32、Winbind的idmap后端与附加特性详解

Winbind的idmap后端与附加特性详解

1. idmap后端概述

在某些情况下，你可能希望对winbindd为域账户分配uids和gids的方式有更多控制，或者想在多台服务器的Winbind安装之间共享映射。idmap后端参数允许你指定一个替代的SID - uid/gid数据库，还能提供不同的uid和gid分配语义。Samba 3.0.22目前提供了四种受支持的idmap后端模块：
- tdb ：用于本地uid和gid分配的默认后端。优点是几乎不需要设置或维护，缺点是每个Winbind服务器安装会为用户分配不同的uid，与NFS不兼容。
- ldap ：为解决NFS和tdb后端的问题，添加了将SID - uid/gid映射存储在LDAP目录服务中的支持。如果网络中已有可用的LDAP目录，此后端可确保多个Winbind安装之间的映射表一致。
- rid ：RID后端共享库为单域安装提供了集中映射解决方案。只有在配置脚本中传递 --with - shared - modules = idmap_rid 选项时才会构建。它基于Windows相对标识符生成Unix ID值，保证域SID和Unix账户之间的一对一映射，但不支持受信任的域。
- ad ：AD后端利用Active Directory中存储的POSIX信息，而不是分配任何本地uid或gid值，目前仅支持具有Unix服务（SFU）架构扩展的域。构建Samba时需指定 --with - shared - modules = idmap