流程

1. 创建/etc/samba/smb.conf文件的副本：

   # cp /etc/samba/smb.conf /etc/samba/samba.conf.copy

2. 编辑复制的文件并进行必要的更改。

3. 验证/etc/samba/samba.conf.copy文件中的配置：

   # testparm -s /etc/samba/samba.conf.copy

   如果testparm报告错误，请修复这些错误，然后再次运行该命令。

4. 使用新配置覆盖/etc/samba/smb.conf文件：

   # mv /etc/samba/samba.conf.copy /etc/samba/smb.conf

5. 等待 Samba 服务自动重新载入其配置或手动重新载入配置：

   # smbcontrol all reload-config

流程

1. 安装samba软件包：

   # dnf install samba

2. 编辑/etc/samba/smb.conf文件并设置以下参数：

   [global]
   	workgroup = Example-WG
   	netbios name = Server
   	security = user
   
   	log file = /var/log/samba/%m.log
   	log level = 1

   此配置在Example-learning工作组里定义了一个名为Server的独立服务器。此外，此配置启用了最小级别(1)的日志记录，日志文件将存储在/var/log/samba/目录中。Samba 将把 日志文件 参数中的%m 宏扩展到连接客户端的 NetBIOS 名称。这可为每个客户端启用独立的日志文件。

3. （可选）配置文件或打印机共享。请参阅：

   • 设置使用 POSIX ACL 的共享
   • 设置使用 Windows ACL 的共享
   • 将 Samba 设置为打印服务器

4. 验证/etc/samba/smb.conf文件：

   # testparm

5. 如果您设置了需要身份验证的共享，请创建用户帐户。

   详情请参阅 创建和启用本地用户帐户。

6. 打开所需的端口并使用firewall-cmd工具重新载入防火墙配置：

   # firewall-cmd --permanent --add-service=samba
   # firewall-cmd --reload

7. 启用并启动smb服务：

   # systemctl enable --now smb

流程

1. 创建操作系统帐户：

   # useradd -M -s /sbin/nologin example

   此命令添加了example帐户，而不创建主目录如果帐户仅用于对 Samba 进行身份验证，请将/sbin/nologin命令指定为 shell，以防止帐户在本地登录。

2. 为操作系统帐户设置密码以启用它：

   # passwd example
   Enter new UNIX password: password
   Retype new UNIX password: password
   passwd: password updated successfully

   Samba 不会使用操作系统帐户中的密码集进行身份验证。然而，您需要设置密码才能启用帐户。如果一个帐户被禁用，当这个用户连接时，Samba 会拒绝访问。

3. 将用户添加到 Samba 数据库，并为帐户设置密码：

   # smbpasswd -a example
   New SMB password: password
   Retype new SMB password: password
   Added user example.

   当使用此帐户连接到 Samba 共享时，使用此密码进行验证。

4. 启用 Samba 帐户：

   # smbpasswd -e example
   Enabled user example.

流程

1. 编辑 /etc/samba/smb.conf 文件中的 [global] 部分：

   1. 如果默认域(*)不存在，请为其添加 ID 映射配置。例如：

      idmap config * : backend = tdb
      idmap config * : range = 10000-999999

   2. 为 AD 域启用 ad ID 映射后端：

      idmap config DOMAIN : backend = ad

   3. 设置分配给 AD 域中用户和组的 ID 范围。例如：

      idmap config DOMAIN : range = 2000000-2999999

      重要

      范围不得与这个服务器上的任何其他域配置重叠。此外，范围必须足够大，以便包含将来分配的所有 ID。详情请查看 规划 Samba ID 范围。

   4. 当从AD读取属性时，使用RFC 2307模式来设置 Samba：

      idmap config DOMAIN : schema_mode = rfc2307

   5. 要让 Samba 从对应的 AD 属性读取登录 shell 和用户主目录的路径，请设置：

      idmap config DOMAIN : unix_nss_info = yes

      或者，您可以设置适用于所有用户的统一的域范围的主目录路径和登录 shell。例如：

      template shell = /bin/bash
      template homedir = /home/%U

   6. 默认情况下，Samba 使用用户对象的 primaryGroupID 属性作为 Linux 上用户的主组。或者，您可以将 Samba 配置为使用gidNumber属性中设置的值：

