27、深入解析Samba域控制器配置与管理

深入解析Samba域控制器配置与管理

1. 权限与账户映射

在Samba环境中，ntadmin Unix组的所有成员会被Samba和Windows客户端视为域管理员。根据Samba版本和配置的密码数据库（passdb），可能需要使用 net groupmap 的 modify 命令而非 add 命令。建议先尝试 add ，若失败再用 modify 。

Samba使用 SeMachineAccountPrivilege 权限授权用户或组将计算机加入域。管理用户权限的最佳方式是将权限分配给组，然后把合适的用户添加到该组。授予和撤销权限时，需以root或域管理员组的成员身份连接，示例中使用的是域管理员组的成员cindy账户。

当客户端加入Samba域时，相当于在网络上执行 pdbedit -a machinename ，通常这类请求需以root身份执行。不过，可以创建组映射条目并赋予 SeMachineAccountPrivilege 权限，让 smbd 以root身份为该组成员创建账户。

以下是创建基于Unix组 srvadmin 的Windows组“Server Admins”，并赋予其管理用户权限和“添加计算机到域”权限的命令：

# net groupmap add unixgroup=s