第1回 問題集（全般）

正解: B. B. LinuxサーバーをWindowsネットワークのファイル・印刷サーバーとして機能させるソフトウェア

正解の根拠・詳細解説

SambaはSMB/CIFSプロトコルを実装することで、LinuxサーバーがWindowsのネットワーク環境でファイルサーバーや印刷サーバーとして動作できるようにします。バージョン4以降ではActive Directoryドメインコントローラーとしても機能します。

正解: A. A. SMB

正解の根拠・詳細解説

SambaはSMB（Server Message Block）とCIFS（Common Internet File System）プロトコルを使用します。CIFSはSMBの拡張版であり、現在のWindowsはSMB2/SMB3を主に使用しています。

正解: A. A. [global]

正解の根拠・詳細解説

smb.confの[global]セクションにSamba全体に影響する設定（ワークグループ名、サーバー説明文、セキュリティモードなど）を記述します。[homes]や[printers]などのセクションは特定のリソース用です。

正解: B. B. smb.confの設定ファイルの構文チェックと有効な設定の表示

正解の根拠・詳細解説

testparmは/etc/samba/smb.confの設定ファイルを読み込み、構文エラーをチェックして有効な設定値を表示するコマンドです。設定変更後の確認に必ず使用します。

正解: B. B. smbdはSMBプロトコルを処理、nmbdはNetBIOS名前解決を担当する

正解の根拠・詳細解説

smbd（Samba Daemon）はSMBプロトコルのファイル・印刷共有リクエストを処理します。nmbd（NetBIOS Message Block Daemon）はNetBIOS名前解決とブラウジングサービスを担当します。

正解: B. B. クライアントはユーザー名とパスワードでSambaサーバーに認証される

正解の根拠・詳細解説

security = userモードでは、各クライアントはユーザー名とパスワードをSambaサーバーに送り、サーバー側で認証されます。これはSambaのデフォルトのセキュリティモードです。

正解: B. B. smbpasswd username

正解の根拠・詳細解説

smbpasswd usernameで既存ユーザーのSambaパスワードを変更します。-aオプションは新規ユーザーを追加する際に使用します。ただし、対象ユーザーはLinuxシステムに存在している必要があります。

正解: A. A. /var/log/samba/

正解の根拠・詳細解説

/var/log/samba/ディレクトリがSambaのデフォルトのログ保存場所です。smb.confの「log file」パラメーターで変更可能です。クライアント別のログファイルが自動生成されます。

正解: B. B. smbstatus

正解の根拠・詳細解説

smbstatusコマンドはSambaサーバーへの接続状況（セッション・ロックされたファイルなど）を表示します。netコマンドの「net status sessions」でも確認できますが、smbstatusの方が一般的です。

正解: C. C. smbcontrol all reload-config

正解の根拠・詳細解説

smbcontrol all reload-configは全てのSambaデーモン（smbd・nmbd・winbindd）に設定再読み込みを指示します。systemctl reload smbdもsmbd単体には有効ですが、全デーモンへの通知はsmbcontrolを使います。

正解: A. A. Sambaが参加するWindowsワークグループまたはドメイン名を設定する

正解の根拠・詳細解説

smb.confの[global]セクションでworkgroup = GROUPNAMEと設定することで、SambaサーバーをWindowsワークグループまたはドメインに参加させます。Active Directoryドメインとして使用する場合もこのパラメーターでドメイン名を設定します。

正解: B. B. Kerberosレルム（Active Directoryドメイン）に参加する場合

正解の根拠・詳細解説

realm パラメーターはKerberos認証を使用するActive Directoryドメイン環境で必要です。「realm = EXAMPLE.COM」のようにADドメインのFQDNを大文字で指定します。

正解: B. B. Sambaユーザーデータベース（passdb）を管理するコマンド

正解の根拠・詳細解説

pdbeditはSambaのユーザーデータベース（Portable Database）を管理するコマンドです。ユーザーの一覧表示（pdbedit -L）、追加・削除・変更などが可能です。passdb.tdbやldappassdbなど複数のバックエンドに対応しています。

正解: D. D. smbclient -L server -N

正解の根拠・詳細解説

smbclient -L server -N でサーバーの共有リストを表示します。-Lは共有リストの取得、-Nはパスワードなし（アノニマス）で接続することを指定します。-L //serverの形式も正しいですが-Nを加える方が一般的です。

正解: B. B. LinuxシステムでWindowsドメインユーザー・グループ情報を解決する

正解の根拠・詳細解説

winbinddはNSS（Name Service Switch）と連携し、Active DirectoryやNTドメインのユーザー・グループ情報をLinux上で利用可能にするデーモンです。getent passwdやgetent groupでADユーザーが表示されるのはwinbindのおかげです。

