SambaはUNIX POSIX識別情報を、SambaとWindowsネットワーク環境に特有の 情報を格納する場所と同様に必要とする。取り扱われなければならない、 最もよく使われる情報はユーザーアカウント、グループアカウント、マシン 信頼アカウント、ドメイン間信頼アカウントとSamba内部で使う固有の中間 情報を含む。

この文書中の、展開ガイドラインは、他の本とインターネット上で公開されて いるHOWTO文書と同じように、出来上がっているディレクトリデザインと実装に 適合するわけではない。存在するDITは、共通のソース中で提案された単純な 情報レイアウトに適合することが出来ないかもしれない。更に追加すると、 Samba用に使われるLDAPディレクトリを提供するのに使われる共通スクリプトと ツールはあなたの要求に適合しないかもしれない。

これは一般的ではないが、存在するLDAP DITを持つサイトのために、サイト 固有のスクリプトとユーティリティ一式を作成する必要がある場合に、サイト 操作のスコープ内でSambaを供給することは可能である。DITを使ってユーザーと グループアカウントを配布する方法はこれをチャレンジングなことにさせる。 解決方法は、もちろん、価値があることであるが、それを行うための試行錯誤は チャレンジングである。サイトの要求を理解する時間を取り、急いで提供する ことは避けること。

上記から、サイトに適合しないスクリプトとツールをむやみやたらに使わないこと。 存在する基盤が、不適切なツールの不用意な使用によって被害を被らないことを 確実にするために、すべてのスクリプトを、それを実行する前に検査して検証すること。

pdbeditツールはsmbpasswdツールと 同様、UNIX/Linuxシステムアカウントデータベース(バックエンド)中にすでに 存在するPOSIXユーザーアカウントを必要とする。システム管理者の責任と 考えられるので、ユーザーアカウントを作成するためにOSを呼び出すことは どちらのツールも行わない。NT4のドメインユーザーマネージャがアカウント を追加するために使われた時、Sambaは、ユーザー、グループ、マシンアカウント が正しく作成され、変更されることを行うために、(他のインタフェース スクリプトと同様)add user scriptを使う。 pdbeditツールを使用しても、それらのインタフェース スクリプトは使わない。

pdbeditを、ユーザーとマシンアカウントを管理 するために使うことを試みる前に、システム(POSIX)アカウントが すでに作成されているかを確かめておくこと。

$ pdbedit -Lv met
UNIX username:        met
NT username:          met
Account Flags:        [U          ]
User SID:             S-1-5-21-1449123459-1407424037-3116680435-2004
Primary Group SID:    S-1-5-21-1449123459-1407424037-3116680435-1201
Full Name:            Melissa E Terpstra
Home Directory:       \\frodo\met\Win9Profile
HomeDir Drive:        H:
Logon Script:         scripts\logon.bat
Profile Path:         \\frodo\Profiles\met
Domain:               MIDEARTH
Account desc:
Workstations:         melbelle
Munged dial:
Logon time:           0
Logoff time:          Mon, 18 Jan 2038 20:14:07 GMT
Kickoff time:         Mon, 18 Jan 2038 20:14:07 GMT
Password last set:    Sat, 14 Dec 2002 14:37:03 GMT
Password can change:  Sat, 14 Dec 2002 14:37:03 GMT
Password must change: Mon, 18 Jan 2038 20:14:07 GMT

root# pdbedit -Lw
root:0:84B0D8E14D158FF8417EAF50CFAC29C3:
     AF6DD3FD4E2EA8BDE1695A3F05EFBF52:[U          ]:LCT-42681AB8:
jht:1000:6BBC4159020A52741486235A2333E4D2:
     CC099521AD554A3C3CF2556274DBCFBC:[U          ]:LCT-40D75B5B:
rcg:1002:E95D4331A6F23AF8AAD3B435B51404EE:
     BB0F2C39B04CA6100F0E535DF8314B43:[U          ]:LCT-40D7C5A3:
afw:1003:1AAFA7F9F6DC1DEAAAD3B435B51404EE:
     CE92C2F9471594CDC4E7860CA6BC62DB:[T          ]:LCT-40DA501F:
met:1004:A2848CB7E076B435AAD3B435B51404EE:
     F25F5D3405085C555236B80B7B22C0D2:[U          ]:LCT-4244FAB8:
aurora$:1005:060DE593EA638B8ACC4A19F14D2FF2BB:
     060DE593EA638B8ACC4A19F14D2FF2BB:[W          ]:LCT-4173E5CC:
temptation$:1006:XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX:
     A96703C014E404E33D4049F706C45EE9:[W          ]:LCT-42BF0C57:
vaioboss$:1001:XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX:
     88A30A095160072784C88F811E89F98A:[W          ]:LCT-41C3878D:
frodo$:1008:15891DC6B843ECA41249940C814E316B:
     B68EADCCD18E17503D3DAD3E6B0B9A75:[W          ]:LCT-42B7979F:
marvel$:1011:BF709959C3C94E0B3958B7B84A3BB6F3:
     C610EFE9A385A3E8AA46ADFD576E6881:[W          ]:LCT-40F07A4

