Сделать на штатном "ковчеге" samba / pdc легко.
пошагово:
1) править /etc/samba.conf на предмет имени группы (совпадает с именем домена) и машины. пусть домен == ORC, а нетбиос имя машины BILBO:
[global]
realm = ORC.ORG.RU
server string = samba-nfs-inet server on %h
security = user
use kerberos keytab = Yes
log file = /var/log/samba/log.%m
max log size = 50
printcap name = cups
dns proxy = No
use sendfile = Yes
passdb backend = ldapsam:ldap://127.0.0.1/
ldap admin dn = cn=ldaproot,dc=orc,dc=org,dc=ru
ldap suffix = dc=orc,dc=org,dc=ru
ldap group suffix = ou=Group
ldap user suffix = ou=People
# -------------------------------- импорт ----------------------------------
dos charset = CP866
unix charset = utf8
display charset = utf8
csc policy = disable
workgroup = ORC
netbios name = BILBO
interfaces = 192.168.252.1/255.255.255.224 192.168.252.33/255.255.255.224 192.168.252.65/255.255.255.2
24 127.0.0.1/24
bind interfaces only = Yes
hosts allow = 192.168.252. 127.
encrypt passwords = Yes
root directory = /
passwd chat debug = Yes
log level = 0
# passdb:5 auth:10 winbind:1
log file = /var/log/samba/log.%U.%m.%G.%I
max log size = 50
name resolve order = lmhosts host bcast wins
time server = Yes
unix extensions = No
socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192
logon script = %G.bat
logon path = \\%N\profiles\%u
logon drive = N:
domain logons = Yes
os level = 64
preferred master = yes
domain master = yes
local master = yes
domain logons = yes
wins support = Yes
message command = /bin/mail -s 'message from %f on %m' root < %s; rm %s
panic action = /bin/mail -s 'message from samba on asd' root <
# hide local users = Yes
guest account = nobody
# profile acls = Yes
hide dot files = No
map archive = No
# -------------------------------------------
[homes]
valid users = %S
read only = No
create mask = 0664
directory mask = 0775
browseable = No
[profiles]
path = /var/lib/samba/profiles
browseable = No
read only = no
create mask = 0600
directory mask = 0700
nt acl support = no # это важно для нормальной работы со ВСЕМИ версиями виндоус. Но! при настройке виндоус - станции , НЕОБХОДИМО дать группе локальных администраторов право на работу с профилями (поставить галочку "добавить группу...")
# ;
[netlogon]
path = /var/lib/samba/netlogon
guest ok = yes
writable = no
locking = no
public = no
browseable = yes
share modes = no
# -------------------------------
# далее определение ресурсов
# ++++++++++++++++++++++++++++++++++++++++++++++++++++
2) завести smb - пользователя root
smbpasswd -a root
smbpasswd -e root
в ldap эта запись не попадёт!
3) добавить аккаунт для машины сервера
useradd -g machines -d /dev/null -c "machine nickname" -s /bin/false -u 4000 bilbo$
smbpasswd -a -m bilbo
4) присоеденить самого себя к домену
net join -U root bilbo
далее всё уже автоматом будет в ldap
5) отмапить группы
net groupmap add ntgroup="Domain Admins" unixgroup=wheel rid=512 type=d
net groupmap list
и т.д. для остальных стандартных групп
Всё, пользователи уже могут регистрироваться с виндоус - станции. Только не смогут работать, так как оснастка Ковчега не прописывает в ldap для юзера поле sambaProfilePath. Неоходимо отдельным скриптом или как ещё добавить для каждого пользователя ldap поле sambaProfilePath, наприер, так:
sambaProfilePath: \\orc\profiles\user1
и для каждого юзера СОЗДАТЬ /var/lib/samba/profiles/ИМЯ с владельцем ИМЯ.
проще всего простым питоновским скриптом создать для каждого юзера ldif файл типа
dn: dn=ИМЯ,ou=People,dc=orc,dc=org,dc=ru
changetype: modify
replace: sambaProfilePath
sambaProfilePath: /var/lib/samba/profiles/ИМЯ
и выполнить ldapmodify -c -v -x -f ФАЙЛ.ldif -h 127.0.0.1 -D "cn=ldaproot,dc=orc,dc=org,dc=ru" -w ПАРОЛЬ
всё. работает, как часы.
PS: огромное ФИ разработчикам Ковчега за остутствие стандартных скриптов добавления и модификации пользователей (набить хотя бы 10 юзеров в веб-интерфейсе, это кошмар, да ещё если нужны доп. действия типа создания /var/lib/samba/profiles/имя),
за отсутствие возможности указать дефолтный домашний каталог для пользователя /группы, за отсутствие возможности указать РАЗДЕЛЬНЫЕ пароли на вход в шелл/самбу/почту (имхо, огромнейших размеров дыра в безопасности)
PPS: огромное СПАСИБО разработчикам Ковчега за всё остальное.