正解: B. B. 137, 138, 139, 445

正解の根拠・詳細解説

Sambaは以下のポートを使用します：137（NetBIOS Name Service/UDP）、138（NetBIOS Datagram/UDP）、139（NetBIOS Session/TCP）、445（SMB over TCP/IP、現在の主流）。

正解: B. B. ログファイルの最大サイズ（KB単位）

正解の根拠・詳細解説

max log size = 50 のように設定することで、ログファイルが50KBを超えると自動的にローテーションされます。0を指定するとサイズ無制限になります。

正解: B. B. NetBIOS名前解決を確認・テストする

正解の根拠・詳細解説

nmblookupはNetBIOS名をIPアドレスに解決するコマンドです。nmblookup HOSTNAME でNetBIOS名のIPアドレスを調べたり、nmblookup -B broadcast\_addr “WORKGROUP” でワークグループのマスターブラウザーを特定したりできます。

正解: B. B. Samba 3.0以降はデフォルトでパスワードの暗号化が有効になっている

正解の根拠・詳細解説

Samba 3.0以降、encrypt passwords = yes がデフォルトです。現代のWindowsクライアントはすでに暗号化パスワードしか送信しないため、この設定は必須です。

正解: C. C. 詳細な接続・操作情報を記録するが開発者向けの最大詳細は出力しない

正解の根拠・詳細解説

Sambaのlog levelは0（エラーのみ）から10（最大詳細）まで設定できます。レベル3は接続・認証・ファイル操作の詳細情報を記録しますが、実運用での問題調査に適したレベルです。レベル5以上は開発者向けです。

正解: B. B. 存在しないユーザー名でのアクセスをゲストとして扱う

正解の根拠・詳細解説

map to guest = Bad Userは、存在しないユーザー名でアクセスしてきたクライアントをゲストユーザーとして扱う設定です。Bad Passwordに設定すると、パスワードが間違った場合もゲストとして扱います。

正解: D. D. Sambaサーバーのインストールディレクトリ

正解の根拠・詳細解説

smbstatus は稼働中の Samba サーバーの実行時の状態を表示するコマンドで、出力は大きく3つに分かれます。1つ目は接続中のセッション情報で、プロセスID、接続しているユーザー名、クライアントのホスト名とIPアドレスが並びます。2つ目は接続中の共有の一覧で、どのクライアントがどの共有名にいつ接続したかがわかります。3つ目はロック情報で、開かれているファイルのパスや共有モード、oplockの種類が表示されます。いずれも実行中のプロセスがtdbデータベースに記録した動的な情報であり、インストール先のディレクトリのような静的な構成情報は含まれません。Sambaの実行ファイルや設定ファイルの場所を知りたい場合は、whereis samba や rpm -ql samba、あるいは smbd -b（ビルド時に埋め込まれたパス一覧を表示）を使います。

正解: A. A. samba-tool domain provision

正解の根拠・詳細解説

samba-tool domain provision –use-rfc2307 –interactive コマンドを使用してSamba ADドメインを初期化します。このコマンドでドメイン名、レルム、管理者パスワードなどを設定します。

正解: B. B. Kerberosレルム名（ADドメインのFQDN）

正解の根拠・詳細解説

–realm=EXAMPLE.COM でKerberosレルム名（Active DirectoryドメインのFQDN）を指定します。通常はドメイン名を大文字にした値を使います。

正解: A. A. –dns-backend=SAMBA\_INTERNAL

正解の根拠・詳細解説

–dns-backend=SAMBA\_INTERNALでSamba組み込みのDNSを使用します。BIND9\_FLATFILEやBIND9\_DLZはBIND9との連携、NONE はDNS機能なしとなります。

正解: A. A. net ads join -U Administrator

正解の根拠・詳細解説

net ads join -U Administrator でSamba/LinuxをActive Directoryドメインのメンバーサーバーとして参加させます。net ads leave でドメインから脱退できます。

正解: A. A. kinit Administrator@EXAMPLE.COM

正解の根拠・詳細解説

kinit Administrator@EXAMPLE.COM でKerberosのTGT（Ticket Granting Ticket）を取得します。取得後はklist コマンドでチケットを確認できます。

正解: B. B. SRVレコードはDCやKDCなどのサービスの場所をクライアントに通知するため

正解の根拠・詳細解説

Active DirectoryではSRV（Service）レコードを使用してドメインコントローラー（\_ldap.\_tcp.DOMAIN）やKDC（\_kerberos.\_tcp.DOMAIN）などのサービスの場所を公開します。クライアントはDNSでこれらのSRVレコードを参照して各サービスに接続します。

正解: A. A. samba-tool dns query 127.0.0.1 EXAMPLE.COM @ ALL

正解の根拠・詳細解説

samba-tool dns query localhost EXAMPLE.COM @ ALL でSamba内部DNSのレコードを確認できます。また、host -t SRV \_ldap.\_tcp.EXAMPLE.COM でSRVレコードの確認も重要です。

