Administrace komentářů

Trochu bych to korigoval (na základě reálných zkušeností):

1) Uživatelé se hlásí lokálními účty na lokální stanice. Pokud mají schodný login a a passwd, můžou přistupovat k sdíleným složkám (nebo se jich to zeptá na login+password).

2) Stanice je v registrována doméně, lidi přihlašují "K doméně XYZ". Windows ověří jméno a heslo na Samba serveru. Windows se zeptají Samba serveru na LOGON_PATH - ten odpoví hodnotou parametru logon path.

2a) LOGON_PATH existuje, je tam platný cestovní profil == tento se zkopíruje na PC a s ním se pracuje. Při odhlášení se zkopíruje zpět (možná jen změny). Hrozí ono riziko s přihlášením na více PC zároveň. Profily mají také tendenci narůstat na objemu (vlivem blbě napsaných aplikací, nebo aplikací blbě zkonfigurovaných pro "na desktopu nestandardní" situaci) - lze řešit automatizovanou kontrolou a důslednou konfigurací všech souvisejících věcí. Dále je vhodné cestovní profily mazat z lokální cache, protože když je někde uložen rozbitý profil (a nevíte přesně kde všude), má tento tendenci se kopírovat zpět na server i potom, co tam má uživatel nový opravený profil.

2b) LOGON_PATH neexistuje, ale lze tam zapisovat == PC si zkopíruje výchozí cestovní profil buď z NETLOGON sdílení, nebo není-li tam, tak použije lokální. Počínaje odhlášením vše pracuje jako ve 2a).

2c) LOGON_PATH neexistuje, a uživatel ho nemůže vytvořit (nemá práva zápisu nebo windows vyhodnotí práva té složky jako "špatná" - lze dohledat, souvisí s volbou profile acls v smb.conf) == Windows vypíšou hlášku o chybovém stavu, a že se použije dočasný profil, který se při odhlášení zahodí. Tohle je chyba v konfiguraci, a rozhodně bych to nepoužíval. Minimálně vypadá blbě, že to hlásí chybu. Pro "free" stanice slouží řešení zvané mandatory profile.

2d) LOGON_PATH je prázdný -- tj. v smb.conf je nastavena prázdná hodnota ("logon path = \n", to \n je odřádkování) == PC pro uživatele použije lokální profil. Tento buď existuje od minula, nebo se vytvoří stejným způsobem jako ve 2b), ale nekopíruje se zpět na server.

2e) Ještě je možné v local group policy nebo v Registry na daném PC úplně zakázat cestovní profily, a pak to odpovídá chování ve 2d).

Používám i to, že obsah smb.conf lze pomocí parametrů a include rozlišit pro různé stroje. Takže normálně mají uživatelé cestovní profily, a na speciálních stanicích mají všichni lokální.

A tohle:

Samba neumí vytvářet lokální profily doméních účtů - toto je věc microsoft serveru. Toto lze kombinovat pouze nastvení řízení serveru kerberos za použítím ldap správy účtů. A ani to nemusí vždy být podporováno dle verze Windows.

by si zasloužilo bližší vysvětlení. Bohužel nevím, jak je to myšleno. Každopádně Samba3 doménový řadič + Kerberos kombinovat nelze. Kerberos je základní částí Active Directory (což je win doména od Server 2000 výše). Samba4 se snaží (je to ve vývoji) o funkce odpovídající AD. Ještě lze Windows přesvědčit ke spolupráci se samotným Kerberos serverem i bez jakékoliv domény (vyšel tu o tom seriál), ale to nepovažuji za nějak užitečné. Jestli Samba3 používá LDAP, to s tímhle nesouvisí. Ale opět je LDAP jednou z částí AD.