32、Winbind：域成员服务器的身份映射与附加功能

Winbind：域成员服务器的身份映射与附加功能

1. idmap 后端概述

在某些场景下，你可能希望对 winbindd 为域账户分配 uid 和 gid 的方式有更多控制，或者想在多台服务器的 Winbind 安装之间共享映射关系。idmap 后端参数允许你指定一个替代的 SID 到 uid/gid 的数据库，它还可能提供不同的 uid 和 gid 分配语义。Samba 3.0.22 目前提供了四种受支持的 idmap 后端模块：
- tdb ：用于本地 uid 和 gid 分配的默认后端。其主要优点是几乎不需要设置或维护，但缺点是在每个 Winbind 服务器安装上，用户会被分配不同的 uid，因此与 NFS 不兼容。
- ldap ：为解决 NFS 和 tdb 后端的问题，增加了在 LDAP 目录服务中存储 SID 到 uid/gid 映射的支持。如果网络中已有可用的 LDAP 目录，该后端能确保多个 Winbind 安装之间的映射表一致。
- rid ：RID 后端共享库为单域安装提供了集中映射解决方案。只有在运行 Samba 的 configure 脚本时指定 --with-shared-modules=idmap_rid 选项才能构建它。RID 后端通过基于 Windows 相对标识符生成 Unix ID 值，保证了域 SID 和 Unix 账户之间的一对一映射。不过，由于 Windows 域以单调方式分配 RIDs（从 1000 开始），它不支持受信任的域，因为多个域中的账户可能会映射到相同的本地 Unix uid/gid。