      idmap config DOMAIN : unix_primary_group = yes

2. 验证/etc/samba/smb.conf文件：

   # testparm

3. 重新载入 Samba 配置：

   # smbcontrol all reload-config

流程

1. 编辑 /etc/samba/smb.conf 文件中的 [global] 部分：

   1. 如果默认域(*)不存在，请为其添加 ID 映射配置。例如：

      idmap config * : backend = tdb
      idmap config * : range = 10000-999999

   2. 为域启用ridID映射后端：

      idmap config DOMAIN : backend = rid

   3. 设置一个足够大的范围，以包括将来将要分配的所有RID。例如：

      idmap config DOMAIN : range = 2000000-2999999

      Samba 会忽略此域中其RID不在范围内的用户和组。

      重要

      范围不得与这个服务器上的任何其他域配置重叠。此外，范围必须足够大，以便包含将来分配的所有 ID。详情请查看 规划 Samba ID 范围。

   4. 设置分配给所有映射用户的 shell 和主目录路径。例如：

      template shell = /bin/bash
      template homedir = /home/%U

2. 验证/etc/samba/smb.conf文件：

   # testparm

3. 重新载入 Samba 配置：

   # smbcontrol all reload-config

流程

1. 编辑 /etc/samba/smb.conf 文件中的 [global] 部分：

   1. 为 * 默认域启用autoridID映射后端：

      idmap config * : backend = autorid

   2. 设置一个足够大的范围来为所有现有和将来的对象分配 ID。例如：

      idmap config * : range = 10000-999999

      Samba 忽略在此域中计算 ID 不在范围范围内的用户和组。

      警告

      设置范围并开始使用 Samba 后，您只能增加范围的上限。对范围的任何其他变化都可能会导致分配新的 ID，从而会丢失文件的所有者信息。

   3. 另外，还可设置范围大小。例如：

      idmap config * : rangesize = 200000

      Samba 会为每个域的对象分配这个连续的ID号，直到 idmap config * : range参数中设置的范围内的所有ID分配完。

      注意

      如果设置 rangesize，则需要相应地调整范围。范围必须是 rangesize 的倍数。

   4. 设置分配给所有映射用户的 shell 和主目录路径。例如：

      template shell = /bin/bash
      template homedir = /home/%U

   5. 另外，还可为域添加额外的 ID 映射配置。如果没有针对单个域的配置，Samba 则使用之前配置的 * 默认域中的 autorid 后端设置来计算 ID。

      重要

      范围不得与这个服务器上的任何其他域配置重叠。此外，范围必须足够大，以便包含将来分配的所有 ID。详情请查看 规划 Samba ID 范围。

2. 验证/etc/samba/smb.conf文件：

   # testparm

3. 重新载入 Samba 配置：

   # smbcontrol all reload-config

流程

1. 如果您的 AD 需要弃用的 RC4 加密类型进行 Kerberos 验证，请在 RHEL 中启用对这些密码的支持：

   # update-crypto-policies --set DEFAULT:AD-SUPPORT

2. 安装以下软件包：

   # dnf install realmd oddjob-mkhomedir oddjob samba-winbind-clients \
          samba-winbind samba-common-tools samba-winbind-krb5-locator

3. 要在域成员中共享目录或打印机，请安装samba 软件包：

   # dnf install samba

4. 备份现有的/etc/samba/smb.conf Samba 配置文件：

   # mv /etc/samba/smb.conf /etc/samba/smb.conf.bak

5. 加入域。例如，要加入名为ad.example.com的域：

   # realm join --membership-software=samba --client-software=winbind ad.example.com

   使用上面的命令，realm工具会自动：

   • 为ad.example.com域中的成员创建/etc/samba/smb.conf文件
   • 将用于用户和组查找的winbind模块添加到/etc/nsswitch.conf文件中
   • 更新/etc/pam.d/目录中的可插拔验证模块(PAM)配置文件
   • 启动winbind服务，并使服务在系统引导时启动
6. 另外，在/etc/samba/smb.conf文件中设置备用的 ID 映射后端或自定义 ID 映射设置。

1. 验证winbind服务是否运行：

   # systemctl status winbind
   ...
      Active: active (running) since Tue 2018-11-06 19:10:40 CET; 15s ago

   重要

   要启用 Samba 来查询域用户和组信息，必须在启动smb之前运行winbind服务。

2. 如果您安装了samba软件包来共享目录和打印机，请启用并启动smb服务：

   # systemctl enable --now smb

3. 另外，如果您要验证Active Directory的本地登录，请启用winbind_krb5_localauth插件。请参阅 使用 MIT Kerberos 的本地授权插件。

验证步骤

1. 显示 AD 用户的详情，如 AD 域中的 AD 管理员帐户：

   # getent passwd "AD\administrator"
   AD\administrator:*:10000:10000::/home/administrator@AD:/bin/bash

2. 查询 AD 域中的域用户组成员：

   # getent group "AD\Domain Users"
       AD\domain users:x:10000:user1,user2

3. 另外，还可在设置文件和目录权限时验证您可以使用域用户和组。例如，将/srv/samba/example.txt文件的所有者设置为AD\administrator，组设置为AD\Domain Users：

   # chown "AD\administrator":"AD\Domain Users" /srv/samba/example.txt

4. 验证 Kerberos 验证是否如预期正常工作：

   1. 对于 AD 域成员，为administrator@AD.EXAMPLE.COM主体获取一个ticket：

      # kinit administrator@AD.EXAMPLE.COM

   2. 显示缓存的 Kerberos ticket：

      # klist
      Ticket cache: KCM:0
      Default principal: administrator@AD.EXAMPLE.COM
      
      Valid starting       Expires              Service principal
      01.11.2018 10:00:00  01.11.2018 20:00:00  krbtgt/AD.EXAMPLE.COM@AD.EXAMPLE.COM
              renew until 08.11.2018 05:00:00

