このパラメーターは、 smbd(8) が呼び出すことで、 shutdown script によって実行されたシャットダウン処理を停止させるスクリプトのフルパス名である。

接続しているユーザーが SeRemoteShutdownPrivilege 権限を保持している場合、このコマンドは root 権限で呼び出される。

既定値: abort shutdown script = ""

例: abort shutdown script = /sbin/shutdown -c

あるサービスに対してこのパラメーターが yes であれば、 そのサービスで提供される共有は、 （net view \\sambaserver などで）共有の一覧表示が行われる際に、 共有に対して読み取りもしくは書き込みアクセス許可のあるユーザー以外から参照されなくなる。 これは Access-based Enumeration　（訳注：Windows Server 2003 SP1 以降に導入された、アクセス許可のないフォルダーを非表示にする機能）と同等の機能である。 主な違いは、共有に対するアクセス許可のみが評価され、共有内のファイルのセキュリティ識別子は、一覧表示の際の参照可否の確認には使用されないことである。

既定値: access based share enum = no

この真偽値パラメータは、Windows クライアントから、"open for execution" 要求のプロトコルを受け取ったときの、smbd(8) の動作を制御する。 Samba 3.6以前は、ACL中の実行許可はチェックされないため、クライアントは、 ファイルに実行許可がついていなくても、ファイルを実行できる。 Samba 4.0からはこの問題は修正され、既定値、すなわちパラメータが "False"に 設定されている場合、"open for execution" は、実行パーミッションが設定されて いない場合、拒否する。

もしもこのパラメータが、"True" に設定された場合、Sambaは open for execution" において、実行パーミッションをチェックしないので、Samba 3.6の動作と同じになる。 これは、古い Samba バージョンから、4.0以降へ、スムースにアップグレードするのに 便利に使える。この設定は、恒久的な設定として使われることを意味しないが、 一時的な救済としての意味合いはある。ACL 中のパーミッションを修正し、適切な 移行期間後にパラメータを既定値にすることを推奨する。

既定値: acl allow execute always = no

このパラメーターはSamba 3.6.2 ではすでに使用されておらず、将来のSambaバージョン において削除されることに注意。

この真偽値パラメーターは、 smbd(8) が Windows クライアントから「open for delete」というプロトコル要求を受けとった際の挙動を制御する。 Windows クライアントにファイル削除のパーミッションがない場合は、オープン時に失敗することが想定される挙動である。しかし、POSIX システムでは、実際にファイルやディレクトリを削除しようとした段階で、初めて削除のパーミッション確認が行なわれる。 Windows クライアントは「delete on close」ビットを外すことで、削除のリクエストを「取り止める」ことが可能である。 このため、Samba が「open for delete」リクエストが行なわれた時点で該当のファイルを削除してみるといった方策も、 一度削除されたファイルを復活させることはできないため難しい。 このパラメーターが true (デフォルト) の場合、smbd は「open for delete」リクエストの際にファイルシステムのパーミッションを直接チェックし、 ファイルシステムのパーミッション上削除できないと考えられる場合、該当のリクエストを拒否するようになる。 これは完全な方法ではなく、Samba がパーミッションを適切に確認できない場合に、ユーザーがファイルを削除できてしまう可能性があるが、 大半の場合は Windows と同様の挙動となるであろう。 通常 Samba は POSIX ACL の挙動を適切に確認できるはずである。

このパラメーターを「false」に設定した場合、Samba は「open for delete」リクエストの際にパーミッションの確認を行なわずにオープンを許可する。 ユーザーにファイルを削除するアクセス許可がない場合は、クローズする時までわからない。 Windows 上のツールにとって、クローズ時点でこれが判明しても遅過ぎるため、ユーザーにエラーメッセージが表示されるだろう。 また、削除したように見えたファイルが Windows 側のエクスプローラーで再表示すると「魔法のように」復活するといった現象も発生するであろう。 これは非常に高度なプロトコルに関するパラメーターであり、通常変更する必要はないはずである。 このパラメーターは Samba 3.0.21 で現在の形となったが、現在とは若干挙動が異なる古い版は Samba 3.0.20 で導入された。古い版の挙動について、ここでは言及していない。

既定値: acl check permissions = yes

このオプションは、Active Directory 要求に関して、Samba で セキュリティ記述子の評価を処理する方法を制御する。Windows 2012 で導入された AD 要求は、基本的に管理者が定義する key-value ペアで あり、Active Directory(Kerberos PACを介して通信) とセキュリティ 記述子自体の両方で設定できる。

Active Directory 要求は Samba 4.20 で新しくなった。 要求はセキュリティ記述子内の非常に柔軟な式言語に対して 評価されるため、このオプションは、管理者が必要とする場合に このロジックを無効にするメカニズムを提供する。

この既定の動作では、AD DC でのみ要求の評価が有効になる。また、 AD DC での要求の評価は、DC の機能レベルが 2012 以上の場合にのみ 有効になる。 ad dc functional level を参照のこと。

取り得る値は以下の通り:

既定値: acl claims evaluation = AD DC only

このオプションは、Samba がファイルおよびディレクトリのセキュリティ記述子を 設定するクライアント要求を処理する方法と、セキュリティ記述子フラグ "DACL auto-inherited"(DI) に対する操作の影響を制御する。通常、 このフラグは、親ディレクトリに DI セットがあり、継承可能な ACE もある場合、 作成時にファイル(またはディレクトリ)に設定される。

一方、セキュリティ記述子がファイルに明示的に設定されている場合、フラグ "DACL Inheritance Required"(DR) が新しいセキュリティ記述子にも 設定されていない限り(念のため,DR はディスクに格納されない)、DI フラグはクリアされる。

これは、このオプションが有効な場合(既定値)の既定の動作である。このオプションを noに設定すると、ディスク上の DI フラグの結果の値は、 設定されるセキュリティ記述子の DI の値から直接取得される。これを使用すると、 acl_xattr VFS モジュールによって作成された ACL を表す xattrs から data blob をコピーする rsync などのダンプツールによって、ソースと同一の ACL のコピーが作成されるようになる。このオプションを使用しない場合、コピー された ACL がソースに設定されていると、DIフラグがすべて解除される。

既定値: acl flag inherited canonicalization = yes

POSIX ファイルシステムでは、ファイルまたはディレクトリの所有者とスーパーユーザーのみがファイルのパーミッションや ACL を修正できる。 このパラメーターを有効にすると、Samba はこの制約を無視して、 ファイルやディレクトリの プライマリグループ所有者 が、 ファイルのパーミッションや ACL を修正することを可能とする。

Windows サーバーでは、グループがファイルやディレクトリの所有者となることができるため、 そのグループに所属する誰もがパーミッションを修正することができる。 これにより、ディレクトリのグループ所有者が、ファイルシステムのある地点以下のセキュリティ管理を委任することが可能となり、 その配下に作成されるファイルやディレクトリについても、そのグループが所有者となる。

このパラメーターにより、公開されたディレクトリ階層内で Samba が Windows と類似した制御の制御を行なうことを可能とする。 これは、UNIX グループのメンバー全員がグループ所有者となっているファイルやディレクトリのパーミッション制御を行なうことが可能となることを意味する。

このパラメーターは、inherit owner パラメーターが有効で、 ディレクトリに UNIX の setgid ビット が設定された共有で用いる のが最適であり、共有内に作成される新しいファイルやディレクトリに、 親ディレクトリのグループ所有者を継承させることが可能となる。

このパラメーターは、Samba 3.0.23 において、廃止予定の(deprecated)パラメーターとなった。 しかし、Samba 3.0.31以降で復活し、ユーザーが、所有するプライマリグループ中にいるとき、 パーミッションの変更を制御するのみになった。もはや dos filemodeオプションとは異なる。

既定値: acl group control = no

この真偽値パラメーターは、 smbd(8) が POSIX の ACE エントリでは最大のアクセス権を許可した状態である「rwx(read/write/execute)」を Windows 側の ACL の「フルコントロール」に対応づけるかどうかを制御する。 このパラメーターを true に設定した場合、POSIX ACE で「rwx」のエントリに対して、Windows 側の ACL としては「フルコントロール」が返却される。 このパラメーターが false に設定された場合、POSIX ACE で「rwx」のエントリに対して、 Windows 側の ACL としては read/write/execute を表すビットを設定したエントリが返却される。

既定値: acl map full control = yes

このパラメータの値(文字列)は、このドメインコントローラがサポートを要求する Active Directory の機能レベルである。

取り得る値は以下の通り :

通常 Samb aは Samba Active Directory ドメインコントローラのリリース された機能に従って動作するため、このオプションは設定すべきでない。

ただし、ドメイン機能レベル 2016 の不完全な機能にアクセスするには、 ドメイン機能レベルをアップグレードする前にこの値を設定すると便利な場合がある。

これを手動で設定すると、ドメインコントローラ間の機能の不一致に対する保護が 軽減されるため、すべてのドメインコントローラで同じバージョンの Samba を実行して、 どの DC に接続してもクライアントから見た動作が同じになるようにする必要がある。

これを2016 に設定すると、 samba-tool domain level raise --domain-level=2016で ドメインの機能レベルを上げることができ、Samba の Kerberos Claims および Dynamic Access Control 機能へのアクセスが提供される。

既定値: ad dc functional level = 2008_R2

例: ad dc functional level = 2016

このパラメーターは、新しいグループの作成が要求された際に、 smbd(8) によって ROOT 権限で 実行されるスクリプトのフルパス名である。 %g はグループ名に展開される。 スクリプトは Windows NT のドメイン管理ツールを使用して設定を行なう際にのみ有効である。 このスクリプトでは、UNIX 側のグループ名の制約に捕らわれず、任意の名前のグループを作成することができる。 ただし、その場合スクリプトは標準出力に作成されたグループの gid の数値を表示する必要がある。

既定値: add group script =

例: add group script = /usr/sbin/groupadd %g

このホストを識別できる追加DNS名の一覧

既定値: additional dns hostnames = # 空白文字列(追加DNS名なし)

例: additional dns hostnames = host2.example.com host3.other.com

このパラメーターは、"$"を付けたマシン名が、SambaのドメインとUnix アカウントと一致しなかった場合に、 smbd(8)がマシンを追加する時に実行されるスクリプトのフルパス名である。

このオプションは、add user scriptととてもよく 似ていて、さらに、アカウント名の置換として%uを使う。%mの置換を使ってはいけない。

既定値: add machine script =

例: add machine script = /usr/sbin/adduser -n -g machines -c Machine -d /var/lib/nobody -s /bin/false %u

Samba 3.0.23 では、Windows の"Add Standard TCP/IP Port ウィザード"によるリモートからのプリンターポートの追加がサポートされた。 このオプションは、smbd がシステムに対する新しいポートの追加要求を受信した際に、 実行される外部のコマンドを定義する。 スクリプトは以下の 2 つのパラメーターをとる。

deviceURI は socket://<hostname>[:<portnumber>] もしくは lpd://<hostname>/<queuename> のように指定する。

既定値: addport command =

例: addport command = /etc/samba/scripts/addport.sh

Samba 2.2 における Windows NT/2000 クライアントに対応した MS-RPC ベースの印刷サポートの実装にともない、 共有の一覧に表示される "Printers... " フォルダー中の "プリンターの追加"ウィザード(Add Printer Wizard (APW))アイコンを利用することが可能になった。 APW により、Samba や Windows NT/ 2000 プリンターサーバーに別のマシンからのプリンター追加が可能となった。

Samba ホストの場合、これは、下位レイヤの印刷システムにプリンターを物理的に追加できる必要があるということである。 add printer command は、 印刷システムにプリンターを追加するとともに、 smb.conf ファイルに対して、 smbd(8) によって共有が行なわれるサービスのエントリを適切に追加するのに必要な処理を行なうスクリプトを設定する。

add printer command は 以下のパラメーターを(順番に)付加して自動的に実行される:

すべてのパラメーターは、一つの例外を除き、 Windows NT/2000 クライアントから送信される PRINTER_INFO_2 構造体から取得される。 "Windows 9x driver location"パラメーターは、下位互換性を保つためにのみ提供される。 それ以外の構造体のフィールドは、APW の問い合わせに対する回答から生成される。

add printer command が実行されると、 smbd は、 smb.conf を再度読み込んで、 APW で設定された共有がすでに存在していないかを確認する。 共有名が不正な場合、smbd は、 クライアントに対して ACCESS_DENIED エラーを返却する。

addprinter commandは Samba が新しいプリンターが接続するポートとして設定した 文字列からなる1行を返却する。 返却されない場合、Samba は印刷共有の再読み込みを行なわない。

既定値: add printer command =

例: add printer command = /usr/bin/addprinter

Samba 2.2.0 では、Windows NT 4.0 のサーバーマネージャーを利用して共有設定を を追加・削除する機能が追加された。 add share command は、 smb.confに新しいサービスの設定を追加 する外部のプログラム、もしくはスクリプトを設定するためのパラメーターである。

add share command を実行するため、管理者は smbd にroot アカウント(uid = 0)で接続するか、アカウントにSeDiskOperatorPrivilege が付与されている必要がある。 add share commandで指定された スクリプトは root 権限で実行される。

コマンド実行時に、smbdは自動的に以下の 5 つの引数を付加してadd share commandを実行する。

このパラメーターは、ファイル共有の追加にのみ使われる。印刷共有の追加については、 addprinter command を参照のこと。

既定値: add share command =

例: add share command = /usr/local/bin/addshare

このパラメーターは、以下に記述する特別な条件下において、 smbd(8) によって ROOT 権限で 実行されるスクリプトのフルパス名である。

通常、Samba サーバーでは、サーバー上のファイルにアクセスするすべてのユーザーに対して対応する UNIX ユーザーが存在している必要がある。しかし、Windows NT のアカウントデータベースをユーザーデータベースのマスターとして使うサイトでは、 Samba サーバー上のユーザーの作成や保守を Windows NT の PDC と同期して行なうのは骨の折れる作業である。このオプションにより、Samba サーバーに対してユーザーがアクセスした時点で smbd が UNIX のユーザーを 必要に応じて 作成することが可能になる。

Windows のユーザーが Samba サーバーにアクセスしようとして、 ログイン(SMB プロトコルの session setup) を行なう時に、 smbd(8) は、送信されたユーザー名とパスワードを認証するために、 password server と通信を行なう。 認証が成功すると、 smbd は UNIX 上のパスワードデータベース中から対応する UNIX のユーザーを検索して Windows のユーザーに対応づけようとする。この検索が失敗し、 add user script が設定されていると、 smbd は、 %u 引数を作成すべきユーザー名に展開した上で、 設定されたスクリプトを ROOT 権限で 呼び出す。

スクリプトがユーザーの作成に成功すると、 smbd は、その UNIX ユーザーがすでに存在していたかのようにして処理を継続する。このようにして、存在する Windows NT のアカウントに対応する UNIX のユーザーが動的に作成される。

(訳注: この他に、Samba のドメイン環境において add user script はリモートからの要求によりユーザーを作成するという重要な役割がある。)

security, password server, delete user script も参照のこと。

既定値: add user script =

例: add user script = /usr/local/samba/bin/add_user %u

このパラメーターは、 Windows NT のドメイン管理ツールによってユーザーにグループが追加された際に実行されるスクリプトのフルパス名である。 これは smbd(8) によって ROOT 権限で 呼び出される。 %g はグループ名に置換され、 %u はユーザー名に置換される。

adduser コマンドは、すべてのシステムにおいて、 以下の例で用いた構文をサポートしているわけではないことに注意。

既定値: add user to group script =

例: add user to group script = /usr/sbin/adduser %u %g

このパラメーターが共有のために yes になっている場合、その共有は管理用となる。管理用の共有は Windows NT ベースのすべてのオペレーティングシステムで作られるデフォルトの ネットワーク共有であり、C$, D$, ADMIN$ などと同様のものである。 これらの共有のタイプは STYPE_DISKTREE_HIDDEN となる。

このオプションに関する詳細は、後述の security を参照してほしい。

既定値: administrative share = no

このパラメーターは、共有上で管理者権限が与えられるユーザーのリストである。 指定されたユーザーは、すべてのファイル操作をスーパーユーザー (root) として実行できる。

このリストに登録されているユーザーは、 ファイルのパーミッションに関係なくあらゆる操作を行うことができてしまうため、 このオプションは十分に注意して使用すべきである。

既定値: admin users =

例: admin users = jason

このパラメーターは、共有に対して AFS 特有の機能を有効にするかどうかを指定する。 もし有効な場合、path パラメーターでエクスポートされているディレクトリをローカルの AFS インポートとして扱う。 特殊な AFS の機能というのは、もし configure 時に --with-fake-kaserver オプションを有効にした場合に、 AFS トークンを作成しようとする機能などが含まれる。

既定値: afs share = no

このパラメーターはAFSの fake-kaserver 要求トークンの生存時間を制御する。 実際は、これらの期限は満了しないが、この生存時間は、afsクライアントがトークンを 廃棄する時を制御する。

This parameter controls the lifetime of tokens that the AFS fake-kaserver claims. In reality these never expire but this lifetime controls when the afs client will forget the token.

このパラメーターを0に設定すると、NEVERDATEを得る。

既定値: afs token lifetime = 604800

ダミーの kaserver の AFS 機能を使用している場合、 作成するトークンのユーザー名を指定したい場合もあるだろう。 たとえば、AFS Protection Database に複数のドメインのユーザーが混在している場合などが挙げられる。 一つの解決策は、winbind と同じように + をセパレーターとして DOMAIN+User と指定することである。

マップされたユーザー名はログインするためのセル名を含んでいる必要がある。 そのため、このパラメーターが指定されていない場合、トークンは使用されない。

(訳注: AFS に関する知識不足のため、訳の正確性については担保できない)

既定値: afs username map =

例: afs username map = %u@afs.samba.org

この整数値パラメータは、パラレル非同期 IO 呼び出しを行う時、各 smbd プロセスが作成する、スレッドの最大数を指定する。 もしも、未処理の呼び出しがこの値よりも大きい場合、リクエストは 拒否されないが、キューに入り、未処理の要求として順番にスケジュール される。

関連コマンド: aio read size

関連コマンド: aio write size

既定値: aio max threads = 100

この整数パラメーター が非ゼロ値にセットされている場合、ファイルリードする際に要求された I/O サイズがこの値より大きければ、Samba は非同期リードを行う。 注意：非同期リードが行われるのは、non-chained と non-chaining リード の場合に限られる。

Samba 3.0 における非同期 I/O におけるサポートは、リードとライトを合わせて 10個までの、未解決の非同期リクエストに限られる。

このパラメータの最適な値は 0 (非同期I/Oを行わない) と 1 (常時非同期I/Oを行う) のみである。

関連コマンド: aio write size

既定値: aio read size = 0

例: aio read size = 16384 # リクエストサイズが 16KB を超えるリードについて非同期 I/O を使用する。

もしも、Sambaが非同期I/Oをサポートするように構築された場合、 このパラメーターで示されたファイルに対して、クライアントに対する 結果を返す前に、 Sambaは書き込み要求が完了するまで待たない。その代わり、実際の操作が 成功するか否かに関係なく、Sambaは書き込み要求が正常に終わったと、即座に 結果を返す。これはaioサポートがないクライアントのスピードを向上させるかも しれないが、データが亡失し、ファイルが壊れるという観点で、これはとても 危険である。

文法は、veto filesと同一である。

既定値: aio write behind =

例: aio write behind = /*.tmp/

この整数パラメーター が非ゼロ値にセットされている場合、ファイルをライトする際に要求された I/O サイズがこの値より大きければ、Samba は非同期ライトを行う。 注意：非同期ライトが行われるのは、non-chained と non-chaining ライトの 場合に限られる。

Samba 3.0 における非同期 I/O におけるサポートは、リードとライトを合わせて 10個までの、未解決の非同期リクエストに限られる。

このパラメータの最適な値は 0 (非同期I/Oを行わない) と 1 (常時非同期I/Oを行う) のみである。

aio read size と比べると、ほとんどの書き込み動作は ファイルシステムキャッシュで終了するため、このパラメータは影響度が小さい。 スペースの割り当てを必要とする書き込み動作は、非同期にすると 効率がよくなるかもしれない。

関連コマンド: aio read size

既定値: aio write size = 0

例: aio write size = 16384 # リクエストサイズが 16KB を超えるライトについて非同期 I/O を使用する。

このパラメーターにより、 Samba が UID や GID を NT セキュリティ識別子(訳注:SID)の構築に必要な RID に機械的に対応づける際の RID の値が設定される。

Windows NT/2000 から移行を行なうサイトでは、存在しているユーザーやグループの RID がシステムのユーザーと競合してしまうことを防ぐため、この値を大きい値にすることが有用な場合もあるだろう。

