LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

Linuxのサーバーが中心なのに、WindowsのPCを管理するためだけにWindows Serverを置いている。PCの設定を1台ずつ変えていて手が回らない——。システムを預かる情報システムの担当者には、こうした悩みがつきものです。Samba AD（サンバ エーディー）は、オープンソースのSambaを、Active Directory（Windowsの利用者とPCをまとめて管理する仕組み）のドメインコントローラーとして動かす使い方です。

LinuxのサーバーでWindowsのドメインを作り、グループポリシー（PCの設定をまとめて配る仕組み）でPCを管理できます。ただし万能ではなく、Windows Serverの新しい機能には対応していない点があります。本記事では、Windowsのドメインを任された担当者に向けて、Samba ADの特徴とWindows Serverとの違い、グループポリシーの扱い、導入の進め方、そして外部に頼むときに確認したい点を整理します。

Samba ADとは

Sambaは、Windowsのファイル共有に使われるSMBと、Active Directoryの通信の仕組みを、LinuxやUNIXの上で実装したオープンソースのソフトウェアです。ライセンスはGNU GPL（改変して配るときにソースコードの公開を求めるライセンス）の第3版です。^*1 2012年に出た4.0から、ドメインコントローラー（利用者とPCの情報を持ち、ログインを確かめるサーバー）として動けるようになりました。^*2

• 利用者とPCの情報は、Sambaに組み込まれたLDAP（利用者の情報を収める台帳の仕組み）のサーバーに収めます^*2
• ログインの確認には、Kerberos（チケットを使う認証の仕組み）を使います
• グループポリシーを置いて、ドメインに参加したWindowsのPCに配れます
• 公式wikiは、障害に備えてドメインコントローラーを2台以上置くよう勧めています

WindowsのPCは、Windowsの標準の画面からドメインに参加させます。利用者の情報を集めるだけなら単体のLDAPサーバーでも足ります。Samba ADが向くのは、グループポリシーでPCの設定まで管理したいときです。

Windows ServerのADとの違い

Samba ADとWindows ServerのActive Directoryは、同じドメインの仕組みを別々に実装したものです。主な違いを表にまとめます。

Samba ADは既定でWindows Server 2008 R2の機能レベルで動きます。4.19以降はより高い水準も設定できますが、公式wikiは本番では使わないよう案内しています。^*2 一方、Microsoftの資料では、Windows Server 2025は機能レベル2012 R2のドメインでドメインコントローラーとして動かせません。^*7 新しいWindows Serverを後から加えるなら、構築の前に版の組み合わせを確かめておきます。Linuxのサーバーの認証が中心ならFreeIPAも候補です。

グループポリシーでのPC管理

グループポリシーは、OSやアプリ、利用者ごとの設定を1か所から配る仕組みです。Samba ADでは、ポリシーの一覧をLDAPに、中身のファイルをSYSVOL（ドメインコントローラーの共有フォルダー）に置きます。WindowsのPCは、ドメインに参加すれば追加の設定なしにポリシーを受け取ります。^*3

• ポリシーの作成と編集は、WindowsのPCに入れる管理ツール（RSAT）のグループポリシー管理コンソールで行います
• Samba用の管理テンプレート（設定項目を定義したファイル）を入れるなら、Microsoftのテンプレートも入れないとWindowsのPCを管理できなくなります^*3
• ドメインを構築しただけではグループポリシーの機能は有効にならず、構築の後に設定を変える必要があります^*2
• Linuxのサーバーもドメインに参加させれば、同じ仕組みでポリシーを当てられます

ドメインコントローラーが2台以上あるときは注意が要ります。SambaはSYSVOLの複製に対応していないため、ポリシーのファイルをrsyncなどの別の手段で各台に同期し、利用者やグループのIDの対応表もそろえます。^*4 同期が抜けると、台ごとに配る設定が食い違うおそれがあります。

導入の進め方

Samba ADの導入で後から直しにくいのは、ドメインの名前と台数の決め方です。次の4つの段階で進めると、途中で作り直さずに済みます。

• ステップ1：ドメインの名前と台数を決める（名前は後から変えられないため、会社のWebサイトとは分けたサブドメインにします）
• ステップ2：1台目のドメインコントローラーを構築し、グループポリシーの機能を有効にする
• ステップ3：WindowsのPCを参加させ、DNSと時刻の設定を確かめる
• ステップ4：2台目を加え、SYSVOLの同期とバックアップの方法を決める

つまずきやすいのはステップ3です。Kerberosは時刻のずれに厳しく、PCとドメインコントローラーの時刻の差が既定の5分を超えると、PCはドメインの資源を使えません。^*5 PCが問い合わせるDNSサーバーも、ドメインの名前を引ける先に向けておきます。

外部に頼むときに確認しておきたい点

Samba ADにはライセンス費用がかかりませんが、構築と保守の手間は自社で持つことになります。構築や運用を外部に頼むときは、次の点を見積もりの前に確かめておきます。

