pkg install samba44
echo "ntpd_enable=YES" >> /etc/rc.conf

Добавляем запись о контроллере домена в /etc/ntp.conf.

service ntpd restart

Заполняем /etc/krb5.conf. Важно, чтобы default_realm был прописан большими буквами. Иначе будет kinit: Password incorrect:

[libdefaults]
    default_realm = TEST.LOCAL
    dns_lookup_realm = true
    dns_lookup_kdc = true
    ticket_lifetime = 24h
    renew_lifetime = 7d
    forwardable = yes 

Заполняем /usr/local/etc/smb4.conf. Тут тоже важно, чтобы realm и workgroup были прописан большими буквами.:

[global]
    workgroup = TEST
    security = ads
    realm = TEST.LOCAL
    encrypt passwords = yes
    idmap config * : backend = tdb
    idmap config * : range = 100000-299999
    idmap config TEST : backend = rid
    idmap config TEST : range = 10000-99999
    winbind separator = +
    winbind enum users = yes
    winbind enum groups = yes
    winbind use default domain = yes
    winbind refresh tickets = yes
    template shell = /bin/tcsh
    template homedir = /home/%D_%U

Прописываем winbind в /etc/nsswitch.conf. Заменяем строки group: compat и passwd: compat на group: files winbind и passwd: files winbind соответственно.

sed -i -e 's/group: compat/group: files winbind/' /etc/nsswitch.conf
sed -i -e 's/passwd: compat/passwd: files winbind/' /etc/nsswitch.conf

Включаем и запускаем сервисы:

echo "samba_server_enable=YES" >> /etc/rc.conf
echo "winbindd_enable=YES" >> /etc/rc.conf
service samba_server restart

Получаем тикет kerberos:

kinit domain_admin_login

Проверяем что тикет есть:

klist

Вводим систему в домен:

net ads join -U domain_admin_login

Проверяем соединение с доменом:

net ads testjoin

Проверяем. Получаем список пользователей и груп домена:

wbinfo -u
wbinfo -g
getent passwd
getent group

Если команды wbinfo не выдает ничего, то это значит что не запущен winbindd или некорректно составлен /usr/local/etc/smb4.conf. Если команды getent показывают только локальных пользователей и группы, хотя wbinfo показывает доменных пользователей, то это значит что в /etc/nsswitch.conf не поправлены строки passwd: и group:.

Дальше нужно включить локальный вход для доменных пользователей. Для этого нужно отредактировать файлы в /etc/pam.d/. Для локального входа - /etc/pam.d/login, для входа по ssh - /etc/pam.d/sshd, для входа в kde - /usr/local/etc/pam.d/kde Чтобы при входе создавались хомдиры нужно установить:

pkg install pam_mkhomedir

Затем прописываем

session         required        /usr/local/lib/pam_mkhomedir.so  mode=0700

Несколько слов о template homedir в . Когда пользователи создаются с помощью adduser - домашние директории создаются в момент создания учетной записи, однако в случае входа доменого пользователя его домашней директории, скорее всего. не существует. Для автоматического создания директории нужно установить pam_mkhomedir и прописать нужных файлах в директории /etc/pam.d/ строку запуска pam_mkhomedir.so. Но тут есть нюанс. По умолчанию, template для homedir имеет значение /home/%D/%U, и модуль исправно выполняет mkdir /home/DOMAIN/USER, однако если директории /home/DOMAIN не существет, то папка /home/DOMAIN/USER не создастся. Поэтому нужно либо заменять /home/%D/%U на что-то другое - типа /home/%D_%U, либо создавать директорию /home/DOMAIN/ вручную.

Для того, чтобы пользователи могли локально логиниться в консоль редактируем /etc/pam.d/login. В нем в секцию auth первой строкой дописываем:

auth    sufficient      pam_winbind.so

А в секцию account первой строкой дописываем:

account sufficient      pam_winbind.so

/usr/local/etc/pam.d/kde

Первый варивант: Можно установить sudo

samba# cd /usr/ports/security/sudo
samba# make install clean

далее правим файл /usr/local/etc/sudoers добавив в него вот такую строку

user        ALL=(ALL)       NOPASSWD: ALL

Создаем группу в АД и включаем туда тех, кому нужно дать права рута на фри после чего правим файлик, где заменяем следующие строки

samba# ee/etc/pam.d/su # auth auth sufficient pam_rootok.so no_warn auth sufficient pam_self.so no_warn

#auth requisite pam_group.so no_warn group=wheel root_only fail_safe #заменяем группу wheel на группу с АД, юзерам которой разрешен вход под рутом auth requisite pam_group.so no_warn group=freeadmin root_only fail_safe