mumeinosato Lab

SambaのログインにFreeIPAを使う

Mon, 13 Apr 2026 00:00:00 +0000

はじめに

みなさんは、ディレクトリサービスに何を使っていますか？
Active Directory や OpenLDAP など選択肢はいろいろありますが、Active Directory は Windows Server の運用が前提になりやすく、コストがかかりがちです。OpenLDAP は自由度が高い一方で、設定や運用のハードルが高いと感じます。
そこで知ったのが FreeIPA です。FreeIPA は Linux 環境で動作するディレクトリサービスで、Kerberos や DNS などの機能が統合され、Web UI も提供されているため管理しやすいのが特徴です。
この記事では、Samba 認証に FreeIPA を利用する手順を備忘録としてまとめます。

今回の環境

サーバー

OS: Red Hat Enterprise Linux 9.7
Samba: 4.22.4
DNSはCloudflareを使用

クライアント

OS: Windows 11
ドメイン非参加

📌 重要

CloudflareをDNSサーバーとする場合、有効なパブリックドメインが必要になります。今回は、記事の都合上example.comを使用しますが、実際には有効なドメインを使用してください。

💡 ヒント

Cloudflareには、ローカルIPを登録することができます。

FreeIPAのインストール

今回は、RHEL 9.7にFreeIPAをインストールします。
Ubuntu などの Debian 系では、利用できるパッケージがない場合やバージョンが古い場合があるため、本記事では RHEL 系を使用します。

# ホスト名を確認
hostname

# FQDNが設定されていない場合は、以下のコマンドで設定
hostnamectl set-hostname ipa.example.com

必要なパッケージをインストールします。
今回は、CloudflareをDNSサーバーとして使用するため、DNS関連のパッケージはインストールしません。

dnf install -y ipa-server ipa-server-trust-ad

ファイヤーウォールの設定を行います。

firewall-cmd --permanent --add-service=freeipa-4
firewall-cmd --permanent --add-service=freeipa-trust
firewall-cmd --reload

対話形式でセットアップを行います。

# IPAサーバー本体
ipa-server-install

# Sambaの信頼関係のセットアップ
ipa-adtrust-install

一度 IPA サーバーを再起動します。

systemctl restart ipa

ここでSambaにアクセスできるユーザーグループとユーザーを作成します。
Web UIから作成できるため、https://ipa.example.com/にアクセスして、ユーザーとグループを作成してください。

kinit <作成したユーザー名> を実行すると、初回ログイン時にパスワードの再設定を求められます。案内に従ってパスワードを変更してください。

Sambaのインストール

# ホスト名を確認
hostname

# FQDNが設定されていない場合は、以下のコマンドで設定
hostnamectl set-hostname samba.example.com

Sambaサーバーもドメインに参加する必要があるため、FreeIPAのクライアントをインストールします。

# パッケージのインストール
dnf install -y ipa-client-samba

# IPAクライアントとしてセットアップ
ipa-client-install

# Sambaの構成
ipa-client-samba-install

共有ディレクトリを作成します。

mkdir -p /mnt/storage/share
chmod 2775 /mnt/storage/share
chown root:nasuser /mnt/storage/share

smb.confに必要事項を追加します。

[global]
# ~~省略~~
security = ads
# ~~省略~~
[share]
# ~~省略~~
valid users = @nasusers
# ~~省略~~

ファイヤーウォールの設定を行います。

firewall-cmd --permanent --add-service=samba
firewall-cmd --reload

サービスを有効にして起動します。

systemctl enable --now smb
systemctl enable --now winbind

クライアントの設定

ドメインに参加しているクライアントからは、特に設定は必要ありません。
ただし、ドメイン非参加のクライアント（Windows）からアクセスする場合は、追加設定が必要です。

PowerShellを管理者権限で開き、以下のコマンドを実行します。

ksetup /addc EXAMPLE.COM ipa.example.com
ksetup /addrealmflags EXAMPLE.COM sendaddress
ksetup /addkpasswd EXAMPLE.COM ipa.example.com

再起動を行い、\\samba.example.com\shareにアクセスしてみてください。
ユーザー名は<ユーザー名>@EXAMPLE.COM、パスワードはFreeIPAで設定したものを使用してください。

参考

FreeIPAではじめるLinuxドメイン管理
 AlmaLinux8でIPAユーザー認証できるsambaファイルサーバーの設定

ブログをHugoに移行する

Thu, 05 Mar 2026 00:00:00 +0000

はじめに

今までWordPressでブログを運営してきましたが、Hugoに移行し実行環境も自宅サーバーからCloudflare Workersに移行することにしました。理由としては、WordPressは機能が豊富で便利ですが、ほとんどの機能を使っていないことと、自宅サーバーの運用にコストがかかっていたためです。