root#  pdbedit -a vlaan
new password: secretpw
retype new password: secretpw
Unix username:        vlaan
NT username:          vlaan
Account Flags:        [U          ]
User SID:             S-1-5-21-726309263-4128913605-1168186429-3014
Primary Group SID:    S-1-5-21-726309263-4128913605-1168186429-513
Full Name:            Victor Laan
Home Directory:       \\frodo\vlaan
HomeDir Drive:        H:
Logon Script:         scripts\logon.bat
Profile Path:         \\frodo\profiles\vlaan
Domain:               MIDEARTH
Account desc:         Guest User
Workstations:
Munged dial:
Logon time:           0
Logoff time:          Mon, 18 Jan 2038 20:14:07 GMT
Kickoff time:         Mon, 18 Jan 2038 20:14:07 GMT
Password last set:    Wed, 29 Jun 2005 19:35:12 GMT
Password can change:  Wed, 29 Jun 2005 19:35:12 GMT
Password must change: Mon, 18 Jan 2038 20:14:07 GMT
Last bad password   : 0
Bad password count  : 0
Logon hours         : FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF

root#  pdbedit -x vlaan

root#  pdbedit -r --fullname="Victor Aluicious Laan" vlaan
...
Primary Group SID:    S-1-5-21-726309263-4128913605-1168186429-513
Full Name:            Victor Aluicious Laan
Home Directory:       \\frodo\vlaan
...

root#  pdbedit -Lv vlaan
...
Password last set:    Sun, 09 Sep 2001 22:21:40 GMT
Password can change:  Thu, 03 Jan 2002 15:08:35 GMT
Password must change: Thu, 03 Jan 2002 15:08:35 GMT
Last bad password   : Thu, 03 Jan 2002 15:08:35 GMT
Bad password count  : 2
...

root#  pdbedit -z vlaan
...
Password last set:    Sun, 09 Sep 2001 22:21:40 GMT
Password can change:  Thu, 03 Jan 2002 15:08:35 GMT
Password must change: Thu, 03 Jan 2002 15:08:35 GMT
Last bad password   : 0
Bad password count  : 0
...

root#  pdbedit --pwd-must-change-time=1200000000 vlaan
...
Password last set:    Sun, 09 Sep 2001 22:21:40 GMT
Password can change:  Thu, 03 Jan 2002 15:08:35 GMT
Password must change: Thu, 10 Jan 2008 14:20:00 GMT
...

root#  pdbedit --pwd-must-change-time="2010-01-01" \
              --time-format="%Y-%m-%d" vlaan
...
Password last set:    Sun, 09 Sep 2001 22:21:40 GMT
Password can change:  Thu, 03 Jan 2002 15:08:35 GMT
Password must change: Fri, 01 Jan 2010 00:00:00 GMT
...

root#  pdbedit -r -c "[DLX]" jht
Unix username:        jht
NT username:          jht
Account Flags:        [DHULX      ]
User SID:             S-1-5-21-729263-4123605-1186429-3000
Primary Group SID:    S-1-5-21-729263-4123605-1186429-513
Full Name:            John H Terpstra,Utah Office
Home Directory:       \\aurora\jht
HomeDir Drive:        H:
Logon Script:         scripts\logon.bat
Profile Path:         \\aurora\profiles\jht
Domain:               MIDEARTH
Account desc:         BluntObject
Workstations:
Logon time:           0
Logoff time:          Mon, 18 Jan 2038 20:14:07 GMT
Kickoff time:         0
Password last set:    Sun, 03 Jul 2005 23:19:18 GMT
Password can change:  Sun, 03 Jul 2005 23:19:18 GMT
Password must change: Mon, 18 Jan 2038 20:14:07 GMT
Last bad password   : 0
Bad password count  : 0
Logon hours         : FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF

root#  pdbedit -r -c "[]" jht
Unix username:        jht
NT username:          jht
Account Flags:        [U          ]
User SID:             S-1-5-21-729263-4123605-1186429-3000
Primary Group SID:    S-1-5-21-729263-4123605-1186429-513
Full Name:            John H Terpstra,Utah Office
Home Directory:       \\aurora\jht
HomeDir Drive:        H:
Logon Script:         scripts\logon.bat
Profile Path:         \\aurora\profiles\jht
Domain:               MIDEARTH
Account desc:         BluntObject
Workstations:
Logon time:           0
Logoff time:          Mon, 18 Jan 2038 20:14:07 GMT
Kickoff time:         0
Password last set:    Sun, 03 Jul 2005 23:19:18 GMT
Password can change:  Sun, 03 Jul 2005 23:19:18 GMT
Password must change: Mon, 18 Jan 2038 20:14:07 GMT
Last bad password   : 0
Bad password count  : 0
Logon hours         : FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF

root#  pdbedit -P ?
No account policy by that name
Account policy names are :
min password length
password history
user must logon to change password
maximum password age
minimum password age
lockout duration
reset count minutes
bad lockout attempt
disconnect time
refuse machine password change

root#  pdbedit -P "min password length" -C 8
account policy value for min password length was 5
account policy value for min password length is now 8
root#  pdbedit -P "password history" -C 4
account policy value for password history was 0
account policy value for password history is now 4
root#  pdbedit -P "maximum password age" -C 7776000
account policy value for maximum password age was 4294967295
account policy value for maximum password age is now 7776000
root#  pdbedit -P "minimum password age" -C 7
account policy value for minimum password age was 0
account policy value for minimum password age is now 7
root#  pdbedit -P "bad lockout attempt" -C 8
account policy value for bad lockout attempt was 0
account policy value for bad lockout attempt is now 8
root#  pdbedit -P "lockout duration" -C -1
account policy value for lockout duration was 30
account policy value for lockout duration is now 4294967295

pdbeditツールはあるバックエンドからほかのものに 認証情報(アカウント)データベースのインポート/エクスポートができる。 例えば、古いsmbpasswdデータベースから tdbsamバックエンドにアカウントをインポート/ エクスポートするためには以下のように行う:

LDAPのldapsamコードはOpenLDAP 2.xサーバーとクライアントライブラリを 使って開発とテストが行われている。同じコードはNetscape's Directory Server とクライアントSDKでも動作する。しかし、それらはコンパイルエラーとバグが 必ず生じる。それらを直すのはとても難しい。 バグ報告中で概要が説明されている手順 経由で修正を投稿してほしい。

Sambaは任意の標準準拠のLDAPサーバーとともに動作できる。

Samba-3.0はソースコードディストリビューション中の examples/LDAP/samba.schema中にある OpenLDAP 2.x用に必要なスキーマファイルを用意している。 sambaSamAccountオブジェクトクラスのスキーマエントリは以下の通り:

ObjectClass (1.3.6.1.4.1.7165.2.2.6 NAME 'sambaSamAccount' SUP top AUXILIARY
    DESC 'Samba-3.0 Auxiliary SAM Account'
    MUST ( uid $ sambaSID )
    MAY  ( cn $ sambaLMPassword $ sambaNTPassword $ sambaPwdLastSet $
          sambaLogonTime $ sambaLogoffTime $ sambaKickoffTime $
          sambaPwdCanChange $ sambaPwdMustChange $ sambaAcctFlags $
          displayName $ sambaHomePath $ sambaHomeDrive $ sambaLogonScript $
          sambaProfilePath $ description $ sambaUserWorkstations $
          sambaPrimaryGroupSID $ sambaDomainName ))

samba.schemaファイルはOpenLDAP 2.0/2.1 用の形式である。Sambaチームは上記のスキーマが使うOID空間を 所有し、この利用を推奨している。もしもNetscape DSが使うように スキーマを変換したならば、 jerry@samba.org にパッチとしてスキーマファイルを送ってほしい。

smbpasswdファイルが、ユーザーの/etc/passwdエントリ に追加の情報を提供する情報を格納するように、sambaSamAccountアカウント オブジェクトはUNIXユーザーアカウント情報を補う。sambaSamAccountは 補助型オブジェクトクラスであるので、LDAP ディレクトリ中の存在するユーザーアカウント情報に付随するものとして 使うことが出来、Sambaアカウントの操作のために必要な情報を提供する。 しかし、RFC2307で定義されているposixAccountオブジェクトクラスと 重複するいくつかのフィールド(たとえばuid)がある。これは意図的なものである。

