Comparticiones CIFS en Linux con Integración con Active Directory

Versiones cubiertas: RHEL/CentOS/Oracle Linux 6, 7, 8, 9, 10 · Debian 10/11/12 · Ubuntu 20.04/22.04/24.04
Autor: Tutorial técnico — Nyverra Infraestructura
Actualizado en: Junio/2026

Sumario

1. Visión general de la arquitectura

2. Prerrequisitos

3. Instalación de los paquetes

4. Ingreso al dominio Active Directory

5. Configuración de Samba como servidor de archivos miembro del dominio

6. Creando las comparticiones CIFS

7. Permisos: cómo Linux hereda las ACLs del AD

8. Configuración por versión de SO

9. Probando y validando

10. Troubleshooting

11. Referencia rápida de comandos

1. Visión general de la arquitectura

El objetivo es hacer que el servidor Linux funcione como un miembro del dominio AD (no como DC), sirviendo comparticiones CIFS/SMB autenticadas por el AD. Los permisos definidos en el AD (usuarios, grupos, ACLs) se aplican directamente en el sistema de archivos Linux vía Winbind o SSSD, sin necesidad de crear usuarios locales.

┌─────────────────────────────────────────────────────────────┐
│                      Active Directory                        │
│   DC01.empresa.local  ─────  Usuários / Grupos / GPO        │
└───────────────────────────┬─────────────────────────────────┘
                            │ Kerberos + LDAP
                            ▼
┌─────────────────────────────────────────────────────────────┐
│              Servidor Linux (Samba + Winbind/SSSD)          │
│                                                             │
│  /srv/shares/financeiro  ──►  ACL POSIX + Windows ACL      │
│  /srv/shares/ti          ──►  Herda grupos do AD           │
│  /srv/shares/publico     ──►  Leitura para todos           │
└─────────────────────────────────────────────────────────────┘
                            │ SMB/CIFS (445/TCP)
                            ▼
┌──────────────────────────────────────────────────────────────┐
│             Clientes Windows / Linux / macOS                 │
│   \\srv-files\financeiro  →  autenticado pelo AD            │
└──────────────────────────────────────────────────────────────┘

Componentes principales:

2. Prerrequisitos

2.1 Información necesaria antes de comenzar

Domínio AD (FQDN):     empresa.local
Domínio AD (NetBIOS):  EMPRESA
DC primário:           dc01.empresa.local  (IP: 192.168.1.10)
DC secundário:         dc02.empresa.local  (IP: 192.168.1.11)
Conta para ingresso:   Administrator (ou conta com permissão de join)
Hostname do servidor:  srv-files
IP do servidor:        192.168.1.50

2.2 DNS configurado para el AD

El servidor Linux debe resolver los DCs mediante el DNS del AD. Configure /etc/resolv.conf o use NetworkManager/systemd-resolved:

# /etc/resolv.conf
search empresa.local
nameserver 192.168.1.10
nameserver 192.168.1.11

Verifique antes de continuar:

# Deve retornar os registros SRV do AD
dig +short SRV _ldap._tcp.empresa.local
dig +short SRV _kerberos._tcp.empresa.local

# Deve resolver o DC
nslookup dc01.empresa.local

2.3 Sincronización de tiempo (NTP)

Kerberos exige que la diferencia de tiempo entre el servidor Linux y los DCs sea menor que 5 minutos.

# RHEL 7+, Ubuntu 16.04+, Debian 9+
timedatectl set-ntp true
timedatectl set-timezone America/Sao_Paulo

# Aponte o NTP para o DC (ele geralmente serve NTP)
# /etc/chrony.conf ou /etc/ntp.conf
server dc01.empresa.local iburst
server dc02.empresa.local iburst

# Verifique a sincronização
chronyc tracking
timedatectl status

2.4 Hostname correcto

hostnamectl set-hostname srv-files.empresa.local

# Confirme que resolve localmente também
echo "192.168.1.50 srv-files.empresa.local srv-files" >> /etc/hosts

3. Instalación de los paquetes

RHEL 6 (heredado)

yum install -y samba samba-winbind samba-winbind-clients \
               krb5-workstation oddjob-mkhomedir pam_krb5

⚠️ RHEL 6 alcanzó el fin de vida (EOL). Úselo solo en entornos heredados aislados.