5. 显示可用域：

   # wbinfo --all-domains
   BUILTIN
   SAMBA-SERVER
   AD

步骤

1. 安装所需的软件包：

   [root@ipaserver ~]# dnf install ipa-server-trust-ad samba-client

2. 以 IdM 管理用户身份进行身份验证：

   [root@ipaserver ~]# kinit admin

3. 运行 ipa-adtrust-install 工具：

   [root@ipaserver ~]# ipa-adtrust-install

   如果 IdM 安装了集成的 DNS 服务器，则会自动创建 DNS 服务记录。

   如果您在没有集成 DNS 服务器的情况下安装了 IdM，ipa-adtrust-install 会打印一个服务记录列表，您必须手动将它们添加到 DNS ，然后才能继续操作。

4. 该脚本提示您 /etc/samba/smb.conf 已存在，并将被重写：

   WARNING: The smb.conf already exists. Running ipa-adtrust-install will break your existing Samba configuration.
   
   Do you wish to continue? [no]: yes

5. 该脚本提示您配置 slapi-nis 插件，这是一个兼容插件，允许旧的 Linux 客户端与受信任的用户一起工作：

   Do you want to enable support for trusted domains in Schema Compatibility plugin?
   This will allow clients older than SSSD 1.9 and non-Linux clients to work with trusted users.
   
   Enable trusted domains support in slapi-nis? [no]: yes

6. 提示时，输入 IdM 域的 NetBIOS 名称，或者按 Enter 接受推荐的名称：

   Trust is configured but no NetBIOS domain name found, setting it now.
   Enter the NetBIOS name for the IPA domain.
   Only up to 15 uppercase ASCII letters, digits and dashes are allowed.
   Example: EXAMPLE.
   
   NetBIOS domain name [IDM]:

7. 系统会提示您运行 SID 生成任务，以便为任何现有用户创建 SID：

   Do you want to run the ipa-sidgen task? [no]: yes

   这是一个资源密集型任务，因此如果您有大量的用户，您可以在其他时间运行此操作。

8. （可选） 默认情况下，对于 Windows Server 2008 及更高版本，动态 RPC 端口范围定义为 49152-65535。如果需要为您的环境定义一个不同的动态 RPC 端口范围，请将 Samba 配置为使用不同的端口，并在防火墙设置中开放这些端口。以下示例将端口范围设置为55000-65000。

   [root@ipaserver ~]# net conf setparm global 'rpc server dynamic port range' 55000-65000
   [root@ipaserver ~]# firewall-cmd --add-port=55000-65000/tcp
   [root@ipaserver ~]# firewall-cmd --runtime-to-permanent

9. 重启ipa服务：

   [root@ipaserver ~]# ipactl restart

10. 使用smbclient工具来验证 Samba 是否响应 IdM 端的 Kerberos 身份验证：

    [root@ipaserver ~]# smbclient -L server.idm.example.com -U user_name --use-kerberos=required
    lp_load_ex: changing to config backend registry
        Sharename       Type      Comment
        ---------       ----      -------
        IPC$            IPC       IPC Service (Samba 4.15.2)
    ...

流程

1. 安装ipa-client-samba软件包：

   [root@idm_client]# dnf install ipa-client-samba

2. 使用ipa-client-samba工具准备客户端并创建初始 Samba 配置：

   [root@idm_client]# ipa-client-samba
   Searching for IPA server...
   IPA server: DNS discovery
   Chosen IPA master: idm_server.idm.example.com
   SMB principal to be created: cifs/idm_client.idm.example.com@IDM.EXAMPLE.COM
   NetBIOS name to be used: IDM_CLIENT
   Discovered domains to use:
   
    Domain name: idm.example.com
   NetBIOS name: IDM
            SID: S-1-5-21-525930803-952335037-206501584
       ID range: 212000000 - 212199999
   
    Domain name: ad.example.com
   NetBIOS name: AD
            SID: None
       ID range: 1918400000 - 1918599999
   
   Continue to configure the system with these values? [no]: yes
   Samba domain member is configured. Please check configuration at /etc/samba/smb.conf and start smb and winbind services

3. 默认情况下，ipa-client-samba会自动将[homes]部分添加到/etc/samba/smb.conf文件中，该文件在用户连接时动态共享用户的主目录。如果用户在这个服务器上没有主目录，或者您不想共享主目录，请从/etc/samba/smb.conf中删除以下行：

   [homes]
       read only = no

4. 共享目录和打印机。详情请查看：

   • 设置使用 POSIX ACL 的 Samba 文件共享
   • 设置使用 Windows ACL 的共享
   • 将 Samba 设置为打印服务器

5. 在本地防火墙中打开 Samba 客户端所需的端口：

   [root@idm_client]# firewall-cmd --permanent --add-service=samba-client
   [root@idm_client]# firewall-cmd --reload

