Включение Samba-сервера на базе Ubuntu в домен AD

[@AnViar]

Поддержки сайтов в Samba, к сожалению, нет. По крайней мере пока…

[@SarganSaor]

Эээ… что?

[@AnViar]

Вот это

[@merlin-vrn]

А в каком именно смысле «нет поддержки»?

[@AnViar]

В смысле «не реализовано»

[@SarganSaor]

Ух, помнится как то вводил samba3 в AD, это было что то. Радует, что samba4 джойнится в AD одной командой в консоли.

[@merlin-vrn]

Если вы делаете member server, то они вводятся одинаково.

[@Burmuley]

Есть еще готово решение PowerBroker Identity Services (раньше звалось LikeWise Open).
Имеются и закрытое решение (суппорт и плюшки управления через групповые политики из консоли ADUC), и открытое (совершенно бесплатное) решение для аутентификации/авторизации LInux-серверов и их сервисов AD.
www.beyondtrust.com/Products/PowerBrokerIdentityServicesADBridge/

У себя использую, work like a charm.

[@Insspb]

Тоже используем PB без бубна.

[@dphilipo]

А теперь поставьте вторую линуксовую машину в качестве, скажем, сервера резервных копий, настройте там всё по вашей книжке и скопируйте файлики с одной на другую по nfs. Да даже по той же самбе. Там есть расширения протокола для юникс. И посмотрите какие стали у файликов владельцы.
А ещё хорошо получается если у вас AD + куча trusted domains. Головной офис + филиалы. Несколько серверов на самбе в головном офисе которые отдают ресурсы филиалам.

Это неполное руководство — нужно как следует продумать систему трансляции SID'ов в UID'ы (idmap) (глобальную)

Как минимум нужно предупредить людей, что они могут встать в этом месте на грабли.

[@merlin-vrn]

Например, выделять блок uid/gid для каждого из доменов и для каждого настраивать, чтобы ridы мапились в свой блок.

[@icCE]

ну для samba достаточно будет

idmap backend и указать где оно будет.
Можно на AD поставить поддержку для unix атрибутов и тянуть их отттуда. Это вообще как бы логично.

Если вообще глобально то есть NIS :) Хотя лучше все же давно начать использовать openldap.

[@icCE]

для кербероса вполне хватит

[libdefaults]
default_realm = DOMAIN.LOC
dns_lookup_realm = true
dns_lookup_kdc = true

[realms]
DOMAIN.LOC = {
}

Остальное смотрим маны и читаем, надо оно вам или не надо.

Ну и еще нету самого интересного, это поддержки «виндовых галочек» ACL :)
Создание первоначальных прав как в Windows по умолчанию
Смена root = на Administrator на папку

ну и где то, я на подобные статьи натыкался и не раз.

[@merlin-vrn]

Даже default_domain можно не писать — он тоже подхватится из DNS, если там есть запись вида _kerberos TXT «DOMAIN.LOC»

[@icCE]

Как вариант оставить, и можно будет организовать offilene доступ, если отвалится AD.
Правда надо будет еще пару параметров.