RHEL / CentOS / Oracle Linux 7

yum install -y samba samba-winbind samba-winbind-clients \
               samba-winbind-krb5-locator krb5-workstation \
               oddjob-mkhomedir sssd sssd-ad realmd adcli

RHEL / Oracle Linux 8 y 9

dnf install -y samba samba-winbind samba-winbind-clients \
               samba-winbind-krb5-locator krb5-workstation \
               oddjob-mkhomedir sssd sssd-ad realmd adcli \
               samba-common-tools

RHEL / Oracle Linux 10

dnf install -y samba samba-winbind samba-client \
               krb5-workstation realmd sssd sssd-ad \
               adcli oddjob-mkhomedir samba-common-tools

Debian 10 / 11 / 12

apt-get update
apt-get install -y samba winbind libnss-winbind libpam-winbind \
                   krb5-user sssd sssd-ad realmd adcli \
                   oddjob oddjob-mkhomedir packagekit

Durante la instalación de krb5-user, ingrese el realm en mayúsculas: EMPRESA.LOCAL

Ubuntu 20.04 / 22.04 / 24.04

apt-get update
apt-get install -y samba winbind libnss-winbind libpam-winbind \
                   krb5-user sssd sssd-ad realmd adcli \
                   oddjob oddjob-mkhomedir

4. Ingreso al dominio Active Directory

Existen dos métodos principales. El Método A (realmd) es recomendado para RHEL 7+, Debian 10+ y Ubuntu 20.04+. El Método B (net ads) funciona en todas las versiones, incluido RHEL 6.

Método A — realmd (recomendado para versiones modernas)

# 1. Verifique o domínio detectável
realm discover empresa.local

# 2. Ingresse no domínio
realm join --user=Administrator empresa.local

# 3. Confirme o ingresso
realm list

El realmd configura automáticamente SSSD, PAM y NSS.

Método B — net ads join (universal, incluido RHEL 6)

Paso 1: Configure Kerberos

# /etc/krb5.conf
[libdefaults]
    default_realm = EMPRESA.LOCAL
    dns_lookup_realm = true
    dns_lookup_kdc = true
    forwardable = true
    ticket_lifetime = 24h
    renew_lifetime = 7d

[realms]
    EMPRESA.LOCAL = {
        kdc = dc01.empresa.local
        kdc = dc02.empresa.local
        admin_server = dc01.empresa.local
        default_domain = empresa.local
    }

[domain_realm]
    .empresa.local = EMPRESA.LOCAL
    empresa.local = EMPRESA.LOCAL

Paso 2: Pruebe Kerberos antes de ingresar

kinit [email protected]
klist

Paso 3: Configure el smb.conf mínimo para el ingreso

# /etc/samba/smb.conf (versão mínima para join)
[global]
    workgroup = EMPRESA
    realm = EMPRESA.LOCAL
    security = ADS
    kerberos method = secrets and keytab

Paso 4: Ingrese al dominio

net ads join -U Administrator
# ou com OU específica:
net ads join createcomputer="Servers/Linux" -U Administrator

Paso 5: Verifique el ingreso

net ads testjoin
net ads info

5. Configuración de Samba como servidor de archivos miembro del dominio

Este es el /etc/samba/smb.conf completo y comentado para un servidor de archivos miembro del AD con soporte para ACLs heredadas del AD:

# /etc/samba/smb.conf
[global]

    ##── Identidade do servidor ──────────────────────────────────
    workgroup = EMPRESA
    realm = EMPRESA.LOCAL
    server string = Servidor de Arquivos Linux - %h
    netbios name = SRV-FILES

