[samba-jp:22853] BDCの追加について

[小林 崇史｜Takashi KOBAYASHI]

皆さんこんにちは、小林と申します。



さて、早速で恐縮ですが皆様にお聞きしたいことがございます。



Active Directoryドメインのプライマリドメインコントローラ (PDC) を冗長化する
ために、バックアップドメインコントローラ (BDC) を追加したのですが、エラーが
発生してしまいました。どのように対処したらよいか分からず、困っております。





----------------------------------------------------------------------------
----

環境は次のとおりです。



■Active Directory

ドメイン名: test.local

ドメインの機能レベル: Windows Server 2008 R2

フォレストの機能レベル: Windows Server 2008 R2



■PDC

OS: Windows Server 2012 R2

コンピュータ名: dc1



■BDC

OS: CentOS Linux release 7.4.1708 (Core)

ホスト名: dc2

Sambaバージョン: 4.6.15





----------------------------------------------------------------------------
----

現象は次のとおりです。



# systemctl status samba

の結果を確認したところ、次のようなエラー（最後の4行分）が発生していることが
分かりました。約10分おきに発生しているようです。



5月 15 10:30:12 dc2.test.local systemd[1]: Starting LSB: start and stop
samba4...

5月 15 10:30:12 dc2.test.local samba[1689]: Starting samba4: [  OK  ]

5月 15 10:30:12 dc2.test.local systemd[1]: Started LSB: start and stop
samba4.

5月 15 10:30:12 dc2.test.local samba[1696]: [2018/05/15 10:30:12.719701,  0]
../source4/smbd/server.c:485(binary_smbd_main)

5月 15 10:30:12 dc2.test.local samba[1696]:   samba: using 'standard'
process model

5月 15 10:30:12 dc2.test.local samba[1696]: [2018/05/15 10:30:12.781655,  0]
../lib/util/become_daemon.c:124(daemon_ready)

5月 15 10:30:12 dc2.test.local samba[1696]:   STATUS=daemon 'samba' finished
starting up and ready to serve connections

5月 15 10:30:13 dc2.test.local winbindd[1708]: [2018/05/15 10:30:13.013554,
0] ../source3/winbindd/winbindd_cache.c:3171(initialize_winbindd_cache)

5月 15 10:30:13 dc2.test.local winbindd[1708]:   initialize_winbindd_cache:
clearing cache and re-creating with version number 2

5月 15 10:30:14 dc2.test.local winbindd[1708]: [2018/05/15 10:30:14.642681,
0] ../lib/util/become_daemon.c:124(daemon_ready)

5月 15 10:30:14 dc2.test.local winbindd[1708]:   STATUS=daemon 'winbindd'
finished starting up and ready to serve connections

5月 15 10:30:14 dc2.test.local smbd[1709]: [2018/05/15 10:30:14.916002,  0]
../lib/util/become_daemon.c:124(daemon_ready)

5月 15 10:30:14 dc2.test.local smbd[1709]:   STATUS=daemon 'smbd' finished
starting up and ready to serve connections

5月 15 10:30:17 dc2.test.local samba[1711]: [2018/05/15 10:30:17.538486,  0]
../lib/util/util_runcmd.c:316(samba_runcmd_io_handler)

5月 15 10:30:17 dc2.test.local samba[1711]:
/usr/local/samba/sbin/samba_dnsupdate: dns_tkey_negotiategss: TKEY is
unacceptable

5月 15 10:30:17 dc2.test.local samba[1711]: [2018/05/15 10:30:17.569091,  0]
../source4/dsdb/dns/dns_update.c:290(dnsupdate_nameupdate_done)

5月 15 10:30:17 dc2.test.local samba[1711]:
../source4/dsdb/dns/dns_update.c:290: Failed DNS update - with error code 1





DNSの更新に失敗しているようでしたので

# /usr/local/samba/sbin/samba_dnsupdate --verbose --all-names

を実行してみたところ、次の2箇所でエラーが発生しておりました。





; TSIG error with server: tsig verify failure

update failed: REFUSED

Failed nsupdate: 2

update(nsupdate): NS _msdcs.test.local dc2.test.local

Calling nsupdate for NS _msdcs.test.local dc2.test.local (add)

Outgoing update query:

;; ->>HEADER<<- opcode: UPDATE, status: NOERROR, id:      0

;; flags:; ZONE: 0, PREREQ: 0, UPDATE: 0, ADDITIONAL: 0

;; UPDATE SECTION:

_msdcs.test.local.      900     IN      NS      dc2.test.local.



; TSIG error with server: tsig verify failure

update failed: REFUSED

Failed nsupdate: 2

update(nsupdate): A test.local xxx.xxx.xxx.xxx

Calling nsupdate for A test.local xxx.xxx.xxx.xxx (add)

Outgoing update query:

;; ->>HEADER<<- opcode: UPDATE, status: NOERROR, id:      0

;; flags:; ZONE: 0, PREREQ: 0, UPDATE: 0, ADDITIONAL: 0

;; UPDATE SECTION:

test.local.             900     IN      A       xxx.xxx.xxx.xxx





----------------------------------------------------------------------------
----

動作上は特に問題ないようで、クライアントPC (Windows XP) で優先DNSサーバーを
dc2にしてからドメインtest.localに参加後、既存のドメインアカウントでログオン
することができ、許可のある共有フォルダにアクセス可能（逆に許可の無い共有フォ
ルダにはアクセス不能）であることは確認しておりますが、エラーが発生している以
上、本番環境に展開するには不安が残ります。



同じような現象を解決された方がいらっしゃいましたら、どうか御教示を賜りたく、
お願い申し上げます。