正解: A. A. samba-tool user add username password

正解の根拠・詳細解説

samba-tool user add usernameでADユーザーを作成します。パスワードはコマンドライン上か対話形式で設定できます。–given-nameや–surnameで姓名も設定可能です。

正解: B. B. SambaのADドメインユーザー一覧

正解の根拠・詳細解説

samba-tool user listはActive DirectoryドメインのSambaユーザー一覧を表示します。Linuxのローカルユーザーではなく、ADドメインに登録されているユーザーアカウントが対象です。

正解: B. B. samba-tool gpo

正解の根拠・詳細解説

samba-tool gpo listでグループポリシーの一覧表示、samba-tool gpo createで新規GPO作成などができます。Windowsの「グループポリシーの管理」（GPMC）ツールとも連携できます。

正解: A. A. 389と636

正解の根拠・詳細解説

LDAPは389/TCP、LDAPSは636/TCPを使用します。グローバルカタログはLDAP 3268/TCP、LDAPS 3269/TCPを使用します。

正解: A. A. krb5.conf

正解の根拠・詳細解説

/etc/krb5.confがKerberosの設定ファイルです。Samba ADドメインプロビジョニング後にこのファイルが自動的に設定されます。[libdefaults]セクションでデフォルトレルムを設定します。

正解: B. B. ADドメインおよびフォレストの機能レベル

正解の根拠・詳細解説

samba-tool domain level showはActive Directoryドメインの機能レベル（Domain level）とフォレスト機能レベル（Forest level）を表示します。

正解: A. A. samba-tool domain join EXAMPLE.COM DC -U Administrator

正解の根拠・詳細解説

samba-tool domain join EXAMPLE.COM DC -U Administrator@EXAMPLE.COM で追加のドメインコントローラーとして既存ADに参加できます。

正解: A. A. passwd: files winbind group: files winbind

正解の根拠・詳細解説

/etc/nsswitch.confにpasswd: files winbind、group: files winbindと設定することでADユーザー・グループをgetent passwd/groupで解決できます。

正解: C. C. idmap config DOMAIN : backend = ad

正解の根拠・詳細解説

idmap config DOMAIN : backend = adはActive Directory上に格納されたuidNumber/gidNumber属性（RFC 2307）を使用してLinux UID/GIDを割り当てます。一貫したID割り当てが必要な環境に最適です。

正解: B. B. winbindで解決できるドメインユーザー一覧を表示する

正解の根拠・詳細解説

wbinfo -u はwinbindデーモン経由でドメインのユーザー一覧を表示します。wbinfo -g はグループ一覧、wbinfo -p はwinbindの応答確認（ping）です。

正解: A. A. samba-tool drs showrepl

正解の根拠・詳細解説

samba-tool drs showreplでADレプリケーションの状態（成功・失敗・最終同期時刻）を確認できます。DRS（Directory Replication Service）はADのレプリケーション機能です。

正解: A. A. samba-tool domain passwordsettings set –min-pwd-length=8

正解の根拠・詳細解説

samba-tool domain passwordsettings set コマンドでパスワードの最小長さ・複雑さ・有効期限などのポリシーを設定できます。samba-tool domain passwordsettings showで現在の設定を確認できます。

正解: A. A. server role = member server workgroup = NETBIOSNAME realm = DOMAIN.COM

正解の根拠・詳細解説

ADメンバーサーバーには server role = member server、workgroup（NetBIOSドメイン名）、realm（ADドメインのFQDN）が最低限必要です。security = ads も重要な設定です。

正解: A. A. samba-tool ou create OU=HR,DC=example,DC=com

正解の根拠・詳細解説

samba-tool ou create “OU=HR,DC=example,DC=com”でActive DirectoryのOUを作成します。ユーザーやコンピューターをOUに移動することでGPO適用範囲を制御できます。

正解: A. A. samba-tool computer list

正解の根拠・詳細解説

samba-tool computer listでドメインに参加しているコンピューターアカウントの一覧を表示します。

正解: B. B. DCがディレクトリの変更を他のDCにレプリケートするメカニズム

正解の根拠・詳細解説

DCSyncはActive Directoryのレプリケーションメカニズムで、DCがディレクトリデータの変更を他のDCに伝播します。SambaのDC間でもこの仕組みが使用されます。

正解: A. A. samba-tool fsmo show

正解の根拠・詳細解説

samba-tool fsmo showでFSMOロール（PDC Emulator、RID Master、Infrastructure Master等）がどのDCに割り当てられているかを表示します。

