Administrace komentářů

Práva ve smyslu Samba Privileges jako např. to přidání do domény se týkají jen Samba serveru, klientské PC s Windows o nich nic neví. Jsou uložena v nějakých tdb souborech ve /var/lib/samba. Na stejném místě je uloženo i heslo k účtu, pod kterým Samba přistupuje k LDAPu. Není třeba se o to nějak starat, jen při úplné reinstalaci serveru je třeba kromě zálohy LDAPu nastavit i tohle. Nědky se doporučuje pro jistotu zálohovat celý tento adresář. Pokud se nepoužije LDAP, je v těch tdb souborech uložen i tzv. SID domény, podle kterého počítače poznají o jakou doménu jde (název domény je jen pomocná informace). Když o něj přijdete, je to velký problém (musí se všechna PC znovu zařadit, ale všechno se tím stejně nespraví). V LDAPu je ale doménový SID uložen v atributu "sambaDomainName", takže stačí zálohovat obsah LDAPu přes slapcat.

"Domain Admins" - to už je věcí Windows. Když se přihlásí k PC doménový uživatel, Windows si přes Sambu vylistují jeho skupiny. Proto ty skupiny musí mít nastavený SID, jinak s nimi Windows nemůžou pracovat - SID je akvivalent GID čísla na linuxu. Existují speciální hodnoty SID (resp. toho posledního čísla v SID), které uživateli dávají administrátorská (nebo jiná) práva. Pro "Domain Admins" je to 512. Jednoduše: pokud je uživatel členem skupiny, jejíž SID končí "...-512", pak má na Windows PC administrátorská práva, nemá ale nijak vyšší práva na Samba serveru (že by mohl měnit cizí soubory apod.).

Ještě existují speciální skupiny "Domain Users", "Domain Guests" a další. Jejich smysl jsem moc nepochopil, mě to vždy fungovalo bez nich. Vždy ale platí, že Windows tyhle skupiny nerozlišují podle názvu, ale podle toho čísla na konci SID.