IDMAP_AD(8) System Administration tools IDMAP_AD(8)

idmap_ad - بک‌اند idmap_ad سامبا برای سرویس Winbind

پلاگین idmap_ad روشی را برای Winbind فراهم می‌کند تا نگاشت‌های شناسه (ID) را از سرور اکتیو دایرکتوری (AD) که از طرح‌واره‌های RFC2307/SFU استفاده می‌کند، بخواند. این ماژول تنها واسط برنامه‌نویسی "idmap" را پیاده‌سازی می‌کند و به صورت فقط‌خواندنی (READONLY) است. نگاشت‌ها باید از قبل توسط مدیر سیستم با افزودن مشخصه‌های uidNumber برای کاربران و مشخصه‌های gidNumber برای گروه‌ها در AD مشخص شده باشند. سرویس Winbind تنها کاربرانی را نگاشت می‌کند که دارای uidNumber بوده و گروه اصلی آن‌ها نیز دارای مشخصه gidNumber تنظیم‌شده باشد. با این حال توصیه می‌شود که به تمام گروه‌های مورد استفاده، مشخصه gidNumber اختصاص داده شود، در غیر این صورت عملکرد صحیحی نخواهند داشت.

در حال حاضر، بک‌اند ad به عنوان بک‌اند پیش‌فرض idmap کار نمی‌کند، بلکه باید آن را برای هر دامنه‌ای که قصد استفاده در آن را دارید، به طور جداگانه و با استفاده از دامنه‌های عددی مجزا پیکربندی کنید. معمولاً لازم است یک محدوده پیش‌فرض قابل‌نوشتن idmap (مثلاً با استفاده از بک‌اند tdb یا ldap) پیکربندی شود تا امکان نگاشت SIDهای داخلی (BUILTIN) و احیاناً سایر دامنه‌های مورد اعتماد فراهم گردد. این پیکربندی پیش‌فرض قابل‌نوشتن همچنین برای ایجاد نگاشت‌های گروهی مورد نیاز است. این محدوده پیش‌فرض فراگیر باید بازه‌ای مجزا از دامنه‌های صریحاً پیکربندی‌شده با بک‌اند ad داشته باشد. مثال زیر را ببینید.

range = low - high

محدوده مجاز تطبیق UID و GID را که این بک‌اند نسبت به آن‌ها مرجعیت دارد تعریف می‌کند. توجه داشته باشید که این محدوده مانند یک فیلتر عمل می‌کند. در صورت تعیین، هر UID یا GID ذخیره‌شده در AD که خارج از این بازه باشد نادیده گرفته شده و نگاشت مربوطه دور انداخته می‌شود. این ویژگی برای جلوگیری از تداخل تصادفی UID/GID بین شناسه‌های محلی و از راه دور طراحی شده است.

schema_mode = <rfc2307 | sfu | sfu20>

طرح‌واره‌ای (schema) را که idmap_ad هنگام پرس‌وجو از اکتیو دایرکتوری درباره اطلاعات کاربران و گروه‌ها باید استفاده کند تعریف می‌نماید. این مقدار می‌تواند پشتیبانی از طرح‌واره RFC2307 باشد که در ویندوز سرور 2003 R2 و جدیدتر گنجانده شده است، یا طرح‌واره Service for Unix (SFU) برای نسخه‌های قبل از ویندوز سرور 2003 R2. برای SFU 3.0 یا 3.5 لطفاً "sfu" و برای SFU 2.0 گزینه "sfu20" را انتخاب کنید. لطفاً توجه فرمایید که رفتار عضویت در گروه اصلی توسط گزینه unix_primary_group کنترل می‌شود.

پیش‌فرض: rfc2307

unix_primary_group = yes/no

تعیین می‌کند که آیا گروه اصلی کاربر از مشخصه‌های SFU واکشی شود یا از گروه اصلی اکتیو دایرکتوری. اگر روی yes تنظیم شود، عضویت در گروه اصلی از مشخصه‌های LDAP (یعنی gidNumber) خوانده می‌شود. اگر روی no تنظیم شود، عضویت در گروه اصلی از طریق مشخصه LDAP با نام "primaryGroupID" محاسبه می‌گردد.

پیش‌فرض: no

unix_nss_info = yes/no

اگر روی yes تنظیم شود، winbind شل ورود به سیستم و دایرکتوری خانگی را از مشخصه‌های LDAP دریافت می‌کند. اگر روی no تنظیم شده باشد یا ورودی LDAP در اکتیو دایرکتوری فاقد مشخصه‌های SFU باشد، گزینه‌های template shell و template homedir استفاده خواهند شد.

پیش‌فرض: no

all_groupmem = yes/no

اگر روی yes تنظیم شود، winbind تمام اعضای گروه را برای فراخوانی‌های getgrnam(3)، getgrgid(3) و getgrent(3) از جمله اعضایی که فاقد uidNumber هستند بازیابی می‌کند.

پیش‌فرض: no

deny ous

این پارامتر فهرستی از واحدهای سازمانی (OU) را مشخص می‌کند که اشیاء موجود در آن‌ها نباید از طریق ماژول idmap_ad نگاشت شوند. اگر deny ous تنظیم شود اما allow ous تنظیم نشده باشد، تمام اشیاء خارج از واحدهای سازمانی فهرست‌شده در deny ous مجاز خواهند بود.

پیش‌فرض: none

allow ous

این پارامتر فهرستی از واحدهای سازمانی (OU) را مشخص می‌کند که اشیاء درون آن‌ها باید از طریق ماژول idmap_ad نگاشت شوند. اگر allow ous تنظیم شود اما deny ous تنظیم نشده باشد، هر شیئی خارج از واحدهای سازمانی allow ous رد می‌شود.

اگر هر دو گزینه allow ous و deny ous تنظیم شده باشند، ابتدا deny ous بررسی و ارزیابی می‌شود و سپس allow ous مورد بررسی قرار می‌گیرد. اگر شیء AD با هیچ‌کدام مطابقت نداشته باشد، رد می‌شود.

پیش‌فرض: none

مثال زیر نشان می‌دهد چگونه نگاشت‌های شناسه را از دامنه‌های اصلی و مورد اعتماد AD استخراج کنیم. در صورت وجود دامنه‌های مورد اعتماد، تداخل شناسه‌ها باید از قبل حل شود، زیرا هیچ تضمینی درباره ترتیب حل نگاشت‌های متداخل در این مرحله وجود ندارد. این مثال همچنین نشان می‌دهد چگونه یک محدوده کوچک بدون تداخل را برای تخصیص شناسه‌های محلی که ممکن است در بک‌اندهای داخلی مانند BUILTIN استفاده شوند، خالی بگذاریم.

[global]
workgroup = CORP
idmap config * : backend = tdb
idmap config * : range = 1000000-1999999
idmap config CORP : backend  = ad
idmap config CORP : range = 1000-999999

نرم‌افزار اصلی سامبا و ابزارهای مرتبط توسط Andrew Tridgell ساخته شده‌اند. سامبا اکنون توسط تیم سامبا به عنوان یک پروژه منبع‌باز، مشابه روند توسعه هسته لینوکس، توسعه داده می‌شود.

08/16/2026 Samba 4.24.6