6. 启用并启动smb和winbind服务：

   [root@idm_client]# systemctl enable --now smb winbind

步骤

1. 使用主机的 keytab 进行身份验证：

   [root@idm_client]# kinit -k

2. 使用ipa idrange-find命令来显示新域的基本 ID 和 ID 范围大小。例如，以下命令显示了ad.example.com域的值：

   [root@idm_client]# ipa idrange-find --name="AD.EXAMPLE.COM_id_range" --raw
   ---------------
   1 range matched
   ---------------
     cn: AD.EXAMPLE.COM_id_range
     ipabaseid: 1918400000
     ipaidrangesize: 200000
     ipabaserid: 0
     ipanttrusteddomainsid: S-1-5-21-968346183-862388825-1738313271
     iparangetype: ipa-ad-trust
   ----------------------------
   Number of entries returned 1
   ----------------------------

   在后续步骤中，您需要ipabaseid和ipaidrangesize属性的值。

3. 要计算可用最高的 ID，请使用以下公式：

   maximum_range = ipabaseid + ipaidrangesize - 1

   使用上一步中的值，ad.example.com域的最大可用 ID 是1918599999(1918400000 + 200000 - 1)。

4. 编辑/etc/samba/smb.conf文件，并将域的 ID 映射配置添加到[global]部分：

   idmap config AD : range = 1918400000 - 1918599999
   idmap config AD : backend = sss

   将ipabaseid属性的值指定为最小值，将上一步中的计算值指定为该范围的最大值。

5. 重启smb和winbind服务：

   [root@idm_client]# systemctl restart smb winbind

流程

1. 如果不存在，请创建文件夹。例如：

   # mkdir -p /srv/samba/example/

2. 如果您在enforcing模式下运行 SELinux，请在目录中设置samba_share_t上下文：

   # semanage fcontext -a -t samba_share_t "/srv/samba/example(/.*)?"
   # restorecon -Rv /srv/samba/example/

3. 在目录中设置文件系统 ACL。详情请查看：

   • 在使用 POSIX ACL 的 Samba 共享上设置标准 ACL
   • 在使用 POSIX ACL 的共享上设置扩展 ACL。

4. 将示例共享添加到/etc/samba/smb.conf文件中。例如，添加启用了共享的写操作：

   [example]
   	path = /srv/samba/example/
   	read only = no

   注意

   无论文件系统 ACL 是什么；如果您没有设置read only = no，Samba 会以只读模式共享该目录。

5. 验证/etc/samba/smb.conf文件：

   # testparm

6. 打开所需的端口，并使用firewall-cmd工具重新加载防火墙配置：

   # firewall-cmd --permanent --add-service=samba
   # firewall-cmd --reload

7. 重启smb服务：

   # systemctl restart smb

流程

1. 在/etc/samba/smb.conf文件中的共享部分启用以下参数，以启用扩展 ACL 的 ACL 继承：

   inherit acls = yes

   详情请查看 smb.conf(5)手册页中的参数描述。

2. 重启smb服务：

   # systemctl restart smb

3. 在目录中设置 ACL。例如：

   例 1.2. 设置扩展 ACL

   以下步骤为Domain Admins组设置读、写和执行权限，为Domain Users组设置读和执行权限，并拒绝其他人对/srv/samba/example/目录的访问：

   1. 为主用户帐户组禁用自动授予权限：

      # setfacl -m group::--- /srv/samba/example/
      # setfacl -m default:group::--- /srv/samba/example/

      目录的主组还被映射到动态CREATOR GROUP主体。当您对Samba 共享使用扩展 POSIX ACL 时，主体会被自动添加，您无法将其删除。

   2. 设置目录中的权限：

      1. 对Domain Admins组赋予读、写和执行权限：

         # setfacl -m group:"DOMAIN\Domain Admins":rwx /srv/samba/example/

      2. 对Domain Users组赋予读和执行权限：

         # setfacl -m group:"DOMAIN\Domain Users":r-x /srv/samba/example/

      3. other ACL条目设置权限，以拒绝与其他 ACL 条目不匹配的用户的访问：

         # setfacl -R -m other::--- /srv/samba/example/

      这些设置只适用于这个目录。在 Windows 中，这些 ACL 映射到仅此文件夹模式。

   3. 要使上一步中设置的权限被在此目录中创建的新文件系统对象继承，请执行以下操作：

      # setfacl -m default:group:"DOMAIN\Domain Admins":rwx /srv/samba/example/
      # setfacl -m default:group:"DOMAIN\Domain Users":r-x /srv/samba/example/
      # setfacl -m default:other::--- /srv/samba/example/

      使用这些设置，现在将主体的仅此文件夹模式设置为此文件夹、子文件夹和文件模式。

   Samba 将流程中设置的权限映射到以下 Windows ACL:

   主体	权限	适用于
   domain\DomainAdmins	全控制	这个文件夹、子文件夹和文件
   Domain\Domain Users	读和执行	这个文件夹、子文件夹和文件
   每个人 [a]	无	这个文件夹、子文件夹和文件
   所有者（Unix 用户\所有者） [b]	全控制	只限于这个文件夹
   primary_group (Unix 用户\primary_group) [c]	无	只限于这个文件夹
   创建者所有者 [d] [e]	全控制	只适用于子文件夹和文件
   创建者组 [e] [f]	无	只适用于子文件夹和文件
   [a] Samba从othe ACL 条目映射此主体的权限。 [b] Samba 将目录的所有者映射到此条目。 [c] Samba 将目录的主组群映射到这个条目。 [d] 在新文件系统对象中，创建者会自动继承这个主体的权限。 [e] 在使用 POSIX ACL 的共享中不支持从 ACL 配置或删除这些主体。 [f] 在新文件系统对象中，创建器的主组群自动继承这个主体的权限。

流程

1. 例如，要在 用户帐户 访问时允许 Domain Users 组的所有成员访问共享，请在共享的配置中添加以下参数：

   valid users = +DOMAIN\"Domain Users"
   invalid users = DOMAIN\user

   invalid users 参数的优先级高于valid users 参数。例如，如果 user帐户是 Domain Users 组的成员，则在使用上例时会拒绝此帐户的访问。

2. 重新载入 Samba 配置：

   # smbcontrol all reload-config

流程

1. 在 /etc/samba/smb.conf 文件的共享配置中添加以下参数：

   hosts allow = 127.0.0.1 192.0.2.0/24 client1.example.com
   hosts deny = client2.example.com

   hosts deny 参数的优先级高于 hosts allow。例如，如果 client1.example.com 解析为 hosts allow 参数中列出的 IP 地址，那么此主机的访问将被拒绝。

2. 重新载入 Samba 配置：

   # smbcontrol all reload-config

流程

1. 例如，要对 DOMAIN\Domain Admins 组赋予 SeDiskOperatorPrivilege 特权：

   # net rpc rights grant "DOMAIN\Domain Admins" SeDiskOperatorPrivilege -U "DOMAIN\administrator"
   Enter DOMAIN\administrator's password:
   Successfully granted rights.

   注意

   在域环境中，对域组赋予 SeDiskOperatorPrivilege。这可让您通过更新用户的组成员资格来集中管理特权。

2. 列出所有被赋予了 SeDiskOperatorPrivilege 的用户和组：

   # net rpc rights list privileges SeDiskOperatorPrivilege -U "DOMAIN\administrator"
   Enter administrator's password:
   SeDiskOperatorPrivilege:
     BUILTIN\Administrators
     DOMAIN\Domain Admins