やっぱwebサーバーぐらいなら自宅サーバーよりクラウドに頼ったほうがよさそう
無料でいろいろできるのも増えてきたしその方がコストがかからない(労力も含めて)
— 無名の里 (@mumeinosato) March 2, 2026

移行作業

Hugoの設定

Hugoのインストール

公式サイトの手順に従ってインストールします。
筆者はWindowsでWingetを使用してインストールしました。

winget install Hugo.Hugo.Extended

プロジェクトの初期化

以下のコマンドでHugoプロジェクトを初期化できます。

hugo new project <プロジェクト名>

テーマのインストール

今回は、Stackを使用します。
テーマを追加する方法としては、Git Submoduleを使用する方法と、テーマのファイルを直接プロジェクト内にコピーする方法があります。
Gitで管理することを踏まえてGit Submoduleを使用する方法でインストールします。

git submodule add https://github.com/CaiJimmy/hugo-theme-stack/ themes/hugo-theme-stack

テーマの設定

テンプレートを参考に設定をしていきます。

デフォルトのhugo.tomlを削除しconfig/_default/hugo.yamlを作成します。

hugo.yaml

baseurl: https://example.com/
languageCode: ja-JP
defaultContentLanguage: ja
title: "Hugo + Stack"
theme: "stack"
enableRobotsTXT: false

params:
 favicon: "/favicon.ico"

 dateFormat:
 published: "2006-01-02"
 lastUpdated: "2006-01-02 15:04"

 sidebar:
 avatar: "img/avatar.png"

 widgets:
 homepage:
 - type: search
 - type: archives
 params:
 limit: 5
 - type: categories
 params:
 limit: 10
 - type: tag-cloud
 params:
 limit: 10
 page:
 - type: toc

 comments:
 enabled: false

 opengraph:
 enabled: true

sitemap:
 changefreq: "weekly"
 priority: 0.5

permalinks:
 post: "/p/:slug/"
 page: "/:slug/"

markup: 
 goldmark:
 renderer:
 unsafe: true

 tableOfContents: 
 endLevel: 4
 ordered: true
 startLevel: 2

Stackではどうやらpostsではなくpostを使う必要があるため、content/postsをcontent/postにリネームします。
また投稿を作成する場合はcontent/post/<一意に識別できる名前>/index.mdのように作成する必要があります。

content/pageには左のサイドバーに表示するページを置く場所です。テンプレートから必要なものをコピーします。

ここで一度開発用サーバーを起動して動作を確認します。

hugo server -D

Cloudflare Workersの設定

以下の2つのファイルをプロジェクトのルートに作成します。

build.sh

#!/usr/bin/env bash

#------------------------------------------------------------------------------
# @file
# Builds a Hugo site hosted on a Cloudflare Worker.
#
# The Cloudflare Worker automatically installs Node.js dependencies.
#------------------------------------------------------------------------------

main() {

 DART_SASS_VERSION=1.97.3
 GO_VERSION=1.26.0
 HUGO_VERSION=0.155.3
 NODE_VERSION=24.13.1

 export TZ=Europe/Oslo

 # Install Dart Sass
 echo "Installing Dart Sass ${DART_SASS_VERSION}..."
 curl -sLJO "https://github.com/sass/dart-sass/releases/download/${DART_SASS_VERSION}/dart-sass-${DART_SASS_VERSION}-linux-x64.tar.gz"
 tar -C "${HOME}/.local" -xf "dart-sass-${DART_SASS_VERSION}-linux-x64.tar.gz"
 rm "dart-sass-${DART_SASS_VERSION}-linux-x64.tar.gz"
 export PATH="${HOME}/.local/dart-sass:${PATH}"

 # Install Go
 echo "Installing Go ${GO_VERSION}..."
 curl -sLJO "https://go.dev/dl/go${GO_VERSION}.linux-amd64.tar.gz"
 tar -C "${HOME}/.local" -xf "go${GO_VERSION}.linux-amd64.tar.gz"
 rm "go${GO_VERSION}.linux-amd64.tar.gz"
 export PATH="${HOME}/.local/go/bin:${PATH}"

 # Install Hugo
 echo "Installing Hugo ${HUGO_VERSION}..."
 curl -sLJO "https://github.com/gohugoio/hugo/releases/download/v${HUGO_VERSION}/hugo_${HUGO_VERSION}_linux-amd64.tar.gz"
 mkdir "${HOME}/.local/hugo"
 tar -C "${HOME}/.local/hugo" -xf "hugo_${HUGO_VERSION}_linux-amd64.tar.gz"
 rm "hugo_${HUGO_VERSION}_linux-amd64.tar.gz"
 export PATH="${HOME}/.local/hugo:${PATH}"