サーバー上の ACL が正しく機能する上では、すべての UID および GID が SID に変換できることが必須である。 このため、機械的な対応づけを無効にせずに、一定の範囲を対象領域から除外することが、 問題を避ける上で必要である。 RID の競合に対応したパスワード機構において、ユーザーおよびグループには、 「小さな」 RID が割り当てられる。

既定値: algorithmic rid base = 1000

例: algorithmic rid base = 100000

このパラメーターにより、管理者が Windows クライアントから見たアロケーションサイズを切り上げることが可能となる。 これは、新しい SMB バージョン がそのボトルネックを排除し、既定で より良いパフォーマンスを提供するため、古い SMB1 クライアントに対して のみ有効である。ただし、Visual Studio のように、 問題が発生するアプリケーションもある。 Visual Studio のコンパイラーが内部エラーでクラッシュしてしまうような場合は、 該当の共有でこのパラメーターを 0 に設定すること。 このパラメータお大きな値にすると、小さなファイルは、ディスク上で必要とする サイズよりも大きなサイズを割り当てることにもなる。

このパラメータは非推奨であり、将来のSambaバージョンでは削除される。

このパラメーターには、切り上げるサイズをバイト単位の整数値で指定する。

既定値: allocation roundup size = 0

例: allocation roundup size = 1048576 # (1MiBに設定する)

このオプションは、DCERPC サービスが、認証を提供するが、 メッセージ単位の整合性や、プライバシーの保護を行わない、 DCERPC_AUTH_LEVEL_CONNECT といっしょに使われるかどうかを制御する。

samr ,lsarpc と netlogon のようないくつかのインタフェースでは、 既定値が、noにハードコードされ、epmapper, mgmt と rpcecho は 既定値が yesにハードコードされている。

動作は、allow dcerpc auth level connect:interface = yes' をオプションとして 使う事によって、インタフェース名ごとに上書きできる(たとえば lsarpc, netlogon, samr, srvsvc, winreg, wkssvc ...)。

このオプションは、実装固有の制限によって上書きされる。たとえば、 drsuapi と backupkey プロトコルは DCERPC_AUTH_LEVEL_PRIVACY を必要とする。 dnsserver プロトコルは DCERPC_AUTH_LEVEL_INTEGRITY を必要とする。

既定値: allow dcerpc auth level connect = no

例: allow dcerpc auth level connect = yes

このオプションは DNS に対する、どの種のアップデートが許可されるかを決める。

DNS アップデートは、これをdisabledに設定して 完全に無効にするか、これをsecure onlyに設定して、 セキュアな接続上でのみ有効にするか、これをnonsecureに 設定して、すべての場合において許可するかを指定できる。

既定値: allow dns updates = secure only

例: allow dns updates = disabled

通常動作時においては、共有パスの外側へのシンボリックリンク許可 を制御するwide linksオプションは、 Samba サーバ上で、unix extensionsが有効な 時には、自動的に無効にされる。これは、管理者がエクスポートする ことを期待しないサーバーファイルシステムの領域へのシンボリックリンク をUNIXクライアントが作成することを防ぐことを、セキュリティ上の 目的とするために設定された。

allow insecure wide linksを真に設定する と、2つのパラメーター間のリンクを無効にし、この保護を無効にし、 unix extensionsが on になっていたとしても、 (wide linksを"真"にすることによって) シンボリックリンクをたどれるサーバーを構成するサイトを設定できる。

UNIX クライアントによって作成されたシンボリックリンクを たどることをサーバーに対して許可する実装を完全に理解するまでは、 このオプションを有効にすることは推奨しない。通常 大多数の Samba 設定では、これを行うとセキュリティホールに なり、このパラメーターを設定することは推奨されない。

このオプションは、すでにこの方法で意図的に Samba を設定していて、 この機能を継続的にサポートするために Samba のソースコードに パッチを当て続けることをなくすために、サイトの要求によって 追加されたものである。

既定値: allow insecure wide links = no

このオプションは、"no" に設定しないことで、セキュリティ問題を生じるため、廃止予定で あり、将来削除される(将来は "no" がハードコードされる予定)。

このオプションは、netlogon サーバ(現在 'active directory ドメインコントローラ' モードのみ)が、NETLOGON_NEG_STRONG_KEYS も、NETLOGON_NEG_SUPPORTS_AESも サポートしないクライアントを拒否するかどうかを制御する。

このオプションは、Samba 4.2.0 で追加された。これは、Samba 4.1.xまでの バージョンでは、既定値が "yes" であったが、 4.2.0 以降は "no" に 変更になったため、以前のバージョンで問題なく接続出来ていたクライアント が繋がらなくなるかもしれない。

もしも、レジストリ中に、RequireStrongKey = 1 を設定していないクライアントが あるならば、すべてのクライアントを修正するまで、"allow nt4 crypto = yes" を設定しなければならない。

"allow nt4 crypto = yes" とすると、たとえばダウングレード攻撃で、 暗号化レベルを下げたネゴシエーションを許すことになる。

"allow nt4 crypto = yes" allows weak crypto to be negotiated, maybe via downgrade attacks.

このオプションを使わないこと! そのかわりに明示的に 'allow nt4 crypto:COMPUTERACCOUNT = yes' を使うこと! ごれは、 CVE-2022-38023 のパッチに含まれている。 https://bugzilla.samba.org/show_bug.cgi?id=15240 を参照のこと

Samba は ログレベル 0 で、クライアントに対して、旧来の(レガシーの)クライアントが 拒否されたか、明示的に 'allow nt4 crypto:COMPUTERACCOUNT = yes' オプションなしで許可された場合、ログファイルにエラーを記録する。メッセージは 旧来の(レガシーの)クライアントソフトウェアがそれを必要とする場合、 明示的に allow nt4 crypto:COMPUTERACCOUNT = yes' 行が追加されることを示す。(ログレベルは 'CVE_2022_38023:error_debug_level = 1' オプションで、より高いレベルだけで表示するように調整することが可能である。)

これにより、明示的な 'allow nt4 crypto:COMPUTERACCOUNT = yes' オプションを収集するために、管理者は短い猶予期間にのみ「yes」を使うことが できる。

このオプションは、 'server reject md5 schannel:COMPUTERACCOUNT' または 'reject md5 clients' オプションが の有効な値が 'yes' の場合に上書きされる。

既定値: allow nt4 crypto = no

もしも、'allow nt4 crypto = yes' を必要とする旧来の(レガシー)ドメインメンバが 依然として存在するならば、'allow nt4 crypto:COMPUTERACCOUNT = yes' を オプションとして使うことにより、コンピュータアカウント単位で明示的に 例外を指定することが可能である。 COMPUTERACCOUNT は コンピュータアカウント(末尾の '$' 記号を含む) の、sAMAccountName 値でなければならないことに注意。

オプションが "yes" に設定されていても、関連するコンピュータが それを必要としない場合、Samba はログレベル 0 で、 セキュリティ問題についての情報を記録する。 (ログレベルは 'CVE_2022_38023:warn_about_unused_debug_level = 1' オプションで、より高いレベルだけで表示するように調整することが可能である。)

Samba は、設定が引き続き特定のコンピュータアカウントに対して必要な場合、 ログレベル 5 でログファイル中に警告を記録する。

CVE-2022-38023, https://bugzilla.samba.org/show_bug.cgi?id=15240を参照のこと。

このオプションは allow nt4 crypto オプションで上書きされる。

このオプションは、 'server reject md5 schannel:COMPUTERACCOUNT' または 'reject md5 clients' オプションが の有効な値が 'yes' の場合に上書きされる。

これは、'allow nt4 crypto:COMPUTERACCOUNT = yes' が 'server reject md5 schannel:COMPUTERACCOUNT = no' と組み合わせた場合にのみ有用であることを意味する。

	allow nt4 crypto:LEGACYCOMPUTER1$ = yes
	server reject md5 schannel:LEGACYCOMPUTER1$ = no
	allow nt4 crypto:NASBOX$ = yes
	server reject md5 schannel:NASBOX$ = no
	allow nt4 crypto:LEGACYCOMPUTER2$ = yes
	server reject md5 schannel:LEGACYCOMPUTER2$ = no
    

既定値なし

このパラメーターは、security パラメーターが server、 domain もしくは ads に設定されている時のみ有効である。 no に設定されていると、 smbd が動作しているドメインもしくはワークグループ外からのリソースへの 接続要求は、失敗する。 これは、たとえそのドメインが認証を行なうサーバーによって信頼されている場合であっても同様である。

このオプションは、 Samba サーバーが所属するドメインのユーザーのみにリソースを提供させたい場合に便利である。 一例として DOMA と DOMB という 2 つのドメインがあって、 DOMA は Samba サーバーを含み、DOMB を信頼している場合を想定する。 通常の条件では、DOMB 中にアカウントを持つユーザーは、 Samba サーバーに同じ名前の UNIX アカウントがあれば、 DOMA にアカウントがなくてもリソースにアクセスできるため、 セキュリティ境界の区分けが困難である。

既定値: allow trusted domains = yes

no（既定値）に設定すると、smbd の起動時、クラスター内に 別バージョンの smbd が起動していないかをチェックし、起動していれ ば新たな起動を取りやめるようにする。同一クラスター内に互換性の ない Samba バージョンが同時に稼動していたとしても、内部データ 構造を壊さないようにするためである。このパラメーターを yes に設定したときは、この安全 性チェックは無効になる。

既定値: allow unsafe cluster upgrade = no

このオプションは、Winbindが、グループポリシー更新のタイミングごとに、 gpo update command で定義した gpupdate コマンドを、 実行するかどうかを制御する。グループポリシー更新の間隔は、基本 90分ごとで、さらに、0 から 30 分の間でのランダムなオフセットが加えられる。 このオプションを指定すると、グループポリシーマシンのポリシーを、 クライアントまたは KDC に、マシンポリシーをサーバに適用する。

既定値: apply group policies = no

例: apply group policies = yes

Samba 中の、非同期 DNS リゾルバコードが応答を待つときの秒数。 ある種の Samba クライアントライブラリコードは、 Active Directory ドメインコントローラを見つけるため、A と AAAA レコードに対して、 内部非同期 DNS 解決を使う。この値は、この名前解決コードが、 DNS サーバのタイムアウトを待つことを防ぐ。

このパラメータの最小値は固定されている。 at 1 second.

既定値: async dns timeout = 10

例: async dns timeout = 20

このパラメーターは、Samba が非同期 smb エコーハンドラーを フォークすべきかを指定する。もしも使用するファイルシステムが とても長い時間システムコールをブロックするのであれば、これは 便利に使える。ある種の環境では、接続が切れてしまったどうかを 決めるために、Windows が使うタイムアウトを延長する。このパラメータは SMB1専用である。SMB2またはそれ以降については、代わりに TCP キープアライブ を使う事ができる。

既定値: async smb echo handler = no

このオプションを有効にすると（Active Directory ドメインコン トローラーとして動作している）Samba に対して、認証イベントを 内部メッセージバスに流すように指示する。 Samba の python バインディングを用いて構築されているスクリプト を auth_event サービスに 登録すれば、認証イベントをリッスンするようになる。

これは、log level 中で記述される 監査ログのためには必要ではない。

メッセージの配信は保障されていないので(testsuite で対応する 機能)、代わりに、これは、外部監査用の機能ではなく、開発者オプション (Samba testsuiteを手助けする)と考えるべきである。

認証イベントは、auth_json_audit:3 のように、log level を適切に設定 していれば、通常のログ収集方式でもログが記録される。

既定値: auth event notification = no

このパラメーターは右記のパラメーターの別名である：auto services.

これは、ブラウズリストに自動的に追加されることを希望する、サービスのリストである。 これは、そうしなければ見えない、home と printer サービスにとって、とても有用である。

もしも printcap ファイル中にあるすべてのプリンタをロードしたいならば、 load printersオプションのほうがより簡単である。

既定値: auto services =

例: auto services = fred lp colorlp

このパラメーターにより、サービスを「無効」とすることが可能である。 available = no の場合、 サービスに対する接続はすべて失敗する。これらの失敗は記録される。

既定値: available = yes

このパラメーターは右記のパラメーターの別名である：binddns dir.

このパラメータは、samba が、 named.conf といった BIND 用の設定ファイルを格納する ディレクトリを定義する。 参考: このディレクトリは private ディレクトリ (private dir パラメーターを参照) 同じファイルシステム上に配置する必要がある。

既定値: binddns dir = ${prefix}/bind-dns

このグローバルパラメーターにより、 Samba 管理者が SMB 要求を受け付けるインタフェースを制限できるようになる。 この影響は、ファイルサービス smbd(8) とネームサービス nmbd(8) とで多少異なる。

このパラメーターを指定すると、ネームサービス nmbd は、 interfaces パラメーターで指定されたインタフェースのポート 137 と 138 にバインドする。 nmbd は、ブロードキャストメッセージを受信するために、 「すべてのアドレス」となるインタフェース (0.0.0.0) のポート 137 と 138 にもバインドする。このオプションが設定されていない場合、 nmbd は、これらすべてのソケットに対してネームサービスを提供する。 bind interfaces only が設定されていると、 nmbd はブロードキャストパケットの送信元アドレスを確認して、 interfaces パラメーターで指定されたインタフェースのブロードキャストアドレスを経由しないパケットを破棄する。 他のソケットでユニキャストパケットを受信した場合、 nmbd は、 interfaces パラメーターで指定されたインタフェースを経由しないパケットを送出したマシンに対してはネームサービスを拒否する。 もっとも、IP ソースアドレスを偽造 (spoofing) することで、この単純なチェックは破られてしまう。 そのため、このパラメーターを nmbd のセキュリティ機能と位置付けて本格的に利用すべきではない。

ファイルサービスの場合、このパラメーターを指定すると、 smbd(8) が interfaces パラメーターで指定されたインタフェースにのみバインドするようになる。 これにより、 smbd がサービスを提供するネットワークを指定したインタフェース経由のものに制限することが可能である。 PPP などの間欠的なネットワークインタフェースや、非ブロードキャストなネットワークインタフェースにサービスを提供している場合は、 これらの非永続的なインタフェースをうまく処理できないため、このパラメーターを使わないこと。

bind interfaces only が設定されているが、 127.0.0.1 のネットワークアドレスが interfaces パラメーターに指定されていない場合は、 以下に示すような理由のため、smbpasswd(8) が期待したように動作しないことがある。

ユーザーの SMB パスワードを変更するために、 smbpasswd はデフォルトで localhost - 127.0.0.1 のアドレスに SMB クライアントとして接続を行ない、パスワード変更要求を送信する。 bind interfaces only が設定されているにも関わらず、 127.0.0.1 のネットワークアドレスが interfaces パラメーターに含まれていなかった場合、 smbpasswd のデフォルトの状態では接続に失敗してしまう。 smbpasswd については、 smbpasswd(8) に -r remote machine パラメーターを指定して、 remote machine にローカルホストのプライマリインタフェースのIPアドレスを設定することにより、 強制的にローカルホストのプライマリIPインタフェースを利用させることも可能である。

既定値: bind interfaces only = no

このパラメーターは、クライアントからオープン中のファイルの一部範囲に対して、 バイト範囲のロック(byte range lock)が要求された際に、タイムアウトが発生した場合の smbd(8) の動作を制御する。

このパラメーターが設定されている場合にロック範囲の要求が即座に処理できない場合、 Samba は内部的にロック要求をキューイングして、タイムアウトが来るまで定期的にロックを取得する動作を行なう。

このパラメーターが no の場合、 Samba は以前のバージョンの Samba (訳注: Samba 1.9.x 以前)と同様に振舞い、 ロック範囲が取得できない場合にただちにロック要求を失敗させる。

既定値: blocking locks = yes

このパラメーターにより、ディスクの空き領域を報告する際の smbd(8) の動作が制御される。 デフォルトでは、ディスクのブロックサイズを 1024 バイトとして報告が行なわれる。

このパラメーターを変更した場合、クライアントからの書き込みに影響がでることが予想されるが、確認されていない。このパラメーターは、熟練した管理者が(通常より大きい値に)変更を行なうことで、再コンパイルを行なうことなく、クライアントからの書き込みパフォーマンスへの影響をテストすることを可能とするために追加された。これは実験的なオプションのため、将来のリリースでは削除されるかも知れない。

このオプションを変更しても、報告されるディスクの空き容量自体は変わらない。クライアントに報告されるディスクのブロックサイズが変更されるだけである。

既定値: block size = 1024

例: block size = 4096

このパラメーターは右記のパラメーターの別名である：browseable.

このパラメーターは、net view コマンドやブラウズリスト中に現れる利用可能な共有の一覧に、 この共有を表示させるかどうかを制御する。

既定値: browseable = yes

このパラメーターは、クライアントからの NetServerEnum コールに対して、 smbd(8) がブラウズリストを提供するかどうかを制御する。 通常 true に設定されている。 これを変更する必要はまずないであろう。

既定値: browse list = yes

通常 TDB ファイルのほとんどは lock directory 中に格納される。Samba 3.4.0 からは state directory と cache directory オプションを使うことで、 持続的データを持つ TDB ファイルと持続的データを持たない TDB ファイルとを区別することが出来る。

このオプションは、持続的なデータを持たない TDB ファイルを置くディレクトリを指定する。 非持続的であってもサービスの再起動中はデータは保持される。 ディレクトリは、永続的なストレージに置かれるべきだが、データは、 管理者によって安全に削除できる。

既定値: cache directory = ${prefix}/var/cache

例: cache directory = /var/run/samba/locks/cache

このパラメーターは右記のパラメーターの別名である：case sensitive.

name mangling セクションでの説明を参照のこと。

既定値: case sensitive = auto

このパラメーターは、Samba がクライアントからのファイル変更通知要求に対して 返信するべきかどうかを指定する。

このパラメーターを変更する必要はないはずである

既定値: change notify = yes

Samba 2.2.0 では、Windows NT 4.0 のサーバーマネージャーを利用して共有設定を を追加・削除する機能が追加された。 change share command は、 smb.confの既存のサービスの設定を変更 する外部のプログラム、もしくはスクリプトを設定するためのパラメーターである。

change share command を実行するため、管理者は smbd にroot アカウント(uid = 0)で接続するか、アカウントにSeDiskOperatorPrivilege が付与されている必要がある。 add share commandで指定された スクリプトは root 権限で実行される。

コマンド実行時に、smbdは自動的に以下の 6 つの引数を付加してchange share commandを実行する。

このパラメーターは、ファイル共有設定の変更にのみ使われる。印刷共有の設定を 変更にするには、共有されているホストのプリンターフォルダーを使用する。

既定値: change share command =

例: change share command = /usr/local/bin/changeshare

Windows SMB サーバは、delete-on-close フラグが設定されているディレクトリ 中に、クライアントがファイルを作成することを抑止する。Samba は チェックにいくらかの負荷がかかるため、既定値ではチェックしない。

既定値: check parent directory delete on close = no

パスワードの複雑性を検証するためのプログラム名を指定する。 パスワードはプログラムの標準入力に送られる。

プログラムは、パスワードが良好であった場合に 0 を、それ以外の場合は他の値を返却しなければならない。 パスワードが脆弱であると判断された (プログラムが 0 を返却しなかった) 場合、 ユーザーには、パスワード変更の失敗が通知される。

Samba AD において samba(8) は、 変数置換操作なしに ROOT 権限 でこのスクリプトを実行する。

Samba 4.11 から、以下の環境変数がスクリプトに対してエクスポートされる:

example ディレクトリに、crackcheck という サンプルのプログラムがある。 これは cracklib を用いてパスワードのチェックを行なっている。

既定値: check password script = # Disabled

例: check password script = /usr/local/sbin/crackcheck

このオプションは、CLDAP プロトコルによって使われるポートを制御する。

既定値: cldap port = 389

例: cldap port = 3389

このパラメータの値(文字列)は、 DCERPC 通信 として IPC$ 接続用にサポート される、もっとも上位のプロトコルレベルである。

通常、このオプションは、SMB プロトコル中で、自動的なネゴシエーションフェーズが 適切なプロトコル選定を行うので、設定すべきでない。

値defaultはもっとも最近の、サポートされているプロトコル を参照し、それは現在 SMB3_11 である。

client max protocol に、有効なプロトコル のすべての一覧がある。値 CORE, COREPLUS, LANMAN1, LANMAN2 は、自動的に NT1 にアップグレードされる。

既定値: client ipc max protocol = default

例: client ipc max protocol = SMB2_10

この設定は、DCERPC 通信として IPC$ 接続用に使う場合の、最小プロトコルを 定義する。

通常、このオプションは、SMB プロトコル中で、自動的なネゴシエーションフェーズが 適切なプロトコル選定を行うので、設定すべきでない。

値defaultは、NT1 と、 client min protocol の実効値よりも大きな 値を参照する。

client max protocol に、有効なプロトコル のすべての一覧がある。値 CORE, COREPLUS, LANMAN1, LANMAN2 は、自動的に NT1 にアップグレードされる.