流程

1. 要全局启用所有共享，请在 /etc/samba/smb.conf 文件的 [global] 部分添加以下设置：

   vfs objects = acl_xattr
   map acl inherit = yes
   store dos attributes = yes

   或者，您可以通过将相同的参数添加到共享部分来启用对单个共享的 Windows ACL 支持。

2. 重启smb服务：

   # systemctl restart smb

流程

1. 如果不存在，请创建文件夹。例如：

   # mkdir -p /srv/samba/example/

2. 如果您在enforcing模式下运行 SELinux，请在目录中设置samba_share_t上下文：

   # semanage fcontext -a -t samba_share_t "/srv/samba/example(/.)?"*
   # restorecon -Rv /srv/samba/example/

3. 将示例共享添加到/etc/samba/smb.conf文件中。例如，添加启用了共享的写操作：

   [example]
   	path = /srv/samba/example/
   	read only = no

   注意

   无论文件系统 ACL 是什么；如果您没有设置read only = no，Samba 会以只读模式共享该目录。

4. 如果您没有在[global] 部分中对所有共享启用 Windows ACL 支持，那么请在 [example] 部分中添加以下参数来为这个共享启用此特性：

   vfs objects = acl_xattr
   map acl inherit = yes
   store dos attributes = yes

5. 验证/etc/samba/smb.conf文件：

   # testparm

6. 打开所需的端口，并使用firewall-cmd工具重新加载防火墙配置：

   # firewall-cmd --permanent --add-service=samba
   # firewall-cmd --reload

7. 重启smb服务：

   # systemctl restart smb

流程

1. 如果本地 example 组不存在，请创建它：

   # groupadd example

2. 为 Samba 准备目录以存储用户共享定义并正确设置其权限。例如：

   1. 创建目录：

      # mkdir -p /var/lib/samba/usershares/

   2. 为 example 组设置写权限：

      # chgrp example /var/lib/samba/usershares/
      # chmod 1770 /var/lib/samba/usershares/

   3. 设置粘性位以防止用户重命名或删除此目录中其他用户存储的文件。

3. 编辑 /etc/samba/smb.conf 文件，并将以下内容添加到 [global] 部分：

   1. 设置您配置用来存储用户共享定义的目录的路径。例如：

      usershare path = /var/lib/samba/usershares/

   2. 设置允许在这个服务器上创建多少个用户共享 Samba。例如：

      usershare max shares = 100

      如果您对 usershare max shares 参数使用默认值 0，则用户共享将被禁用。

   3. 另外，还可设置绝对目录路径列表。例如，要配置 Samba 只允许共享 /data 和 /srv 目录的子目录，请设置：

      usershare prefix allow list = /data /srv

   有关您可以设置的更多用户共享相关参数的列表，请参阅 smb.conf(5) 手册页中的 用户共享 部分。

4. 验证/etc/samba/smb.conf文件：

   # testparm

5. 重新载入 Samba 配置：

   # smbcontrol all reload-config

   用户现在可以创建用户共享。

流程

1. 显示任意用户创建的所有用户共享：

   $ net usershare info -l
   [share_1]
   path=/srv/samba/
   comment=
   usershare_acl=Everyone:R,host_name\user:F,
   guest_ok=y
   ...

   若要只列出运行命令的用户所创建的共享，请省略 -l 参数。

2. 若要只显示关于特定共享的信息，请将共享名称或通配符传给命令。例如，显示名称以 share_ 开头的共享的信息：

   $ net usershare info -l share_* 

流程

1. 列出任意用户创建的共享：

   $ net usershare list -l
   share_1
   share_2
   ...

   若要只列出运行命令的用户所创建的共享，请省略 -l 参数。

2. 若要只列出特定的共享，请将共享名称或通配符传给命令。例如，只列出名称以 share_ 开头的共享 ：

   $ net usershare list -l share_* 

流程

1. 编辑 /etc/samba/smb.conf 文件：

   1. 如果这是您在这个服务器上设置的第一个客户机共享：

      1. 在 [global] 部分中设置map to guest = Bad User ：

         [global]
                 ...
                 map to guest = Bad User

         使用这个设置，Samba 将拒绝使用错误密码的登录尝试，除非用户名不存在。如果指定的用户名不存在，并且对共享启用了 guest 访问，那么 Samba 会将连接视为guest登录。

      2. 默认情况下，Samba 将 guest 帐户映射到 Red Hat Enterprise Linux 上的 nobody 帐户。另外，您也可以设置另外一个帐户。例如：

         [global]
                 ...
                 guest account = user_name

         此参数中设置的帐户必须在 Samba 服务器中本地存在。出于安全考虑，红帽建议使用没有分配有效 shell 的帐户。

   2. 在 [example] 共享部分中添加 guest ok = yes 设置：

      [example]
              ...
              guest ok = yes

2. 验证/etc/samba/smb.conf文件：

   # testparm

3. 重新载入 Samba 配置：

   # smbcontrol all reload-config

流程

1. 编辑 /etc/samba/smb.conf 文件，并在 [global] 部分启用 fruit和streams_xattr VFS 模块：

   vfs objects = fruit streams_xattr

   重要

   在启用 streams_xattr 之前，您必须启用 fruit模块。fruit 模块使用备用数据流(ADS)。因此，您也必须启用 streams_xattr 模块。

2. 另外，要对共享提供 macOS Time Machine 支持，请在 /etc/samba/smb.conf 文件中的共享配置中添加以下设置：

   fruit:time machine = yes

3. 验证/etc/samba/smb.conf文件：

   # testparm

4. 重新载入 Samba 配置：

   # smbcontrol all reload-config

流程

1. 连接到共享：

   # smbclient -U "DOMAIN\user_name" //server_name/share_name

2. 进到 /example/ 目录：

   smb: \> d /example/

3. 列出目录中的文件：

   smb: \example\> ls
     .                    D         0  Thu Nov 1 10:00:00 2018
     ..                   D         0  Thu Nov 1 10:00:00 2018
     example.txt          N   1048576  Thu Nov 1 10:00:00 2018
   
            9950208 blocks of size 1024. 8247144 blocks available

4. 下载 example.txt 文件：

   smb: \example\> get example.txt
   getting file \directory\subdirectory\example.txt of size 1048576 as example.txt (511975,0 KiloBytes/sec) (average 170666,7 KiloBytes/sec)

5. 从共享断开：

   smb: \example\> exit

流程

1. 编辑 /etc/samba/smb.conf 文件：

   1. 添加 [printers] 部分，以启用 Samba 中的打印后端：

      [printers]
              comment = All Printers
              path = /var/tmp/
              printable = yes
              create mask = 0600