すべてのユーザーアカウント情報(UNIXとSamba)をディレクトリ中に格納する ために、sambaSamAccountとposixAccountオブジェクトクラスを組み合わせて 使う必要がある。しかし、smbdはそれでもgetpwnam() のような標準Cライブラリコール経由でユーザーのUNIXアカウント情報を、 得ることがある。これは、SambaサーバーはLDAP NSSライブラリのインストールと 正しく動くための設定も必要とすることを意味する。このように情報を区分することで、 すべてのSambaアカウント情報をLDAP中に格納することが出来るようにするが、 ネットワークが完全なLDAP基盤に移行しながら、UNIX のアカウント情報は NISで管理することができる。

OpenLDAPディレクトリサーバー中でsambaSamAccountのサポートを行うためには、 最初にsamba.schemaファイルをslapdの設定ディレクトリにコピーする。 samba.schemaファイルはSambaソースディストリビューション中の examples/LDAPディレクトリ中にある。

root# cp samba.schema /etc/openldap/schema/

次に、slapd.conf中にsamba.schema ファイルを含める。sambaSamAccountオブジェクトは他のスキーマファイルに 依存する2つの属性を含んでいる。uid属性は cosine.schema中で定義され、 displayName属性は inetorgperson.schema中で定義されている。両方は samba.schemaファイルの前で定義しておかなければならない。

## /etc/openldap/slapd.conf

## スキーマファイル(core.schemaは既定値で必要とされる)
include	           /etc/openldap/schema/core.schema

## sambaSamAccountに必要なもの
include            /etc/openldap/schema/cosine.schema
include            /etc/openldap/schema/inetorgperson.schema
include            /etc/openldap/schema/nis.schema
include            /etc/openldap/schema/samba.schema
....

以下の例のように、sambaSamAccountオブジェクトクラス上での検索のスピード を上げるため、最もよく使う属性のいくつかにインデックスを付加することは 推奨される(そして、可能ならばそれはposixAccountとposixGroupも)。

# インデックスの管理
## OpenLDAPで要求されるもの
index objectclass             eq

index cn                      pres,sub,eq
index sn                      pres,sub,eq
## pdb_getsampwnamをサポートするのに必要なもの
index uid                     pres,sub,eq
## pdb_getsambapwrid()をサポートするのに必要なもの
index displayName             pres,sub,eq

## uncomment these if you are storing posixAccount and
## posixGroup entries in the directory as well
##index uidNumber               eq
##index gidNumber               eq
##index memberUid               eq

index   sambaSID              eq
index   sambaPrimaryGroupSID  eq
index   sambaDomainName       eq
index   default               sub

以下を実行し新しいインデックスを作成する:

root# ./sbin/slapindex -f slapd.conf

上記の変更後、slapdを再起動するのを忘れないこと:

root# /etc/init.d/slapd restart

LDAPデータベースにアカウントが追加できる前に、格納するためのアカウント コンテナーを作成する必要がある。以下のLDIFファイルは必要に応じて変更 する必要がある(DNSエントリなど):

# Organization for Samba Base
dn: dc=quenya,dc=org
objectclass: dcObject
objectclass: organization
dc: quenya
o: Quenya Org Network
description: The Samba Network LDAP Example

# Organizational Role for Directory Management
dn: cn=Manager,dc=quenya,dc=org
objectclass: organizationalRole
cn: Manager
description: Directory Manager

# Setting up container for Users OU
dn: ou=People,dc=quenya,dc=org
objectclass: top
objectclass: organizationalUnit
ou: People

# Setting up admin handle for People OU
dn: cn=admin,ou=People,dc=quenya,dc=org
cn: admin
objectclass: top
objectclass: organizationalRole
objectclass: simpleSecurityObject
userPassword: {SSHA}c3ZM9tBaBo9autm1dL3waDS21+JSfQVz
# Setting up container for groups
dn: ou=Groups,dc=quenya,dc=org
objectclass: top
objectclass: organizationalUnit
ou: Groups

