Samba 3.6 als Domainmember unter Win2008/2012

[tazinblack]

Hallo zusammen und Hilfe!

Kann mir jemand einen Tipp geben zum Thema Samba als AD Member gegen win2008/2012?
Ich hab hier noch ein altes Linux laufen, welches per Samba Druckdienste zur Verfügung stellt.
Allerdings wird nicht direkt gedruckt, sondern per "print command" wird der Ausdruck an ein Skript weitergeleitet,
welches das Dokument noch aufbereitet und dann erst auf nen Drucken ausdruckt.

Von win2003 hat es gereicht, beim Anmelden des Users einen "net use \\<linuxkiste>\IPC$ /user:<Sambauser> <Passwort>" zu machen
um dann unter dessen Berechtigung den Drucker zu nutzen.
Inzwischen versucht Windows beim Drucken wohl trotz verbundenem IPC$ doch die Credentials des lokalen Users durchzureichen.
Den gibt es aber auf der Sambakiste nicht.
Jetzt habe ich Samba als Memberserver an die AD gehängt, was auch geklappt hat.
Aber irgendwo muss ich jetzt ja die Windowsuser bzw. Windowsgruppe auf lokale User bzw. Gruppen mappen und das hab ich noch nicht verstanden.
Also sprich wenn ein Windowsuser aus der Gruppe @"Domain Users" drucken will, soll der lokal auf Linux z.B. auf den User "drucken" gemappt werden.

Danach zu googleln ist total unlustig, da die Ergebnisse sich meist auf alte Sambaversionen beziehen und das inzwischen anders ist.
Wahrscheinlich habe ich das passende Howto noch nicht gefunden.

Kann mir da jemand nen Tipp geben?
Ich wäre Euch echt dankbar!

[tazinblack]

Inzwischen hab ich das mit dem Mapping glaube ich verstanden.
Man sieht die AD User und Gruppen, obwohl sie nicht lokal existieren und das regelt der nsswitch.
Auf eine Share vom Samba kann ich problemlos zugreifen und auch Dateien anlegen.
Diese haben dann als Besitzer und Gruppe Windowsuser und -gruppe.

Leider kann ich keine Drucker verwenden.


Hier meine smb.conf

Code: Select all

[global]

    workgroup = DOMAIN
    server string = Samba Server 

    netbios name = SERVERNAME

# --------------------------- Logging Options -----------------------------

    log level = 3
    # logs split per machine
    log file = /var/log/samba/%m.log
    # max 50KB per log file, then rotate
    max log size = 50

# ----------------------- Domain Members Options ------------------------
#
    security = ADS
    realm = DOMAIN
    encrypt passwords = yes

    allow trusted domains = No

    winbind enum users = No
    winbind enum groups = No
    winbind use default domain = Yes
    winbind nested groups = Yes
    idmap config DOMAIN:backend = rid
    idmap config DOMAIN:range = 600-20000

#    template primary group = "Domain Users"
#    template shell = /sbin/nologin
    template shell = /bin/bash

    server signing = mandatory
    client signing = mandatory
    client use spnego = Yes
    ntlm auth = Yes
    lanman auth = No



# ----------------------- Browser Control Options ----------------------------
    preferred master = no
    domain master = No
    local master = No
# --------------------------- Printing Options -----------------------------

    load printers = no
  
    printcap name = /etc/samba/printcap

#    printing = sysv

    use client driver = Yes

[test]
   available = yes
   comment = Test Share
   path = /spooltmp
   writeable = yes
   browseable = yes
   invalid users = root
   create mask = 0660
   directory mask = 0770
   valid users = @"domänen-benutzer"

[print$]
   comment = Printer Drivers
   path = /var/lib/samba/printers
#   path = /spooltmp
   browseable = yes
   read only = yes
   guest ok = no
   write list = root, @"domänen-benutzer", @"domänen-admins"

[dkp8]
    comment = virtueller Drucker 
    path = /spooltmp
    printing = sysv
    printable = Yes
    print command = /anpassung/drucken/dkp8 %s
    use client driver = Yes
    valid users = @"domänen-benutzer", @"domänen-admins"

[dedv7]
    comment = anderer Drucker 
    path = /spooltmp
    printing = cups
    printable = Yes
    use client driver = Yes
    valid users = @"domänen-benutzer", @"domänen-admins"

Das die AD Kopplung funktioniert, sehe ich an der Tatsache, dass ich z.B. mit dem Befehl id nicht vorhandene lokale User auflösen kann und er mir auch die zugehörigen Windowsgruppen anzeigt:

Code: Select all

id hannes
uid=600(hannes) gid=600(domänen-benutzer) Gruppen=600(domänen-benutzer),weitere Gruppen

Wenn ich jetzt einen Netzwerkdrucken auf der Windows2008 Kiste einrichten will, sagt er dass kein passender Treiber gefunden wurde, dann wähle ich den Treiber von Datei aus.
Anschließend will der Administrationsrechte also nen Adminaccount mit Passwort und sagt dann hinterher "Druckverbindung kann nicht hergestellt werden. Zugriff verweigert"

Die Logs geben auch keinen genauen Tipp woran es liegt