既定値: client ipc min protocol = default

例: client ipc min protocol = SMB3_11

これは、DCERPC 転送として IPC$接続用に SMB 署名の使用を要求するか、許可するかを 制御する。とりうる値はdesired、required、 とdisabled である。

required に設定するか default の場合、SMB署名が必須である。

desired に設定した場合, SMB 署名は提供されるがそれは強制ではなく、 また、もしも disabled に設定した場合、SMB 署名は提供されない。.

winbindd から Active Directory ドメインコントローラへの接続は、 常時署名が強制される。

既定値: client ipc signing = default

このパラメータはSamba 4.13 以降廃止予定であり、将来の Samba の リリースでは、 クライアントとして、LanMan 認証(NTLM,NTLMv2 又は Kerberosとは異なる) のサポートが削除される。

このため、将来は、現在の既定値である client NTLMv2 auth = yes が強制的に設定される。

このパラメーターは、smbclient(8) などの Samba のクライアントツールが 脆弱な LANMAN パスワードハッシュを使用した認証を行なうか否かを制御する。 無効にした場合、 Samba クライアントからは、NT パスワードハッシュを利用するクライアント (Windows NT/2000クライアント、Samba など。しかし Windows 95/98 は含まない) に対してのみ接続できる。

LANMAN 暗号化レスポンスは簡単に解読することが可能である。 これは大文字と小文字を区別しないことや、使用しているアルゴリズムなどに起因する。 Windows 95/98 サーバーが存在しない場合は、このオプションを無効にした方がよいだろう。

このオプションを無効にすると、client plaintext auth オプションも同時に無効となる。

同様に、 client ntlmv2 auth パラメーターを有効にした場合、NTLMv2 ログインのみが可能となる。

既定値: client lanman auth = no

client ldap sasl wrapping は、ldap との通信が 署名付きか、署名+暗号化(シールされている)かを定義する。設定可能な値は、 plain, sign とsealである。

値signとsealは、 もしも Samba が最新の OpenLDAP バージョン(2.3.xかそれ以降)とともに コンパイルされた時に有効である。

このオプションは、特にユーザからの、パスワードの新規作成又はリセットなど、 samba-toolからの管理接続のプライバシーを保護するために 最初に必要である。このため、既定値はsealである。

さらに、winbinddおよびnetツールは LDAP を 使用してドメインコントローラと通信できるため、このオプションはこれらの接続の プライバシーのレベルも制御する。サポートされているすべての AD DC バージョンは、 既定で少なくとも署名付きの LDAP 接続の使用を強制するため、実際には少なくとも signの値が必要である。

既定値はsealである。これは、Kerberos を使う場合においては、KDC との時刻同期があることをを暗黙的に示している。

既定値: client ldap sasl wrapping = seal

このパラメーターの値（文字列）は、クライアントがサポートする 最上位のプロトコルを指定する。

設定可能な値は以下の通りである。

通常は、SMB プロトコルの自動ネゴシエーションフェーズにより 適切なプロトコルが選択されるため、このオプションを設定する必要はない。

default の値は SMB3_11 を参照する。

たとえば、winbindd のような、 DCERPC 用の IPC$ 接続は、 client ipc max protocol オプションによって制御される。

既定値: client max protocol = default

例: client max protocol = LANMAN1

この設定は、クライアントが使用を試みる最低位のプロトコル を制御する。

通常は、SMB プロトコルの自動ネゴシエーションフェーズにより適切なプロトコルが 選択されるため、古い SMB1 のみのサーバに接続する場合を除き、このオプションを設定する必要はない。

有効なプロトコルの完全な一覧については

関連コマンド: client max protocol

を参照のこと。

たとえば、winbinddのような、 DCERPC 用の IPC$ 接続は、 client ipc max protocolオプションによって制御される。

ほとんどのコマンドラインツールは --option='client min protocol=NT1' をサポートしているため、smb.conf 中で、グローバルに SMB1 プロトコルを 有効にしなくてもよい。

既定値: client min protocol = SMB2_02

例: client min protocol = NT1

このパラメータはSamba 4.13 以降廃止予定であり、将来の Samba の リリースでは、 NTLM と　LanMan 認証(NTLMv2 又は Kerberosとは異なる) のサポートが削除される。

このため、将来は、現在の既定値である client NTLMv2 auth = yes が強制的に設定される。

このパラメーターにより、smbclient(8) がサーバーへの接続時に NTLMv2 暗号化パスワードレスポンスを使用した認証を行なうかどうかが設定される。

有効にすると、NTLMv2 および LMv2 レスポンス(両方とも以前のバージョンよりはセキュアである) が送信される。 ただし、古いバージョンのサーバー(Windows NT 4.0 SP3以前、Windows 9x および Samba 2.2)は、NTLMv2をサポートしているドメインにいない時、 NTLMv2 と互換性がない。

同様に、有効にした場合 NTLMv1、 client lanman auth および client plaintext auth 認証は無効となる。また、共有レベルの認証も同時に無効となる。

無効にした場合、 NTLM レスポンス (および可能であれば LANMAN レスポンス) が、client lanman auth の値に応じてクライアントから送信される。

Windows Vista および後継のバージョンはすでに NTLMv2 のみを使い、また、サイトに よって(特に「ベストプラクティス」のセキュリティポリシーを適用しているサイト)は NTLMv2 のみを許可し、脆弱な LM および NTLM レスポンスは許可していない。

client use spnegoもyesに 設定した場合、拡張セキュリティ (SPNEGO) が、NTLMSSPのみをNTLMv2で使うために 必要とされる。この動作はCVE-2016-2111 用のパッチによって導入された。

既定値: client NTLMv2 auth = no

このパラメータはSamba 4.13 以降廃止予定であり、将来の Samba の リリースでは、plaintext 認証(NTLM , NTLMv2 又は Kerberosとは異なる) のサポートが削除される。

このため、将来は、現在の既定値である client plaintext auth = no が強制的に設定される。

このパラメーターは、サーバーが暗号化パスワードをサポートしていない場合にクライアントから平文パスワードを送出するかどうかを制御する。

既定値: client plaintext auth = no

このパラメータは、Samba クライアントツールが、既定値で使う プロテクションがどれかを定義する。

取り得る値は以下の通り:

既定値: client protection = default

このオプションは Samba 4.8 では廃止予定となり、将来廃止される。 同時に、既定値は、将来ハードコードされた動作となる、 yes に変更となった。

このパラメーターはクライアントが netlogon セキュアチャネルの使用を有効にするか、もしくは要求するかを制御する。 client schannel = no はセキュアチャネルを有効にしない。 client schannel = auto はセキュアチャネルを有効にするが、強制はしない。 client schannel = yes はサーバーが netlogon セキュアチャネルを理解できない場合、アクセスを許可しない。

Active Directory に対しては、client schannel = yes がハードコードされている事に注意。

このオプションはrequire strong key によって上書きされる。

既定値: client schannel = auto

例: client schannel = yes

このパラメーターは、SMB署名を使うために、クライアントに対して有効にするか、もしくは強制するかを設定する。 設定可能な値は、desired、required、 disabled である。

desired または default に設定した場合、SMB 署名が有効になるが、 強制はしない。

required に設定すると、SMB 署名が必須となり、 disable に設定すると、SMB 署名は有効にならない。

DCERPC に対する IPC$ 接続、すなわち、 winbindd 中では、 client ipc signing オプションによって制御される。

既定値: client signing = default

このパラメータは、クライアントが SMB 暗号化の使用を試みるか、それが必要で あるかを制御する。これは、接続が SMB1 または SMB3 のどちらかに よって影響が異なる:

このパラメータはグローバルに設定できる。取り得る値は以下の通り off, if_required, desired, と required. 特別な値 default は、if_requiredの 暗黙の設定である。

既定値: client smb encrypt = default

このパラメーターは SMB3_11 ダイアレクトのネゴシエーション時にサーバに 提示する有効な暗号化アルゴリズムとその優先順位を指定する。

これはまた、先頭に '-' を付けることで、既定のリストから個々のアルゴリズムを 削除することもできる。これにより、ハードコートされたリストを指定する必要性が なくなる。

注意: リストから aes-128-ccm を削除すると、SMB3_00 及び SMB3_02 は 使えなくなる。これは既定であり、それらのダイアレクトでは AES-128-CCM が 既定値で、かつ唯一有効な暗号化アルゴリズムである。

既定値: client smb3 encryption algorithms = aes-128-gcm, aes-128-ccm, aes-256-gcm, aes-256-ccm

例: client smb3 encryption algorithms = aes-256-gcm

例: client smb3 encryption algorithms = -aes-128-gcm -aes-128-ccm

このパラメータは、 SMB3_11 ダイアレクトのネゴシエーション時にサーバに 提示する、有効な署名アルゴリズムとその優先順位を指定する。

これはまた、先頭に '-' を付けることで、既定のリストから個々のアルゴリズムを 削除することもできる。これにより、ハードコートされたリストを指定する必要性が なくなる。

注意: リストから aes-128-ccm を削除すると、SMB3_00 及び SMB3_02 は 使えなくなり、hmac-sha-256 を削除すると、SMB2_02 と SMB2_10 は使えなくなる。 これは既定であり、これらのダイアレクトでは、それらが既定値で、かつ唯一有効な 暗号化アルゴリズムである。

既定値: client smb3 signing algorithms = aes-128-gmac, aes-128-cmac, hmac-sha-256

例: client smb3 signing algorithms = aes-128-cmac, hmac-sha-256

例: client smb3 signing algorithms = -aes-128-cmac

このパラメータは、Samba クライアントツールが、Kerberos を使って 認証を行うかどうかを指定する。Kerberos 認証のためには、サービス接続時に、 IP アドレスの代わりに DNS変更 名を使う必要がある。

取り得るオプション設定は以下の通り:

弱い暗号が許されない場合 (たとえば FIPS モード)、 既定値は強制的に required になる。

既定値: client use kerberos = desired

このパラメーターは、smbclient(8)をはじめとする、Samba のコンポーネントが、 クライアントとして動作する時に、SPNEGO 交換の際にサーバーから提供されることが あるプリンシパルを使うかどうかを制御する。

これを有効にした場合、Samba は IP アドレスのみで定義されている サーバーへ接続する際にも Kerberos を使うことを試行する。しかし、Kerberos は名前に依存したプロトコルなので、通常こうした状況においては機能しない。

セキュリテイの観点から、これは *とても悪いアイデア* であり、 このパラメータは *使うべきではない* 。将来の Samba のバージョンでは これは削除される予定である。

これを無効にした場合、Samba はチケットを KDC に問い合わせる時、 サーバーを検索する時に用いた名前を使う。これにより、あるサーバーが ネットワーク上で用いられている名前とは別のプリンシパルとして認証を 要求することで、別のサーバーになりすましてしまうという事態を避ける ことができる。

Windows XP SP2 以降のバージョンは後者の動作を行うように変更されている。 また、Windows Vista 以降がサーバーとして機能する際にも、この 'rfc4178 hint' プリンシパルを提供しないようになっている。

このパラメータは Samba 4.2.1 では 無視され、この後の Samba リリースで(その機能と一緒に)削除予定である。

既定値: client use spnego principal = no

このパラメータはSamba 4.13 以降廃止予定であり、将来の Samba の リリースでは、 NTLMv2, NTLM と NTLMSSP外の LanMan 認証 のサポートが削除される。

このため、将来は、現在の既定値である client use spnego = yes が強制的に設定される。

この値により、Samba クライアントが認証の際に Simple and Protected NEGOtiation (RFC2478 で規定) をサポートしたサーバー (Windows XP 、 Windows 2000 、Samba 3.0 を含む) に対して SPNEGO の使用を試みるかどうかが制御される。 SPNEGO は Kerberos 認証の際に有効となる。

client NTLMv2 auth も yesに設定した場合、拡張セキュリティ (SPNEGO) が、 NTLMSSP内でのみ NTLMv2を使うために必要とされる。この動作は、 CVE-2016-2111 に対するパッチで導入された。

既定値: client use spnego = yes

このパラメーターを使うと、nmbd が WINS サーバーに登録する追加のアドレスを 付加することができる。同様に、これらのアドレス(群)は、 clustering = yesが設定されているときに、 net ads dns registerが呼ばれると、既定で登録される。

既定値: cluster addresses =

例: cluster addresses = 10.0.0.1 10.0.0.2 10.0.0.3

このパラメーターは、Samba が ctdb に接続して tdb ファイルにアクセスし、 さらにメッセージ処理のバックエンドとして ctdb を使うべきかどうかを 指定する。

ctdb が動作している状態でクラスター構成を取る場合にのみ、 このパラメーターを yes にすること。

既定値: clustering = no

これは、クライアントから「ネットワークコンピューター」や net view コマンド経由でサーバー上で利用可能な共有を一覧する際に、共有名の横に表示される文字列である。

コンピューター名の横に表示される文字列を設定したい場合は、server string パラメーターを参照のこと。

既定値: comment = # コメント文字列なし

例: comment = Fred's Files

設定内容を格納するためのバックエンドを切り替える。設定可能な値は file（デフォルト）およびregistry である。smb.conf を読み込んでいる途中で config backend = registry を検出すると、それまでに読み込まれた設定内容は破棄され、その代りに グローバルオプションがレジストリから読み込まれる。つまり、これは レジストリのみの設定にするための仕組みである。共有の定義は即時には 読み込まれないが、その代りに registry shares を yes にセットしてくれる。

注意：このオプションは、レジストリ設定自身の中でセットすることもできる。

既定値: config backend = file

例: config backend = registry

このオプションを指定することで、デフォルトの設定ファイル (通常smb.conf)の代わりのファイルを利用して、 設定を上書きすることが可能になる。このオプション自身が config file 中に記述されるため、これには「鶏と卵」問題がある。

そのため、このパラメーターによって設定ファイルが変更されると、 新しい設定ファイルの内容が先頭からロードされる。

このオプションには、通常の変数置換が適用されるので、 うまく使えばとても便利であろう。

指定された設定ファイルが存在しない場合は読み込まれない (これにより、特定クライアントに対して、 特別な設定ファイルを指定するということが可能となる)。

既定値なし

例: config file = /usr/local/samba/lib/smb.conf.%m

このパラメーターにより、サービスエントリの「複製」 が可能となる。指定されたサービスの設定が単純に現在のサービスへと複製される。 現在のセクションに設定されているパラメーターは、 複製元のセクションの設定を上書きする。

この機能を使うと、「ひな型(template)」となるサービスを作成した上で、 同様の設定のサービスを単純に作成するということが可能となる。 複製元のサービスは、 設定ファイル内で複製先のサービスより前に記述する必要があることに注意。

既定値: copy =

例: copy = otherservice

このパラメーターをnoにすると、winbindが 固有の krb5.conf を作成することを防止する。krb5 ライブラリが AD のサイトを 認識せず、そのため、可能性のある任意のドメインコントローラーから対象として 外すことがとても多いという理由で、winbind は通常これを行う。winbind は サイトを認識し、固有の krb5.conf ファイルを作成することにより、 krb5ライブラリがローカルの DC を使うようにする。

winbind がこれを行うことを防止することは、winbind が知ることの出来ない、 システム上にある、システムの krb5.conf 中に特別なオプションを追加しなければ ならない場合に必要かもしれない。

既定値: create krb5 conf = yes

このパラメーターは右記のパラメーターの別名である：create mask.

ファイル作成時に付与されるパーミッションは、 DOS の属性を UNIX のパーミッションに変換することにより生成されるが、 最終的には、このパラメーターとビット単位の AND 演算が行なわれる。 このパラメーターは、ファイルの UNIX のパーミッションに対するビットマスクと 考えることができる。ここで設定されないビットは、 ファイル作成時のパーミッションから削除される。

このパラメーターの既定値は、 「group」と「other」の書き込みおよび実行権を UNIX のパーミッションから取り除いた値である。

この処理に引続き、Samba はこのパラメーターにより生成されたパーミッションを force create mode パラメーターの値とビット単位の OR 演算を行なう。 なおパラメーターの値はデフォルトで、000 に設定されている。

このパラメーターは、ディレクトリのパーミッション生成には関与しない。 directory mask パラメーターを参照のこと。

既定値: create mask = 0744

例: create mask = 0775

このパラメーターは、クライアントサイドのキャッシングポリシーを規定し、 オフラインキャッシュ機能を持つクライアントが、 共有上のファイルをどのようにキャッシュするかを規定する。 有効な値は、manual, documents, programs, disable である。

これらの値は、Windows のサーバー側の設定に対応している。

例えば、移動プロファイルが格納されている共有では、 csc policy = disable とすることで、 オフラインキャッシュを無効にできる。

既定値: csc policy = manual

例: csc policy = programs

clustering=yes の指定を行う場合は、 ctdbd がどの unix ドメインソケットを監視するのかを、Samba に対して 教えてやる必要がある。ctdb 1.0 におけるデフォルトのパスは /tmp/ctdb.socket であるが、これを smb.conf で明示してやらなければならない。

既定値: ctdbd socket =

例: ctdbd socket = /tmp/ctdb.socket

Samba と ctdb を使うクラスター環境において、 locking.tdb のような ctdb が扱う中心的なデータベースは、 長時間ロックしないことが重要である。 現在の Samba アーキテクチャにおいては、Samba がロックを行ったときに、 そのロックが続いた状態で、共有クラスターファイルシステムに対してファイルシステムコールが起きる場合がある。 指定したミリセカンド秒以上のロックの継続が検出された場合に、 このオプションによって Samba から警告を出力させることができる。 それが検出されたときには、smbd のログにデバッグレベル 0 のメッセージが出力され、 場合によっては syslog にも出力される。 このようなログメッセージが出力される理由として、 Samba がエクスポートするクラスターファイルシステムに対して実行する処理が、 通常よりも長くかかってしまった場合に発生することが多い。 クラスターに関する潜在的な問題をデバッグする際には、このメッセージが役に立つこともある。

既定値は 0 で、このログ出力を抑止する。

既定値: ctdb locktime warn threshold = 0

このパラメーターは Samba と ctdb 間での接続のタイムアウト時間をミリ秒単位で指定する。 これは Samba をクラスターリングがサポート出来るようにコンパイルし、 clustering=yesを設定した場合にのみ有効である。

クラスターブロック内に何らかのものがある場合、ブロック状態に追加しようと するときに、ctdb をとても長い時間待つことがたまにある。うまく動作するクラスター 環境においては、これは決して発生しないが、ちょっとした問題があるかもしれない とてもたくさんのコンポーネントがクラスター中にはある。クラスター間で何かを転送 するために、長いサービス時間がかかる、負荷の高いクラスター上では有効かもしれない という理由で、この値の正しい落とし所を選択するのはとてもトリッキーである。 この値を小さくしすぎると、クラスターが提供するサービスをデグレードする事になり、 長くしすぎると、クラスターそれ自身を、何らかの重大な障害から、長い時間リカバリ できなくなるかもしれない。

もしも、このパラメーターを設定する場合、これは smb.conf 中に存在する必要があるが、 レジストリに接続するのに ctdb が必要であるという理由で、レジストリ設定中 (通常はクラスター上)に配置するのは好ましくないことに注意。

ctdb timeoutを n に設定することは、クラスターのパニック による応答に、どのプロセスも n ミリ秒以上待たないということになる。既定値として強く 推奨する0に設定(既定値)すると、Samba はそれを永久にブロックする。

既定値: ctdb timeout = 0

このパラメーターはprintingでcups が指定されたときだけ有効になる。

これが有効な場合、smbd が CUPS サーバーに接続時にタイムアウトするまでの時間を 指定する。もし、指定時間以上の秒数が経過しても接続が確立しない場合には 接続エラーとなる。

既定値: cups connection timeout = 30

例: cups connection timeout = 60

このパラメーターは、もしもprintingが cupsで、もしもCUPSが1.0.x よりも新しいものを 使っている場合にのみ適用可能である。これは、Samba が CUPS サーバーと通信する時に、 暗号化を使うべきか否かを定義する。設定可能な値は auto, yes と noである。

auto に設定した場合、各 CUPS 接続のセットアップ時に TLS のハンドシェークを試みる。 もしもそれが失敗した場合、暗号化なし操作に切り替える。

既定値: cups encrypt = no

このパラメーターは printing が cups に設定されている場合のみ有効である。 この値は、 CUPS ライブラリに直接渡されるオプションを記述した任意の形式の文字列である。