# Setting up admin handle for Groups OU
dn: cn=admin,ou=Groups,dc=quenya,dc=org
cn: admin
objectclass: top
objectclass: organizationalRole
objectclass: simpleSecurityObject
userPassword: {SSHA}c3ZM9tBaBo9autm1dL3waDS21+JSfQVz

# Setting up container for computers
dn: ou=Computers,dc=quenya,dc=org
objectclass: top
objectclass: organizationalUnit
ou: Computers

# Setting up admin handle for Computers OU
dn: cn=admin,ou=Computers,dc=quenya,dc=org
cn: admin
objectclass: top
objectclass: organizationalRole
objectclass: simpleSecurityObject
userPassword: {SSHA}c3ZM9tBaBo9autm1dL3waDS21+JSfQVz

上記で示されているuserPasswordはslappasswdを使って 生成する必要がある。

以下のコマンドでLDAPデータベース中にLDIFの内容をロードする。

$ slapadd -v -l initldap.dif

adminパスワードと同様に、アクセス制御リストを十分に使ってLDAPサーバーの 安全性を確保することを忘れないこと。

root# smbpasswd -w secret

以下のsmb.conf中のパラメーターは、SambaがLDAPサポートを出来るように 構築された場合にのみ有効である。Sambaは、LDAPライブラリを見つけると、 自動的にLDAPをサポートするように構築する。LDAPをサポートしているか 否かを調べる最も良い方法は以下の通り:

root#  smbd -b | grep LDAP
   HAVE_LDAP_H
   HAVE_LDAP
   HAVE_LDAP_DOMAIN2HOSTLIST
   HAVE_LDAP_INIT
   HAVE_LDAP_INITIALIZE
   HAVE_LDAP_SET_REBIND_PROC
   HAVE_LIBLDAP
   LDAP_SET_REBIND_PROC_ARGS

もしも使用したsmbdコマンドがHAVE_LDAP_H を出力しない場合、なぜLDAPヘッダーとライブラリがコンパイル中に見つから なかったかということを調べる必要がある。

LDAP関連のsmb.confオプションは以下の通り:

これらはsmb.confマニュアルページに説明があり、ここでは繰り返さない。 しかし、LDAPディレクトリを使うための例は LDAP使用の設定例にある。

ユーザーアカウントはsambaSamAccountオブジェクトクラスを通じて管理 されるため、使っている管理ツールをsambaSamAccount属性を扱えるよう に修正する必要がある。

マシンアカウントはsambaSamAccountオブジェクトクラスを使って管理 されるため、ユーザーアカウントと同じように扱われる。しかし、これらの アカウントをLDAP名前空間の異なったツリーに格納することはそれも 可能である。グループを格納するために、 “ou=Groups,dc=quenya,dc=org”を使うべきであり、 ユーザーのために“ou=People,dc=quenya,dc=org”を 使うべきである。NSSとPAMの設定をそれに合わせて設定すること (通常は、/etc/openldap/sldap.conf設定 ファイル中で設定する)。

Samba では、グループ管理システムは POSIX グループをベースにして いる。これは、Samba は posixGroup オブジェクトクラスを使うという ことを意味する。今の所、NT 風のグループシステム管理はない( グローバルとローカルグループという)。Samba は Domain Groupsのみを認識し、Microsoft Windows 2000と Active Directoryとは異なり、Samba はネスト されたグループをサポートしない。

ディレクトリ中のsambaSAMAccountエントリについてのセキュリティに関する 議論の際に覚えておかなければならない2つの重要な観点がある。

これらのパスワードハッシュは平文と同等であり、オリジナルの平文 文字列を得ないでもユーザーを詐称するために使える。LM/NTハッシュ についてのより詳細な情報は、この章の アカウント情報データベース を参照のこと。

最初のセキュリティ問題に対応するため、ldap ssl smb.confパラメーターは、ディレクトリサーバーに接続する際に、 既定値のポート636を使う暗号化セッション (ldap ssl = on)を既定値で 要求する。OpenLDAPサーバーを使う場合、LDAPSを指定する場所で、 StartTLS LDAP拡張操作を使うことが可能である。この場合、安全な 通信プロトコルを使うことを強く推奨する(そのため、 ldap ssl = offを設定しては ならない)。

LDAPSプロトコルはLDAPv3 StartTLS拡張オプションが優先されるので、非推奨 であることに注意。しかし、OpenLDAPライブラリは引き続きクライ アントとサーバー間の古い安全な通信方法をサポートする。