 # Install Node.js
 echo "Installing Node.js ${NODE_VERSION}..."
 curl -sLJO "https://nodejs.org/dist/v${NODE_VERSION}/node-v${NODE_VERSION}-linux-x64.tar.xz"
 tar -C "${HOME}/.local" -xf "node-v${NODE_VERSION}-linux-x64.tar.xz"
 rm "node-v${NODE_VERSION}-linux-x64.tar.xz"
 export PATH="${HOME}/.local/node-v${NODE_VERSION}-linux-x64/bin:${PATH}"

 # Verify installations
 echo "Verifying installations..."
 echo Dart Sass: "$(sass --version)"
 echo Go: "$(go version)"
 echo Hugo: "$(hugo version)"
 echo Node.js: "$(node --version)"

 # Configure Git
 echo "Configuring Git..."
 git config core.quotepath false
 if [ "$(git rev-parse --is-shallow-repository)" = "true" ]; then
 git fetch --unshallow
 fi

 # Build the site
 echo "Building the site..."
 hugo build --gc --minify

}

set -euo pipefail
main "$@"

wrangler.toml

# Configure Cloudflare Worker

name = "blog"
compatibility_date = "2026-03-02"

[build]
command = "chmod a+x build.sh && ./build.sh"

[assets]
directory = "./public"
not_found_handling = "404-page"

package.json

{
 "name": "blog",
 "version": "1.0.0",
 "description": "",
 "scripts": {
 "deploy": "wrangler deploy",
 "build": "hugo"
 },
 "dependencies": {
 "wrangler": "^4.69.0"
 }
}

ここまで来たらCloudflare Workersのプロジェクトを作成する際にGitHubのリポジトリを指定します。この際の注意点はビルドコマンドを指定しないことです。

参考

Hugo 製の静的サイトを Cloudflare Pages から Cloudflare Workers に移行する
 hosting-cloudflare-worker

KubernetesにWazuh構築してみた

Sat, 29 Nov 2025 00:00:00 +0000

はじめに

サーバーなどに潜む脅威を検出・分析してくれるWazuhというソフトを知った。
Kustomizeも提供されているのでKubernetes上に構築しようと思う。
https://wazuh.com/
https://github.com/wazuh/wazuh-kubernetes

Kustomizeでインストール

まず、GitHubからデプロイ用のファイルをダウンロードしてきます。
wazuhフォルダだけとりあえず使うためArgoCDに登録しているリポジトリ内に配置します。

次にSSLの証明書を生成します。

bash certs/dashboard_http/generate_certs.sh
bash certs/indexer_cluster/generate_certs.sh

続けてマニフェストを編集していきます。

kustomization.yml

apiVersion: kustomize.config.k8s.io/v1beta1
kind: Kustomization

# Adds wazuh namespace to all resources.
namespace: wazuh

# ~~省略~~
resources:
 - base/wazuh-ns.yaml
#既存のものを使うため削除
 # - base/storage-class.yaml
# ~~省略~~

既存のStorageClassを使うように置き換えます。

storage-class.yaml

apiVersion: apps/v1
kind: StatefulSet

metadata:
 name: wazuh-indexer
 namespace: wazuh
# ~~省略~~
 volumeClaimTemplates:
 - metadata:
 name: wazuh-indexer
 namespace: indexer-cluster
 spec:
 accessModes:
 - ReadWriteOnce
 storageClassName: <既存のものに置き換える>
 resources:
 requests:
 storage: 500Mi

storage-class.yaml

apiVersion: apps/v1
kind: StatefulSet
metadata:
 name: wazuh-manager-master
 namespace: wazuh
# ~~省略~~
 volumeClaimTemplates:
 - metadata:
 name: wazuh-manager-master
 namespace: wazuh
 spec:
 accessModes:
 - ReadWriteOnce
 storageClassName: <既存のものに置き換える>
 resources:
 requests:
 storage: 500Mi

wazuh-worker-sts.yaml

apiVersion: apps/v1
kind: StatefulSet
metadata:
 name: wazuh-manager-worker
 namespace: wazuh
# ~~省略~~
 volumeClaimTemplates:
 - metadata:
 name: wazuh-manager-worker
 namespace: wazuh
 spec:
 accessModes:
 - ReadWriteOnce
 storageClassName: <既存のものに置き換える>
 resources:
 requests:
 storage: 500Mi

local-env を見るとパッチがあるので直接変更しておきます。

indexer-sts.yaml

apiVersion: apps/v1
kind: StatefulSet
metadata:
 name: wazuh-indexer
 namespace: wazuh
spec:
 replicas: 1 #3→1
# ~~省略~~
 containers:
 - name: wazuh-indexer
 image: 'wazuh/wazuh-indexer:5.0.0'
 resources:
 requests:
 cpu: 500m
 memory: 1Gi
 limits:
 cpu: 1
 memory: 2Gi
# ~~省略~~

wazuh-worker-sts.yaml

apiVersion: apps/v1
kind: StatefulSet
metadata:
 name: wazuh-manager-worker
 namespace: wazuh
spec:
 replicas: 1 #2→1
# ~~省略~~

