Samba & NFSによるネットワークファイル共有構築【202試験 主題2.11】



LinuCレベル2（202試験）の主題2.11「ファイル共有サービス」では、異種OS混在環境やUNIX/Linuxサーバー間でファイルシステムをネットワーク越しに共有するための2大プロトコル、Samba（SMB/CIFS） と NFS（Network File System） の構築・運用・セキュリティ設定が出題範囲に指定されています。

Windowsクライアントとのシームレスなファイル共有やドメイン統合を実現するSambaと、第16回で扱う高可用性HAクラスタやバックアップ基盤で高速ストレージ共有を実現するNFSは、どちらも共有設定（smb.conf / exports）と第3回で解説したLinux物理ファイルシステムのパーミッション（POSIX/ACL）が二重に連動する複雑なアクセス制御モデルを持ちます。本記事では、AlmaLinux 9.8の実機環境に Samba 4.23 および NFS-utils 2.5 を導入し、プロトコル差異から共有定義、ユーザーマッピング（root_squash）、クライアントマウントまでを実機検証ログとともに体系的に解説します。

1. ネットワークファイル共有の2大プロトコル（SMB vs NFS）#

ファイル共有サービスを設計する際、クライアント端末のOS種別やネットワークトポロジーに応じて最適なプロトコルを選択する必要があります。

図1: SambaとNFSのアーキテクチャとプロトコル比較

1.1 Samba（SMB/CIFS）とNFSの適用領域比較#

SambaとNFSは、通信モデルおよび認証アーキテクチャが根本的に異なります。

1.2 NFSv3 と NFSv4 の決定的なアーキテクチャ差#

LinuC 202試験では、古いNFSv3と現代の標準であるNFSv4の仕様差が出題されます。

2. Sambaサーバーの構築と共有リソース管理#

Sambaは、LinuxをWindows互換のファイル/プリントサーバー、さらにはActive Directoryドメインコントローラーとして機能させるソフトウェア群です。設定ファイルは /etc/samba/smb.conf です。

2.1 smb.conf のセクション構造とグローバル設定#

smb.conf は、サーバー全体に適用される [global] セクションと、個別の共有リソースを定義する共有セクション（[share名]）で構成されます。

特殊セクションとして、ユーザー各自のホームディレクトリを個別マウントさせる [homes] や、プリンター共有を行う [printers] が存在します。

2.2 個別共有セクションの主要ディレクティブ#

個別ディレクトリを共有公開する場合、セクション名を角括弧で定義します。

[project_share]
    comment = Development Project Storage
    path = /srv/samba/project
    browseable = yes
    read only = no
    valid users = @developers, user01
    write list = @developers
    create mask = 0664
    directory mask = 0775

2.3 testparm コマンドによる設定構文検査実機ログ#

smb.conf を編集した後は、構文エラーや不要なデフォルト設定を検証する testparm コマンドを実行します。

[user01@linuc-node01 ~]$ sudo testparm -s
Load smb config files from /etc/samba/smb.conf
Loaded services file OK.
Weak crypto is allowed by GnuTLS (e.g. NTLM as a compatibility fallback)

Server role: ROLE_STANDALONE

# Global parameters
[global]
	printcap name = cups
	security = USER
	workgroup = SAMBA
	idmap config * : backend = tdb

2.4 Sambaユーザー管理（pdbedit と smbpasswd）#

Sambaで共有アクセス認証を行うユーザーは、事前にLinuxのOSユーザー（/etc/passwd）として実在している必要 があります。OSユーザーをSambaパスワードデータベース（/var/lib/samba/private/passdb.tdb）に登録・管理します。

• pdbedit -a -u <ユーザー名>: Linux実ユーザーをSambaデータベースに新規追加します（パスワードを対話入力）。
• pdbedit -L [-v]: 登録されているSambaユーザーの一覧を表示します（-v で詳細表示）。
• pdbedit -x -u <ユーザー名>: Sambaデータベースからユーザーを削除します。
• smbpasswd -a <ユーザー名>: 旧来から使用されているSambaユーザーの追加・パスワード変更コマンドです。

3. NFSサーバーの構築とエクスポート制御#

UNIX/Linux環境同士でネットワークファイル共有を行うデファクトスタンダードが NFS（Network File System） です。NFSサーバーの設定は /etc/exports および /etc/exports.d/*.exports で行います。

図2: NFSユーザーマッピング（root_squash）と権限降格メカニズム

3.1 /etc/exports の記述書式とアクセス制御#

/etc/exports ファイルの基本書式は、<公開ディレクトリパス> <許可クライアント>(<オプション...>) です。

/srv/nfs/public     192.168.2.0/24(ro,sync)
/srv/nfs/project    192.168.2.130(rw,sync,no_root_squash) 192.168.2.131(rw,sync)
/srv/nfs/backup     *.example.com(rw,sync,all_squash,anonuid=1000,anongid=1000)

3.2 ユーザーマッピングオプションの重要ロジック#

NFSはプロトコルの特性上、クライアント側のプロセスUIDをそのままパケットに含めてサーバーへ要求します。クライアント端末でroot権限を持つユーザーが、サーバー側のroot権限を乗っ取らないようにするための防御機構が「ユーザーマッピング（Squash）」です。

3.3 exportfs コマンドによる動的反映実機ログ#

/etc/exports を編集した際、NFSデーモン（nfs-server.service）を再起動することなく設定を即時再読み込み・反映させるコマンドが exportfs です。