• 移行元：いまのWindows Serverのドメインや古いSambaから移すのか、新しく作るのか
• 機能レベル：今後、Windows Serverのドメインコントローラーを混ぜる予定があるか
• SYSVOLの同期：2台目以降への同期の方法と、IDの対応表をそろえる手順を誰が受け持つか
• バックアップ：ドメインのバックアップをどこへ取り、復元を試したことがあるか
• 更新：新しい版への切り替えを誰がいつ判断するか

特に更新は、決めないまま運用に入りやすい点です。Sambaの各系列は、通常の保守、保守モード、セキュリティ修正のみの期間を6か月ずつ経て、約18か月で更新が止まります。^*6 Windows以外のシステムも含めてログインをまとめる考え方はKeycloakによるSSO認証基盤の解説にまとめています。

まとめ：Samba ADで確かめておきたい3つの点

Samba ADでWindowsのドメインを作るうえで、確かめておきたい点は3つに整理できます。第一に、既定の機能レベルで足りるかを、今後加えるWindows Serverの版と合わせて確かめること。第二に、ドメインの名前と台数を最初に決め、SYSVOLの同期の方法を用意すること。第三に、バックアップと版の更新の担当を決めることです。この3点を踏まえておけば、「入れてはみたが、ポリシーが配られずWindows Serverに戻した」という事態を避けやすくなります。移行の進め方に迷いがあれば、外部の手を借りるのも一つの選択肢です。

よくある質問

出典

1. *1　参考：Samba「What is Samba?」・「GNU General Public License」（https://www.samba.org/samba/what_is_samba.html）。出典：SMBとActive Directoryの通信の仕組みのオープンソース実装であること、ドメインコントローラーとして動けること、GNU GPL（第3版）で配布されていることの記述を参照（2026年10月確認）
2. *2　参考：Samba Wiki「Setting up Samba as an Active Directory Domain Controller」「Raising the Functional Levels」（https://wiki.samba.org/index.php/Setting_up_Samba_as_an_Active_Directory_Domain_Controller）。出典：4.0（2012年）からの対応、既定の機能レベル（Windows Server 2008 R2）、4.19以降の高い機能レベルが開発途上で本番向けでない旨、組み込みLDAPのみ対応、グループポリシーの有効化、2台以上の推奨、ドメイン名を変えられない旨、設定できる機能レベルの表を参照（2026年10月確認）
3. *3　参考：Samba Wiki「Group Policy」（https://wiki.samba.org/index.php/Group_Policy）。出典：グループポリシーの仕組み（LDAPとSYSVOL）、Windowsのドメインメンバーでの自動適用、RSATの管理コンソールでの編集、ADMXテンプレートの注意、Linuxのドメインメンバーへの適用を参照（2026年10月確認）
4. *4　参考：Samba Wiki「SysVol replication (DFS-R)」（https://wiki.samba.org/index.php/SysVol_replication_(DFS-R)）。出典：DFS-RとFRSによるSYSVOLの複製に対応していないこと、rsyncなどの回避策、IDの対応表（idmap.ldb）をそろえる注意を参照（2026年10月確認）
5. *5　参考：Samba Wiki「Joining a Windows Client or Server to a Domain」（https://wiki.samba.org/index.php/Joining_a_Windows_Client_or_Server_to_a_Domain）。出典：WindowsのPCをドメインに参加させる手順、DNSの設定、時刻の差（既定5分）の記述を参照（2026年10月確認）
6. *6　参考：Samba Wiki「Samba Release Planning」（https://wiki.samba.org/index.php/Samba_Release_Planning）。出典：各系列の保守期間（6か月ずつ、合計約18か月）の記述を参照（2026年10月確認）
7. *7　参考：Microsoft Learn「Active Directory Domain Services functional levels」（https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/active-directory-functional-levels）。出典：機能レベルの説明と、Windows Serverの版ごとにドメインコントローラーとして動かせる機能レベルの表を参照（2026年10月確認）
8. *8　参考：Samba Wiki「Joining a Samba DC to an Existing Active Directory」（https://wiki.samba.org/index.php/Joining_a_Samba_DC_to_an_Existing_Active_Directory）。出典：既存のActive Directoryに追加のドメインコントローラーとして参加させる手順の記述を参照（2026年10月確認）
9. *9　参考：Samba Wiki「Back up and Restoring a Samba AD DC」（https://wiki.samba.org/index.php/Back_up_and_Restoring_a_Samba_AD_DC）。出典：バックアップがドメイン全体を対象とすること、1台分で足りること、復元後に他の台を参加させ直すことを参照（2026年10月確認）
10. *10　参考：Samba Wiki「FAQ」（https://wiki.samba.org/index.php/FAQ）。出典：Samba ADがOpenLDAPなどのLDAPサーバーを保存先にできない理由の記述を参照（2026年10月確認）

Tweet