スタンドアロンSambaサーバーはWindows NT4ドメイン、Windows 200x Active Directory ドメインかSambaドメインのメンバーでない形で動く。

定義により、これは、ユーザーとグループはローカルに作成/制御され、ネットワーク ユーザーの識別はローカルのUNIX/Linuxユーザーログイン情報に一致しなければならない。 そのため、IDMAP機能はほとんど関心を払う必要はなく、winbindも不要で、IDMAP 機能は関連しないか、興味を持つべきものではない。

Samba-3はWindows NT4 PDCまたはBDCとして動作でき、それによって、Windows NT4と 互換性を持つドメイン制御プロトコルを提供する。Samba-3のファイルと印刷共有 プロトコルはすべてのバージョンのMicrosoft Windows製品と互換がある。Windows NT4は Microsoft Windows Active Directoryと同様、広範囲にWindows SIDを使用する。

Samba-3ドメインメンバーサーバーとクライアントはMicrosoft Windows SIDと正しく相互に 処理を行わなければならない。入力されたSIDはローカルのUNIX UIDとGIDに変換され なければならない。Sambaサーバーから出力する情報は、適切なSIDでMicrosoft Windows クライアントとサーバーに提供されなければならない。

Windowsネットワークドメイン(NT4形式またはADS)のメンバーであるSambaはいろいろな 方法で識別情報のマッピングを扱うように設定出来る。使用するメカニズムは、 winbinddデーモンが使われるか否かとどのようにwinbindの 機能が設定されているかに依存する。設定オプションの簡単な説明は以下の通り:

Microsoft Windowsドメインセキュリティシステムは、アカウント作成のプロセスの 一部として、ユーザーとグループSIDを生成する。WindowsはUNIXのUIDかGIDのような 概念を持たない。その代わり、固有のタイプのセキュリティ記述子を持つ。Sambaが ドメインコントローラーとして使われる時、各ユーザーとグループに固有のSIDを生成する 手段を提供する。Sambaは、smb.confファイル中で指定されたベースの値にUID またはGIDを2倍した値を足すという算術的に計算されたRIDを足すマシンとドメイン SIDを生成する。この方法は“算術的マッピング”と呼ばれる。

例をあげると、もしもユーザーのUIDが4321の場合、算術的なRIDベースが1000だとすると、 RIDは1000 + (2 x 4321) = 9642となる。そのため、もしもドメイン SIDがS-1-5-21-89238497-92787123-12341112ならば、 結果のSIDはS-1-5-21-89238497-92787123-12341112-9642となる。

前述のタイプのSIDはSambaによって、自動的な機能としてその場で生成されるか (passdb backend = [tdbsam | smbpasswd]を使った場合)、 あるいはLDAPベースのldapsam中でアカウントの一部として恒久的に格納されても よい。

ADSはUIDとGIDのような追加のアカウント属性に適応するために拡張できるディレクトリ スキーマを使う。Microsoft Service for UNIX 3.5をインストールすると、通常のADS スキーマをUNIXアカウント属性を含むように拡張する。これらはもちろん通常の ADSアカウント管理のMMCインタフェーススナップインモジュールを等して別途管理され なければならない。

ドメイン内で使われるセキュリティ識別子は、競合を避けるためと完全性を保つために 管理されねばならない。NT4ドメインコンテキスト中で、PDCはすべてのセキュリティ 認証情報の、バックアップドメインコントローラー(BDC)への配布を管理する。現時点で、 そのような情報のために適したSambaドメインコントローラーのpassdbバックエンドは、 LDAP中バックエンドのみである。

ユーザーとグループアカウントの中の情報の変更はBDCからPDCに送られる。PDCのみが ディレクトリに対して書き込むことができる。

IDMAPの情報は、すべてのドメインコントローラーがマスター(書き込み可能な)LDAPサーバーに 対してアクセス可能である限り、LDAPサーバーに直接書き込める。Samba-3は現時点で IDMAPバックエンド中でLDAPリダイレクトを扱えない。これは、IDMAP機能をスレーブ (複製される)LDAPサーバーで使うのは危険だということである。

2つの共通的な設定が使われる:

...
passwd: files winbind
shadow: files winbind
group:  files winbind
...
hosts:  files [dns] wins
...

idmap_rid機能は、ネイティブなwinbindとは異なり、新しい ツールで、MicrosoftのSIDをUNIXのUIDとGIDに、予測可能なマッピングを作成する。 Samba IDMAP機能にこの手法を実装する一番の利点は、集中したIDMAPデータを保存する 必要性をなくすということである。不都合な点は、単一のADSドメイン内のみで使う 事ができる事と、ドメイン間信頼機能とは互換性がないことである。

このSIDからUID/GIDへのマッピングにおける代替手法はidmap_ridプラグインを 使って実現できる。このプラグインは、RIDに指定されたベース値を加える事に よってUIDとGIDを引き出すために、ユーザーSIDのRIDを使う。このユーティリティは 複数のドメイン環境とは互換がない、“allow trusted domains = No” パラメーターを指定することを要求する。idmap uidと idmap gidの範囲を指定する必要がある。

idmap_rid機能はNT4/Samba形式のドメインとActive Directoryで使える。これをNT4 ドメインで使うためには、realmパラメーターを含んでは いけない。さらに、ドメインに参加するために使う手法は、 net rpc joinを使う。