    ##── Integração com AD ───────────────────────────────────────
    security = ADS
    kerberos method = secrets and keytab

    ##── Resolução de identidades (Winbind) ──────────────────────
    idmap config * : backend = tdb
    idmap config * : range = 10000-19999

    # Mapeamento específico para o domínio EMPRESA
    # range deve ser exclusivo e não sobrepor o range '*'
    idmap config EMPRESA : backend = rid
    idmap config EMPRESA : range = 20000-999999

    # Preserva os SIDs do AD para mapeamento consistente entre servidores
    # Use 'ad' se o schema do AD tiver os atributos uidNumber/gidNumber
    # Use 'rid' para ambientes sem RFC2307 (mais comum)

    ##── Winbind ─────────────────────────────────────────────────
    winbind use default domain = yes
    winbind refresh tickets = yes
    winbind enum users = no   # Desative em domínios grandes (performance)
    winbind enum groups = no  # Desative em domínios grandes (performance)
    winbind offline logon = yes

    ##── ACLs e permissões ───────────────────────────────────────
    # Habilita o mapeamento de ACLs Windows no filesystem Linux
    vfs objects = acl_xattr
    map acl inherit = yes
    store dos attributes = yes

    # Permite que clientes Windows definam ACLs nos compartilhamentos
    # (requer filesystem com suporte a xattr: ext4, xfs, btrfs)
    acl_xattr:ignore system acls = no

    ##── Autenticação e segurança ────────────────────────────────
    client min protocol = SMB2
    server min protocol = SMB2
    # Para clientes legados (Windows XP/2003 — NÃO recomendado):
    # server min protocol = NT1

    ntlm auth = no
    restrict anonymous = 2

    ##── Logs ────────────────────────────────────────────────────
    log file = /var/log/samba/log.%m
    max log size = 50
    log level = 1
    # Aumente para debug: log level = 3 auth:5 winbind:5

    ##── Misc ────────────────────────────────────────────────────
    load printers = no
    cups options = raw
    printcap name = /dev/null

6. Creando las comparticiones CIFS

6.1 Preparar el sistema de archivos

El sistema de archivos debe soportar xattr para almacenar ACLs de Windows. Recomendaciones:

Montando con xattr explícito (ext4):

# /etc/fstab
/dev/sdb1  /srv/shares  ext4  defaults,acl,user_xattr  0 2

Para XFS (xattr es el predeterminado, pero monte con acl):

/dev/sdb1  /srv/shares  xfs  defaults,acl  0 2

6.2 Crear los directorios de las comparticiones

mkdir -p /srv/shares/{financeiro,ti,publico,diretoria}

# Propriedade inicial: root (o Samba/AD gerenciará via ACLs)
chown root:root /srv/shares
chmod 0755 /srv/shares

# Para compartilhamentos controlados pelo AD:
chmod 0770 /srv/shares/financeiro
chmod 0770 /srv/shares/ti
chmod 0777 /srv/shares/publico
chmod 0770 /srv/shares/diretoria

6.3 Definir las comparticiones en smb.conf

Añada al final del /etc/samba/smb.conf:

##── Compartilhamento do Departamento Financeiro ──────────────
[financeiro]
    comment = Financeiro
    path = /srv/shares/financeiro
    browseable = yes
    read only = no
    
    # Somente membros do grupo AD "GRP_Financeiro" têm acesso
    valid users = @"EMPRESA\GRP_Financeiro" @"EMPRESA\Domain Admins"
    write list = @"EMPRESA\GRP_Financeiro"
    admin users = @"EMPRESA\Domain Admins"
    
    # Herança de permissões
    inherit acls = yes
    inherit permissions = yes
    
    # ACLs Windows armazenadas em xattr
    vfs objects = acl_xattr
    map acl inherit = yes
    
    # Criação de arquivos/diretórios
    create mask = 0660
    directory mask = 0770
    force create mode = 0660
    force directory mode = 0770


