27、Samba PDC 配置与管理全解析

Samba PDC 配置与管理全解析

1. 权限与账户管理基础

在 Samba 环境中，ntadmin Unix 组的所有成员会被 Samba 和 Windows 客户端视为域管理员。不过，根据 Samba 版本和 passdb 的配置情况，可能需要使用 net groupmap 的 modify 命令而非 add 命令。建议先尝试 add 命令，若失败再使用 modify 命令。

Samba 使用 SeMachineAccountPrivilege 权限来授权用户或组将计算机加入域。管理用户权限的最佳方式是将权限分配给一个组，然后把合适的用户添加到该组中。要授予和撤销权限，必须以 root 或 Domain Admins 组的成员身份进行连接，这里以成员 cindy 的账户为例。

当客户端加入 Samba 域时，相当于执行 pdbedit -a machinename 命令。通常，这类请求必须以 root 身份执行。但可以创建一个组映射条目，并为其分配 SeMachineAccountPrivilege 权限，让 smbd 以 root 身份为该组成员创建账户。以下是创建 Server Admins Windows 组并赋予其相应权限的命令：

# net groupmap add unixgroup=srvadmin ntgroup="