメインの時刻へ同期をしない事象の対応をした。ドメイン参加してもLocal CMOS Clockと同期してしまう。
　
C:\WINDOWS\system32>w32tm /query /status
閏インジケーター: 3 (最後の 1 分間は 61 秒)
階層: 0 (未指定)
精度: -23 (ティックごとに 119.209ns)
ルート遅延: 0.0000000s
ルート分散: 0.0000000s
参照 ID: 0x00000000 (未指定)
最終正常同期時刻: 未指定
ソース: Local CMOS Clock
ポーリング間隔: 10 (1024s)



　Raspbian Stretchは時刻同期がntpからsystemd-timesyncdに変更になっている。systemd-timesyncdはntp clientのみであり、server機能が無いためドメインコントローラの時刻供給元には出来ない。
　先ずはntpを導入して、systemd-timesyncdは停止する。

apt-get install -y ntp
systemctl stop systemd-timesyncd

systemctl disable systemd-timesyncd



　次にntp.confを修正する。
　ntpソースをmfeedとnictに設定する。samba wikiにあるとおり、mssntpの記述を追加する。なお、本環境では/opt/samba以下に導入しているためソケットのパスがsamba wikiとは異なっている。

# pool.ntp.org maps to about 1000 low-stratum NTP servers.  Your server will
# pick a different set every time it starts up.  Please consider joining the
# pool:

pool ntp.jst.mfeed.ad.jp
pool ntp.nict.jp iburst


# By default, exchange time with everybody, but don't allow configuration.
restrict -4 default kod notrap nomodify nopeer noquery limited mssntp
restrict -6 default kod notrap nomodify nopeer noquery limited

ntpsigndsocket /opt/samba/var/lib/ntp_signd

　ソケットの権限を修正する。samba wkiそのままだが、samba導入先を/opt/sambaに変更している点を留意する。

root@raspberrypi2:/opt/samba/var/lib# chown root:ntp ntp_signd/
root@raspberrypi2:/opt/samba/var/lib# chmod 750 ntp_signd/

　ntpサービスを起動する。

root@raspberrypi2:/opt/samba/var/lib# systemctl start ntp
root@raspberrypi2:/etc# systemctl enable ntp.service


ntp.service is not a native service, redirecting to systemd-sysv-install.
Executing: /lib/systemd/systemd-sysv-install enable ntp

root@raspberrypi2:/etc# systemctl status ntp.service
● ntp.service - LSB: Start NTP daemon
   Loaded: loaded (/etc/init.d/ntp; generated; vendor preset: enabled)
   Active: active (running) since Sun 2018-12-16 10:18:48 JST; 8min ago
     Docs: man:systemd-sysv-generator(8)
   CGroup: /system.slice/ntp.service
           mq15871 /usr/sbin/ntpd -p /var/run/ntpd.pid -g -u 108:112

12月 16 10:18:48 raspberrypi2 ntpd[15871]: MS-SNTP signd operations currently block ntpd degrading service
12月 16 10:18:48 raspberrypi2 ntpd[15871]: Listen and drop on 0 v6wildcard [::]:123
12月 16 10:18:48 raspberrypi2 ntpd[15871]: Listen and drop on 1 v4wildcard 0.0.0.0:123
12月 16 10:18:48 raspberrypi2 ntpd[15871]: Listen normally on 2 lo 127.0.0.1:123
12月 16 10:18:48 raspberrypi2 ntpd[15871]: Listen normally on 3 eth0 192.168.0.21:123
12月 16 10:18:48 raspberrypi2 ntpd[15871]: Listen normally on 4 lo [::1]:123
12月 16 10:18:48 raspberrypi2 ntpd[15871]: Listen normally on 5 eth0 [fe80::79cb:4e46:ca61:b9cf%2]:123
12月 16 10:18:48 raspberrypi2 ntpd[15871]: Listening on routing socket on fd #22 for interface updates
12月 16 10:18:49 raspberrypi2 ntpd[15871]: Soliciting pool server 210.173.160.57
12月 16 10:18:50 raspberrypi2 ntpd[15871]: Soliciting pool server 133.243.238.163





