Sambaサーバー上でユーザーとグループに権利を割り当てる管理には2つの主要な手段がある。 止め引用のNT4ユーザーマネージャはSambaドメインコントローラーに接続 するためにWindows NT4、2000かXP Professionalのドメインメンバークライアントのどれから でも使うことが出来、権限の割り当てを表示したり修正できる。しかし、このアプリケーション は、Windows 2000かそれ以降のクライアント上で動かす時にはバグがある。そのため、管理 操作の実行を行うために必要なコマンドラインユーティリティを提供している。

Samba-3.0.11以降のnet rpc rightsユーティリティは新しい3つの サブコマンドを提供している:

いったんsmbdが、ユーザーが必要な権利を持っていると確認した場合、特定の操作はrootとして 実行されるので、初期状態では、どのユーザーに対しても、何らの権利は割り当てられない。 例えば、Windowsドメインにクライアントを参加させる時、add machine script はほとんどの場合、スーパーユーザーの権利で動作させる必要がある。この理由のため、アカウントに 対して権限を割り当てるのはとても注意すべきである。

root ユーザー(UID=0)としてのアクセスは、すべての権限チェックをバイパスする。

Samba-3.0.11で実装された権限は以下の通りである。ありそうではあるが、可能であれば、 この後のSambaのリリースで権限が追加実装されるかもしれない。また、現在実装されて いるが、使われていないものは、管理項目として将来のリリースで削除されるかも しれないので、それらの機能を使った時の成功/失敗はSambaメーリングリスト上で報告 することは重要である。

参照のために、Windows NT4 PDCで表示される権限は以下の通り:

         SeCreateTokenPrivilege  Create a token object
  SeAssignPrimaryTokenPrivilege  Replace a process level token
          SeLockMemoryPrivilege  Lock pages in memory
       SeIncreaseQuotaPrivilege  Increase quotas
      SeMachineAccountPrivilege  Add workstations to domain
                 SeTcbPrivilege  Act as part of the operating system
            SeSecurityPrivilege  Manage auditing and security log
       SeTakeOwnershipPrivilege  Take ownership of files or other objects
          SeLoadDriverPrivilege  Load and unload device drivers
       SeSystemProfilePrivilege  Profile system performance
          SeSystemtimePrivilege  Change the system time
SeProfileSingleProcessPrivilege  Profile single process
SeIncreaseBasePriorityPrivilege  Increase scheduling priority
      SeCreatePagefilePrivilege  Create a pagefile
     SeCreatePermanentPrivilege  Create permanent shared objects
              SeBackupPrivilege  Back up files and directories
             SeRestorePrivilege  Restore files and directories
            SeShutdownPrivilege  Shut down the system
               SeDebugPrivilege  Debug programs
               SeAuditPrivilege  Generate security audits
   SeSystemEnvironmentPrivilege  Modify firmware environment values
        SeChangeNotifyPrivilege  Bypass traverse checking
      SeRemoteShutdownPrivilege  Force shutdown from a remote system

また、Windows 200x/XP ドメインコントローラーとワークステーションでサポートされている権限は以下の通り:

         SeCreateTokenPrivilege  Create a token object
  SeAssignPrimaryTokenPrivilege  Replace a process level token
          SeLockMemoryPrivilege  Lock pages in memory
       SeIncreaseQuotaPrivilege  Increase quotas
      SeMachineAccountPrivilege  Add workstations to domain
                 SeTcbPrivilege  Act as part of the operating system
            SeSecurityPrivilege  Manage auditing and security log
       SeTakeOwnershipPrivilege  Take ownership of files or other objects
          SeLoadDriverPrivilege  Load and unload device drivers
       SeSystemProfilePrivilege  Profile system performance
          SeSystemtimePrivilege  Change the system time
SeProfileSingleProcessPrivilege  Profile single process
SeIncreaseBasePriorityPrivilege  Increase scheduling priority
      SeCreatePagefilePrivilege  Create a pagefile
     SeCreatePermanentPrivilege  Create permanent shared objects
              SeBackupPrivilege  Back up files and directories
             SeRestorePrivilege  Restore files and directories
            SeShutdownPrivilege  Shut down the system
               SeDebugPrivilege  Debug programs
               SeAuditPrivilege  Generate security audits
   SeSystemEnvironmentPrivilege  Modify firmware environment values
        SeChangeNotifyPrivilege  Bypass traverse checking
      SeRemoteShutdownPrivilege  Force shutdown from a remote system
              SeUndockPrivilege  Remove computer from docking station
           SeSyncAgentPrivilege  Synchronize directory service data
    SeEnableDelegationPrivilege  Enable computer and user accounts to
                                 be trusted for delegation
        SeManageVolumePrivilege  Perform volume maintenance tasks
         SeImpersonatePrivilege  Impersonate a client after authentication
        SeCreateGlobalPrivilege  Create global objects

SambaチームはUNIX/Linux環境で論理的に問題が無く、有用な権限のみを実装している。 Windows 200X/XPにおける権限の多くはUNIX中のものに直接相当するものは無い。

Windows NT4(とそれ以降)のクライアントがドメインに参加したとき、ドメイン全体での Domain Adminsグループはクライアント上のローカルな Administratorsグループのメンバーシップに追加される。ドメイン グローバルのDomain Adminsグループのメンバーであるユーザーは誰でも Windowsクライアント上で管理者の権利と権限を持つ。

これは、ユーザーがドメインサーバー上でも管理者の権利と権限を持ってしまうために、 必ずしもすべての場合において良い解決方法とは言えない。Windowsクライアント上の Power Usersグループはワークステーションのみのローカルな 管理者権限を持つ。任意のグローバルユーザーかドメイングローバルグループは、 ローカルワークステーションのPower Usersグループのメンバーに 追加できる。

ネストされたグループのサポートに、Windows ワークステーション上でのローカルグループにドメインユーザーとグループを追加する 方法の例がある。Sambaサーバーからnetを使うことで、この作業が 行える。

これを行う別の方法は、WindowsワークステーションにAdministrator としてログオンし、cmdシェルを開き、以下を実行する:

C:\>  net localgroup administrators /add domain_name\entity

ここで、entityは、ドメインユーザーかドメイングループのアカウント名である。