      重要

      [printers] 共享名称是写死的，不能更改。

   2. 如果 CUPS 服务器运行在不同的主机或端口上，请在 [printers] 部分中指定设置：

      cups server = printserver.example.com:631

   3. 如果您有许多打印机，请将空闲秒数设置为比连接到 CUPS 的打印机数高的值。例如，如果您有 100 台打印机，请在 [global] 部分中设置：

      rpcd_spoolss:idle_seconds = 200

      如果这个设置在您的环境中没有缩放，请在 [global] 部分中增加 rpcd_spools worker 的数量：

      rpcd_spoolss:num_workers = 10

      默认情况下，rpcd_spools 启动 5 个 worker。

2. 验证/etc/samba/smb.conf文件：

   # testparm

3. 打开所需的端口，并使用firewall-cmd工具重新加载防火墙配置：

   # firewall-cmd --permanent --add-service=samba
   # firewall-cmd --reload

4. 重启smb服务：

   # systemctl restart smb

   重启服务后，Samba 会自动共享在 CUPS 后端中配置的所有打印机。如果想要仅手动共享特定打印机，请参阅 手动共享特定的打印机。

流程

1. 编辑 /etc/samba/smb.conf 文件：

   1. 在 [global] 部分中，通过以下设置禁用自动打印机共享：

      load printers = no

   2. 为您要共享的每个打印机添加一段。例如，要在 Samba 中将 CUPS 后端中名为 example 的打印机共享为 Example-Printer，请添加以下部分：

      [Example-Printer]
              path = /var/tmp/
              printable = yes
              printer name = example

      您不需要为每个打印机单独设置 spool 目录。您可以在打印机的path 参数中设置与您在 [printers] 部分中设置的完全相同的 spool 目录。

2. 验证/etc/samba/smb.conf文件：

   # testparm

3. 重新载入 Samba 配置：

   # smbcontrol all reload-config

流程

1. 例如，要对 printadmin 组赋予 SePrintOperatorPrivilege 特权：

   # net rpc rights grant "printadmin" SePrintOperatorPrivilege -U "DOMAIN\administrator"
   Enter DOMAIN\administrator's password:
   Successfully granted rights.

   注意

   在域环境中，将 SePrintOperatorPrivilege 赋予域组。这可让您通过更新用户的组成员资格来集中管理特权。

2. 列出所有被赋予了 SePrintOperatorPrivilege 的用户和组：

   # net rpc rights list privileges SePrintOperatorPrivilege -U "DOMAIN\administrator"
   Enter administrator's password:
   SePrintOperatorPrivilege:
     BUILTIN\Administrators
     DOMAIN\printadmin

流程

1. 在 /etc/samba/smb.conf 文件中添加 [print$] 部分：

   [print$]
           path = /var/lib/samba/drivers/
           read only = no
           write list = @printadmin
           force group = @printadmin
           create mask = 0664
           directory mask = 2775

   使用这些设置：

   • 只有 printadmin 组成员才能将打印机驱动程序上传到共享。
   • 新创建的文件和目录的组将被设为 printadmin。
   • 新文件的权限将被设置为 664。
   • 新目录的权限将被设置为 2775。

2. 要只为所有打印机上传 64 位驱动程序，请在 /etc/samba/smb.conf 文件的 [global] 部分包含此设置：

   spoolss: architecture = Windows x64

   如果没有这个设置，Windows 只显示您上传的至少 32 位版本的驱动程序。

3. 验证/etc/samba/smb.conf文件：

   # testparm

4. 重新载入 Samba 配置

   # smbcontrol all reload-config

5. 如果 printadmin 组不存在，就创建它：

   # groupadd printadmin

6. 将 SePrintOperatorPrivilege 特权赋予 printadmin 组。

   # net rpc rights grant "printadmin" SePrintOperatorPrivilege -U "DOMAIN\administrator"
   Enter DOMAIN\administrator's password:
   Successfully granted rights.

7. 如果您在enforcing模式下运行 SELinux，请在目录中设置samba_share_t上下文：

   # semanage fcontext -a -t samba_share_t "/var/lib/samba/drivers(/.*)?"
   
   # restorecon -Rv /var/lib/samba/drivers/

8. 对 /var/lib/samba/drivers/ 目录设置权限：

   • 如果使用 POSIX ACL，请设置：

     # chgrp -R "printadmin" /var/lib/samba/drivers/
     # chmod -R 2775 /var/lib/samba/drivers/

   • 如果使用 Windows ACL，请设置：

     主体	权限	适用于
     创建者所有者	全控制	只适用于子文件夹和文件
     通过身份验证的用户	读和执行、列出目录内容、读	这个文件夹、子文件夹和文件
     printadmin	全控制	这个文件夹、子文件夹和文件

     有关在 Windows 上设置 ACL 的详情，请查看 Windows 文档。

流程

1. 使用允许编辑组策略的帐户（如 AD 域 Administrator 用户）登录到 Windows 计算机。
2. 打开 组策略管理控制台。

3. 右键单击 AD 域并选择 创建此域中的 GPO，并链接到此处。

   
4. 为 GPO 输入一个名称，如 Legacy Printer Driver Policy ，并点击 OK。新的 GPO 将在域条目下显示。
5. 右键单击新创建的 GPO，然后选择 编辑 以打开 组策略管理编辑器。