CUPS で有効な一般の印刷オプション ( CUPS の「Spftware Users' Manual」に記載されているもの ) はすべて設定できる。 また、設定対象のキューで有効な ( 「lpoptions -d printername -l」で表示される ) 任意のプリンター固有のオプションも設定できる。 複数のパラメーターは、ABNF指定のPAPIテキストオプションに準じた、空白で 分離された名前/値ペアでなければならない。複数の値を持つ場合 ("name={a=... b=... c=...}")は、中括弧がそのままで格納される。

Windows クライアントが Samba を経由して印刷を行なう際に CUPS サーバーの error_log ファイルに 「Unsupported format 'application/octet-stream'」といったメッセージが含まれている場合、 このパラメーターを raw に設定するとよい。 現在では /etc/cups/mime.{convs,types} において、 システム全体で raw 印刷を有効にする必要はない。

既定値: cups options = ""

例: cups options = "raw,media=a4

このパラメーターは printing が cups に設定されている場合のみ有効である。

このパラメーターが設定されると、CUPS の client.conf で設定された ServerName オプションの値が置き換えられる。 これは、仮想 Samba サーバー毎に異なる CUPS デーモンに接続する際に必要である。

なお、サーバー名に続きコロンの後ろにポート番号を記述することで、ポー ト番号を指定することも可能である。 ポートの指定が行なわれなかった場合、IPP のデフォルトポート (631) が使われる。

既定値: cups server = ""

例: cups server = mycupsserver

例: cups server = mycupsserver:1631

実行するための DCE/RPC エンドポイントサーバーを指定。

既定値: dcerpc endpoint servers = epmapper, wkssvc, samr, netlogon, lsarpc, drsuapi, dssetup, unixinfo, browser, eventlog6, backupkey, dnsserver

例: dcerpc endpoint servers = rpcecho

このパラメーターの値(10進の整数)は、接続が利用されなくなったとみなされて 切断が行なわれるまでの経過時間(分)を表す。 deadtime はオープンされているファイ ルが存在しない時のみ有効である。

このパラメーターは、多数の利用されていない接続によって、サーバー上のリソースが 枯渇するのを防ぐのに有効である。

多くのクライアントは、このパラメーターをユーザーに意識させないように、 接続が切断されていた際に、自動で再接続を行なう機能を持っている。

ほとんどのシステムにおいて、このパラメーターを利用して、 数分でタイムアウトが発生するようにすることを推奨する。

deadtime が 0 の場合、タイムアウトによる自動的な切断は行なわれない。

既定値: deadtime = 10080

例: deadtime = 15

このブール値パラメーターが有効の場合、デバッグ用ヘッダーの中にデバッグクラス (DBGC_CLASS) が表示される。

現在利用可能なデバッグクラスに関する詳細は、log level の章を参照してほしい。

既定値: debug class = no

このオプションを使うと、libsmb を使う smbd サーバおよびクライアント (smbclient, smbget, smbspool, ...) に対し、SMB3+ セッションが 確立されているときは常に、セッション ID、 復号化されたセッションキー、署名のキー、アプリケーションキー、 暗号化キーと復号化キーがダンプできるようになる。この情報は レベル0 のログ中に出力される。

注意: それらの値にアクセスすることは、ダンプしているセッション上で、 任意の暗号化した通信を復号化できることになる。このオプションはデバッグ 目的のためだけに有効にすること。

既定値: debug encryption = no

ログメッセージに秒単位以上のタイムスタンプが必要な場合、 この真偽値のパラメーターを有効にすることにより、 マイクロ秒単位のタイムスタンプがメッセージに付加される。

このパラメーターを有効にする際は、 debug timestamp または debug syslog format が有効になっている必要があることに注意。

既定値: debug hires timestamp = yes

fork されて生成された smbd(8) プロセスが同一のログファイルを共用している場合、 どのプロセスがメッセージを出力しているかを識別することは非常に難しい。 この真偽値パラメーターを有効にすることで、ログファイル中のタイムスタンプメッセージのヘッダーにプロセスIDが付加されるようになる。

このパラメーターを有効にする際は、 debug timestamp が有効になっている必要があることに注意。

既定値: debug pid = no

このオプションを有効にすると、デバッグメッセージにタイムスタンプメッセージ ヘッダーが付くようになる。ただし debug timestamp に含まれるファイル名や関数情報には付加されない。 タイムスタンプを表すためだけに、新たなデバッグ行が発生することはない。

注意：このパラメーターは debug timestamp を上書きする。

既定値: debug prefix timestamp = no

このオプションを有効にすると(yes (別名 in_logs) 又は always) 、 デバッグメッセージは、従来 syslog に よって生成されていたような1行形式で出力される。タイムスタンプは、 省略された月、スペースが埋め込まれた日付、および秒を含む時間で 構成される。これに続いて、ホスト名とプログラム名、および角カッコで 囲まれたプロセスIDが続く。

値 always は、 STDOUT 又は STDERR に対してもこのログ形式を生成する。

値noは他のパラメータに依存し、通常は従来の2行形式 Samba ログをログファイルに生成する。

debug hires timestamp も有効にした場合、 RFC5424 形式のタイムスタンプが代わりに使用される。

既定値: debug syslog format = no

このブール値パラメータを有効にすると、要求毎の一意な traceid が、 winbind プロセス用のデバッグヘッダ中に表示される。

既定値: winbind debug traceid = no

Samba は root 権限で動作する時もあれば、 接続したユーザーの権限で動作する時もある。 このパラメーターを有効にすると、現在の euid、egid、uid、gid をログファイル中のタイムスタンプメッセージに付加する。

このパラメーターを有効にする際は、 debug timestamp が有効になっている必要があることに注意。

既定値: debug uid = no

kerberos methodが "dedicated keytab" に設定されている場合に、kerberos の keytab ファイルへの絶対パスを指定する。

既定値: dedicated keytab file =

例: dedicated keytab file = /usr/local/etc/krb5.keytab

name mangling セクションを参照のこと。 short preserve case パラメーターにも注意。

既定値: default case = lower

このパラメーターは、printable サービスにのみ適用される。 smbd が、Windows NT/2000/XP クライアントに対してプリンタードライバーを提供する際に、 Samba サーバー上の各プリンターでは、用紙サイズ、用紙の方向、両面印刷指定、 settings といった情報が定義されたデバイスモード(device mode)という値を設定する必要がある。 デバイスモードの適切な値は、プリンタードライバー自身のみが生成することができる (この処理は、Win32 プラットフォームでのみ実行することができる)。 smbd はデバイスモードを生成するドライバーのコードを実行できないため、 このフィールドの既定値としては、NULL が設定される。

Windows NT/2000/XP クライアントに対してプリンタードライバーを提供する上での問題点の多くは、 デバイスモードの生成に関するものである。 ドライバーによっては、デバイスモードとして NULL を設定すると、 クライアント側の Explorer.exe をクラッシュさせるものがある。 また、デバイスモードがドライバー自身によって生成されていないと（たとえば smbd がデフォルトのデバイスモードを生成するなど）、 クライアントのスプーラサービス(spoolsv.exe)を停止させてしまうものもある。

このパラメーターは、熟慮の上、プリンタードライバーのテストを行なった上で用いること。 デバイスモードを NULL のままにしておき、Windows クライアントに適切な値を設定される方が好ましい。 ただし、ドライバーが常にこの処理を行なうとは限らないため、 default devmode = yes の設定を行なうことで、smbd にデフォルトのデバイスモードを生成するような指示を行なうことができるようになっている。

Windows NT/2000 の印刷システムやデバイスモードに関する詳細な情報については、 MSDN documentation を参照のこと。

既定値: default devmode = yes

このパラメーターは右記のパラメーターの別名である：default service.

このパラメーターは、 要求されたサービスが存在しなかった場合に接続されるサービス名を指定する。 パラメーターの値に、大括弧('[' と ']')は不要であることに注意(設定例を参照のこと)。

このパラメーターに既定値はない。 このパラメーターが設定されていない場合、 存在しない共有に対する接続は失敗する。

default service は guest ok と read only パラメーターを有効にしたサービスにするのが一般的である。

外面的なサービス名はクライアントから要求されたサービス名に変換される。 これは、%S のようなマクロをワイルドカードサービスに適用する際に、非常に有用である。

default service のサービス名に現れる「_」文字は、「/」にマッピングされる。 これにより、いろいろと面白いことができるだろう。

既定値: default service =

例: default service = pub

Windows ではファイルのオープン時に他のプロセスとの共有方法を指定することができる。 あるプロセスがファイルを開こうとした時に指定した共有方法が 別のプロセスによって指定された共有方法と共存できないようなものであった際に 共有違反が発生する。 このパラメーターにより、smbd は Windows サーバーのように動作するようになり、 「共有違反」のエラーメッセージを 1 秒待ってから返却するようになり、 クライアントはこの間に共有違反を起こしたファイルをクローズすることが可能となる。

UNIX のデフォルトでは、こうした挙動は行なわれない。

このパラメーターは Samba の挙動をより Windows に近づけるためのものであり、 無効にする必然性はないであろう。

既定値: defer sharing violations = yes

このパラメーターは、グループの削除が要求された際に、 smbd(8) によって ROOT 権限で 実行されるスクリプトのフルパス名である。 %g はグループ名に置換される。 スクリプトは Windows NT のドメイン管理ツールを使用して設定を行なう際にのみ有効である。

既定値: delete group script =

Samba 2.2 における Windows NT/2000 クライアントに対応した MS-RPC ベースの印刷サポートの実装にともない、 DeletePrinter() RPC 呼び出しを発行することにより、 実行中にプリンターを削除することが可能になった。

Samba ホスト上では、 実際の印刷システム上から物理的にプリンターが削除される。 deleteprinter command パラメーターには、 プリンターを印刷システムとsmb.confから削除するために 必要な操作を実行するためのスクリプトを設定する。

deleteprinter command は printer nameのみをパラメーターに設定されて自動的に呼び出される。

deleteprinter command が実行されると、 smbd は削除対象のプリンターを無効にするために、 smb.conf を読み直す。 共有名が依然として有効な場合、smbd はクライアントに ACCESS_DENIED エラーを返却する。

既定値: deleteprinter command =

例: deleteprinter command = /usr/bin/removeprinter

このパラメーターにより、読み取り専用のファイルの削除が可能になる。 これは DOS の仕様ではないが、UNIX では可能な処理である。

このオプションは、rcs のようなアプリケーションを動作させるのに有用で、 UNIX ファイルの所有者に関する仕様がファイルのパーミッション変更を妨げたり、 DOS の仕様が読み取り専用ファイルの削除を妨げたりする問題を回避する。

既定値: delete readonly = no

Samba 2.2.0 では、Windows NT 4.0 のサーバーマネージャーを利用して共有設定を を追加・削除する機能が追加された。 delete share command は、 smb.confに既存のサービスを削除 する外部のプログラム、もしくはスクリプトを設定するためのパラメーターである。

delete share command を実行するため、管理者は smbd にroot アカウント(uid = 0)で接続するか、アカウントにSeDiskOperatorPrivilege が付与されている必要がある。 delete share commandで指定された スクリプトは root 権限で実行される。

コマンド実行時に、smbdは自動的に以下の 2つの引数を付加してdelete share commandを 実行する。

このパラメーターは、ファイル共有設定の削除にのみ使われる。印刷共有の設定を 削除するときはdeleteprinter commandを参照のこと。

既定値: delete share command =

例: delete share command = /usr/local/bin/delshare

このパラメーターは、 Windows NT のドメイン管理ツールによってユーザーがグループから削除された際に実行されるスクリプトのフルパス名である。 これは smbd(8) によって ROOT 権限で 呼び出される。 %g はグループ名に置換され、 %u はユーザー名に置換される。

既定値: delete user from group script =

例: delete user from group script = /usr/sbin/deluser %u %g

このパラメーターは、リモート RPC (NT) ツールによってユーザーの管理が行なわれた際に、 smbd(8) によって実行されるスクリプトのフルパス名である。

このスクリプトは、「ドメインユーザーマネージャ」や rpcclient により、リモートのクライアントがサーバーからユーザーを削除した際に呼び出される。

このスクリプトは指定されたユーザー名の UNIX ユーザーを削除するものでなければならない。

既定値: delete user script =

例: delete user script = /usr/local/samba/bin/del_user %u

このオプションは、アクセスが禁止 (veto) されたディレクトリ、 ディレクトリ、不可視なファイル、あるいは(どこにも繋がっていない シンボリックリンクのような)ディレクトリをを含むディレクトリを削除しようと する際に使われる (veto files, hide special files, hide unreadable, hide unwriteable files オプションを参照のこと)。 このオプションが no (デフォルト) の場合、 アクセスが禁止されたディレクトリ内にアクセスを禁止されていない ファイルやディレクトリが含まれていても、 ディレクトリ内の削除は失敗する。これは通常期待されている動作であろう。

このオプションを yes に設定すると、 Samba はアクセスが禁止されたディレクトリ内でも 再帰的にすべてのファイルやディレクトリを削除しようとする。 NetAtalk のようなファイルサーバーを併用する際は、 通常 DOS/Windows ユーザーからの参照するのを禁止しているディレクトリ内にメタファイル (たとえば .AppleDoubleなど)を作成するため、このオプションが有用である。

delete veto files = yes を指定することで、 これらのディレクトリは、親ディレクトリが削除された際に、自動的に削除される (ただし、ユーザーはディレクトリを削除するパーミッションを持っている必要がある)。

既定値: delete veto files = no

dfree cache time パラメーターは、 Samba のディスク空き容量の計算で問題が発生するシステムでのみ利用すること。 Ultrix では問題の発生することが知られているが、 他のオペレーティングシステムで発生するかも知れない。 この問題は、各々のディレクトリの一覧表示の終了時に 「終了 再試行 無視 (Abort Retry Ignore)」のエラーが発生する形で顕在化する。

このパラメーターは Samba 3.0.21 で新設されたものである。 これは、smbd がディスク空き容量の結果をキャッシュする時間を秒単位で指定する。0 (既定値) の場合、キャッシュは行なわれない。 これにより、高負荷のサーバーで dfree command のスクリプトが頻繁に呼ばれて負荷が増大することが避けられる。

このパラメーターのデフォルト値は 0 であり、キャッシュは行なわれない。

既定値なし

例: dfree cache time = 60

dfree command パラメーターは、 Samba のディスク空き容量の計算で問題が発生するシステムでのみ利用すること。 Ultrix では問題の発生することが知られているが、 他のオペレーティングシステムで発生するかも知れない。 この問題は、各々のディレクトリの一覧表示の終了時に 「終了 再試行 無視 (Abort Retry Ignore)」のエラーが発生する形で顕在化する。

このパラメーターでは、 総ディスク容量と空き容量を計算する内部ルーチンを置き換える外部スクリプトを指定する。 以下に、この機能を果たすスクリプトの仕様を示す。

Samba 3.0.21 において、このパラメーターは共有単位に設定可能なパラメーターとなり、 新たに追加された dfree cache time パラメーターにより、 高負荷のシステムにおいて、このスクリプトの出力結果をキャッシュできるようになった。

外部スクリプトは、対象となるファイルシステム中のディレクトリを示すパラメーター 1 つを受け取る。 これは通常 ./という文字列からなる。 スクリプトはアスキー文字で 2 つの整数を返さなければならない。 1 つめはブロック単位のディスク総容量で、 2 つめは利用できるブロック数でなければならない。 3 番目の戻り値として、オプションでブロックサイズをバイト単位で返却させることもできる。 デフォルトのブロックサイズは 1024 バイトである。

注意: スクリプトは、setuid や setgid しては ならず、 (root のみ書き込み可能で)所有者は root である必要がある。

dfree スクリプト(実行可能にする必要がある)を以下に示す:

 
#!/bin/sh
df "$1" | tail -1 | awk '{print $(NF-4),$(NF-2)}'

もしくは、以下のようなものも考えられる(Sys V ベースのシステムの場合):

 
#!/bin/sh
/usr/bin/df -k "$1" | tail -1 | awk '{print $3" "$5}'

システムによっては、コマンド名をフルパスで記述する必要がある場合があるので注意。 さらに、スクリプトに渡される引数は、空白や改行のような特殊文字を含む場合、 引用符でくくらなければならないことにも注意。

デフォルトは内部ルーチンにより、ディスクの総容量と空き容量が計算される。

既定値なし

例: dfree command = /usr/local/samba/bin/dfree

サーバーが NetBIOS データグラムを待ち受けるポートを 指定する。

既定値: dgram port = 138

このパラメーターは右記のパラメーターの別名である：directory mask.

このパラメーターは、パーミッションを示す8進数の数値であり、 UNIX 側のディレクトリ作成時に DOS の属性から UNIX のパーミッションを生成する際に使われる。

ディレクトリ作成時に付与されるパーミッションは、 DOS の属性と UNIX のパーミッションとのマッピングにしたがって、 DOS の属性を UNIX のパーミッションに変換することにより生成されるが、 最終的には、このパラメーターとビット単位の AND 演算が行なわれる。 このパラメーターは、ディレクトリの UNIX のパーミッションに対するビットマスクと 考えることができる。ここで設定されないビットは、 ディレクトリ作成時のパーミッションから削除される。

このパラメーターの既定値は、 「group」と「other」の書き込み権を UNIX のパーミッションから取り除き、ディレクトリの所有者のみが変更可能にしたものである。

この処理に引き続いて、Samba はこのパラメーターで生成された UNIX のパーミッションと force directory mode パラメーターの値との OR 演算を行う。 このパラメーターは既定では 000 に設定されている(つまり、追加されるパーミッションはない)。

既定値: directory mask = 0755

例: directory mask = 0775

このパラメーターはSamba 4.0.0で削除された。

既定値なし

このパラメーターを有効にすると、 Samba の NetBIOS サポート機能が無効になる。 Windows 2000 より後のバージョンの Windows では、NetBIOS のみを使用できる。

既定値: disable netbios = no

このパラメーターを有効にすることで、 Samba の SPOOLSS MS-RPC サポートを無効にし、Samba 2.0.x と同様の動作をさせることが可能となる。 Windows NT/2000 クライアントは、Lanman 形式の印刷コマンドを利用することも可能である。 Windows 9x/Me は、このパラメーターに影響されない。 なお、このパラメーターを有効にすると、NT のプリンタープロパティを利用した、 Windows NTのプリンター追加ウィザードによる Sambaマシンへのプリンタードライバーのアップロード機能が無効になる。 また、Windows NT/2000 クライアントが、必要に応じて Samba マシンからプリンタードライバーをダウンロードする機能も同時に無効になる。 このパラメーターを有効にする際は、充分注意すること。

既定値: disable spoolss = no

このパラメーターにより、Samba がオフラインのファイルの判定に DMAPI を用いるかどうかが制御される。 これは、通常ファイルを自動的にテープに移動していくような階層型ストレージとの連携の際に用いられる。

Samba はファイルの状態を DMAPI アプリケーションが登録したイベントを確認することで推測することに注意。 この方法は、多くの階層型ストレージシステムで機能するが、一部機能しないシステムもあるかも知れない。この場合、 Samba はファイルがオフラインであるという誤った報告を行なうことになる。

このパラメーターは、コンパイル時に DMAPI の実装サポートを確認できた場合にのみ有効となる。 また、実行時にシステムで DMAPI が使用可能であることが確認できた場合にのみ使用される。

既定値: dmapi support = no

このオプションは、Sambaサーバー自身で処理できない DNS リクエストの フォワード先となる DNS サーバー群を指定する。

このパラメーターは、Samba 内蔵の DNS サーバーが使用されている場合 のみ有効である。コロン(':') を使い、アドレス部分と分離することで、ポート 番号を追加できる。ポート番号を指定した場合、IPv6 アドレスは大括弧 ('[' と ']') でくくらなければならない。ポート指定の無いIPv6 フォワーダー アドレスは、大括弧は不要で、既定のポートは 53 となる。

既定値: dns forwarder =

例: dns forwarder = 192.168.0.1 192.168.0.2 ::1 [2001:db8::1] [2001:db8:1:2::1]:54

サーバが DNS トラフィックを監視するポートを指定する。

これにより、他の DNS サーバを Samba のフロントにして、フォワード として使用させることが可能になる。

既定値: dns port = 53

WINS サーバーとして機能している nmbd(8) が WINS サーバーとして機能している場合、ある NetBIOS 名が登録されていなかった時に、その NetBIOS 名を DNS 名として扱い、名前の問い合わせを行ったクライアントに代わってその名前を DNS サーバーに対して問い合わせるように設定する。

NetBIOS 名の最大長は 15 文字であるため、 問い合わせる DNS 名(もしくはDNSの別名)も、最大15文字に制限される。

nmbd が DNS への名前解決を行う際には、問い合わせにより他の処理が停止させないために、自分自身を複製したプロセスを生成する。

既定値: dns proxy = yes

このオプションは、DNS の更新が行われる際に実行されるコマンドを 設定する。コマンドは、TSIG-GSS を使ってローカルマシンの DNS 名を 更新する必要がある。