ここで一度デプロイします。

設定の修正

ダッシュボード等にアクセスできるようにするために設定を修正します。

podに入りhashを生成します。

kubectl exec -it wazuh-indexer-0 -n wazuh -- /bin/bash
export JAVA_HOME=/usr/share/wazuh-indexer/jdk
bash /usr/share/wazuh-indexer/plugins/opensearch-security/tools/hash.sh

取得したhashで上書きします。

internal_users.yml

# ~~省略~~
admin:
 hash: "<取得したhash>"
 reserved: true
 backend_roles:
 - "admin"
 description: "Demo admin user"

kibanaserver:
 hash: "<取得したhash>"
 reserved: true
 description: "Demo kibanaserver user"
# ~~省略~~

indexer-cred-secret.yaml

apiVersion: v1
kind: Secret
metadata:
 name: indexer-cred
data:
 username: YWRtaW4=  # string "admin" base64 encoded
 password: U2VjcmV0UGFzc3dvcmQ=  # パスワードをbase64にしたもの

dashboard-cred-secret.yaml

apiVersion: v1
kind: Secret
metadata:
 name: dashboard-cred
data:
 username: a2liYW5hc2VydmVy  # string "kibanaserver" base64 encoded
 password: a2liYW5hc2VydmVy  # パスワードをbase64にしたもの

ここで再度デプロイしてください。
podに入り作業します。

kubectl exec -it wazuh-indexer-0 -n wazuh -- /bin/bash

export INSTALLATION_DIR=/usr/share/wazuh-indexer/config
CACERT=$INSTALLATION_DIR/certs/root-ca.pem
KEY=$INSTALLATION_DIR/certs/admin-key.pem
CERT=$INSTALLATION_DIR/certs/admin.pem
export JAVA_HOME=/usr/share/wazuh-indexer/jdk
bash /usr/share/wazuh-indexer/plugins/opensearch-security/tools/securityadmin.sh -cd /usr/share/wazuh-indexer/config/opensearch-security/ -nhnv -cacert $CACERT -cert $CERT -key $KEY -p 9200 -icl -h $NODE_NAME

最後にpodをすべて削除し反映させれば完了です。

ダッシュボードにアクセス

https://<割り当てられたip>

でアクセスできます。

Usernameはadmin、Passwordは先ほど設定したものです。

参考

K8sにWazuhをインストールしてセキュアな環境を作る

TrueNASをKubernetesのストレージとして使う

Sat, 29 Nov 2025 00:00:00 +0000

概要

TrueNASの仕様変更によりdemocratic-csiのデフォルトでは利用できなくなっていたので修正方法を記述しておく。

TrueNASの設定

こちらの記事を参考にdemocratic-csiのリポジトリの追加とTrueNASの設定を行ってください。

democratic-csiの設定

ZFSコマンドのパスを指定することで動作させることができます。

truenas-iscsi.yml

csiDriver:
 name: "org.democratic-csi.iscsi"
storageClasses:
 - name: truenas-iscsi-csi
 defaultClass: true
 reclaimPolicy: Delete
 volumeBindingMode: Immediate
 allowVolumeExpansion: true
 parameters:
 fsType: ext4
 mountOptions: []
 secrets:
 provisioner-secret:
 controller-publish-secret:
 node-stage-secret:
 node-publish-secret:
 controller-expand-secret:
driver:
 config:
 driver: freenas-iscsi
 httpConnection:
 protocol: http
 host: 172.16.0.100 #TrueNASのIP
 port: 80
 username: root
 password: PASSWORD
 sshConnection:
 host: 172.16.0.100
 port: 22
 username: root
 password: PASSWORD
 zfs:
 cli:
 paths:
 zfs: /usr/sbin/zfs
 zpool: /usr/sbin/zpool
 datasetParentName: main/k8s-pvs
 detachedSnapshotsDatasetParentName: main/k8s-snaps
 iscsi:
 targetPortal: 172.16.0.100:3260
 namePrefix: csi-
 targetGroups:
 - targetGroupPortalGroup: 1
 targetGroupInitiatorGroup: 1
 targetGroupAuthType: None
 targetGroupAuthGroup:
 extentInsecureTpc: true
 extentXenCompat: false
 extentDisablePhysicalBlocksize: true
 extentBlocksize: 4096
 extentRpm: "5400"
 extentAvailThreshold: 0

以下のコマンドでdemocratic-csi をデプロイしてください。

helm upgrade --install --values truenas-iscsi.yml --create-namespace --namespace democratic-csi trunas-iscsi democratic-csi/democratic-csi

参考

Kubernetes に democratic-csi を入れて、TrueNAS に自動的にPVを作ってもらうようにした