ADSドメイン環境でのsmb.confファイルの例は、 idmap_ridを使うADSドメインメンバーのsmb.conf である。

たくさんのユーザーが居る大きなドメイン中で、ユーザーとグループを列挙することを無効に することは避けられない。例えば、Active Directory中に22000人ものユーザーが居る サイトで、winbindベースのユーザーとグループの解決は、winbindを 最初に開始する時点から12分以上利用できない。列挙を無効にすると、瞬間的に反応が 返る。ユーザーとグループの列挙を無効にすると言うことは、getent passwd とgetent groupコマンドを使ってユーザーかグループの一覧を 表示することが出来ないと言うことである。特定のユーザーのみを検索することは 以下のような方法で可能である。

このツールを使用するには、ネイティブなwinbindの使用ごとにNSSの設定を必要とする。 以下のパラメーターを含むように/etc/nsswitch.confファイルを 編集する。

...
passwd: files winbind
shadow: files winbind
group:  files winbind
...
hosts:  files wins
...

以下の手順でidmap_rid機能を使うことが出来る:

IDMAPの情報をLDAP中に格納することは、NT4/Samba-3形式のドメインとADSドメインで 利用できる。OpenLDAPは、多くの標準準拠のLDAPサーバーが使われているにもかかわらず、 この目的に多用されているLDAPサーバーである。従って、このIDMAP設定を、Sun iPlanet LDAP Server,Novell eDirectory, Microsoft ADS plus ADAMやその他で使うことは可能で ある。

ADSドメインのための例は、 LDAPを使うADSドメインメンバーサーバーにある。

NT4またはSamba-3形式のドメインの場合、realmは使わず、 ドメインに参加するために使うコマンドはnet rpc joinである。 上記の例は、バグの報告に記述されている高度な エラー報告のテクニックも示している。

MIT kerberosがインストールされている場合(バージョン 1.3.4以降)、以下の内容を 含むように/etc/krb5.confを編集する:

[logging]
 default = FILE:/var/log/krb5libs.log
 kdc = FILE:/var/log/krb5kdc.log
 admin_server = FILE:/var/log/kadmind.log

[libdefaults]
 default_realm = SNOWSHOW.COM
 dns_lookup_realm = false
 dns_lookup_kdc = true

[appdefaults]
 pam = {
   debug = false
   ticket_lifetime = 36000
   renew_lifetime = 36000
   forwardable = true
   krb4_convert = false
 }

Heimdal kerberosがインストールされている場合、/etc/krb5.conf ファイルは空白にするか(すなわち内容が無い)、以下の内容を含むように編集する:

[libdefaults]
        default_realm = SNOWSHOW.COM
        clockskew = 300

[realms]
        SNOWSHOW.COM = {
                kdc = ADSDC.SHOWSHOW.COM
        }
        
[domain_realm]
        .snowshow.com = SNOWSHOW.COM

以下のエントリを含むようにNSS制御ファイル/etc/nsswitch.conf を編集する:

...
passwd: files ldap
shadow: files ldap
group:  files ldap
...
hosts:  files wins
...

この解決方法のためには、PADLの nss_ldapツールセットが必要である。必要とされる情報を /etc/ldap.confファイルに設定すること。以下は、 動作するファイルの例である:

host    192.168.2.1
base    dc=snowshow,dc=com
binddn  cn=Manager,dc=snowshow,dc=com
bindpw  not24get

pam_password exop

nss_base_passwd ou=People,dc=snowshow,dc=com?one
nss_base_shadow ou=People,dc=snowshow,dc=com?one
nss_base_group  ou=Groups,dc=snowshow,dc=com?one
ssl     no

以下の手続きは動くようにするための設定手順である:

ドメインへの参加が成功するか失敗するかを識別するため、この章の始めの方で 紹介された診断手続きに従うこと。多くの場合、失敗の理由が何も示されない コマンドプロンプトの静かな結果によって、失敗は表示される。

この方法はきれいなものではない。以下で提供される情報は手引きのみであり、かつ、 全くもって不確かで完全ではない。この方法は動く。数多くの巨大サイトで使用され、 耐えられるレベルのパフォーマンスを提供している。

smb.confファイルの例は NSS経由のRFC2307bisスキーマ拡張日付を使うADSドメインメンバーサーバー にある。

DMSは通常の手順でドメインに参加しなければならない。更に追加で、PADL nss_ldap ツールセットのコンパイルとインストールが必要である。以下のようにしてこのツールを 構築する:

./configure --enable-rfc2307bis --enable-schema-mapping
make install

/etc/nsswitch.confファイル中には以下の内容が必要である:

...
passwd: files ldap
shadow: files ldap
group:  files ldap
...
hosts:  files wins
...

/etc/ldap.confも設定しなければならない。特定の説明に ついては、PADLのドキュメントとnss_ldapのソースコードを参照のこと。

次のステップではADSスキーマの準備を必要とする。これは、この章の残りの部分で 簡単に説明する。