既定値: dns update command = ${prefix}/sbin/samba_dnsupdate

例: dns update command = /usr/local/sbin/dnsupdate

有効にすると(既定値では無効)、未使用のダイナミックDNSレコードは定期的に 削除される。

既定値: dns zone scavenging = no

このオプションは、bind DLZ モジュールから、DNS ゾーン転送を 要求する権限がある IP アドレスの一覧を指定する。

IP リストは、カンマ と 空白で分離され、 hosts allow で 使われているのと同じ文法、具体的には、IP アドレス、IP プレフィックス、 IP アドレスマスク を使って指定する。

これは DNS サーバオプションなので、当然、ホスト名は使えない。

規定の動作はすべての要求を拒否する。要求は、要求元クライアントが、このリスト 中にあった場合にのみ、かつ、smbconfoption name="dns zone transfer clients deny"/> に無い場合にのみ許可される。

既定値: dns zone transfer clients allow =

例: dns zone transfer clients allow = 192.168.0.1

このオプションは、bind DLZ モジュールから、DNS ゾーン転送を 要求する権限がある IP アドレスの一覧を指定する。

IP リストは、カンマ と 空白で分離され、 hosts allow で 使われているのと同じ文法、具体的には、IP アドレス、IP プレフィックス、 IP アドレスマスク を使って指定する。

これは DNS サーバオプションなので、当然、ホスト名は使えない。

このリスト内にあるクライアントが zone 転送要求を送信した場合、 たとえそれらが dns zone transfer clients allow 中に あったとしても常時拒否される。これにより、承認されたサブネット内の、 特定の拒否クライアントとを定義できる。

既定値: dns zone transfer clients deny =

例: dns zone transfer clients deny = 192.168.0.1

このパラメータはSamba 4.13 以降廃止予定であり、将来の Samba の リリースでは、 NT4 形式のドメインログオン(Samba AD DCとは異なる) のサポートが削除される。

このため、将来は、現在の既定値である domain logons = no が強制的に設定される。

このパラメーターが yes に設定されると、 Samba サーバーは、自身が所属する workgroup に所属する Windows 95/98 に対するドメインログオン機能を提供するようになる。 さらに、Samba サーバーは、 Windows NT 4.0 形式のドメインコントローラーとしても機能するようになる。 この機能の設定に関する詳細な記述は、 Samba-PDC-HOWTO の「Domain Control」章を参照のこと。

既定値: domain logons = no

このオプションにより、 smbd(8) が WAN 環境におけるブラウズリストの統合を行なうことが可能になる。 このオプションを設定すると、nmbd は、指定された workgroup のドメインマスターブラウザーであることを表す、ドメイン固有の特別な NetBIOS 名(訳注:NetBIOS 名で末尾が 0x1b のユニーク名を指す) を登録する。 各サブネット上にある、同じ名前の workgroup に属するローカルマスターブラウザーは、この nmbdに対して、 ローカルに収集したブラウズリストを提供するとともに、 smbd(8) に対してネットワーク全体のブラウズリストの完全な複製の提供を要求するようになる。 ブラウザーのクライアントは、ローカルマスターブラウザーと通信することで、 個々のサブネットのブラウズリストではなく、 そのドメイン全体のブラウズリストを取得できるようになる。

Windows NT のプライマリドメインコントローラーは、 workgroup のドメインマスターブラウザーとして機能するために、 workgroup 固有の特別な NetBIOS 名を登録することが前提とされていることに注意 (Windows NT PDC のこの動作を抑止することはできない)。 つまり、このパラメーターが Yes に設定され、nmbd が Windows NT PDC より前に、workgroup のための特別な NetBIOS 名を登録してしまうと、 サブネット越しのブラウズは正常に動作せず、失敗する。

domain logons = yes の場合、domain master パラメーターはデフォルトで有効となる。 domain logons が有効でない場合(デフォルト)、 domain master パラメーターもデフォルトでは有効にならない。

domain logons = Yes の場合、このパラメーターもデフォルトで Yes となり、Samba は PDC として動作するようになる。 domain master = No の場合、Samba は BDC として動作するようになる。通常、このパラメーターを「No」に設定する必要があるのは、BDC として機能させる場合のみである。

既定値: domain master = auto

システムに存在するディレクトリには、 クライアントに参照させたくないものや、 無限に深い(再帰的)なものが存在する(たとえば Linux での /proc)。 このパラメーターは常に空のように見せかけるサーバー側のディレクトリをカンマで区切って指定する。

Samba が要求する「dont descend」の書式は一定ではない。 たとえば /proc ではなく ./proc でなければならないかもしれない。 実験してみるのが最良の方法である。 :-)

既定値: dont descend =

例: dont descend = /proc,/dev

DOS SMB クライアントは、サーバー側でも自身と同じ文字コードセットを使用していると想定する。 このオプションにより、 Samba が DOS クライアントと通信する際に用いられる文字コードセットを指定する。

デフォルトは Samba にインストールされた文字コードセットによって異なる。 Samba は、文字コードセット 850 の使用を試みるが、使用できない場合は ASCII を使用する。 testparm(1) コマンドを実行することで、システム上の既定値を確認することが可能である。

既定値なし

Samba の既定の動作では、ファイルやディレクトリの所有者のみが アクセス権を変更できるという、UNIX的な仕様になっている。しかし、この仕様が DOS/Windows のユーザーを混乱させてしまうことも多い。このパラメーターを有効に することによって、(何らかの手段によって)ファイルに書き込み権のあるユーザーは、 パーミッション( ACL を含む)の変更もできるようになる。ファイルの所有グループに 所属しているユーザーは、グループに対して読み込み権限しか与えられていない場合は パーミッションの変更を行なうことができないことに注意。ファイルやディレクトリの 所有者を変更することも可能である。 ネイティブな Windows データをメタデータとして格納する、VFS モジュール acl_xattr か acl_tdb は、ロードされるどのような共有に対しても、Windows の ACL を正しく エミュレートするために、このオプションを自動的にオンにする事が要求される ことに注意。

既定値: dos filemode = no

DOS や Windows の FAT ファイルシステム下では、 時刻の最小単位は 2 秒である。共有に対してこのパラメーターを設定すると、 smbd(8) に対して 1 秒精度の要求が 行なわれた際に、 返却される時間をもっとも近い 2 秒の境界値に丸める。

このオプションはおもに、Samba の共有で Visual C++ を 使用するための互換性オプションとして利用する。 共有で oplock が有効であると、 Visual C++ はファイルが最後の読み込みから変更されていないかを検査するときに、 扱う日付の最小単位が異なる 2 つの時刻取得の呼び出し (call) を利用する。 そのうちのひとつの呼び出しは 1秒単位であり、もうひとつは 2 秒単位になっている。 2 秒単位で扱う呼び出しが奇数秒を切り捨てるため、 ファイルが奇数秒の日付であると 2 つの日付が一致せず、 Visual C++ はファイルが変更されたと報告し続けてしまう。 このオプションをyesに設定することで 2 つの日付は一致し、Visual C++ も幸福になれる。

既定値: dos filetime resolution = no

DOS や Windows では、ファイルに書き込み権のあるユーザーが、 ファイルのタイムスタンプを変更することが可能である。POSIXの仕様では、 ファイルの所有者かrootのみがタイムスタンプを変更できる。Sambaの既定値は、DOSの 仕様をエミュレートし、smbdの実効ユーザーが、 ファイルの所有者でなくても、タイムスタンプの変更を可能にする。 Microsoft Office 2000 以降で行なわれた変更に対応するため、Samba 3.0.14 以降では 既定値が「no」から「yes」に変更された。このパラメーターが「yes」になっていない 場合、ファイルが複数のユーザー間で共用されていると、Microsoft Excel はファイルが 他のユーザーによって変更されたという警告のダイアログボックスを表示してしまう。

既定値: dos filetimes = yes

有効にした場合、このオプションは Samba に(Active Directory のドメインコントローラとして動作している場合) 、内部メッセージ バスを使ってデータベースイベントをストリーミングさせる。 Samba の python バインディングを使ってビルドされたスクリプトは、 dsdb_event を使って サービスとして登録することで、そのイベントをリッスンできる。

これは、log level 中で記述される 監査ログのためには必要ではない。

メッセージの配信は保障されていないので(testsuite で対応する 機能)、代わりに、これは、外部監査用の機能ではなく、開発者オプション (Samba testsuiteを手助けする)と考えるべきである。

Samba データベースイベントは、dsdb_json_audit:5 のように、log level を適切に設定 していれば、通常のログ収集方式でもログが記録される。

既定値: dsdb event notification = no

有効にした場合、このオプションは Samba に(Active Directory のドメインコントローラとして動作している場合)、内部メッセージ バスを使ってグループメンバシップの変更をストリーミングさせる。 Samba の python バインディングを使ってビルドされたスクリプトは、 dsdb_event を使って サービスとして登録することで、そのイベントをリッスンできる。

これは、log level 中で記述される 監査ログのためには必要ではない。

メッセージの配信は保障されていないので(testsuite で対応する 機能)、代わりに、これは、外部監査用の機能ではなく、開発者オプション (Samba testsuiteを手助けする)と考えるべきである。

Samba データベースイベントは、dsdb_json_audit:5 のように、log level を適切に設定 していれば、通常のログ収集方式でもログが記録される。

既定値: dsdb group change notification = no

有効にした場合、このオプションは、Samba に(Active Directory のドメインコントローラとして動作している場合)、内部メッセージ バスを使ってパスワードの変更とリセットイベントを、ストリーミングさせる。 Samba の python バインディングを使ってビルドされたスクリプトは、 dsdb_event を使って サービスとして登録することで、そのイベントをリッスンできる。

これは、log level 中で記述される 監査ログのためには必要ではない。

これは、メッセージの配信が保証されていない(テストスイートが 動作する機能)ため、外部監査用の機能ではなく、(Samba のテストスイートを) 支援する)開発者向けオプションとしてのものであると考えるべきである。

Samba データベースイベントは、dsdb_password_json_audit:5 のように、log level を適切に設定 していれば、通常のログ収集方式でもログが記録される。

既定値: dsdb password event notification = no

この真偽値パラメーターは、Samba が共有上で SMB2 の永続的ファイルハンドル (durable file handle) の取得を許可するかどうかを制御する。

永続的ファイルハンドルは、 kernel oplocks = no、 kernel share modes = no、 posix locking = noの場合、すなわち 共有が CIFS/SMB2 によるアクセス専用に設定され、ローカルの UNIX プロセスや NFS 経由での操作との相互運用性をサポートしない設定となっている場合に 限り有効となる点に注意すること。

また、永続性は、delete on close フラグが設定されている ファイルハンドルに対しては許可されないことにも注意すること。

既定値: durable handles = yes

この真偽値パラメーターは、smbd(8) のクライアントが、共有上の拡張属性へ のアクセスを行ってよいかどうかを定める。既定の VFS モジュールを用いてこのパラ メーターを有効にするためには、以下のことが必要である。

このオプションは、ファイルシステム上の "user" 属性名前空間をクライアントに対して公開する。 Windows の規則に適合するため、名前空間のプレフィックス ("user.") は クライアント上においては、属性の名前から取り去られる。他の属性の名前空間 (たとえば "security", "system", や "trusted" など) の取り扱いは、このオプションでは 影響しない。

SMB プロトコルでは、属性値が 64K におよぶ長さであっても設定できる。 そして NTFS 上では、各ファイルごとの拡張属性の保存容量は、最大 64K である。 ある種のファイルシステムでは、制限が小さすぎるかもしれない。EA 空間 の制限が小さすぎる ファイルシステムでは予期しない異常な結果が発生する場合がある。 Samba 4.9.0 とそれ以降、既定値は yes に変更となり、既定の状態でインストール する場合、Windows ファイルサーバとの互換が向上する。

既定値: ea support = yes

Elasticsearch バックエンドを、Spotlight 問い合わせで使う時に、 Elasticsearch サーバの名前を指定する。

既定値: elasticsearch:address = localhost

例: elasticsearch:address = needle.haystack.samba.org

検索クエリで不明なスポットライト属性を無視する。サポートされていない属性 "kMDItemTopic" を使用するクエリの例は、 次のようになる。 kMDItemTopic=="hotstuff" 既定では、このような型を使用するクエリは完全に失敗する。このオプションを 有効にすると、型の一致がより大きな式の下位式である場合、この下位式は無視される。

既定値: elasticsearch:ignore unknown attribute = no

例: elasticsearch:ignore unknown attribute = yes

検索クエリで不明なスポットライトの種類を無視する。サポートされていない種類の "public.calendar-event"を使用するクエリの例は kMDItemContentType=="public.calendar-event" のようなものである。既定ではこのような型を使用するクエリは完全に失敗する。 このオプションを有効にすると、型の一致がより大きな式の下位式である場合、 この下位式が無視される。

既定値: elasticsearch:ignore unknown type = no

例: elasticsearch:ignore unknown type = yes

Elasticsearch バックエンドを Spotlight 問合せのバックエンドとして 使う場合、 Elasticsearch インデックスの名前を指定する。 既定値は "_all" で、これは、すべてのインデックスに対して検索操作を実行 する特別な Elasticsearch の値である。

既定値: elasticsearch:index = _all

例: elasticsearch:index = spotlight

JSON 形式での、メタデータ属性マッピングを指定するファイルへのパス。 Spotlight RPC サービスの Elasticsearch バックエンドで使われる。

既定値: elasticsearch:mappings = ${prefix}/var/samba/elasticsearch_mappings.json

例: elasticsearch:mappings = /usr/share/foo/mymappings.json

JSON 形式での、メタデータ属性マッピングファイルへのパス。 Spotlight RPC サービスの Elasticsearch バックエンドで使われる。 値 0 は無制限を意味する。

既定値: elasticsearch:max results = 100

例: elasticsearch:max results = 10

Elasticsearch バックエンドを使う Spotlight 問い合わせで使う Elasticsearch サーバの TCP ポートを指定する。

既定値: elasticsearch:port = 9200

例: elasticsearch:port = 9201

Elasticsearch バックエンドを使う Spotlight 問い合わせで使う、 Elasticsearch サーバと通信する時 HTTPS を使うかどうかを指定する。

既定値: elasticsearch:use tls = no

例: elasticsearch:use tls = yes

「Advanced Server for Unix (ASU)」というプロダクトを実行しているホストでは、 IPC コネクションのみをサポートするビルトイン [ADMIN$] 共有が作成されるなど、 ASU 特有の動作が幾つか存在する。長年、これは smbd の既定値の動作でもあった。 ところが、Print Migrator tool というマイクロソフトのアプリケーションでは、 リモートのサーバーで [ADMIN$] というファイル共有がサポートされている必要がある。 このパラメーターを無効にすることで、smb.conf に [ADMIN$] というファイル共有を作成することが可能になる。

既定値: enable asu support = no

このパラメーターは、コアダンプが内部出口(internal exits)に書かれるように 指定する。通常これはyesに設定する。 決してこれを変更してはならない。

既定値: enable core files = yes

例: enable core files = no

この廃止予定のパラメーターは、smbd が net rpc rights もしくは Windows 側のユーザー、グループ管理ツールにより、特定の SID に対して指定のユーザー権利を付与する機能を制御する。 このパラメーターはデフォルトで有効となっているが、Domain Admins グループのメンバーがユーザーやグループにユーザー権利を割り当てることで、 root 権限で実行される smbd の処理が該当ユーザーとして接続した状態で実行されることを防止するために無効にすることも可能である。

ユーザー権利を使用することで、例えば smbd が動作するサーバーの root 権限を与えずに、 Samba ドメインに参加する権利を付与することが可能である。

より詳細な説明については、Samba HOWTO 中の記載を参照のこと。

既定値: enable privileges = yes

disable spoolssの逆の意味を持つ別名。

既定値: enable spoolss = yes

このパラメータは Samba 4.11 から非推奨となり、 (NTLM, NTLMv2 または Kerberos 認証とは異なり) 平文のサポート は将来の Samba リリースでは削除される。

そのため、将来は、現在の既定値である encrypt passwords = yes が強制された動作となる。

この真偽値パラメーターにより、 クライアントとのネゴシエーションに暗号化パスワードを利用するかどうかが決定される。 Windows NT 4.0 SP3 以降 や Windows 98 以降では、 レジストリの変更をしない限り、暗号化パスワードがデフォルトである。(訳注: これ以前のバージョンでも暗号化パスワードがデフォルトである。ただし、暗号化パスワードの利用ができなかった場合に平文パスワードを送出する点が異なる。) Samba で暗号化パスワードを使う方法は Samba HOWTO collection 中の「User Database」の章を参照してほしい。

Microsoft の暗号化パスワードを想定して、 平文パスワードのサポートを無効にした Windows クライアントは、 暗号化パスワードが有効になっており、 アカウントのパスワードが適切に暗号化されている Samba サーバーにのみ接続できる。 ユーザーアカウントに対して暗号化パスワードを作成する方法については、 smbpasswd コマンドのマニュアルページを参照のこと。

Microsoft 社の Windows 製品では、すでに平文パスワードのサポートは行なわれていない(訳注: 設定としては残存している)ため、 平文パスワードの利用は推奨できない。 平文パスワードを使用した場合は、このパラメーターを no にすること。

暗号化パスワードを正しく機能させるためには、 smbd(8) がローカルの smbpasswd(5) ファイル (設定と保守の方法に関する情報は smbpasswd(8) プログラムを参照)を参照するようにするか、 security = [domain|ads] パラメーターを設定して、 smbd が別のサーバーで認証を行うようにする必要がある。

既定値: encrypt passwords = yes

このオプションにより、 Samba に実装されている複数サブネット間でのブラウザーのアナウンスメントに関する拡張が有効になる。 ただし、この拡張は、Microsoft の実装の標準とは異なる。

ブラウザーのアナウンスメントに関する一つ目の拡張点は、 Samba のWINS サーバーに登録されているすべてのドメインマスターブラウザーを問い合わせる定期的なワイルドカードクエリと、 返答に含まれる各 DMB と行なわれるブラウズリストの同期処理のサポートである。 二つ目の拡張点は、DMB として識別されているマシンとの間で 定常的に行なわれるランダムなブラウズリストの同期処理のサポートである。 (訳注: これは 120151 などで記載されている、WINS クライアントとなっている Windows NT 3.5 以上の DMB が定期的に WINS サーバーに接続し、WINS サーバーが保有する「ドメイン名<1B>」のリストを自身のブラウズリストに追加していく処理のサポートだと思われる)

中身が空のワークグループがブラウズリストから消えないというトラブルが発生した場合は、 このオプションを無効にしたい場合もあるだろう。 ブラウザーのプロトコルの仕様上、 この拡張により空のワークグループが永久に残ってしまうという悩ましい問題が起こることがある。

通常は、サブネット越えのブラウザーのアナウンスメントの信頼性向上のため、 このオプションは、有効のままにしておくべきである。

既定値: enhanced browsing = yes

ここでいう「ポート(port)」の概念は、 UNIX のものと大きく異なる。Windows NT/2000 のプリントサーバーにおいて、 ポートはポートモニターと関連付けられ、通常ローカルポート(LPT1:、COM1:、 FILE:)やリモートポート(LPD Port Monitorなど)といった名称をもつ。 Samba のデフォルトでは、 「Samba Printer Port」 というポートのみが定義されている。 Windows NT/2000 においては、すべてのプリンターに適切なポート名がある。 デフォルトの「Samba Printer Port」 以外のポート名をポートの一覧に表示させたい場合 (smbdはポート名を全く使用していない)、 標準出力に対してポート名のリストを1行に一つずつ生成するようなプログラムを enumports commandで定義することができる。 この一覧はレベル1および2の EnumPorts() RPC のレスポンス中で利用される。

既定値: enumports command =

例: enumports command = /usr/bin/listports

このパラメーターは、 Samba がマイクロソフトの「イベントビューアー」ユーティリティ経由での表示を可能とするログファイル名の一覧を定義する。 一覧に含まれるログに対しては、ディスク上の $(statedir)/eventlog 内に、 対応する TDB ファイルが割り当てられる。

管理者は、外部のプロセスを用いて /var/log/messages のような一般の UNIX ログファイルを解析し、 イベントログの TDB ファイルにエントリを書き込む必要がある。 イベントログのエントリを書き込む方法については、eventlogadm(8) ユーティリティを参照のこと。

既定値: eventlog list =

例: eventlog list = Security Application Syslog Apache

NTFS や Windows VFAT ファイルシステムでは、 すべてのファイルとディレクトリの作成時刻を保持している。 これは UNIX が保持している ctime (状態変更時刻)とは異なるため、 Samba の既定動作では UNIX が保持している中で最も古い時刻を報告する。 共有でこのパラメーターを yes にした場合、Samba はディレクトリの作成時刻として、 常に 1980/1/1 の午前 0 時を報告する。

このオプションは、Samba 共有上で Visual C++ を使うときに互換性を保つためのオプションとして用いられることが多い。 Visual C++ は、各オブジェクトファイルに対する依存性チェック用途のオブジェクトディレクトリと、 そのディレクトリを作成するルールを持った makefile を生成する。 NMAKE が日付を比較する際にディレクトリをチェックするときには、ファイル作成時刻を使用する。 これにより、オブジェクトディレクトリが存在しない場合は作成され、作成されたディレクトリは、 ディレクトリ中に存在するオブジェクトファイルよりも古い時刻を保持することになる。

しかし、UNIX の時刻の扱いに関する仕様のため、 Samba が報告するディレクトリの作成時間はディレクトリにファイルが作成または削除されたときにも更新されてしまう。 その結果 NMAKE は、オブジェクトディレクトリで最後にビルドされたファイルを除く すべてのオブジェクトファイルがオブジェクトディレクトリより古いと判断し、それらを再構築してしまう。 このオプションを有効にすることで、 常にディレクトリは含まれるファイルよりも前の日付になり、 NMAKE によるビルドが意図したように行なわれることが保証される。

既定値: fake directory create times = no

oplock は、SMB クライアントがファイル操作の結果をローカルにキャッシュするための許可をサーバーから取得するための機能である。 サーバーが oplock (opportunistic lock = 便宜的ロック) を許可すると、 クライアントは自分だけがそのファイルにアクセスしていると認識して、 積極的にファイルの内容をキャッシュする。oplock のタイプによっては、 クライアントがファイルのオープン/クローズの操作をキャッシュすることもありうる。 これにより、多大な性能向上が期待できる。

fake oplocks = yes の設定を行なうと、smbd(8) は、 実際にそのファイルを利用しているクライアント数に関わらず、 常に oplock を許可する。

一般的には、このパラメーターを利用するよりも、 実際の oplocks を利用する方がよい。

CDROM 等の物理的に読みとり専用のメディアの場合など、 読みとり専用か、同時に 1 台のクライアントからだけしか アクセスされないとわかっている共有でこのオプションを有効にすると、 多くの操作で大きな性能改善が見られるだろう。複数のクライアントから 同時にファイルの読み書きアクセスする可能性がある共有でこのオプションを有効にすると、 ファイルの内容が破壊される場合が起こりうる。 このオプションは慎重に使用して欲しい!