• exportfs -r: /etc/exports の変更内容を再読み込みし、現在のエクスポート一覧と同期します（re-export）。
• exportfs -v: 現在エクスポート公開されている全ディレクトリと適用オプションを詳細表示します。
• exportfs -a: /etc/exports に定義された全ディレクトリをエクスポートします。
• exportfs -u <ホスト>:<ディレクトリ>: 指定した共有の一時的なエクスポート解除を行います（unexport）。

[user01@linuc-node01 ~]$ sudo exportfs -v
/srv/nfs/share  192.168.2.0/24(sync,wdelay,hide,no_subtree_check,sec=sys,rw,secure,root_squash,no_all_squash)

4. クライアント側からの接続とマウント検証#

構築されたファイル共有サービスに対して、クライアントPCからアクセス・検証するコマンドを整理します。

4.1 smbclient によるSamba共有の参照・対話操作#

Sambaクライアントツールである smbclient を用いると、LinuxからFTPに似た対話的インターフェースでSamba共有を操作できます。

# サーバー（192.168.2.138）が公開している共有一覧の照会（-L オプション）
smbclient -L //192.168.2.138 -U user01

# 特定の共有フォルダーに対話的接続
smbclient //192.168.2.138/project_share -U user01

また、LinuxのローカルディレクトリにCIFSファイルシステムとして直接マウントする場合は、mount -t cifs コマンド（cifs-utils パッケージ）を使用します。

mount -t cifs //192.168.2.138/project_share /mnt/samba -o username=user01,password=Pass123

4.2 showmount と mount コマンドによるNFSマウント#

NFSサーバーが公開しているエクスポート情報をクライアント側から確認するには showmount -e <サーバーIP> を実行します。

[user01@linuc-node01 ~]$ showmount -e 192.168.2.138
Export list for 192.168.2.138:
/srv/nfs/share 192.168.2.0/24

クライアント側でローカルディレクトリへマウントする基本構文は以下の通りです。

# NFSv4でマウント
sudo mount -t nfs -o vers=4 192.168.2.138:/srv/nfs/share /mnt/nfs

4.3 /etc/fstab によるNFSの自動マウントとオプション（_netdev等）#

OS起動時にNFS共有を自動マウントさせる場合、/etc/fstab にエントリーを追記します。ネットワークが起動する前にマウントを試みてハングアップするのを防ぐため、_netdev オプションを付与するのが必須の鉄則です。

192.168.2.138:/srv/nfs/share  /mnt/nfs  nfs  defaults,_netdev,soft,timeo=30  0  0

5. ファイル共有サーバーのセキュリティと権限設計#

ファイル共有サービスを本番運用する際、多くの管理者が直面するトラブルが「共有設定では書き込み可能にしているのに、クライアントから書き込みが拒否される」という権限不整合です。

5.1 Linuxファイルシステムパーミッションとの二重チェック機構#

SambaやNFSにおける最終的なアクセス可否は、以下の2段階のフィルターが **論理積（AND条件）** で評価されます。

したがって、smb.conf で writable = yes と設定していても、サーバー上のディレクトリが drwxr-xr-x (755) で一般ユーザーの書き込みビットが落ちている場合、書き込み処理は Permission denied となります。両方の権限を正しく整合させることが不可欠です。

5.2 SELinuxブール値によるファイル共有保護#

AlmaLinuxなどのRHEL系環境においてSELinuxがEnforcingモードで動作している場合、専用のSELinuxブール値を有効化（setsebool -P）するか、共有ディレクトリのコンテキストを正しく割り当てる必要があります。

• Samba用ブール値: setsebool -P samba_enable_home_dirs on（ホームディレクトリ共有を許可）
• NFS用ブール値: setsebool -P nfs_export_all_rw on（全領域のエクスポート書き込みを許可）
• 共有ディレクトリコンテキスト: chcon -t samba_share_t /srv/samba/share

6. LinuC 202試験（主題2.11）重要ポイント総整理#

主題2.11「ファイル共有サービス」における記述式問題（コマ問）頻出コマンドおよび設定ディレクティブを整理します。

6.1 記述式（コマ問）頻出コマンド・設定ファイル一覧#

6.2 NFS root_squash と Samba マスク設定の盲点#

受験者が最も混同しやすい2大盲点を整理します。

7. まとめと次回予告（第15回：Linuxセキュリティ & VPN）#

本記事では、LinuCレベル2（202試験）におけるストレージ共有の柱であるSambaとNFSについて、プロトコル構造の差異（SMB vs NFSv4）、smb.conf の共有セクション設計、testparm や pdbedit によるユーザー管理、/etc/exports のユーザーマッピング規則（root_squash）、exportfs による動的制御、およびクライアント接続コマンド（smbclient/showmount）を実機ログとともに体系的に解説しました。

ファイル共有は、アクセス権限の二重チェック機構やセキュリティマッピングを理解することが、実務でのトラブルシューティングおよび試験での正確な設定判断の鍵となります。

次回（第15回）は、サーバーおよびネットワークを堅牢に防御するための「Linuxセキュリティ基盤とVPN構築」を取り上げます。パケットフィルタリングの要である nftables / iptables、ホスト型侵入検知システム（IDS/Tripwire）、OpenVASによる脆弱性スキャン、そして暗号化トンネルを構築する OpenVPN / WireGuard の実機検証を進めます。

リンク