正解: A. A. net ads info

正解の根拠・詳細解説

net ads infoでADドメインの詳細情報（ドメイン名、DC名、NetBIOSドメイン名、サイト名など）を表示します。

正解: B. B. POSIX属性（UID/GID等）をAD上に格納できるようにするため

正解の根拠・詳細解説

–use-rfc2307オプションを指定することで、AD上でunixHomeDirectory・uidNumber・gidNumberなどのRFC 2307で定義されたPOSIX属性を利用できます。LinuxとWindowsのID統合に必要です。

正解: A. A. samba-tool user disable username

正解の根拠・詳細解説

samba-tool user disable usernameでADユーザーアカウントを無効化します。samba-tool user enableで再度有効化できます。

正解: A. A. samba-tool group add Groupname → samba-tool group addmembers Groupname username

正解の根拠・詳細解説

samba-tool group add GroupnameでADグループを作成し、samba-tool group addmembers Groupname usernameでメンバーを追加します。

正解: A. A. samba-tool domain backup online –targetdir=/backup -U Administrator

正解の根拠・詳細解説

samba-tool domain backup onlineでActive Directoryのデータベース（AD DS）をバックアップできます。オンラインバックアップのためSambaサービスを停止する必要がありません。

正解: A. A. Kerberosキータブファイルを管理（作成・一覧・追加）する

正解の根拠・詳細解説

net ads keytab createでKerberosキータブファイルを作成し、net ads keytab listで内容を確認できます。キータブファイルはサービスアカウントの自動認証に使用します。

正解: A. A. /etc/sssd/sssd.conf

正解の根拠・詳細解説

SSSDはSystem Security Services Daemonの設定ファイルで/etc/sssd/sssd.confに記述します。[domain/EXAMPLE]セクションにSSSDのプロバイダー（id\_provider, auth\_provider）を設定します。

正解: B. B. ユーザー名やグループ名からWindows SIDに変換する

正解の根拠・詳細解説

wbinfo –name-to-sid “DOMAIN\username”でユーザー・グループ名をSID（Security Identifier）に変換します。wbinfo –sid-to-nameはその逆変換です。

正解: A. A. samba-tool fsmo transfer –role=pdc -H ldap://newdc -U Administrator

正解の根拠・詳細解説

samba-tool fsmo transfer –role=pdc -H ldap://newdc.example.com -U Administrator@EXAMPLE.COMでFSMOロールを移管します。roleにはpdc、rid、infrastructure、schema、namingを指定できます。

正解: A. A. kinit administrator@EXAMPLE.COM && klist

正解の根拠・詳細解説

samba-tool を使って Active Directory のプロビジョニングを行った直後は、KDCが正しく応答し、生成されたKerberos設定とDNSが噛み合っているかを確認する必要があります。もっとも確実なのは実際にチケットを取得してみることで、kinit administrator@EXAMPLE.COM を実行してパスワードを入力し、成功したら klist でチケット許可チケット（TGT）が発行され有効期限が入っていることを確認します。レルム名は大文字で指定するのが約束事で、小文字のまま渡すと解決に失敗します。ここで失敗する場合は、/etc/krb5.conf がプロビジョニング時に生成された設定を参照していない、DNSでKDCのSRVレコードが引けない、サーバーとクライアントの時刻のずれが許容範囲（既定で5分）を超えている、といった原因が典型的です。

正解: A. A. [sharename] path = /srv/share browseable = yes

正解の根拠・詳細解説

[セクション名] でシェア名を定義し、path = でディレクトリを指定することがSamba共有の最小設定です。browseable=yesで一覧に表示、browseable=noで非表示にできます。

正解: A. A. valid users = user1 user2

正解の根拠・詳細解説

valid users = user1 @group1 でアクセスを許可するユーザーやグループを指定します。@はLinuxグループを表します。invalid usersで拒否リストの指定も可能です。

正解: A. A. write list = user1 @developers

正解の根拠・詳細解説

write list = user1 @developersで書き込みを許可するユーザーとグループを指定します。これにより、read only = yes（読み取り専用）の設定下でも、write listに指定されたユーザーは書き込みが可能になります。

正解: A. A. create mask = 0644

正解の根拠・詳細解説

create mask = 0644でファイル作成時のデフォルトパーミッションを設定します。directory mask（0755など）はディレクトリのデフォルトパーミッションです。

正解: A. A. 強制的にapplyするパーミッションビット（ORされる）

正解の根拠・詳細解説

force create mode = 0600を指定すると、ファイル作成時にこのビットを強制的にOR演算で追加します。create maskと組み合わせて使用します。

正解: A. A. getfacl / setfacl

正解の根拠・詳細解説

getfaclでファイルのACLを表示、setfaclでACLを設定します。Sambaのfile system ACLサポートにより、WindowsのNTFS-like ACLをLinuxファイルシステム上に実装できます。

正解: A. A. guest ok = yes

正解の根拠・詳細解説

guest ok = yes（またはpublic = yes）でゲストアクセスを許可します。[global]セクションの map to guest = Bad User と組み合わせると、存在しないユーザーを自動的にguestにマップします。