6. 进入 Computer Configuration → Policies → Administrative Templates → Printers。

   

7. 在窗口的右侧，双击 指向和打印限制 来编辑策略：

   1. 启用策略并设置以下选项：

      1. 选择 用户只能指向并打印到这些服务器，再将 Samba 打印服务器的完全限定域名(FQDN)输入到此选项旁边的字段。

      2. 在 安全提示 下的两个复选框中，选择 不显示警告 或 高程提示。

         
   2. 点击确定。

8. 双击 包指向和打印 - 已批准的服务器 来编辑策略：

   1. 启用策略并单击 显示 按钮。

   2. 输入 Samba 打印服务器的 FQDN。

      
   3. 单击 OK，关闭 显示内容 和策略的属性窗口。
9. 关闭 组策略管理编辑器。
10. 关闭 组策略管理控制台。

流程

1. 在 RHEL 中启用 FIPS 模式：

   # fips-mode-setup --enable

2. 重启服务器：

   # reboot

3. 使用 testparm 工具来验证配置：

   # testparm -s

   如果命令显示任何错误或不兼容，请修复它们以确保 Samba 正常工作。

步骤

1. 从 /etc/samba/smb.conf 文件的 [global] 部分中删除 server max protocol 参数。

2. 重新载入 Samba 配置

   # smbcontrol all reload-config

步骤

1. 将共享上的所有文件重命名为小写。

   注意

   使用这个过程中的设置，名称不为小写的文件将不再显示。

2. 在共享部分中设置以下参数：

   case sensitive = true
   default case = lower
   preserve case = no
   short preserve case = no

   有关参数的详情，请查看 smb.conf(5) 手册页 中的描述。

3. 验证/etc/samba/smb.conf文件：

   # testparm

4. 重新载入 Samba 配置：

   # smbcontrol all reload-config

流程

1. 编辑 /etc/samba/smb.conf 文件，添加 server min protocol 参数，并将参数设置为服务器应支持的最小 SMB 协议版本。例如，要将 SMB 协议的最小版本设置为 SMB3，请添加：

   server min protocol = SMB3

2. 重启smb服务：

   # systemctl restart smb

流程

1. 使用以下设置手动创建 /etc/samba/smb.conf 文件：

   • 对于 AD 域成员：

     [global]
     workgroup = domain_name
     security = ads
     passdb backend = tdbsam
     realm = AD_REALM

   • 对于 NT4 域成员：

     [global]
     workgroup = domain_name
     security = user
     passdb backend = tdbsam

2. 为 * 默认域和要加入到 /etc/samba/smb.conf 文件中 [global] 部分的域添加 ID 映射配置。

3. 验证/etc/samba/smb.conf文件：

   # testparm

4. 以域管理员身份加入域：

   • 加入 AD 域：

     # net ads join -U "DOMAIN\administrator"

   • 要加入 NT4 域：

     # net rpc join -U "DOMAIN\administrator"

5. 将 winbind 源追加到 /etc/nsswitch.conf 文件中的 passwd 和 group 数据库条目中：

   passwd:     files winbind
   group:      files winbind

6. 启用并启动 winbind 服务：

   # systemctl enable --now winbind

7. （可选）使用 authselect 工具来配置 PAM。

   详情请查看 authselect(8) 手册页。

8. 另外，对于 AD 环境，配置 Kerberos 客户端。

   详情请查看您的 Kerberos 客户端文档。

1. 添加帐户：

   # net user add user password -U "DOMAIN\administrator"
   User user added

2. （可选）使用远程过程调用(RPC)shell 来启用 AD DC 或 NT4 PDC 中的帐户。例如：

   # net rpc shell -U DOMAIN\administrator -S DC_or_PDC_name
   Talking to domain DOMAIN (S-1-5-21-1424831554-512457234-5642315751)
   
   net rpc> user edit disabled user: no
   Set user's disabled flag from [yes] to [no]
   
   net rpc> exit

流程

1. 如果您以用户身份运行命令，smbpasswd 将修改运行命令的用户的 Samba 密码。例如：

   [user@server ~]$ smbpasswd
   New SMB password: password
   Retype new SMB password: password

2. 如果以 root 用户身份运行 smbpasswd，例如，您可以使用该工具来：

   • 创建一个新用户：

     [root@server ~]# smbpasswd -a user_name
     New SMB password: password
     Retype new SMB password: password
     Added user user_name.

     注意

     在将用户添加到 Samba 数据库之前，您必须先在本地操作系统中创建帐户。请参阅配置基本系统设置指南中的 从命令行添加新用户 部分。

   • 启用 Samba 用户：

     [root@server ~]# smbpasswd -e user_name
     Enabled user user_name.

   • 禁用 Samba 用户：

     [root@server ~]# smbpasswd -x user_name
     Disabled user user_name

   • 删除用户：

     [root@server ~]# smbpasswd -x user_name
     Deleted user user_name.