Você já tentou criar o Samba como controlador de domínio do Active Directory para instalar os Serviços de Certificados do Active Directory?
O objetivo é ter um enterprise ca com samba ad em vez do diretório ativo comum da microsoft.
A única coisa que não consegui consertar é um certificado de logon com cartão inteligente para que o usuário faça o login com os cartões inteligentes deles.
Na verdade, eu tenho um problema com krb5.conf para usar um cartão inteligente!
Parece que o Samba AD não reconhece o certificado rootca e o certificado de domínio (chave privada e pública) de acordo com o seguinte link:
Este artigo explica como construir o ca sobre o samba, mas eu já tenho um com serviços Microsoft PKI.