正解: A. A. [homes]

正解の根拠・詳細解説

[homes]セクションをsmb.confに定義すると、各ユーザーのホームディレクトリが自動的にそのユーザー名の共有として公開されます。ログインユーザーごとに動的に共有が作成されます。

正解: A. A. [printers]

正解の根拠・詳細解説

[printers]セクションをsmb.confに定義すると、システムに登録されているプリンターが自動的にSamba経由で共有されます。load printers = yes も必要です。

正解: A. A. Sambaサーバーの説明文（ネットワーク上に表示される）

正解の根拠・詳細解説

server string = Samba Server Version %vなどで設定します。Windowsのネットワーク一覧にサーバーの説明文として表示されます。%vはSambaのバージョン、%hはホスト名に展開されます。

正解: A. A. vfs objects = modulename

正解の根拠・詳細解説

vfs objects = recycle full\_audit などでVFSモジュールを有効化します。recycleはごみ箱機能、full\_auditはファイルアクセスのログ記録など多様な機能をプラグインとして追加できます。

正解: A. A. 他のクライアントによるファイル変更をロックする最適化キャッシュ機構

正解の根拠・詳細解説

Opportunistic Locks（oplocks）はSMBプロトコルの最適化機能で、クライアントがファイルをキャッシュして高速アクセスできます。データベースファイルなど複数プロセスが同時書き込みする場合はoplocks = noとすることがあります。

正解: A. A. case sensitive = no preserve case = yes

正解の根拠・詳細解説

case sensitive = noで大文字小文字を区別しないWindowsと同じ動作になります。preserve case = yesでファイル名の大文字小文字はそのまま保持されます。

正解: A. A. 現在Sambaに接続しているユーザーと開いているファイルの一覧

正解の根拠・詳細解説

smbstatusで現在Sambaに接続中のクライアント一覧、開いているファイル（ロック状態含む）、プロセスIDを確認できます。接続トラブル診断に使用します。

正解: A. A. smbclient //server/share -U username

正解の根拠・詳細解説

smbclient //servername/sharename -U usernameでSamba共有に接続します。接続後はFTPライクなコマンド（ls、get、put等）を使用します。

正解: A. A. mount -t cifs //server/share /mnt/share -o username=user,password=pass

正解の根拠・詳細解説

mount -t cifs //サーバー/共有 /マウントポイント -o username=ユーザー名でSamba共有をマウントします。パスワードをコマンドラインに直接書かずcredentials=/etc/cifs-credentialsファイルを使用するのが安全です。

正解: A. A. smb.confの文法チェックと設定内容の確認

正解の根拠・詳細解説

testparmコマンドはsmb.confの文法チェックを行い、有効な設定パラメータを表示します。testparm -s でコメントなしの最終設定を確認できます。設定変更後は必ず実行することが推奨されます。

正解: A. A. follow symlinks = no wide links = no

正解の根拠・詳細解説

follow symlinks = no でシンボリックリンクを無効にするか、wide links = no で共有ディレクトリ外へのリンクを禁止します。セキュリティ上、outside linkの追跡は制限することが推奨されます。

正解: A. A. vfs objects = recycle recycle:repository = .recycle

正解の根拠・詳細解説

vfs objects = recycleでSambaのごみ箱機能を有効にし、recycle:repositoryで保存先ディレクトリを指定します。Windowsのごみ箱と同様に削除前にファイルを一時保管できます。

正解: A. A. browseable = no

正解の根拠・詳細解説

browseable は、その共有をネットワークの一覧、つまりエクスプローラーが表示する共有一覧に載せるかどうかを決めるパラメーターです。smb.conf の共有定義に browseable = no と書くと（綴りは browsable でも同じ意味です）、一覧には現れなくなります。ただしこれは表示上の制御にすぎず、アクセス権そのものを変える設定ではない点が重要です。利用者がサーバー名と共有名を直接指定するUNCパスを入力すれば共有には到達でき、実際に開けるかどうかは valid users やファイルシステム側のパーミッションで決まります。したがって管理用の共有や個人のホーム共有を目立たせない用途には向きますが、秘匿を目的とするのであれば browseable = no だけに頼らず、アクセス制御を別途設定する必要があります。

正解: A. A. Samba + winbind + krb5-user

正解の根拠・詳細解説

LinuxをWindowsドメインに統合するには Samba（ドメイン参加処理）、winbind（ID管理・認証）、krb5-user（Kerberosクライアント）の三つが必要です。

正解: A. A. DOMAIN\username または domain/username

正解の根拠・詳細解説

winbindはDOMAIN\username（NetBIOS形式）またはusername@DOMAIN.COM（UPN形式）の両形式でドメインユーザーを解決します。winbind separator（デフォルト \）で区切り文字を変更できます。

