32、Winbind：功能与配置全解析

Winbind：功能与配置全解析

1. idmap Backends 概述

在某些场景下，你可能希望对 winbindd 为域账户分配 UID 和 GID 的方式有更多控制，或者希望在多个服务器的 Winbind 安装之间共享映射。idmap 后端参数允许你指定一个替代的 SID 到 UID/GID 数据库，它还可以提供替代的 UID 和 GID 分配语义。

Samba 3.0.22 目前附带四个受支持的 idmap 后端模块：
| 后端模块 | 优点 | 缺点 |
| — | — | — |
| tdb | 用于本地 UID 和 GID 分配的默认后端，设置和维护要求极低 | 用户在每个 Winbind 服务器安装上分配不同的 UID，与 NFS 不兼容 |
| ldap | 解决了 NFS 和 tdb 后端的问题，若网络已有可用的 LDAP 目录，可确保多个 Winbind 安装之间的映射表一致 | - |
| rid | 为单域安装提供集中映射解决方案，保证域 SID 和 Unix 账户之间的一对一映射一致 | 不支持受信任域，对 UID 和 GID 分配的管理灵活性较低 |
| ad | 利用 Active Directory 中存储的 POSIX 信息，管理特定 UID 和 GID 值的灵活性最高 | 需要手动管理 AD 中账户的额外属性 |

下面是这些后端配置的 mermaid 流程图：

graph LR
    A[选择 idmap 后端] --> B{tdb}
    A --> C{ldap}
    A -->