　外部ntpとの時刻同期状態を見てみる。

root@raspberrypi2:/etc# ntpq -p
     remote           refid      st t when poll reach   delay   offset  jitter
==============================================================================
 ntp.jst.mfeed.a .POOL.          16 p    -   64    0    0.000    0.000   0.001
 ntp.nict.jp     .POOL.          16 p    -   64    0    0.000    0.000   0.001
 ntp.jst.mfeed.a 133.243.236.17   2 u   45   64    1   15.014   -2.159   0.001
*ntp.nict.jp     .NICT.           1 u   34   64    1   37.646  -12.109   7.732

 　ドメイン参加している管理者コマンドプロンプトから時刻同期を再実行してみる。


C:\WINDOWS\system32>w32tm /config /update /syncfromflags:DOMHIER
コマンドは正しく完了しました。

C:\WINDOWS\system32>w32tm /resync
再同期コマンドをローカル コンピューターに送信しています
コマンドは正しく完了しました。

C:\WINDOWS\system32>w32tm /query /status
閏インジケーター: 0 (警告なし)
階層: 3 (二次参照 - (S)NTP で同期)
精度: -23 (ティックごとに 119.209ns)
ルート遅延: 0.0243914s
ルート分散: 7.7680227s
参照 ID: 0xC0A80015 (ソース IP:  192.168.0.21)
最終正常同期時刻: 2018/12/16 10:38:57
ソース: raspberrypi2.highspec.org
ポーリング間隔: 10 (1024s)

　event logを見ても正しく同期していることを確認出来る。

タイム プロバイダー NtpClient: ドメイン コントローラー raspberrypi2.highspec.org へのアクセスを 8 回試行しましたが、有効な応答が得られませんでした。このドメイン コントローラーは、タイムソースとしては破棄され、NtpClient は同期先となる新しいドメイン コントローラーの発見を開始します。エラー: ピアに到達できません。

タイム プロバイダー NtpClient は現在 raspberrypi2.highspec.org (ntp.d|0.0.0.0:123->192.168.0.21:123) から有効な時間データを受信しています。

システム時刻とタイム ソース raspberrypi2.highspec.org (ntp.d|0.0.0.0:123->192.168.0.21:123) の同期をとっています。

タイム プロバイダー 'VMICTimeProvider' は、現在のハードウェアおよび操作環境がサポートされないことを示して停止しました。非 HyperV ゲスト環境の VMICTimeProvider では、これは予期された動作です。現在のプロバイダーにとっても、これが現在の操作環境での予期された動作である場合があります。

Read More

Raspbian Stretchでsamba active directoryを自動起動

　Sambaで自宅active directoryを構築している。
　先日SD Cardが破損してRaspbian Stretch で再構築しているが、従来と自動起動方法が変更になっているので忘備録。

　従来Jessieは/etc/init.d/samba-ad-dcに起動スクリプトを配置していたのだが、Stretchではsystemdを前提として設定する。
　設定方法はsamba wikiのままであるが、service fileは当方の環境に合わせて以下の通りとしている。


  GNU nano 2.7.4                                                ファイル: samba-ad-dc.service

[Unit]
Description=Samba Active Directory Domain Controller
After=network.target remote-fs.target nss-lookup.target

[Service]
Type=forking
ExecStart=/opt/samba/sbin/samba -D
PIDFile=/opt/samba/var/run/samba.pid
ExecReload=/bin/kill -HUP $MAINPID