正解: A. A. デフォルトドメインのユーザーはDOMAIN\prefix なしでログインできる

正解の根拠・詳細解説

winbind use default domain = yesを設定すると、defaultドメインのユーザーはDOMAIN\usernameではなくusernameだけでシステムにログインできるようになります。

正解: A. A. cifs

正解の根拠・詳細解説

cifsはCommon Internet File Systemの略で、Linuxカーネルに組み込まれたSMB/CIFSクライアントモジュールです。mount -t cifsでSamba/Windows共有をマウントします。smbfsは旧方式で現在は非推奨です。

正解: A. A. //server/share /mnt/share cifs credentials=/etc/cifs-creds,uid=1000 0 0

正解の根拠・詳細解説

/etc/fstabでSamba共有をcifsタイプでマウントする場合、//server/share /mnt/share cifs credentials=/etc/cifs-creds,… 0 0の形式を使います。credentialsファイルにusername/passwordを記述することでセキュアに管理できます。

正解: A. A. username=user password=pass domain=DOMAIN

正解の根拠・詳細解説

credentialsファイルはusername=、password=、domain=（省略可）の形式で記述します。このファイルのパーミッションはroot読み取り専用（600）に設定し、パスワードの漏洩を防ぎます。

正解: A. A. min protocol = SMB2 max protocol = SMB3

正解の根拠・詳細解説

smb.confの[global]セクションでmin protocol = SMB2、max protocol = SMB3などを設定します。古いWindowsとの互換性のためにSMB1を有効にする場合もありますが、セキュリティリスクがあります。

正解: A. A. server signing = mandatory

正解の根拠・詳細解説

server signing = mandatory（Sambaサーバー側）またはclient signing = mandatory（クライアント側）でSMB署名を必須にします。中間者攻撃防止のためセキュリティ環境では有効化が推奨されます。

正解: A. A. ntlm auth = ntlmv2-only

正解の根拠・詳細解説

ntlm auth = ntlmv2-onlyでNTLMv2のみを許可します。ntlm auth = noでNTLM認証を完全に無効にしてKerberos認証のみを許可することもできます（AD環境推奨）。

正解: A. A. local master = yes os level = 65

正解の根拠・詳細解説

local master = yes と os level = 65（Windowsより高い値）を設定することでSambaをドメインのローカルマスターブラウザに選出されやすくします。preferred master = yesも追加することでブラウザ選定時に強制選出できます。

正解: A. A. smbclient -L //server -U username

正解の根拠・詳細解説

smbclient -L //serverまたはsmbclient -L server -U usernameでリモートサーバーの共有一覧を表示します。-Nオプションでパスワードなし（ゲスト）でリストを取得できます。

正解: A. A. net ads search “(&(objectClass=computer))” -U Administrator

正解の根拠・詳細解説

net ads search でADからコンピューター一覧を取得できます。またnmblookup -M WORKGROUPでNetBIOSドメインのブラウザを確認し、smbclient -L でリストを取得する方法もあります。

正解: A. A. host msdfs = yes（[global]） msdfs root = yes（共有設定）

正解の根拠・詳細解説

[global]セクションにhost msdfs = yes、共有セクションにmsdfs root = yesを設定するとDFSルートとして機能します。DFSはフォルダーへのパスを論理的に管理し、サーバー移行時も透過的なアクセスを提供します。

正解: A. A. pam\_winbind.so

正解の根拠・詳細解説

pam\_winbind.soをPAMの設定（/etc/pam.d/）に追加することで、Linuxシステムへのログイン認証にWindowsドメイン認証（winbind）を使用できます。

正解: A. A. net cache flush

正解の根拠・詳細解説

net cache flushでwinbindのユーザー・グループ情報キャッシュをクリアします。winbindがAD変更を反映しない場合や、認証問題のデバッグ時に使用します。

正解: A. A. ネットワーク起動後にマウントを実行するため（起動時の順序制御）

正解の根拠・詳細解説

\_netdevオプションをfstabのマウントオプションに追加すると、システム起動時にネットワークが利用可能になってからマウントを試みます。ネットワーク共有のマウントに必須です。

正解: A. A. log level = 3

正解の根拠・詳細解説

log level = 1〜10でログの詳細度を設定します（デフォルトは1）。レベル3でかなり詳細、レベル10で最大詳細になります。log file = /var/log/samba/smbd.log でログファイルの場所も指定できます。

正解: A. A. hosts allow = 192.168.1. 127.0.0.1

正解の根拠・詳細解説

hosts allow（またはallow hosts）でアクセスを許可するIPアドレスやサブネットを指定します。hosts deny（またはdeny hosts）で拒否設定もできます。[global]や各共有セクションに記述できます。

正解: A. A. pdbedit -L

正解の根拠・詳細解説

pdbedit -LでSambaのパスワードデータベース（TDBファイル）に登録されているユーザー一覧を表示します。pdbedit -L -v で詳細情報も表示されます。