既定値: fake oplocks = no

このパラメーターにより、Samba の管理者は、 smbd(8) がシンボリックリンクを追跡する処理を共有単位で禁止することが可能になる。 このパラメーターを no に設定した場合、 シンボリックリンクのファイルやディレクトリの追跡する処理が抑制される(ユーザーにはエラーが返却される)。 このオプションは、ユーザーが自分のホーム・ディレクトリに /etc/passwd へのシンボリックリンクを追加するのを防止したりする効果がある。 ただし、わずかながらファイル名の検索が遅くなるだろう。

このオプションはデフォルトで有効になっている (つまり、smbd はシンボリックリンクを追跡する)。

既定値: follow symlinks = yes

この真偽値オプションは smbd が Linux 上で Open File Description locks の使用を強制的にに無効にする。

このオプションは、これが何を引き起こすかを分かっていない限り既定値から 変更してはならない。

既定値: smbd force process locks = no

このパラメーターは、Samba によって作成されたファイルのパーミッションに 必ず設定される UNIX のパーミッションビットを指定する。 これは、ファイルの作成時時に、ファイルのパーミッションビットに対して、 このパラメーターの値でビット単位の OR 演算を行なうことで実現される。 このパラメーターの既定値は(8進で)000である。 このパラメーターの値がビット単位の OR 演算に用いられるのは、 create mask パラメーターの適用後である。

下記の例は、作成されるすべてのファイルに対し、 グループ(group)とその他のユーザー(others)の読み込みと実行ビットと、 所有者(user)の読み込み/書き込み/実行ビットが必ず付与されるようにする。

既定値: force create mode = 0000

例: force create mode = 0755

このパラメーターは、Samba によって作成されたディレクトリのパーミッションに 必ず設定される UNIX のパーミッションビットを指定する。 これは、ディレクトリの作成時に、 パーミッションビットに対して、このパラメーターの値でビット単位の OR 演算を行なうことで実現される。 このパラメーターの既定値は 000 (8 進数表記)である。この場合、作成されるディレクトリに対して特にパーミッションビットは追加されない。 このパラメーターの値が適用されるのは、 directory mask パラメーターの適用後である。

下記の例は、作成されるすべてのディレクトリに対し、 グループ(group)とその他のユーザー(others)の読み込みと実行権ビットと、 所有者(user)の読み込み/書き込み/実行ビットが必ず付与されるようにする。

既定値: force directory mode = 0000

例: force directory mode = 0755

このパラメーターはSamba 4.0.0で削除された。

既定値なし

このパラメーターは右記のパラメーターの別名である：force group.

このパラメーターには、 このサービスに接続するすべてのユーザーのデフォルトの所属グループと見なされる UNIX のグループ名を指定する。 このパラメーターを使うと、サービス上のファイルに対するアクセスの際のパーミッションチェックには、 ここで指定したグループを用いることができるため、ファイル共有を行う際に便利である。 この設定を行うことで、 このサービス内において提供するファイルやディレクトリに対して指定されたグループ名にパーミッションを割り当てることにより、 Samba の管理者がこれらのファイルの共有を許可/不許可にすることができるようになる。

Samba 2.0.5 以降では、このパラメーターの機能が拡張されている。 '+' 文字からはじまるグループ名が設定されていた場合、 現在共有にアクセスしているユーザーが設定されたグループのメンバーだった場合のみ、 そのグループをユーザーのデフォルトのプライマリグループに設定する。 この動作により、該当のグループに予め所属しているユーザーのみが、 そのグループを所有者とするファイルを作成する設定を行うことが可能となる。 これにより、所有権の設定をより細かく行なうことが可能となる。 たとえば、force group = +sys という設定を行った場合、 sys グループに所属しているユーザーが Samba の 共有 にアクセスした際にのみ、 デフォルトのプライマリグループが sys に設定される。 その他すべてのユーザーは、通常のプライマリグループのままとなる。

force user パラメーターも設定した場合、 force group で指定したグループが force user で指定したユーザーのプライマリグループよりも優先される。

既定値: force group =

例: force group = agroup

Windows NT （以降）の OS から印刷を行なう場合、 smb.conf 中の各プリンターには、 クライアントから使用可能な名前が 2 つある。 最初のものは smb.conf で定義された共有名(短い名前)である。 Windows 9x クライアントからは、このプリンター名しか使用できない。 プリンターに割り当てられたもう一つの名前は、Samba サーバーの「プリンター」 (プリンターとFAX)フォルダー」を参照すると表示されるものである。 これは、(printer name オプションと混同しないように) 単にプリンター名と記載する。

Samba を含む Windows 互換のリモートのプリンターサーバー上で、 プリンターに対して新しいドライバーが割り当てられた際、 Windows クライアントは、そのドライバーの名前に合致するように、プリンター名を変更する。 これは、複数のプリンターに同じドライバーを割り当てているユーザーを混乱させる結果となる。 Samba において、プリンターのプリンター名を smb.conf で定義された共有名と異なる名称にすることを禁止したい場合は、 force printername = yes と設定すること。

Windows では、プリンター名と共有名を強制的に一致させることができないため、 このパラメーターを有効にすると、Windows サーバーから Samba サーバーへプリンターの移行を行なう際に問題が発生するので注意。

プリンターがクライアントにより使用を開始された後にこのパラメーターの値を変更することは、 ユーザーが自身の「プリンター」フォルダーからプリンターを削除することができなくなるため、推奨しない。

既定値: force printername = no

このパラメーターはSamba 4.0.0で削除された。

既定値なし

このパラメーターを設定すると、 ファイルの所有者や所有グループとして不明な SID (ユーザーやグループIDを示す、 セキュリティディスクリプタ) を含む Windows NT の ACL は、 現在接続しているユーザーの UNIX での uid や gid に自動的にマッピングされる。

これは、Windows NT のクライアントマシン上で作成された、 マシン内でのみ有効なユーザー(ドメインユーザーでない)を含んだ ACL を持つファイルやフォルダーを(通常 XCOPY /O により)、 Windows NT クライアントから Samba サーバーにコピーした際に、 ファイル上の不明な userid や groupid を現在接続しているユーザーのものに対応付けることを意図したものである。 winbindd による Windows NT の SID から UNIX 側の uid や gid への任意の対応づけを可能とする以外に、 この問題を適切に対処する方法はない。

XCOPY /O が ACCESS_DENIED エラーを引きおこす際には、このパラメーターを使って欲しい。

既定値: force unknown acl user = no

このパラメーターは、サービスに対する接続のすべてで、 デフォルトのユーザーとみなされる UNIX ユーザーの名前を指定する。 これはファイルを共有する上で便利であるが、誤って使用すると、 セキュリティ上の問題を引き起こす原因となるので、慎重に使用すべきである。

このユーザー名は接続の確立後に適用される。 従って、クライアントが有効なユーザー名とパスワードで接続を行う必要があることには変わりはない。 接続が確立すると、全てのファイル操作は強制的に「force user」で指定されたユーザーの権限で実行される。 クライアントが接続を確立した際のユーザー名は無視される。 これは大変便利なことがある。

Samba 2.0.5 以降では、このパラメーターによって 設定されたユーザーのプライマリグループが、 すべてのファイル操作においてプライマリグループとして利用される。 Samba 2.0.5 以前では、プライマリグループは本来接続を行ったユーザーのプライマリグループのまま変わらない(これはバグである)。

既定値: force user =

例: force user = auser

これを有効にした場合、Samba のファイルサーバーリモート VSS プロトコル (FSRVP)サーバーは、すべての、FSRVP が、スタートアップ時にスナップショット を開始したかを確認し、存在しないスナップショットパスに 対応するステート(共有定義も含む)を削除する。

既定値: fss: prune stale = no

例: fss: prune stale = yes

ファイルサーバーリモート VSS プロトコル(FSRVP)サーバーは、予期しないクライアントからの 切断時にクリーンアップを確実に行うための、メッセージシーケンスタイマーを組込む。 このパラメーターは、FSRVP 操作間での既定値のタイムアウトを上書きする。 FSRVP タイムアウトは、値を 0 にする事で、完全に無効化できる。

既定値: fss: sequence timeout = 180 または 1800 で、操作に依存する

例: fss: sequence timeout = 0

このパラメーターは、 クライアントが共有のファイルシステムを問い合わせた際に、 smbd(8) が返却する共有のファイルシステム名を指定する。 デフォルトは Windows NT 互換の NTFS だが、 必要に応じて Samba や FAT といった別の文字列に、変更することができる。

既定値: fstype = NTFS

例: fstype = Samba

get quota command は Samba が実行されている OS 上で、API が提供されていない場合に限り使用すべきである。

このオプションはSambaがquotaをサポートするようにコンパイルされた時に のみ有効である。

このパラメーターは、指定されたディレクトリが存在するパーティションについて、指定されたユーザーやグループのクオータ情報を取得するスクリプトへのパスを指定する。

このスクリプトは三つの引数をとる:

ディレクトリは、実際はほとんど "." である。これは、スクリプト が問い合わせもできるカレントワーキングディレクトリからの相対として 扱われる必要がある。

問い合わせのタイプは以下のいずれかの値をとる:

スクリプトの出力は、以下の要素をスペースで区切った1行の形式で行なわれる:

既定値: get quota command =

例: get quota command = /usr/local/sbin/query_quota

これはチューニングのためのオプションである。このパラメーターを有効にすると、 getwd() の呼び出し時間を減らすためのあるキャッシュアルゴリズムが有効になる。特に wide links パラメーターが no に設定された場合は、パフォーマンスに対して相当な効果がある。

既定値: getwd cache = yes

このオプションは、 GPO ポリシー を適用する為に呼ばれるコマンドを設定する。 samba-gpupdate スクリプトは System Access と Kerberos Policies を KDC に 対して適用する。System Access ポリシーは、minPwdAge, maxPwdAge, minPwdLength, と pwdProperties を samdb 中に設定する。 Kerberos Policies は kdc:service ticket lifetime, kdc:user ticket lifetime, と kdc:renewal lifetime を smb.conf に設定する。

既定値: gpo update command = ${prefix}/sbin/samba-gpupdate

例: gpo update command = /usr/local/sbin/gpoupdate

このパラメーターは、 guest ok (以下を参照のこと) が設定されたサービスにアクセスする際に使用されるユーザー名である。 ゲストサービスに接続しているクライアントすべてに対して、 ここで設定したユーザーの権限が適用される。 このユーザーはパスワードファイルに存在している必要があるが、ログイン可能となっている必要はない。 このパラメーターとして、「ftp」ユーザーを利用するのもよいであろう。

システムによっては、アカウント「nobody」では印刷することができない。 この場合は別のアカウントを使用すること。 ゲストユーザーでログイン(su -コマンドなどを使用する)して、 lpr(1) や lp(1) などの、 システムにある印刷コマンドを実行して印刷を行ってみることで、 これを確認しておくべきであろう。

このパラメーターは % マクロを受け付けない。 システムの大半の箇所では、正常動作する上でこの値が静的に設定されていることが必要とされるためである。

既定値: guest account = nobody # default can be changed at compile-time

例: guest account = ftp

このパラメーターは右記のパラメーターの別名である：guest ok.

このパラメーターが yes のサービスに付いては、 サービスへの接続の際にパスワードが要求されない。 この場合、guest account の権限で操作が行われる。

このパラメーターは restrict anonymous = 2 のメリットを無効にする。

このオプションに関する詳細については、 security セクションを参照のこと。

既定値: guest ok = no

このパラメーターは右記のパラメーターの別名である：guest only.

このパラメーターが yes のサービスについては、 ゲスト接続のみが許可される。 このパラメーターは、guest ok が有効になっていないサービスでは無効である。

このオプションに関する詳細については、security セクションを参照のこと。

既定値: guest only = no

この真偽値パラメーターにより、 ドットで始まるファイル名のファイルを隠しファイルとして扱うかどうかが制御される。

既定値: hide dot files = yes

これは、見せたくないがアクセスは許可したいファイルやディレクトリのリストを指定する。 DOSの「隠し」属性が該当するファイルやディレクトリに付加される。

リストの各エントリは、 スペースをエントリ中に含められるようにするため、「/」で区切る必要がある。 「*」と「?」は、DOSのワイルドカードと同様にして、 複数のファイルやディレクトリを指定するために利用することができる。

各エントリはUNIXのパス形式で指定すること。DOSのパス形式で指定したり、 UNIXでディレクトリを意味する「/」を含んだりはできない。

この設定には、 case sensitive オプションの設定が影響することに注意。

このパラメーターを設定すると、 全てのファイルやディレクトリに対して該当するかどうかの確認を行う必要が発生するため、 Samba のパフォーマンスに影響がでる。

以下の設定例は、Thursby から入手可能な Macintosh 上の SMB クライアント (DAVE) が内部的な用途に作成するファイルの指定に加え、 ドットで始まるファイルを隠しファイルとして指定したものである。

このパラメーターの設定例を以下に示す。

hide files = /.*/DesktopFolderDB/TrashFor%m/resource.frk/

既定値: hide files = # どのファイルも隠されない

このパラメータを0以外に設定すると、N 秒前未満内に更新された ファイルを非表示にする。

これは、 ingest (取込) /process (処理) キュー形式のワークロードで利用できる。 処理を行うアプリケーションは、処理が完了したファイルのみを対象にすべきである。 しかし、多くのアプリケーションは、適切な外部のワークフロー制御を有していない。 そこで、この方法を使う事により、ファイル処理と取込との干渉が避けられる。

既定値: hide new files timeout = 0

このパラメーターにより、クライアントからソケット、デバイス、FIFO などのファイルがディレクトリ一覧で表示されることを抑止できる。

既定値: hide special files = no

このパラメーターにより、読みとりができないファイルの存在をクライアントから隠蔽できる。 このパラメーターのデフォルトは off になっている。

このパラメーターを有効にすると、特に大量のディレクトリ表示において 表示スピードが遅くなることに注意。Samba はすべてのディレクトリメンバー の ACL を評価しなければならないため、大量の処理を行わなければならない からである。

既定値: hide unreadable = no

このパラメーターにより、書き込みができないファイルの存在をクライアントから隠蔽できる。 このパラメーターのデフォルトは off になっている。 書き込みができないディレクトリについては通常通り表示されることに注意。

既定値: hide unwriteable files = no

このオプションは、change notify privilege を使用できるようにします。 既定では、通知の結果は、ファイルシステムパーミッションに対しては チェックされない。

"honor change notify privilege" が有効になった場合、 change notify privilege か、あるいは適切なファイルシステムパーミッションが あるときにのみ通知の結果を受け取る。 change notify privilege を持っている場合は、ファイルシステム上に パーミッションを持っていない場合でも、すべての要求された通知結果を 受け取る。

既定値: honor change notify privilege = no

yes の場合、 Samba は DFS サーバーとして機能し、 DFS を利用可能なクライアントは、サーバー上で提供された DFS ツリーを参照することが可能となる。

共有単位のパラメーターである msdfs root も参照のこと。 Samba で DFS ツリーを構成する場合の詳細な情報については、 Samba3-HOWTO の MSDFS の章を参照のこと。

既定値: host msdfs = yes

Samba が(負荷のかかる)ホスト名検索を行なうか、 IP アドレスを使用するかを指定する。現在ホスト名検索を使用している箇所としては、 hosts deny および hosts allow の確認箇所などが挙げられる。

既定値: hostname lookups = no

例: hostname lookups = yes

このパラメーターは右記のパラメーターの別名である：hosts allow.

