27、Samba域控制器配置与管理全解析

Samba域控制器配置与管理全解析

1. 权限管理与组映射

在Samba和Windows客户端环境中， ntadmin Unix组的所有成员都会被视为域管理员。不过，根据Samba的版本和所配置的 passdb ，可能需要使用 net groupmap 的 modify 命令而非 add 命令。操作时，可先尝试 add 命令，若失败再尝试 modify 命令。

Samba使用 SeMachineAccountPrivilege 权限来授权用户或组将计算机加入域。管理用户权限的最佳方式是将权限分配给一个组，然后把合适的用户添加到该组中。要授予和撤销权限，必须以 root 身份或作为 Domain Admins 组的成员进行连接。以下示例使用 cindy 账户（ Domain Admins 组成员）进行操作：

# 创建组映射条目
# net groupmap add unixgroup=srvadmin ntgroup="Server Admins"
Successfully added group Server Admins to the mapping db

# 为组分配“Add machines to domain”权限
# net rpc rights grant