正解: A. A. smbpasswd username

正解の根拠・詳細解説

smbpasswd usernameでSambaユーザーのパスワードを変更します。smbpasswd -a usernameでSambaユーザーを追加、smbpasswd -d usernameで無効化、smbpasswd -e usernameで有効化できます。

正解: A. A. ADに接続できない場合でもキャッシュ済み認証でログイン可能にする

正解の根拠・詳細解説

winbind offline logon = yesを設定すると、Active Directoryドメインコントローラーに到達できない場合でも、以前キャッシュされた認証情報でLinuxにログインできます。モバイルや出張環境で有用です。

正解: A. A. nmblookup HOSTNAME

正解の根拠・詳細解説

nmblookup はNetBIOS名前解決を行うコマンドで、nmblookup HOSTNAME のように名前を与えると、サブネットへブロードキャストで問い合わせを出し、応答したホストのIPアドレスを表示します。DNSではなくNetBIOS over TCP/IP の仕組みを使う点が nslookup や host との大きな違いです。WINSサーバーやAD DCなど特定のホストへ直接尋ねたい場合は、nmblookup -U 対象のIPアドレス -R HOSTNAME のように、ユニキャストで再帰問い合わせを行います。ワイルドカードを指定すれば同じサブネット上でNetBIOSに応答する機器を一覧でき、共有が見えないという障害の切り分けに役立ちます。解決できないときは nmbd が動作しているか、UDPの137番ポートがファイアウォールで遮断されていないかを確認します。

正解: A. A. LinuxネイティブのIDM（Identity Management）基盤で、LDAP・Kerberos・DNS・CAを統合

正解の根拠・詳細解説

FreeIPAはRed Hat IDM（Identity Management）の上流プロジェクトで、LDAP（389 Directory Server）・Kerberos・DNS・CA（Dogtag）・SSSDを統合したオープンソースのIAMソリューションです。

正解: A. A. ipa-server-install

正解の根拠・詳細解説

ipa-server-installコマンドを実行することでFreeIPAサーバーをセットアップします。–setup-dnsフラグでDNSも統合、–realm でKerberosレルム名、–domain でIPAドメイン名を設定します。

正解: A. A. ipa-client-install –domain=ipa.example.com

正解の根拠・詳細解説

ipa-client-install –domain=ipa.example.com –realm=IPA.EXAMPLE.COM でFreeIPAクライアントをIPAドメインに参加させます。実行後、SSSDの設定も自動的に完了します。

正解: A. A. ipa user-add / ipa user-find / ipa user-show

正解の根拠・詳細解説

ipa user-add USERNAME でユーザー追加、ipa user-find でユーザー検索、ipa user-show USERNAME でユーザー詳細表示などのipaコマンドでFreeIPAのユーザー管理を行います。

正解: A. A. どのユーザーがどのホストにどのサービスでアクセスできるかを制御する

正解の根拠・詳細解説

FreeIPAのHBACポリシーを使用することで、特定のユーザー・グループが、特定のホストに、特定のサービス（SSH、PAMなど）でアクセスできるかを細かく制御できます。

正解: A. A. クロスレルムトラスト（Cross-Realm Trust）

正解の根拠・詳細解説

FreeIPAとActive Directoryの間にKerberosクロスレルムトラストを設定することで、ADユーザーがIPAリソースにアクセスし、IPAユーザーがADリソースにアクセスできます。ipa trust-addコマンドで設定します。

正解: A. A. 多様な認証バックエンド（AD/LDAP/FreeIPA）への統合アクセスとキャッシュを提供する

正解の根拠・詳細解説

SSSD（System Security Services Daemon）は、LDAP、Kerberos、AD、FreeIPAなど複数の認証バックエンドへの統合インターフェースを提供し、オフラインキャッシュ機能も持つデーモンです。

正解: A. A. [domain/ドメイン名]セクション

正解の根拠・詳細解説

sssd.confでは[domain/EXAMPLE.COM]のようにドメイン名を指定したセクションに接続先（ad\_domain、krb5\_realm等）やバックエンド設定を記述します。[sssd]セクションはグローバル設定です。

正解: A. A. LinuxをAD/FreeIPAドメインに参加・離脱させる高レベルツール

正解の根拠・詳細解説

realmctlは（realmd経由で）realm join DOMAIN、realm leave、realm listなどのコマンドでADやFreeIPAドメインへの参加・脱退を簡単に実行できるツールです。

正解: A. A. Kerberos（RPCSEC\_GSS）

正解の根拠・詳細解説

NFSv4はRPCSEC\_GSSフレームワークを通じてKerberosを使った強力な認証が可能です。nfs4\_krb5などのセキュリティフレーバーを指定することでKerberos認証を有効にします。