[Install]
WantedBy=multi-user.target


root@raspberrypi1:/etc/systemd/system# pstree
systemd─┬─2*[agetty]
        ├─cron
        ├─dbus-daemon
        ├─dhcpcd
        ├─rsyslogd─┬─{in:imklog}
        │          ├─{in:imuxsock}
        │          └─{rs:main Q:Reg}
        ├─samba─┬─samba───samba───smbd─┬─cleanupd
        │       │                      ├─lpqd
        │       │                      └─smbd-notifyd
        │       ├─11*[samba]
        │       └─samba───samba───winbindd───3*[winbindd]
        ├─sshd───sshd───sshd───bash───su───bash───pstree
        ├─systemd───(sd-pam)
        ├─systemd-journal
        ├─systemd-logind
        ├─systemd-timesyn───{sd-resolve}
        ├─systemd-udevd
        └─thd

root@raspberrypi1:/etc/systemd/system# systemctl status samba-ad-dc.service
● samba-ad-dc.service - Samba Active Directory Domain Controller
   Loaded: loaded (/etc/systemd/system/samba-ad-dc.service; enabled; vendor preset: enabled)
   Active: active (running) since Tue 2018-12-04 22:26:04 JST; 15min ago
  Process: 563 ExecStart=/opt/samba/sbin/samba -D (code=exited, status=0/SUCCESS)
 Main PID: 576 (samba)
   CGroup: /system.slice/samba-ad-dc.service
           ├─576 samba: root process .
           ├─582 samba: task[s3fs_parent]
           ├─583 samba: task[dcesrv] .
           ├─584 samba: tfork waiter process
           ├─585 samba: task[nbtd] .
           ├─586 /opt/samba/sbin/smbd -D --option=server role check:inhibit=yes --foreground
           ├─587 samba: task[wrepl] .
           ├─588 samba: task[ldapsrv] .
           ├─589 samba: task[cldapd] .
           ├─590 samba: conn[kdc_tcp] c[ipv4:192.168.0.19:59581] s[ipv4:192.168.0.20:88] server_id[590.42]
           ├─591 samba: task[dreplsrv]
           ├─592 samba: task[winbindd_parent]
           ├─593 samba: task[ntp_signd]
           ├─594 samba: tfork waiter process
           ├─595 samba: task[kccsrv] .
           ├─596 /opt/samba/sbin/winbindd -D --option=server role check:inhibit=yes --foreground
           ├─597 samba: task[dnsupdate]
           ├─598 samba: task[dns] .
           ├─607 /opt/samba/sbin/smbd -D --option=server role check:inhibit=yes --foreground
           ├─608 /opt/samba/sbin/smbd -D --option=server role check:inhibit=yes --foreground
           ├─609 winbindd: domain child [HIGHSPEC]
           ├─610 winbindd: idmap child .
           ├─611 winbindd: domain child [BUILTIN]
           └─612 /opt/samba/sbin/smbd -D --option=server role check:inhibit=yes --foreground

12月 04 22:26:07 raspberrypi1 samba[576]: root process[576]: [2018/12/04 22:26:07.316728,  0] ../source4/smbd/server.c:696(binary_smbd_main)
12月 04 22:26:07 raspberrypi1 samba[576]: root process[576]:   binary_smbd_main: samba: using 'standard' process model
12月 04 22:26:07 raspberrypi1 samba[576]: root process[576]: [2018/12/04 22:26:07.574858,  0] ../lib/util/become_daemon.c:138(daemon_ready)
12月 04 22:26:07 raspberrypi1 samba[576]: root process[576]:   daemon_ready: STATUS=daemon 'samba' finished starting up and ready to serve connections
12月 04 22:26:09 raspberrypi1 winbindd[596]: [2018/12/04 22:26:09.727373,  0] ../source3/winbindd/winbindd_cache.c:3160(initialize_winbindd_cache)
12月 04 22:26:09 raspberrypi1 winbindd[596]:   initialize_winbindd_cache: clearing cache and re-creating with version number 2
12月 04 22:26:09 raspberrypi1 winbindd[596]: [2018/12/04 22:26:09.861619,  0] ../lib/util/become_daemon.c:138(daemon_ready)
12月 04 22:26:09 raspberrypi1 winbindd[596]:   daemon_ready: STATUS=daemon 'winbindd' finished starting up and ready to serve connections
12月 04 22:26:10 raspberrypi1 smbd[586]: [2018/12/04 22:26:10.776295,  0] ../lib/util/become_daemon.c:138(daemon_ready)
12月 04 22:26:10 raspberrypi1 smbd[586]:   daemon_ready: STATUS=daemon 'smbd' finished starting up and ready to serve connections

Read More