samba PDC + samba domain member, как организовать id mapping при использовании ldap?

В дополнении Samba-HOWTO-Collection/idmapper.html так же читал, просветления нету..

winbind тебе нафиг не нужен, и samba членом домена делать не надо, просто настрой аутентификацию в ldap.

> просто настрой аутентификацию в ldap.
Естественно настроено и что дальше.. может вопрос не понятен?!
Есть домен samba PDC, мне надо поднять еще дополнительно файловый
сервер, и чтобы на шарах возможно было манипулировать ACL и они
отображались корректно из домена.

Ещё раз - если PDC на самбе, и файловый сервер на самбе, в домен включать его не надо, и winbind не нужен.
Настраиваешь на файловом сервере аутентификацию в том же ldap, где хранится база домена, в самбе security=user, и всё!
По поводу ACL см. соответствующие параметры smb.conf.
Короче, на файловом сервере smb.conf должен выглядеть так же,
как на PDC, только passdb backend = ldapsam:ldap://твой pdc,
и domain logons = no,
domain master = no

Естественно, POSIX Accounts тоже должны быть в LDAP.

Сделал как ты говоришь.
Получил что на шаре ACL светится как DOMAIN\username
то по твоему методу ACL светится как "неизвестная учетная запись (SID юзера)" !!??

Причем ACL стандартно через setfacl -m u:abakumova:rwx folders
Манипуляции через Windows клиента (свойства папки - безопасность)
 так же невозможна так как samba то не в домене!! 
и списка пользователей домена нет!!

причем добавлю что после запуска samba создала свой идентификатор
с локальным доменом и новым SID а у всех пользователей из ветки
ou=users приписан SID нормального домена!:

dn: sambaDomainName=NFS1,dc=local
sambaDomainName: NFS1
sambaSID: S-1-5-21-3862444126-1941032159-386431789
sambaAlgorithmicRidBase: 1000
objectClass: sambaDomain

Понятно...
попробуй на файл-сервере сделать
net setlocalsid SID домена.

сделал:
net setlocalsid S-1-5-21-113194080-3713674248-2964181031

и сразу:
net getlocalsid
SID for domain NFS1 is: S-1-5-21-3862444126-1941032159-386431789

:) в базе ldap изменений не вижу

А вообще объекты в uo=idmap создает winbind, и запускаться он должен только на клиенте, но только после net rpc join.

VovanE У вас работающие сервера на samba?

> А вообще объекты в uo=idmap создает winbind

единственно что сделал winbind так это добавил 
objectclass sambaUnixIdPoll к ou=idmap

да... но поскольку вначале ставился файл-сервер, а потом уже мигрировал pdc с WinNT на самбу, то файл-сервер пока включен в домен, и на нём работает winbind. Сейчас планирую файл-сервер настроить через ldap, чтобы PID и GID на всех юниксах в одной базе были и совпадали.

вот кусок из рабочего smb.conf:
idmap backend = ldap:ldap://localhost
idmap gid = 10000-20000
idmap uid = 10000-20000
ldap admin dn = cn=sambaroot,dc=samba,dc=cge
ldap idmap suffix = ou=Idmap
ldap suffix = dc=samba,dc=cge

winbind cache time = 3600

template shell = /bin/bash

Да, по поводу net setlocalsid я, видимо, наврал, извиняюсь.
возможно, поможет
net rpc getsid -S <имя pdc> -U root

вообщем получилось, определюсь с клиентом:
1. в домен вводить надо
2. winbind запускать надо
3. определить опции    
    passdb backend = ldapsam:ldap://ldap.local
    ldap suffix = dc=local
    ldap admin dn = cn=admin,dc=local
4. авторизация в системе через ldap

таакс осталась трабла)))
сейчас отображаются ACL верно,
а манипуляции через Windows клиента (свойства папки - безопасность)
отрабатывает верно и.. ACL просто не применяется!!??

кто сталкивался с подобным?

а в логе только:
unable to map SID S-1-5-21-113194080-3713674248-2964181031-7264 to uid or gid.

думаю надо по первому пути пойти заполнить
  ldap idmap suffix = ou=idmap
  idmap backend = ldap:ldap://ldap.local

в продолжении темы, кому интересно, увеличил лог до 4:
[2006/02/14 18:05:45, 5] lib/smbldap.c:smbldap_search_ext(1080) smbldap_search_ext: base =>
[ou=group,dc=local], filter => [(&(objectClass=sambaGroupMapping)(sambaSID=S-1-5-21-113194080-3713674248-29

64181031-7264))],
 scope =>[2] [2006/02/14 18:05:45, 0] smbd/posix_acls.c:create_canon_ace_lists(1405) create_canon_ace_lists: unable to map SID
S-1-5-21-113194080-3713674248-2964181031-7264 to uid or gid.

и вот не понимаю я зачем она (samba) лезет искать в ou=group когда я добавляю _пользователя_ в ACL??!!
новая самба новый баги!? )))

Был не прав, извиняюсь.
Честно говоря, немного озадачен.
Буду экспериментировать.

VovanE ладно, не парься))
поработали над проблемой вместе!
Баг я запостил на багзиллу самбы посмотрим что ответят.