Samba, ActiveDirectory: Berechtigungen auf Gruppen?

[pibi]

Hallo zusammen

Gegeben ist (Win-)Netzwerk, welches zentral ueber ein ActiveDirectory verwaltet und administriert wird. Als zentraler Speicher werden u.a Samba-Shares verwendet. Im Zeitalter von Single-SignOn wird nun die Authentifizierung der Benutzer eines Samba-Server testhalber ueber das AD gehandelt. Funktioniert nach den ueblichen Anfangsschwierigkeiten ganz gut.

Fuer das Mapping von AD-Usern auf Linux-User benutze ich eine Tabelle ("user map"), die etwa so aussieht:
# besondere User mit Schreibrechten
!user1 = Domainname\name1
!user2 = Domainname\name2
....
....

# alle sonstigen sind read-only und werden auf den Dummy-User "smbuser" gemappt
smbuser = *

Im smb.conf werden die Berechtigungen auf dieses Share mit "read list=smbuser" und write list=user1 user2..." vergeben.

Nun soll es ein weiteres Share geben, welches nicht "world-readable" sein soll, sondern nur fuer eine bestimmte Gruppe "gruppex". Und da fangen die Probleme an:-(

Ich schaffe es einfach nicht, einer Gruppe im UserMap-File einen Namen zuzuweisen und diesen dann im smb.conf zu referenzieren. Wie lautet die genaue Syntax? Oder kann man womoeglich nur einzelne User mappen?

Alternativ: Kann ich im smb.conf unter zB. "valid users=@Domain\gruppex" verwenden? Genaue Syntax?

Alle User dieser Gruppe einzeln aufzufuehren scheidet als fehleranfaellig und schwer wartbar aus. Fuer was gibt es denn Gruppen?

Gruss Pit.

[mbo]

Wieso mappst Du überhaupt?

Setze doch einfach die Gruppen aus der AD?
Oder darf der Samba kein Memberserver sein?


Und bei aller Liebe zu Linux: Wieso zum Teufel wird ein komplett windoesbasiertes Netz mit einem Share auf Linuxbasis kastriert?


cu/2

[pibi]

Setze doch einfach die Gruppen aus der AD?
Oder darf der Samba kein Memberserver sein?Genau das moechte ich ja. Den Login-Namen des Users an dem AD bekomme ich geliefert und ich kann ihn fuer die Samba-Berechtigungen verwenden. Da aber eine ganze Gruppe Zugriff bekommen soll, moechte ich nicht jeden einzelnen User dieser AD-Gruppe definieren. Und ja: Die Linux-Maschine ist Mitglied der Domain.
Und bei aller Liebe zu Linux: Wieso zum Teufel wird ein komplett windoesbasiertes Netz mit einem Share auf Linuxbasis kastriert?Die Infrastruktur ist vorgegeben. In Natura laufen natuerlich auf der Linux-Maschine noch diverse andere Dienste und nicht nur ein Samba-Server;-) Und eine bestimmte Gruppe von Win-AD-Usern soll nun Zugriff auf eine bestimmte Datenmenge der Linux-Kiste bekommen.

Gruss Pit.