Я пытаюсь присоединить несколько устройств Linux к домену Windows Active Directory с возможностью входа в домен и совместного использования файлов Samba. Я пытаюсь не добавлять здесь атрибуты POSIX для пользователей и групп AD вручную. Хотя кажется достаточно простым для работы с авторизованным сервером samba, на основе документации Redhat Файловые серверы и серверы печати - недостатки autorid
Autorid создает несовместимые атрибуты uid и gid по сравнению с другими устройствами Linux. Поскольку я хочу, чтобы разрешения на каталоги и файлы, принадлежащие пользователям и группам домена, были согласованы для всех участников (от клиента к серверу и от клиента к клиенту) несовместимые сгенерированные атрибуты неприемлемы для моей среды.
Похоже, автоматическое сопоставление идентификаторов sssd (ldap_id_mapping = истина в sssd.conf) использует алгоритм, который автоматически генерирует согласованные атрибуты uid и gid для пользователей домена на нескольких хостах Linux. Я бы использовал это как бэкэнд для samba - однако, как Redhat заявляет в своей документации, они не рекомендуют это, поскольку sssd не может выполнять поиск NetBIOS или NTLM. Использование общих ресурсов SMB с SSSD и Winbind
Итак, какие есть варианты для поиска идеальной конфигурации, которая позволяет согласованно автоматически генерировать атрибуты uid и gid для нескольких членов домена Linux, но при этом обеспечивает полную функциональность самбы домена?
Используйте бэкэнд «auto-rid», если у вас несколько доменов, и бэкэнд «rid», если у вас только один. Если вы используете одни и те же строки «[global]» на каждом члене домена Unix, вы получите одинаковые идентификаторы для каждого. Используйте строки 'idmap config' примерно так для бэкэнда 'rid':
idmap config * : backend = tdb
idmap config * : range = 3000-7999
idmap config SAMDOM : backend = rid
idmap config SAMDOM : range = 10000-999999
Где «SAMDOM» - название вашей рабочей группы.
Таким образом, я могу гарантировать (например), что группа «Пользователи домена» всегда будет получать идентификатор группы «10513» на всех машинах.
если вы добавите 'winbind use default domain = yes' к '[global]', ваши пользователи смогут входить в систему с 'именем пользователя' вместо 'SAMDOM \ username' (примечание: вы не можете использовать это с серверной частью 'autorid' )