このパラメーターの同義語として allow hosts がある。

このパラメーターには、サービスに対するアクセスを許可するホストのリストを、 コンマ, スペース, タブで区切って指定する。

[global] セクションで指定された場合、 個々のサービスで異なった設定が行われている場合も含めて、 その設定が全てのサービスに対して適用される。

ホストの指定は、IPアドレスでもホスト名でも行うことができる。 例えば、あるClass C サブネット上のホストのみにアクセスを限定したい場合は、 allow hosts = 150.203.5.とすればよい。 指定に利用できる記法の全ては、 hosts_access(5) のマニュアルページ中に記載されている。 このマニュアルページはシステムに存在しないかも知れないので、 ここで簡単に説明を行っておく。

なお、localhost のアドレスである 127.0.0.1 からのアクセスは、 hosts deny パラメーターで明示的に禁止されない限り、常にアクセスを許可される。

ホストの指定に、network/netmask 形式を用いたり、 システムがネットグループをサポートしている場合はネットグループ名を用いたりすることも可能である。 EXCEPT を用いることで、ワイルドカードによるホストの指定に対する例外を設けることも可能である。 以下の例が手がかりになるだろう:

Example 1: 150.203.*.* 内の全てのIPアドレスを許可する; ただし、例外のアドレスが1つある

hosts allow = 150.203. EXCEPT 150.203.6.66

Example 2: 指定した network/netmask の範囲内のホストからのアクセスを許可する

hosts allow = 150.203.15.0/255.255.255.0

Example 3: 個別に指定したホストからのアクセスを許可する

hosts allow = lapland, arvidsjaur

Example 4: NIS ネットグループ netgroup "foonet" 中のホストは許可するが、 特定のホストはアクセスを拒否する

hosts allow = @foonet

hosts deny = pirate

ホストレベルのアクセス制御が期待通りになっているかどうかの確認手段については testparm(1) を参照のこと。

既定値: hosts allow = # なし (全てのホストがアクセス許可される)

例: hosts allow = 150.203.5. myhost.mynet.edu.au

このパラメーターは右記のパラメーターの別名である：hosts deny.

hosts allow の反対の意味を持ち、 このパラメーターで指定されたホストは、サービス内で明示的にアクセスが許可されない限り、 サービスへのアクセスを拒否される。 両者の設定が矛盾した場合は、allow 側の設定が優先される。

デフォルトでアクセスを拒否したい場合は、 ALL (もしくはネットマスク 0.0.0.0/0) の指定を行ない、 hosts allow = hosts allow パラメーターにより、 アクセスを許可したいホストを明示的に指定すること。

既定値: hosts deny = # なし (アクセスを拒否されるホストはない)

例: hosts deny = 150.203.4. badhost.mynet.edu.au

idmap backend は Winbind が SID/uid/gid のマッピングテーブルを 格納するための様々なバックエンドを利用するためのプラグイン インターフェースを提供する。

このオプションは、何も指定されていないときに、既定値として利用する バックエンドを指定するときに利用するが、新しい、 idmap config * : backendが出来たので、 現在廃止予定である。

既定値: idmap backend = tdb

このパラメーターには Winbind の idmap インターフェースが SID/uid/gid の問い合わせに成功した結果をキャッシュする秒数を設定する。 既定値では、Samba は1週間それらの要求をキャッシュする。

既定値: idmap cache time = 604800

Samba における ID のマッピングは、Windows SID と UNIX のユーザーと グループとの間でのマッピングである。これは設定可能な（configurable） プラグインインタフェースとして Winbindd によって処理される。Samba の ID マッピングは、idmap config プレフィックス から始まるオプションによって設定される。プレフィックスのあとには、 ドメイン名または アステリスク (*)、コロンと選択されたドメインの idmap 設定名が続く。

idmap の構成は、それ故グループに分割され、各ドメイン用のグループが 設定できる。 dmap 設定を明示的に持たないすべてのドメインに対しては、 特定のドメイン名の代わりに "*" を使い、これが既定値の設定となる。

3 つの基本オプションが存在する。

次の例は CORP ドメインがidmap_ad(8) バックエンド で、他の全てのドメインが idmap_tdb(8) バックエンドとしてどのように 設定されるかを示している。 この設定では、CORP ドメインの管理者が SFU を使って 1000000 以下をアサイン しており、winbind が次の 1000000 台を、自分の管轄下のドメインとローカル グループのためのマッピングに使う場合の例である。

        idmap config * : backend = tdb
        idmap config * : range = 1000000-1999999

	idmap config CORP : backend  = ad
	idmap config CORP : range = 1000-999999
	

既定値なし

このパラメーターは右記のパラメーターの別名である：idmap gid.

idmap gid パラメーターは、既定値の idmap 設定のための、 グループ id の範囲を指定する。これは、 idmap config * : range があるので 廃止予定である。

idmap configオプションも参照のこと。

既定値: idmap gid =

例: idmap gid = 10000-20000

このパラメーターは Winbind の idmap インターフェースが SID/uid/gid の問い合わせに失敗した結果をキャッシュしておく秒数を 指定する。

既定値: idmap negative cache time = 120

このパラメーターは右記のパラメーターの別名である：idmap uid.

idmap uid パラメーターは、既定値の idmap 設定の ユーザー id の範囲を指定する。 これは、 idmap config * : rangeがあるので 廃止予定である。

idmap configオプションも参照のこと。

既定値: idmap uid =

例: idmap uid = 10000-20000

このパラメーターを使うと、ある設定ファイル中に別の設定ファイルを挿入できる。 挿入されるファイルは、挿入された場所に記述されたかのように、 そのままの形で挿入される。

このパラメーターには、%u、 %P、%Sパラメーターを除き、標準の変数置換が適用される。

include = registry というパラメーターには特殊な意味が ある。これはカレントディレクトリから registry という 名前のファイルをインクルードするのではなく、 レジストリーからグローバル設定を読み込む。詳細はレジストリーベースの設定 に関する章を参照されたい。注意：このオプションはレジストリー共有を自動的に 有効にする。

既定値: include =

例: include = /usr/local/samba/lib/admin_smb.conf

このパラメータを no にすると、 winbind が生成する krb5.conf ファイルに対して、システムの /etc/krb5.conf ファイルの内容を含めないようにする。create krb5 conf も参照のこと。 このオプションは MIT Kerberos を用いてビルドされた Samba にのみ適用可能。

既定値: include system krb5 conf = yes

このパラメーターは、 標準化された NFS4 ACL をサポートしないが、Linux 上のほとんどのファイルシステムと 同様にデフォルト ACL を実装する、POSIX ドラフト ACL 実装のみをサポートする ファイルシステムにのみ関係する。これを使用すると、 親ディレクトリに既定の ACL が存在しており、それらの親ディレクトリに 新しいファイルやサブディレクトリを作成するときに、常時引き継がれるようにできる。 既定の動作はディレクトリ作成時に設定される unix のモードが用いられる。この オプションを有効にすると、モードが 0777 となり、 ディレクトリの既定の ACL を確実に継承できるようになる。 ネイティブな Windows データをメタデータとして格納する、VFS モジュール acl_xattr か acl_tdb は、ロードされるどのような共有に対しても、Windows の ACL を正しく エミュレートするために、このオプションを自動的にオンにする事が要求される ことに注意。

既定値: inherit acls = no

新規作成したファイルやディレクトリの所有者としては、 通常接続しているユーザーの実行 UID の値が用いられる。 このパラメーターにより、Samba の管理者は、 新規作成したファイルやディレクトリの所有者を 親ディレクトリの所有者と同一にすることが可能となる。

有効なオプションは以下の通り:

この動作が有用な状況としては、 ユーザーがファイルの作成や修正はできるが、削除はできないようにした drop box や、 あるユーザーの移動プロファイルのディレクトリ内に新規作成されたファイルの所有者が そのユーザーとなるようにしたい場合などが挙げられる。

unix onlyオプションはファイルのWindowsでの所有者と UNIX での所有者の間の結合を事実上断ち切る。その結果、このモードでは、 ファイルのWindowsでの所有者を設定しても、UNIXの所有者を変更しない。 このモードを使用するには、acl_xattr:ignore system acls = yes といっしょの acl_xattr VFS モジュールのような、完全な NT ACL モデルをエミュレートできる バッキングストアをいっしょに使うべきである。また、(UNIX拡張なしで) SMB 経由でのみ ファイルが公開される時に、フォルダのquota をエミュレートする事にも使用できる。 ディレクトリの UNIX 所有者はローカルに設定され、すべてのサブディレクトリに継承され、 それらはすべて同じ quota を消費する。

既定値: inherit owner = no

通常、新規作成したファイルやディレクトリのパーミッションは、 create mask 、directory mask 、 force create mode 、 force directory mode パラメーターによって決定されるが、 真偽値パラメーターである inherit permissions は、それらに優先される。

新しいディレクトリはsetgid のようなビットも含め、 親ディレクトリのパーミッションを引き継ぐようになる。

新しく作成されたファイルは、read/write ビットの設定を親ディレクトリから引き継ぐようになる。 execute ビットについては、従来どおり map archive 、 map hidden 、map system などにより制御される。

setuid ビットが引き継がれることは、決して ない(コード上で明示的に禁止している)。

このパラメーターは、数千人レベルの多くのユーザーが存在する大規模なシステムで、 単一の [homes] 共有を各ユーザーが柔軟に利用できるようにさせる際に、 特に有用であろう。

既定値: inherit permissions = no

このパラメーターはinit logon delayed hostsで指定 したホストに対してinitial samlogonの応答を保留する長さをミリ秒で指定する。

既定値: init logon delay = 100

このパラメーターには、最初に返される samlogon 応答を遅延させるべき ホスト名や IP アドレス、ネットワーク等のリストを指定する（本ホスト 以外にもドメインコントローラーがある場合、この設定により、Windows XP 端末はそれらの DC を参照するようになる）。

応答を保留する長さはinit logon delayで指定する。

既定値: init logon delayed hosts =

例: init logon delayed hosts = 150.203.5. myhost.mynet.de

このオプションにより、Samba がブラウジング、名前の登録その他のNBTの通信に 利用する既定のネットワークインタフェースリストを設定することが可能となる。 既定値では、Samba はカーネルに対して有効なインタフェースのリストを問い合わせ、 127.0.0.1以外のブロードキャスト可能なインタフェースをすべて利用する。

このオプションはインタフェースを示す文字列のリストとなる。 各文字列は以下の形式のいずれで指定してもよい。

「mask」パラメーターはビット長(例えば24はクラスCネットワーク)で指定しても、 ドット区切り10進数表記で指定してもよい。

上記の「IP」パラメーターは、ドット区切り10進法で指定しても、 OSの標準的なホスト名解決機構で解決可能なホスト名で指定してもよい。

デフォルトで、Samba はループバックインタフェース (IPアドレス 127.0.0.1) を除くブロードキャスト可能なすべての有効なインタフェースを使用する。

SMB3 マルチチャネルの設定をサポートするため、smbd は、以下の拡張文法を 実際のインタフェースの後に追加した、いくつかの拡張パラメータを受け付ける (; と , 文字を扱うために引用することは重要であることに注意):

interface[;key1=value1[,key2=value2[...]]] "interface[;key1=value1[,key2=value2[...]]]"

指定出来るキーは、speed, capability, と if_index である。Speed は 秒単位のビット数で指定する。指定出来る capability は、RSS とRDMAである。 if_index は、注意して使うべきである: 値は、kernel によって使われる インデックスと一致してはならない。 これらのオプションは、実際に運用で使うというよりは、テストと開発用 であることに注意。少なくとも、Linux システム上では、これらの値は 自動的に検出されるべきであるが、設定は自動認識が動かないあるいは 無効の時に、最後の手段として使える。 指定された値は、自動検出した値を上書きする。

以下の最初の2つの例では、eth0 デバイスと 192.168.2.10 および 192.168.3.10 の IP アドレスに対応する 3 つのネットワークインタフェースが指定されている。 後者のインタフェース 2 つに対するネットマスクは 255.255.255.0 に設定されている。

他の例は、インタフェース毎の拡張パラメータをどのように指定するかを示している。 二重引用符が必要な、"," と ";" の使い方に注意。

既定値: interfaces =

例: interfaces = eth0 192.168.2.10/24 192.168.3.10/255.255.255.0

例: interfaces = eth0, 192.168.2.10/24; 192.168.3.10/255.255.255.0

例: interfaces = "eth0;if_index=65,speed=1000000000,capability=RSS"

例: interfaces = "lo;speed=1000000000" "eth0;capability=RSS"

例: interfaces = "lo;speed=1000000000" , "eth0;capability=RSS"

例: interfaces = "eth0;capability=RSS" , "rdma1;capability=RDMA" ; "rdma2;capability=RSS,capability=RDMA"

これは、サービスに対するログインを許可しないユーザーのリストを指定する。 このパラメーターは、不適切な設定により発生しうるセキュリティ上の問題を完全に抑止する、 パラノイド的設定である。

「@」で始まる名前は、(使用しているシステムが NIS をサポートしている場合) 最初にUNIX のグループとして解釈され、次に、NIS ネットグループデータベースに 名前がない場合、UNIX グループとして解釈される。

「+」 で始まる名前は、NSS getgrnam() インタフェース経由で UNIX グループデータベースを検索するときのみ解釈される。「&」で始まる 名前は、NIS ネットグループデータベース中を検索する時のみ解釈される (これは、使用しているシステム上でNISが動作していることが前提である)。 「+」と「&」文字はこの順で使用できる。そのため、 +&group の値は、UNIX グループ データベースを検査し、その後で NIS ネットグループデータベースを検査する ことを意味する。そして、 &+group の値は、NIS ネットグループ データベースを検査し、その後で UNIX グループデータベースを検査することを意味する (これは「@」接頭辞と同じ)。

%Sは、 現在のサービス名に置換される。これは [homes] セクションで有効である。

既定値: invalid users = # invalid users は空である

例: invalid users = root fred admin @wheel

このパラメーターは、printing が iprint に設定されている場合のみ有効である。

設定されている場合、CUPS の client.conf で指定された ServerName オプションの値がこのパラメーターによって上書きされる。 複数の仮想 Samba サーバーが起動している環境で各々が異なる CUPS デーモンに接続している環境では、このパラメーターが必要となる。

既定値: iprint server = ""

例: iprint server = MYCUPSSERVER

msDS-SupportedEncryptionTypes の既定値を、この値がないか、 msDS-SupportedEncryptionTypes が 0 に設定されている Active Directory 中のサービスアカウント用に設定する。

これにより、Samba 管理者は、Windows 上の、 HKEY_LOCAL_MACHINE\System\CurrentControlSet\services\KDC\DefaultDomainSupportedEncTypes レジストリ値によって提供される設定の柔軟性に合わせることができる。

指定された値はビット単位で OR が取られ、現在サポートされている値は以下の通り:

既定値: kdc default domain supported enctypes = 0 # 現在ソフトウェアがサポートしている物に対応: arcfour-hmac-md5 aes256-cts-hmac-sha1-96-sk

RFC8429 は rc4-hmac Kerberos 暗号化が脆弱で、 この暗号化の仕組みを使用する Active Directory への 既知の攻撃方法があると言うこととを言っている。

しかしながら、Microsoft Windows との互換性のために、 このオプションは、 古い可能性があるクライアントが要求してきた場合、 (service keytab にある ticket キーとは異なる) rc4-hmac Kerberos セッションキーを、 サービスアカウントの msDS-SupportedEncryptionTypes 属性 の値に関係なく、KDC が使用できると仮定する。

既定値: kdc force enable rc4 weak session keys = no

Active Direcory ドメインコントローラ上で、これは、ローカルで実行している kdc がサポートしている暗号化タイプの一覧である。

これにより、Samba 管理者は、 Network security: Configure encryption types allowed for Kerberos GPO/ローカルポリシー/セキュリティオプションの値によって提供される設定の柔軟性と同様の、 弱い/未使用の暗号化タイプを取り去れるようになり、その結果は、Windows 上での HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters\SupportedEncryptionTypes レジストリ値中に格納される。

Windows レジストリキー(10進数のみを使う)とは異なり、Samba ではこの値は16進 あるいは Kerberos 暗号化タイプ名の一覧でで表現される。

指定された値はビットごとに OR が取られ、現在サポートされている物は以下の通り:

既定値: kdc supported enctypes = 0 # 現在ソフトウェアがサポートしている物に対応: arcfour-hmac-md5 aes128-cts-hmac-sha1-96 aes256-cts-hmac-sha1-96

このパラメーターの値(整数値)により、 keepalive パケットが送出される秒単位の間隔が設定される。このパラメーターの値が0の場合、 keepalive パケットは送出されない。 keepalive パケットを送出することにより、サーバーはクライアントマシンが存在していて応答があることを確認することが可能になる。

ソケットにデフォルトで SO_KEEPALIVE 属性が設定されている場合( socket options を参照のこと)、通常 keepalive は不要である。基本的に、このオプションは問題が発生している場合にのみ使用すべきである。

このオプションは SMB1 クライアント接続にのみ適用され、 SMB2 クライアントには何ら影響しないことに注意

既定値: keepalive = 300

例: keepalive = 600

このパラメータは、Kerberos クライントとしての動作時に、利用する暗号タイプを設定する。 とりうる値はall, strong, legacy である。

Samba が Kerberos チケットを必要とする場合は Kerberos ライブラリ (MIT または Heimdal) を利用する。 このライブラリは通常 krb5.conf ファイルによって Samba とは無関係に設定が行われる。 そのファイルにおいてはディレクティブにより利用する暗号タイプを設定する。 一方 Samba には Active Directory プロトコルとドメインコントローラーを定めるアルゴリズムがある。 したがって Kerberos ライブラリが正しくドメインコントローラーを利用するように以下のような仕組みを設けている。 すなわち winbindd(8) や net(8) といった Samba プロセスにおいて、独自の krb5.conf ファイルを作り出し、Samba から呼び出された Kerberos ライブラリは このファイルを用いるようにしている。 この独自のファイルは Kerberos ライブラリの処理をすべて制御し、 本パラメーターはその独自ファイル内において暗号タイプの設定を制御する。 つまりは Samba が扱う暗号タイプを制御することにもなる。

all を設定すると、 Active Directory における暗号タイプをすべて許可する。

strong を設定すると、AES ベースの暗号タイプのみを利用する。 これはダウンクレード攻撃を避けるような堅牢な環境において利用する。

legacy を設定すると RC4-HMAC-MD5 のみを許可する。 CVE-2022-37966 と言う理由によりこのオプションの使用は*避けること*。 https://bugzilla.samba.org/show_bug.cgi?id=15237 を参照。

既定値: kerberos encryption types = all

Kerberos チケットをどのように検査するかを制御する。

有効な値は以下の通り：

「system keytab」と「dedicated keytab」の主な違いは、 適切な keytab エントリを見つける際に、前者は期待するプリンシパルに 基づくフィルタリングを行うのに対し、後者は Kerberos に依存するところである。

このパラメーターの値が「dedicated keytab」の場合、 keytab ファイルのパスを指定するため dedicated keytab file パラメーターを必ず設定しなければならない。

既定値: kerberos method = default

このパラメーターは、Samba がカーネルに対してディレクトリの変更 通知を要求するか指定でき、この機能を使用すれば、サーバー上にある データに変更があった場合に SMB クライアントがその結果を 反映できるようになる。

このパラメーターは使用しているカーネルが inotify インターフェース を使用してユーザープログラムに対しての変更の通知をサポートしている 場合にのみ使用される。

既定値: kernel change notify = yes

カーネルベースの oplocks をサポートしている UNIX (現在は と Linux のみ) の場合、 このパラメーターにより oplock の利用を制御できる。しかし、これは Linux カーネルがそれらを適切にサポートしないので、クライアントに 対してレベルII oplock を無効にする。

カーネル oplocks のサポートにより、 smbd(8) が oplock を行ったファイルに対して、 ローカルな UNIX プロセスや NFS 経由でのアクセスがあった際に、 Sambaが oplocks を破棄することが可能となる。 これにより、 SMB/CIFS と NFS やローカルファイルアクセスとの間の完全な一貫性が確保される (これは非常に素晴らしいことである :-)。

もしもこの相互作用が不要なら、レベルII oplockと、それに関連して性能向上 が得られるように、Linux 上でパラメーターを無効にすべきである。

このパラメーターの既定値は、 no であるが、 カーネルがこの機能をサポートしていないシステムでは、自動的に無効にされる。

既定値: kernel oplocks = no

このパラメーターは、SMB 共有モードを ファイルシステム固有の sharemode 呼び出しにに変換するかどうかを制御する。

kernel share モードは、SMB 共有モードに対応するアクセスを防止する ことにより、ローカルの UNIX プロセスと NFS による操作との 間での、最低限の相互運用性を提供する。これには、適切なサポートを 備えたファイルシステム固有の VS モジュールを要求する。

共有内で SMB2 の永続的ファイルハンドルを使うためには、このパラメーターを 無効にする必要があることに注意すること。

このパラメーターの既定値はnoである。 yes に設定する場合は、ファイルシステムの share modes をサポートするシステムモジュールが必要であり、 そうでない場合、ファイルへのアクセスは共有違反で失敗する。

既定値: kernel share modes = no

パスワード変更のために Kerberos サーバーが待ち受けるポートを指定する。

既定値: kpasswd port = 464

KDC が Kerberos 通信を行うために待ち受けるポートを指定する。

既定値: krb5 port = 88

このパラメータは Samba 4.11 から非推奨となり、 (NTLM, NTLMv2 または Kerberos 認証とは異なり) LanMan は将来の Samba リリースでは削除される。

そのため、将来は、現在の既定値である lanman auth = no が強制された動作となる。

このパラメーターは、smbd(8) が LANMAN パスワードハッシュを使用した 認証を行なうか否かを制御する。無効にした場合、 NT パスワードハッシュを利用する クライアント（Windows NT/2000クライアント、smbclient など。しかし Windows 95/98 や MS-DOS クライアントは含まない）のみが Samba ホストに接続できる。

LANMAN 暗号化レスポンスは簡単に解読することが可能である。これは大文字と小文字を 区別しないことや、使用しているアルゴリズムなどに起因する。Windows 95/98 や MS-DOS クライアントが存在しない場合は、このオプションを無効にした方がよいだろう。

このパラメーターが no に設定された場合、これは、次のパスワードの 変更時に Samba の passdb 中の sambaLMPassword を空白にする動作も行う。この結果、 lanman クライアントは、あとで lanman auth を再度有効にしたとしても認証できなくなる。

encypt passwords オプションとは異なり、このパラメーターはクライアントの挙動を 制御するものではなく、 LANMAN レスポンスは依然としてネットワーク上を送信される。 Samba のクライアント（smbclient など）で LANMAN レスポンスを無効にするには client lanman auth を参照のこと。

このパラメータは ntlm auth パラメータによって上書きされるため、ntlmv1-permitted または yes が設定されてない限り、NTLMv2 ログインのみが許可され、 LM ハッシュは格納されない。最近のクライアントはすべて NTLMv2をサポートしている が、いくつかのクライアントは特別な設定をすることが必要である。

このパラメータは Samba AD DC に影響せず、LM 認証は常に 無効で、LM パスワードは保存されない。

既定値: lanman auth = no

このパラメーターは、Windows 2000 で導入された、 さまざまな SMB リクエストにおける新しい 64K のストリーム読み取りおよび書き込みを smbd(8) がサポートするかどうかを制御する。 Windows 2000 クライアントのリダイレクタにはバグがあるため、 このパラメーターを利用するには、SambaがIRIX、Solaris、Linux 2.4 カーネルのような64ビットOS で動作している必要がある。 Windows 2000 クライアントにおいては、10% のパフォーマンス向上が見込まれる。 既定値は on であるが、他の Samba コードほどにはテストが充分には行われていない。