次の安全対策は、管理者以外がディレクトリからパスワードハッシュを 得ることを防ぐことである。これはslapd.conf 中に以下のACLを設定することで行える:

## "ldap admin dn" アクセスは許可するがそれ以外は拒否
access to attrs=SambaLMPassword,SambaNTPassword
     by dn="cn=Samba Admin,ou=People,dc=quenya,dc=org" write
     by * none

sambaSamAccountオブジェクトクラスは以下の表にあるような属性の集合である: Part AとPart B。

これらのパラメーターの大多数はSambaがドメイン (どのようにSambaをPDCとして設定するかについての詳細がある ドメイン制御を参照)として振る舞う 時にのみ使われる。以下の4つの属性は、値が既定値でない場合にのみ sambaSamAccountエントリに格納される。

これらの属性は、値が既定値でない場合にのみsambaSamAccountに 格納される。例えば、MORIAがPDCとして設定され、そのsmb.conf ファイル中でlogon home = \\%L\%u が定義されているとする。“becky”という名前のユーザーが がドメインにログオンした時にはlogon home 文字列は\\MORIA\beckyに展開される。もしも、smbHome属性が “uid=becky,ou=People,dc=samba,dc=org”エントリ中に 存在するならば、この値が使われる。しかし、もしもこの属性が存在 しない場合、logon homeパラメーターの値が その場所に使われる。Sambaは、値が既定値以外の何かである場合 (例えば\\MOBY\becky)にのみ、属性値を ディレクトリエントリに書き込む。

以下は、SambaSamAccountオブジェクトクラスの、動作するLDIFの使用例である。

dn: uid=guest2, ou=People,dc=quenya,dc=org
sambaLMPassword: 878D8014606CDA29677A44EFA1353FC7
sambaPwdMustChange: 2147483647
sambaPrimaryGroupSID: S-1-5-21-2447931902-1787058256-3961074038-513
sambaNTPassword: 552902031BEDE9EFAAD3B435B51404EE
sambaPwdLastSet: 1010179124
sambaLogonTime: 0
objectClass: sambaSamAccount
uid: guest2
sambaKickoffTime: 2147483647
sambaAcctFlags: [UX         ]
sambaLogoffTime: 2147483647
sambaSID: S-1-5-21-2447931902-1787058256-3961074038-5006
sambaPwdCanChange: 0

以下はsambaSamAccountとposixAccountオブジェクトクラスに対するLDIF エントリである:

dn: uid=gcarter, ou=People,dc=quenya,dc=org
sambaLogonTime: 0
displayName: Gerald Carter
sambaLMPassword: 552902031BEDE9EFAAD3B435B51404EE
sambaPrimaryGroupSID: S-1-5-21-2447931902-1787058256-3961074038-1201
objectClass: posixAccount
objectClass: sambaSamAccount
sambaAcctFlags: [UX         ]
userPassword: {crypt}BpM2ej8Rkzogo
uid: gcarter
uidNumber: 9000
cn: Gerald Carter
loginShell: /bin/bash
logoffTime: 2147483647
gidNumber: 100
sambaKickoffTime: 2147483647
sambaPwdLastSet: 1010179230
sambaSID: S-1-5-21-2447931902-1787058256-3961074038-5004
homeDirectory: /home/moria/gcarter
sambaPwdCanChange: 0
sambaPwdMustChange: 2147483647
sambaNTPassword: 878D8014606CDA29677A44EFA1353FC7

Samba 以降のバージョンは、アカウントとして格納される非 Samba(LDAP) パスワード を更新できる。pam_ldap を使う場合、UNIX と Windows パスワードを同時に変更できる。

ldap passwd syncオプションでは、 設定可能なldap passwd sync の値にある値を使うことが出来る。

より詳細な情報は smb.conf マニュアルページにある。

Howard Chuは、smbk5pwdという特別なオーバーレイを書いた。 このツールは、LDAP_EXOP_X_MODIFY_PASSWD操作が実行される時に、 OpenLDAPエントリ中のSambaNTPassword, SambaLMPasswordとHeimdalハッシュを 変更する。

オーバーレイはOpenLDAP-2.3に含まれ、 contrib/slapd-modules/smbk5pwdサブディレクトリ にある。このモジュールはOpenLDAPでも使える。