マップされていないユーザーとグループアカウントのみに影響する変更点はここで文書化されている。

ユーザーとグループに対する内部管理ルーチンは割り当てられた相対識別子(RID) の重複を防ぐために書き直された。過去では、net groupmapコマンド 又はnet rpc vampireコマンドで net rpc vampire を実行してWindowsドメインをSambaドメインにマイグレートすることによって、 手動でUnixグループにマッピングするときに問題が発生する可能性があった。

マップされていないユーザーは、今回からS-1-22-1ドメイン中の SIDが割り当てられ、マップされていないグループはS-1-22-2ドメイン 中のSIDを割り当てられる。以前はSambaサーバー上のSAM内のRIDを割り当てていた。 ドメインコントローラーにとって、これは、メンバーサーバーかスタンドアロンサーバー上のような ドメインSIDの権限の配下にあり、これはローカルSAM(net getlocalsid マニュアルページを参照)の権限下にあった。

結果は、アップグレードされたSambaドメインコントローラー上の、あるマップされていない ユーザー又はグループは新しいSIDを割り当てられることになる。Windowsセキュリティ 記述子中に名前というかSIDが格納されるので、これは、そのユーザーが たとえば、Sambaファイルサーバーからローカルの WindowsクライアントNTFSパーティションにファイルがコピーされた場合、もはやリソースに アクセスできないという現象を引き起こす。Sambaサーバー上自身で格納された任意のファイル は、UNIXがUNIXのGIDを格納し、権限の検査にSIDを使わないために引き続きアクセスできる。

変更を図示するのに例題が役立つ:

developersという名前のグループがありそのUNIX GIDが782だと する。この場合、このグループはSambaのグループマップテーブル中には存在しない。 このグループがACLエディター中に現れることは全く通常通りである。Samba-3.0.23より 前では、グループSIDは S-1-5-21-647511796-4126122067-3123570092-2565として 表示される。

Samba-3.0.23のリリースから、グループSIDはS-1-22-2-782のよう に表示されるようになった。任意の、Windows NTFSパーティション上に格納されるファイルに付 随するセキュリティ記述子は、ユーザーが S-1-5-21-647511796-4126122067-3123570092-2565グループ のメンバーでない場合、グループパーミッションベースのアクセスを許可されない。 このグループSIDがS-1-22-2-782で、ユーザートークン中に 表示されないという理由で、たとえ両方のSIDが同じUNIXグループを参照する という観点においても、Windowsは認証に失敗する。

Samba 3.0.23より前での回避方法は、グループdevelopers がS-1-5-21-647511796-4126122067-3123570092-2565という SIDを示すグループマップエントリを手動で作成することである。Samba-3.0.23 のリリースから、この回避方法は不要になった。

Samba 3.0.xシリーズの3.0.23より前のリリースでは、 Domain Admins, Domain Users, Domain GuestsというWindows ドメイングループに対するグループマッピングは自動的に作成された。Samba-3.0.23 から、これらのマッピングはSamba管理者によって作成されなければならないように なった。これが失敗すると、正しい認証と、有効なドメインユーザーの認識に失敗する 結果となる。これが起きた場合、ユーザーはWindowsクライアントにログオンできなくなる。

以下のマッピングが必要である:

POSIX(UNIX)グループがLDAP内に格納される場合、それぞれ domadmins, domusers,domguestsと指定すると 便利である(訳注:やや意訳です)。

グループマッピングに関するさらなる情報は グループマッピング: Microsoft Windows と UNIXを参照のこと。

もはやpassdb backendパラメーターは、複数のpassdbバックエンドを 連続して設定できない。SQLとXML passdbバックエンドもSamba-3.0.23のリリースから取り除 かれた。外部のSQL passdb サポートについてのより詳細な情報は pdbsqlページを参照のこと。

Domain Adminsのようなグループのための既定値のマッピングエントリは もはやsmbpasswdファイルかtdbsam passdbバックエンド を使う時に作成されない。このことは、グループマッピングを作成するためには、明示的に net groupmap addコマンドを実行することが必要であると言うことであり、 WindowsのグループSIDをUNIXのGIDへのマッピングを作成するために、 net groupmap modifyを使うということである。この変更は ドメイングループに対するwinbinddのIDMAP機能には何らの影響はない。

Samba LDAPスキーマファイルに少々の変更がある。sambaSID 属性定義にサブストリングマッチルールが追加された。OpenLDAPでは、これは、 slapd.conf設定ファイルにindex sambaSID sub を追加することが必要となる。実際のデータの内容については変更はない。