既定値: large readwrite = yes

ldap admin dn は、 Samba がユーザーのアカウント情報を取得するために ldap サーバーに接続する際に 用いられる、Distinguished Name (DN) を指定する。 ldap admin dn は、 private/secrets.tdbファイルに 格納された admin dn のパスワードとともに用いられる。 これがどのように連携するかについての詳細な情報は、 smbpasswd(8) のマニュアルページを参照のこと。

ldap admin dn には完全な DN 名を指定する必要がある。 ldap suffix の値が ldap admin dn に付加されることはない。

既定値なし

このパラメーターは、LDAP サーバーに対して最初のコネクションを確立する間に保持するための LDAP ライブラリ呼び出しの秒単位のタイムアウトを指定する。これは実際、フェールオーバー の手順においてとても便利である。もしも、1つまたはそれ以上の LDAP サーバーが接続不能に なった時、TCP のタイムアウトが満了になるのを待つ必要が無くなる。この機能は、LDAP ライブラリによってサポートされなければならない。

このパラメーターは、存在するコネクションを使っての LDAP サーバー上の操作に影響する ldap timeoutとは異なり、最初の接続を確立しない。

既定値: ldap connection timeout = 2

このパラメーターは LDAP ライブラリコールのデバッグレベルをコントロールする。 OpenLDAP の場合、これはサーバーで解釈されるビットフィールドと同じものであり、 slapd.conf(5) のマニュアルにその解説がある。よく使われる有用な値として、 1 がある。これは関数コールをトレースする。

LDAP ライブラリからのデバッグ出力は、Samba のログ出力の中で頭に [LDAP] がついたものである。LDAP がログ出力をするレベルは ldap debug threshold パラメーターでコントロール できる。

既定値: ldap debug level = 0

例: ldap debug level = 1

このパラメーターは、Samba のデバッグレベルの中で、LDAP ライブラリの デバッグ出力を Samba のログに出力するためのレベルをコントロールする。 詳細は ldap debug level を参照のこと。

既定値: ldap debug threshold = 10

例: ldap debug threshold = 5

このパラメーターは ldapsam の削除の操作時に、エントリを完全に 削除するか、Samba でしか使用されない属性だけを消すかの制御を行なう。

既定値: ldap delete dn = no

このオプションは、Samba が、LDAP ライブラリに、ある alias dereferencing 方法を 使う事を指定するかどうかを制御する。この既定値はauto であり、これは、ldap クライアントライブラリの既定値の設定がそのまま保持される 事を意味する。これ以外に設定可能なは、 never, finding, searching と alwaysである。 より詳細な情報は、使用している LDAP のマニュアルで探してみること。

既定値: ldap deref = auto

例: ldap deref = searching

このオプションは、LDAP データベース中でエントリを検索する時に、 LDAP referral を利用するかどうかを制御する。設定可能な値は、 referral 機能の利用を有効にする場合は、on、 これを無効にする場合は、off、 libldap の既定値の設定を使う場合はautoである。 libldap による refarral 機能の仕様の有無は、ldap.conf(5) 中に記述がある、 REFERRALS パラメーターによって、/etc/openldap/ldap.conf 中で 設定される。

既定値: ldap follow referral = auto

例: ldap follow referral = off

このパラメーターは、グループが LDAP ディレクトリに加えられるときの サフィックスを指定する。もしこのパラメーターが設定されていない場合、 ldap suffix の値が代わりに使用される。 サフィックスの文字列には、ldap suffix の文字列が付加されるため、相対 DN で指定を行なうこと。

既定値: ldap group suffix =

例: ldap group suffix = ou=Groups

このパラメーターは idmap mapping の情報の保存先のサフィックスを 指定する。このパラメーターが設定されていない場合、 ldap suffix の値が代わりに使用される。 サフィックスの文字列には、ldap suffix の文字列が付加されるため、相対 DN で指定を行なうこと。

既定値: ldap idmap suffix =

例: ldap idmap suffix = ou=Idmap

このパラメーターはマシンアカウントが LDAP ツリーのどこに 追加されるかを指定する。もしこのパラメーターが設定されていない場合、 ldap suffix の値が代わりに使用される。 サフィックスの文字列には、ldap suffix の文字列が付加されるため、相対 DN で指定を行なうこと。

既定値: ldap machine suffix =

例: ldap machine suffix = ou=Computers

このパラメータは、匿名接続時に受け取る LDAP 要求の最大許容サイズ (バイト単位)を指定する。

要求サイズがこの制限を超過した場合、要求は拒否される。

既定値: ldap max anonymous request size = 256000

例: ldap max anonymous request size = 500000

このパラメータは、認証済みの接続時に受け取る LDAP 要求の最大許容サイズ (バイト単位)を指定する。

要求サイズがこの制限を超過した場合、要求は拒否される。

既定値: ldap max authenticated request size = 16777216

例: ldap max authenticated request size = 4194304

このパラメータは、LDAP 検索要求時に受け取る LDAP 要求の最大許容サイズ (バイト単位)を指定する。

要求サイズがこの制限を超過した場合、要求は拒否される。

既定値: ldap max search request size = 256000

例: ldap max search request size = 4194304

このパラメーターは1ページあたりのエントリ数を指定する。

もしも、LDAP サーバーが paged results をサポートする場合、クライアントは すべての一覧の代わりに、検索結果(ページ)のサブセットを要求できる。 このパラメーターはそのページの大きさを指定する。

既定値: ldap page size = 1000

例: ldap page size = 512

このパラメーターは右記のパラメーターの別名である：ldap passwd sync.

このオプションは、Samba によるパスワード変更時に、Samba が通常のアカウント (ワークステーション、サーバーやドメインの信頼関係は含まない) の NT ハッシュや LM ハッシュと、LDAP のパスワード の同期をおこなうかを定義する。

ldap passwd sync には、 以下の 3 つのうちの 1 つを設定することができる:

既定値: ldap passwd sync = no

Samba が読みとり専用の LDAP レプリカに対して、書き込みの要求を行なった際には、読み書き可能なマスターサーバーと通信するようにリダイレクトを行なう。 その後マスターサーバーは、変更を最初に通信した「ローカル」サーバーに対して複製を行なうが、特に遅い回線越しの場合、これには数秒の時間を要する。 特にドメインへの参加といったクライアント側の処理については、「成功」した処理が LDAP のデータに即座に反映されないことで、 混乱する可能性がある。

このオプションにより、LDAP サーバーに変更が反映されるのを待つために Samba が短い時間待機するようになる。 遅延の大きいネットワークの場合、LDAP の複製に要する時間をネットワークモニターで取得の上、それに応じて値を増減すればよいだろう。 データの複製が完了したかどうかについてのチェックが行なわれるわけではない点に注意すること。

この値はミリ秒単位で指定する。最大値は 5000 (5秒)である。

既定値: ldap replication sleep = 1000

Editposix は ldapsam:trusted を利用してドメインコントローラーの管理をより 簡単にするためのオプションである。これを使えば posix ユーザーやグループの 追加や保守のためのカスタムスクリプトを設定しなくてもすむ。その代わりこの オプションでは、LDAP ツリー上のユーザーやグループのエントリを直接生成、 削除、編集できる。なお、このオプションを使うにあたっては、ユーザー／グループ の生成をする際に新しい uid/gid を割り当てるための winbindd が動いている 必要がある。その割り当て範囲はあらかじめ設定されていなければならない。

このオプションを使うためには、基本的な LDAP ツリーが提供され、また LDAP サフィックスが適切に設定されていなければならない。構築したてのサーバーでは、 net sam provision コマンドで事前に デフォルトのユーザーとグループ (Administrator, Guest, Domain Users, Domain Admins, Domain Guests) を作成できる。このコマンドを動かす際は LDAP サーバーと winbindd が動いており、かつ smb.conf の LDAP オプション 群が適切に構成されていなければならない。 ldapsam:trusted = yes オプションで 使われる典型的な LDAP 構成であれば、通常は ldapsam:editposix = yes を使うのに 十分である。

設定例を以下に示す：

	encrypt passwords = true
	passdb backend = ldapsam

	ldapsam:trusted=yes
	ldapsam:editposix=yes

	ldap admin dn = cn=admin,dc=samba,dc=org
	ldap delete dn = yes
	ldap group suffix = ou=groups
	ldap idmap suffix = ou=idmap
	ldap machine suffix = ou=computers
	ldap user suffix = ou=users
	ldap suffix = dc=samba,dc=org

	idmap backend = ldap:"ldap://localhost"

	idmap uid = 5000-50000
	idmap gid = 5000-50000
	

この設定例では、ディレクトリのレイアウトが以下の LDIF で示すように なっていることを想定している：

	dn: dc=samba,dc=org
	objectClass: top
	objectClass: dcObject
	objectClass: organization
	o: samba.org
	dc: samba

	dn: cn=admin,dc=samba,dc=org
	objectClass: simpleSecurityObject
	objectClass: organizationalRole
	cn: admin
	description: LDAP administrator
	userPassword: secret

	dn: ou=users,dc=samba,dc=org
	objectClass: top
	objectClass: organizationalUnit
	ou: users

	dn: ou=groups,dc=samba,dc=org
	objectClass: top
	objectClass: organizationalUnit
	ou: groups

	dn: ou=idmap,dc=samba,dc=org
	objectClass: top
	objectClass: organizationalUnit
	ou: idmap

	dn: ou=computers,dc=samba,dc=org
	objectClass: top
	objectClass: organizationalUnit
	ou: computers
	

既定値: ldapsam:editposix = no

デフォルトで、ドメインコントローラーとして動作し、認証に LDAP を用いている Samba は、ユーザーやグループの情報を取得するために、UNIX の NSS サブシステムを必要とする。 UNIX がユーザー情報を /etc/passwd や /etc/group に格納する機構からすると、これは明らかに非効率である。 ユーザーが把握する必要がある重要な項目の一つに、所属グループの一覧がある。 通常の UNIX のユーザー管理機構であれば、/etc/group ファイルの全体を参照するか、LDAP 環境においては NSS 機構を用いて同様のことを行なう。 UNIX には group のメンバーを参照するのに最適化された関数が存在している。 しかし、残念なことに、ユーザーやグループを扱うその他の関数については、こうした最適化は行なわれていない。

o Samba を大規模環境に適用させるため、ldapsam:trusted = yes オプションにより、Samba に関係するユーザーおよびグループのデータベースは LDAP 標準の posixAccount/posixGroup 属性に格納されているとみなす。 さらに、Samba の AUXILIARY(補助) オブジェクトクラスについても、同じ LDAP オブジェクト中に POSIX データとして格納されているものとみなす。 これらの前提条件に適合する場合、 ldapsam:trusted = yes を設定することが可能となる。 この場合、Samba はユーザー情報の NSS に対する問い合わせを完全にバイパスする。 最適化された LDAP クエリにより、ログオンや管理作業が劇的に高速化される。 LDAP データベースのサイズにもよるが、共通的なクエリについては、100 倍以上の高速化が容易に達成される。

既定値: ldapsam:trusted = no

ldap server require strong authは、ldap サーバが ldap 通信データに対して、署名付きか、署名+暗号化(シールされているか)を定義する。 設定可能な値はno, allow_sasl_without_tls_channel_bindings とyesである。

Windows には HKLM\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\ 配下にLdapEnforceChannelBindingがある。

値noは、すべての通信において、シンプルおよび sasl バインド を許可する。これは LdapEnforceChannelBinding=0 と一致する。

allow_sasl_without_tls_channel_bindingsの値 は、TLS で暗号化された接続上で、シンプルおよび sasl バインド (署名またはシールなしでの)を許可する。失敗した tls チャネルバインディングは 無視されるため、yesの値が使用できない場合にのみ使用すること。 暗号化されていない接続では、sign または seal を使用した sasl バインド だけが許可される。これは、LdapEnforceChannelBinding=1 に一致する。

Samba で tls チャネルバインディングがサポートされる前は、tls チャネル バインディングなしで sasl バインディングを許可するために、 allow_sasl_over_tlsの値が使えた。 これは、yesという値が tls チャネルバインディングを 使用した sasl バインドが可能になったため誤解を招くようになった。 設定は、yesか、本当に必要な場合は、代わりに allow_sasl_without_tls_channel_bindingsに 変更する必要がある。現在、allow_sasl_over_tlsは allow_sasl_without_tls_channel_bindingsの エイリアスにすぎないが、将来のバージョンでは削除される予定である。

yesの値は、単純なバインドのみが許可され、 sasl は TLS 暗号化接続上で正しい TLS チャネルバインディングを 使用してバインドする。TLS チャネルバインディングを使用しない sasl バインドは許可されない。暗号化されていない接続では、sign または seal を使用した sasl バインドのみが許可される。これは LdapEnforceChannelBinding=2 に一致する。

既定値: ldap server require strong auth = yes

このオプションは Samba が LDAP サーバーへの接続に SSL を利用するかを 指定する。以前の Samba のバージョンにおいて configure スクリプトの--with-ssl で指定された Samba の古い SSL サポートとは関係ない。

LDAP サーバーとの接続は可能な限り暗号化すべきである。これは、 start_tlsパラメーターを指定する、 またはpassdb backendにおける URL の指定に ldaps://を指定するか、のいずれか によって設定される。

ldap sslオプションは、２つのうちいずれかを 選択する。

このパラメーターはrpcメソッドのみ影響する。

既定値: ldap ssl = start tls

全体に適用される LDAP サフィックスを指定すると共に、sambaDomain オブジェクトの格納先を指定する。

ldap suffix は、ldap user suffix、 ldap group suffix、ldap machine suffix、 ldap idmap suffix で指定された値に付加される。 これらのパラメーターでは ldap suffix からの相対 DN で指定が行なわれる。

既定値: ldap suffix =

例: ldap suffix = dc=samba,dc=org

このパラメーターでは、Samba が LDAP 接続においてタイムアウトさせるまでの秒数を指定する。

既定値: ldap timeout = 15

このパラメーターは、ユーザーが LDAP ディレクトリに加えられるときの サフィックスを指定する。もしこのパラメーターが設定されていない場合、 ldap suffix の値が代わりに使用される。 サフィックスの文字列には、ldap suffix の文字列が付加されるため、相対 DN で指定を行なうこと。

既定値: ldap user suffix =

例: ldap user suffix = ou=people

このパラメーターにより、 Samba が共有上で level2(読みとり専用) oplock をサポートするかどうかが制御される。

level2 の読みとり専用 oplock を利用することで、 Windows NT クライアントは、既に oplock が行われているファイルを別のクライアントがオープンしようとした際に (今までの排他的な oplock の場合に行われていた関連するすべての oplock を廃棄する処理の代わりに)、 読み書き可能な oplock から読みとり専用の oplock へのダウングレードを行うような oplock をファイルに対して行うことが可能になる。 これにより、ファイルをオープンしているクライアントのうち、level2 oplock をサポートしているものは、 ファイルの先読みのみを行うキャッシュ(このキャッシュは書き込みキャッシュやロックを行わない)を引続き行うため、 書き込みが行われないようなファイル(例えばアプリケーションの exe ファイルなど)に対して 多くのアクセスが行われる際のパフォーマンスが改善される。

read only の oplock を行っていたクライアントのいずれかがファイルに書き込みを行った時点で、 すべてのクライアントに対して、 oplock を「なし(none)」の状態に解除し、先読みキャッシュを破棄するように通知が行なわれる(応答待ちは行なわれない)。

このパラメーターを有効にして、 共有されている実行ファイルのアクセスを高速化することを推奨する。

level2 oplock に関する詳細な議論については、CIFS の仕様を参照のこと。

現在、kernel oplocks がサポートされていると、 level2 oplock は(このパラメーターがyesになっていても)、利用されない。 このパラメーターを機能させるためには、 oplocks パラメーターが、共有上で yes である必要があることに注意。

既定値: level2 oplocks = yes

このパラメーターにより、 nmbd(8) が、 OS/2 クライアントのブラウズリスト上に Samba サーバーを格納するために必要な lanman announce のブロードキャストを送出するかどうかが制御される。 このパラメーターは3つの値、yes、 no、autoをとる。 デフォルトは auto である。 no の場合、Samba は決してこのブロードキャストを送出しない。 yes の場合、Samba は lanman announce のブロードキャストを lm interval によって設定された間隔で定期的に送出する。 auto の場合、 Samba はデフォルトでは lanman announce を送出しないが、受信を待機する。 そして、このブロードキャストを受信すると、 lm interval によって設定された間隔で定期的なブロードキャストの送出を開始する。

既定値: lm announce = auto

例: lm announce = yes

Samba が OS/2 クライアントが必要とする lanman announce のブロードキャストを送出するように設定されている場合 (lm announce パラメーターを参照のこと)、 このパラメーターにより送出間隔が秒単位で指定される。 これが 0 の場合、 lm announce パラメーターの設定に関わらず、 lanman announce は送出されない。

既定値: lm interval = 60

例: lm interval = 120

このパラメーターは、printcap ファイル中で定義されたすべてのプリンターをデフォルトでブラウジング可能とするかどうかを制御する真偽値パラメーターである。 詳細は、 printers セクションを参照のこと。

既定値: load printers = yes

このオプションにより、 nmbd(8) がサブネットのローカルマスターブラウザーになるかどうかが制御される。 no の場合、 nmbd はサブネットのローカルマスターブラウザーになろうとせず、 すべてのブラウザー選定において、常に敗退することになる。 デフォルトで、このパラメーターは yes に設定されている。 このパラメーターを yes にすることは、 Samba がサブネットのローカルマスターブラウザーとなることを意味するものではなく、 nmbd がローカルマスターブラウザーの選定に 参加する ということを意味するものに過ぎない。

このパラメーターの値を no にすると、nmbd は 決して ローカルマスターブラウザーにならなくなる。

既定値: local master = yes

このパラメーターは右記のパラメーターの別名である：lock directory.

このオプションは、ロックファイルを置くためのディレクトリを 指定する。ロックファイルは max connections オプションにより利用される。

注意：レジストリ設定の中では、このオプションは指定できない。

このディレクトリ内のファイルは、サービスの再起動中に存在していな くてもよい。したがって、揮発性のストレージ(たとえば、Linux 上の tmpfs)に 配置しても問題ない。

既定値: lock directory = ${prefix}/var/lock

例: lock directory = /var/run/samba/locks

このパラメーターは、 クライアントからのロック要求により、 サーバーがロック処理を行うかどうかを制御する。

locking = noの場合、 すべてのロックおよびアンロック要求は成功したものとして扱われ、 すべてのロック状態の問い合わせは、ファイルがロック可能であると応答する。

locking = yesの場合、 サーバーにより実際のロック処理が実行される。

このオプションをnoにすることは、 いかなる場合でも推奨されないが、 ロックを必要としないと思われる read only のファイルシステム(例えば CDROM ドライブ)では、有用 かも知れない。

ロックが機能しない場合、 データが破壊される可能性もあるため、全体に対しても、 個々の共有に対しても、ロックを無効にする際には注意すること。このパラメーターの設定は通常必要ない。

既定値なし

smbd が一度失敗したロックを再度獲得しようとする際の待ち時間を、 ミリ秒単位で指定する。 このパラメーターの既定値は、 Samba 3.0.23 において 10 から 200 に変更された。 関連する lock spin count パラメーターは Samba 3.0.24 以降では使用されない。 このパラメーターの値を変更する必要はないであろう。

既定値: lock spin time = 200

このオプションにより、 Samba のログファイル(デバッグファイル)の名称を変更することが可能である。

このオプションには、標準の変数置換が適用されるため、 個々のユーザーやマシン毎にログを分割することが可能である。

既定値なし

例: log file = /usr/local/samba/var/log.%m

このパラメーターはロギングバックエンドを設定する。同時に複数の バックエンドが設定可能であり、各バックエンドには異なるログレベルを設定できる。 このパラメーターはバックエンドのリストであり、それぞれのバックエンドは backend[:option][@loglevel] という形で指定する。

'option' パラメーターは、バックエンド固有のオプション指定に利用する。

バックエンドに対する log level はオプションであるため、その設定がない 場合は、メッセージすべてがそのバックエンドに送られる。 log level パラメーターは全体のログレベルを決定する。 一方ここでは、それぞれのバックエンドに設定するログレベルを定義するものである。

logging が設定された場合、これは、 syslog と syslog only パラメーターを上書きする。

バックエンドの中には、追加のライブラリを用いて Samba をコンパイルした 場合にのみ利用できるものがある。ロギングバックエンドの全リストは以下の通り。

ringbuf バックエンドではオプション として引数 size があり、バッファーサイズを変更することができる。既定値は 1 MB である。ringbuf:size=NBYTES

既定値: logging =

例: logging = syslog@1 file