Samba-3はドメインコントローラー、バックアップドメインコントローラー(おそらく、最も 広くセカンダリコントローラーと呼ばれる)、ドメインメンバー、あるいはスタンドアロンサーバーとして 設定できる。Windowsネットワークセキュリティドメインコンテキストは、実装の前に、 sized(?)と、よく調査を行うべきである。バックアップドメインコントローラー(BDC)と同様、 プライマリドメインコントローラー(PDC)を配置するため、特別な注意を払う必要がある。 Samba-3がMicrosoftの技術とは違う1つの方法は、もしもLDAP認証バックエンドを使うことを 選択した場合、同じデータベースをいくつかの異なったドメインで使うことが出来るという ことである。複雑な組織において、それは、同時に多数のドメインをサポートできる、 分散可能な(1つのマスターサーバーと複数のスレーブサーバー)単一のLDAPデータベースにできる。 Samba-3 can be configured as a domain controller, a backup domain controller (probably best called a secondary controller), a domain member, or a standalone server. The Windows network security domain context should be sized and scoped before implementation. Particular attention needs to be paid to the location of the Primary Domain Controller (PDC) as well as backup controllers (BDCs). One way in which Samba-3 differs from Microsoft technology is that if one chooses to use an LDAP authentication backend, then the same database can be used by several different domains. In a complex organization, there can be a single LDAP database, which itself can be distributed (have a master server and multiple slave servers) that can simultaneously serve multiple domains.

デザインの観点から、1台のサーバーあたりのユーザー数はドメインあたりのサーバーの数と同様、 サーバーの能力とネットワークのバンド幅を考慮に入れて、スケーリングすべきである。

物理的なネットワークセグメントはいくつかのドメインを収容しているかもしれない。おのおのは、 複数のネットワークセグメントにまたがっているかもしれない。ドメインがルーテイングされた セグメントにまたがっている場合、ネットワークの設計とレイアウトのパフォーマンス評価を テストし考慮する。複数のルーティングされたネットワークセグメントをサポートするように 設計された、中央に位置するドメインコントローラーは、パフォーマンスが悪いという問題を 引き起こすかもしれない。リモートセグメントとPDC間のレスポンスタイム(pingのタイミング)を 調べること。もしもそれが長い(100msよりも大きい)場合、ローカルでの認証を提供する ために、リモートセグメント上にBDCを配置し、制御サーバーにアクセスする。

足を付けずには破ることの出来ない、効果的なネットワーク設計のための基本原則がある。 最も重要なルールは:よく制御されたネットワークおのおのにおいて、単純さを確保すること。 基盤のすべての部分は、管理可能にしなければならない。それをより複雑にすると、 システムをセキュアに保つことと機能を確保することの要求は増大するだろう。

どのようにデータを共有しなければならないかという性質について、心にとめておくこと。 物理ディスクスペースレイアウトは注意深く考えられるべきである。いくつかのデータは バックアップが必要である。ディスクレイアウトを単純にすると、バックアップの必要性を 記録するのはより容易になるだろう。どのメディアが必要を満たすかについて見極めること。 テープ、CD-ROMあるいはDVD-ROMや他のオフラインストレージシステムを考慮する。最小限の メンテナンスを計画し、実現の用意をする。設計の中に危険な点を残さないこと。とりわけ、 バックアップすることを忘れてはならない。バックアップし、テストし、すべてのバックアップを 検証する。ディザスタリカバリプランを作成し、それが動くかを検証する。

データアクセス制御の必要性を付与するために、ユーザーはグループ化されるべきである。 ファイルとディレクトリアクセスは、グループパーミッション経由で最もよく制御でき、 グループ制御のディレクトリ上に“スティッキービット”を使うと、Sambaの 共有ユーザーからのファイルアクセス時の不満を十分に防止するかもしれない。

未経験のネットワーク管理者は、しばしば、ファイル、ディレクトリ、共有に対して、共有内の 定義と同じようにアクセス制御を設定するための、手が込んだ技術を適用しようとする。 設計と実装は単純にすること、そして、広範囲に設計を文書化すること。他の誰かが作成した 文書を監査するようにすること。後継者が理解できないような、複雑な文書を作らないこと。 覚えておいてほしいのは、複雑な設計と、実装を使うジョブのセキュリティは、新参の管理者が 結び目のほぐし方を学ぶように、利用者に対して、運用障害と運用停止をもたらすかも しれない。アクセス制御は簡単かつ効果的にして、obtuse complexityによって中断されることの 無いようにする。 Inexperienced network administrators often attempt elaborate techniques to set access controls on files, directories, shares, as well as in share definitions. Keep your design and implementation simple and document your design extensively. Have others audit your documentation. Do not create a complex mess that your successor will not understand. Remember, job security through complex design and implementation may cause loss of operations and downtime to users as the new administrator learns to untangle your knots. Keep access controls simple and effective, and make sure that users will never be interrupted by obtuse complexity.

ログオンスクリプトは、すべてのユーザーが必要に応じて共有とプリンターへの接続を得る事を 保証する事を手助けするものである。

ログオンスクリプトは、動的に作成でき、動作させるすべてのコマンドは、そのユーザーが持つ 権限と権利が指定される。優先する制御の設定は、グループメンバーシップを使って設定 すべきであり、グループ情報は、カスタムログオンスクリプトを作成するために使われ、 それは、NETLOGON共有に対する root preexecパラメーターを使う。

いくつかのサイトでは、制御されたユーザー環境を確立するために、kixstart のようなツールを使っている。この場合、ログオンスクリプトプロセス制御のために、Google検索を 行ってもよい。実際、ログインスクリプト経由で、ユーザーが介入することなしに、 プリンターを追加する方法について記述しているMicrosoft Knowledge Baseの記事KB189105の使用法 を調査してもよい。

ユーザーとグループのプロファイルは、デスクトッププロファイル管理という節で説明されている ツールを使って移行できる。

プロファイルはSamba-3ツールprofilesを使って管理しても良い。このツールは、 Samba-3ドメインのSIDに変更される、NTuser.DATプロファイルファイル中に 格納されるMicrosoft Windows NT形式のセキュリティ識別子(SID)を扱える。

Microsoft Windows NT4ドメインからSamba-3に、すべてのアカウント設定を移行することは 可能である。ユーザーとグループアカウントを移行する前に、Microsoft Windows NT4ドメインに 存在しているグループをSamba-3中に作成することと、それを適切なUNIX/Linuxグループにマップ することを強く推奨する。以下の単純な助言に従い、すべてのユーザーと グループの属性は、無事に移行すべきである。