Проблемы с Samba и группами пользователей

[VLAD]

Возникла задача предоставить некоторым пользователям возможность работать на Linux-компьютере + монтировать 2 шары с него (свой home и /var/www/).
Вся сеть работает под Windows, w2k3 AD, kerberos.
Linux-машинка: Gentoo, Samba 3.0.26a.

Дабы не плодить локальных пользователей на Linux'е, использую доменную авторизацию через winbind от Samba.
Тут всё работает без проблем.

Далее необходимо, чтобы после логина эти пользователи из доменной группы PromoWeb получали локальную группу, н-р, developers.

Code: [Select]

net groupmap add ntgroup="Domain Admins" unixgroup=wheel type=d rid=512
net groupmap add ntgroup="Domain Users" unixgroup=users type=d rid=513
net groupmap add ntgroup="Domain Guests" unixgroup=nobody type=d rid=514
net groupmap add ntgroup="PromoWeb" unixgroup=developers type=dТут уже не работает, группы developers после логина доменного пользователя у него нет:

Code: [Select]

# id mvs
uid=10001(mvs) gid=10003(domain users) groups=10002(BUILTIN'users),10003(domain users),10009(promoweb),10010(man)Ещё проблема: хочу разрешить логин ТОЛЬКО группе PromoWeb. Указываю в /etc/security/pam_winbind.conf:

Code: [Select]

require_membership_of = promoweb- winbind не пускает

Code: [Select]

require_membership_of = S-1-5-21-3165261707-2574332821-1557654168-2001а так, в виде SID'а этой группы - пускает

Похожая проблема и с шарами, в разделе [homes]

Code: [Select]

valid users = @DOMAIN\PromoWeb - нельзя подключиться к шаре

Code: [Select]

valid users = S-1-5-21-3165261707-2574332821-1557654168-2001а так - можно

Пробовал разные варианты написания: "DOMAIN\PromoWeb", "@DOMAIN\PromoWeb", "+DOMAIN\PromoWeb", PromoWeb, @PromoWeb и т.п., что нашёл в мануалах и инете - не пускает и всё.
При этом в логе ошибка:

Code: [Select]

string_to_sid: Sid +DOMAIN\PromoWeb does not start with 'S-'.хотя во всех примерах группу можно указывать названием. а не SID'ом.

Другая проблема - с правами на /home/DOMAIN/<username>.
При первом логине автоматически создаётся указанный каталог, но он получает группу Domain Users, а не PromoWeb или developers, как это необходимо. Аналогично и с файлами в нём.
При копировании в него или создании в нём файлов пользователем - тоже самое, нужная группа не устанавливается.
Кусок из конфига:

Code: [Select]

[global]
force create mode = 0660
force directory mode = 0750
force group = promoweb
create mask = 744
directory mask = 750
[homes]
force create mode = 0660
force directory mode = 0750
force group = promoweb
create mask = 744
directory mask = 750Аналогично, разные написания группы не меняют ситуации.

Пожалуйста, помогите дельными советами, Sambа пользую первый раз, ошибки простительны

P.S. smb.conf (с вырезанными корпоративными данными) прилагается:[attachmentid=199]

[VLAD]

Проблемы с require_membership_of и valid_users решены, обнаружилась бага: если в smb.conf указать

Code: [Select]

winbind separator = \, возникает ошибка

Code: [Select]

ERROR: the 'winbind separator' parameter must be a single character.Лечится удалением строки с "winbind separator = " из smb.conf, т.к. начиная с какой-то версии Samba, "\" = разделитель по умолчанию