Samba + LDAP: Permissões mínimas para sambaLMPassword / sambaNTPassword?

Question

Quais são as permissões mínimas para os atributos sambaLMPassword / sambaNTPassword para a conta de administrador do LDAP, para que o Samba apenas seja ativado para usá-lo para autenticação de ldapsam backend.

Parece que auth não é suficiente, isso é verdade?!

    

Answer 1

Em cn=config , usei algo como:

olcAccess: {0}to attrs=userPassword,shadowLastChange by self write by anonymous
  auth by dn="cn=admin,dc=example,dc=org" write by * none
olcAccess: {1}to attrs=sambaLMPassword,sambaNTPassword  by dn.base="cn=admin,d
 c=example,dc=org" write  by dn.base="cn=sambaservers,dc=example,dc=org"
  write  by anonymous auth  by self write by * none
olcAccess: {2}to dn.subtree="ou=Computers,dc=example,dc=org" by dn.base="
 cn=sambaservers,dc=example,dc=org" manage by * read
olcAccess: {3}to dn.subtree="ou=Group,dc=example,dc=org" by dn.base="cn=s
 ambaservers,dc=example,dc=org" manage by * read
olcAccess: {4}to dn.exact="sambaDomainName=DOMAINNAME,dc=example,dc=org" by 
  dn.base="cn=sambaservers,dc=example,dc=org" write by * read
olcAccess: {5}to dn.base="" by * read

As entradas ou=Computers e ou=Group são opcionais e são importantes apenas para smbldap-tools. O acesso de gravação para as senhas pelo samba também é opcional. Você pode realmente sair sem dar acesso de escrita do samba a sambaDomainName=DOMAINNAME,dc=example,dc=org se quisesse.

O Samba lê os hashes, não faz autenticação usando-os.