正解: A. A. mount -t nfs4 server:/export /mnt -o sec=krb5i

正解の根拠・詳細解説

sec=krb5でKerberos認証のみ、sec=krb5iで認証＋整合性チェック、sec=krb5pで認証＋整合性＋プライバシー（暗号化）でNFSv4マウントできます。krb5iが最も一般的に使われます。

正解: A. A. /etc/exports

正解の根拠・詳細解説

/etc/exportsにNFSエクスポートの設定を記述します。例: /srv/nfs 192.168.1.0/24(rw,sync,no\_subtree\_check) の形式で、エクスポートパス・クライアント範囲・オプションを指定します。

正解: A. A. NFSクライアントのrootユーザーをサーバーでもrootとして扱う

正解の根拠・詳細解説

デフォルトの root\_squash はクライアントのrootをサーバーのanonymous user（nobody）にマップします。no\_root\_squashはこのスカッシュを無効にし、クライアントのrootをサーバー上でもrootとして扱います（セキュリティリスクあり）。

正解: A. A. exportfs -ra

正解の根拠・詳細解説

exportfs -raで/etc/exportsを再読み込みして設定を適用します。exportfs -vでエクスポート一覧を表示、exportfs -uで特定エクスポートを解除できます。

正解: A. A. rpc.idmapd

正解の根拠・詳細解説

rpc.idmapdはNFSv4のUID/GIDとユーザー名の変換を行うデーモンです。/etc/idmapd.confにDomain設定を記述し、NFSサーバー・クライアント双方で同じドメイン名を設定する必要があります。

正解: A. A. ldapadd -x -D “cn=admin,dc=example,dc=com” -W -f user.ldif

正解の根拠・詳細解説

ldapadd -x（SASL認証なし）-D バインドDN -W（パスワードプロンプト）-f LDIFファイル でエントリーを追加します。LDIFはLDAP Data Interchange Formatで、エントリーのデータをテキスト形式で記述します。

正解: A. A. slapd.conf（旧方式）または/etc/ldap/slapd.d/（cn=config、新方式）

正解の根拠・詳細解説

OpenLDAPの設定は旧方式のslapd.confか、新方式（OpenLDAP 2.3以降）のOLC（On-Line Configuration）/ cn=configディレクトリに格納されたLDIF形式で管理します。/etc/ldap/slapd.d/が新方式です。

正解: A. A. sudoルールをIPAサーバーで集中管理してドメイン全体のクライアントに配布する

正解の根拠・詳細解説

FreeIPAのsudo統合では、ipa sudorule-addでsudoルールを作成しIPAサーバーに格納します。SSSDがクライアントでこのルールを参照するため、/etc/sudoersではなくIPAサーバーで集中管理できます。

正解: A. A. Kerberosの認証対象となるエンティティを一意に識別する名前（例:user@REALM）

正解の根拠・詳細解説

Kerberosプリンシパルはuser@REALM（ユーザープリンシパル）やhost/hostname.example.com@REALM（サービスプリンシパル）の形式で認証エンティティを識別します。

正解: A. A. Kerberosのプリンシパル・キータブ・ポリシーをリモート管理する

正解の根拠・詳細解説

kadmin（リモート）またはkadmin.local（ローカル）コマンドでKDCのプリンシパル追加（addprinc）、パスワード変更（cpw）、キータブ作成（ktadd）などの管理操作を行います。

正解: A. A. NFSホームディレクトリや共有をユーザーのログイン時に自動マウントする

正解の根拠・詳細解説

automountはユーザーがホームディレクトリにアクセスしたとき自動的にNFS共有をマウントします。FreeIPAではipa automount-\* コマンドでautomountマップをIPAサーバーで集中管理できます。

正解: A. A. SambaとAD間のユーザー・グループID統合とファイルパーミッション管理の実務経験

正解の根拠・詳細解説

300試験はMixed Environments、すなわちLinuxとWindowsが混在する環境の統合を扱う試験であり、その中核はSambaをActive Directoryと連携させる実務スキルにある。WindowsはユーザーやグループをSIDで識別するのに対し、Linuxのファイルシステムは数値のUID/GIDでしか所有者を表現できないため、winbindやSSSDのidmap機能でSIDとUID/GIDを対応付ける設計が必須になる。このマッピングが複数サーバー間で揃っていないと、同じ共有でも所有者が別人に見えたりアクセスが拒否されたりする。さらにWindows側のACLとLinux側のPOSIX ACLの対応、Kerberos認証に必要な時刻同期やkeytabの管理まで問われる。BのGUI操作は出題の中心ではなく、設定ファイルとコマンドラインでの構成が問われる。CのルーティングやiptablesはLPIC-2の範囲、DのTLS証明書管理も本試験の主題ではない。検証環境でドメイン参加を行い、wbinfoやgetentでID解決を確認する経験が最も効果的である。