##── Compartilhamento de TI ───────────────────────────────────
[ti]
    comment = Tecnologia da Informacao
    path = /srv/shares/ti
    browseable = yes
    read only = no
    valid users = @"EMPRESA\GRP_TI" @"EMPRESA\Domain Admins"
    write list = @"EMPRESA\GRP_TI"
    admin users = @"EMPRESA\Domain Admins"
    inherit acls = yes
    inherit permissions = yes
    vfs objects = acl_xattr
    map acl inherit = yes
    create mask = 0660
    directory mask = 0770


##── Compartilhamento Público (leitura para todos) ────────────
[publico]
    comment = Arquivos Publicos
    path = /srv/shares/publico
    browseable = yes
    read only = yes
    write list = @"EMPRESA\Domain Admins" @"EMPRESA\GRP_TI"
    guest ok = no
    # Qualquer usuário autenticado no AD pode ler
    valid users = @"EMPRESA\Domain Users"
    inherit acls = yes


##── Compartilhamento da Diretoria (somente diretores) ────────
[diretoria]
    comment = Diretoria - Acesso Restrito
    path = /srv/shares/diretoria
    browseable = no          # Não aparece na listagem de rede
    read only = no
    valid users = @"EMPRESA\GRP_Diretoria" @"EMPRESA\Domain Admins"
    write list = @"EMPRESA\GRP_Diretoria"
    admin users = @"EMPRESA\Domain Admins"
    inherit acls = yes
    inherit permissions = yes
    vfs objects = acl_xattr
    map acl inherit = yes
    create mask = 0660
    directory mask = 0770


##── Home dos usuários AD (opcional) ─────────────────────────
[homes]
    comment = Home do Usuario
    browseable = no
    read only = no
    create mask = 0700
    directory mask = 0700
    valid users = %S

7. Permisos: cómo Linux hereda las ACLs del AD

Este es el punto central del tutorial. Existen dos capas de permisos que funcionan en conjunto.

7.1 Capa 1 — ACLs POSIX (sistema de archivos Linux)

Son los permisos clásicos de Unix, pero extendidos con setfacl:

# Instale as ferramentas de ACL
# RHEL-based:
yum install -y acl      # ou dnf install -y acl
# Debian/Ubuntu:
apt-get install -y acl

# Defina ACLs POSIX para o grupo AD no diretório
# O Winbind mapeia "EMPRESA\GRP_Financeiro" para um GID local (ex: 20100)

# Obtenha o GID do grupo AD
getent group "EMPRESA\\GRP_Financeiro"
# ou:
wbinfo -n "EMPRESA\GRP_Financeiro"

# Aplique a ACL POSIX
setfacl -m g:"EMPRESA\GRP_Financeiro":rwx /srv/shares/financeiro
setfacl -m d:g:"EMPRESA\GRP_Financeiro":rwx /srv/shares/financeiro  # ACL padrão (herança)
setfacl -m d:o::--- /srv/shares/financeiro  # Outros sem acesso

# Verifique
getfacl /srv/shares/financeiro

7.2 Capa 2 — ACLs de Windows (xattr — almacenadas por Samba)

Cuando configura vfs objects = acl_xattr + map acl inherit = yes, Samba almacena las ACLs de Windows (SIDs del AD) directamente en los atributos extendidos del sistema de archivos. Esto permite que un administrador de Windows configure los permisos mediante la interfaz gráfica (Propiedades > Seguridad) y sean respetados por Samba.

Flujo de herencia:

AD Domain Controller
        │
        │ SID do usuário/grupo (ex: S-1-5-21-...-1104)
        ▼
   Winbind no Linux
        │
        │ Mapeia SID → UID/GID local (via idmap RID ou AD)
        │ ex: "EMPRESA\joao" → UID 20500
        │     "EMPRESA\GRP_Financeiro" → GID 20100
        ▼
  Samba (acl_xattr)
        │
        │ Armazena ACL Windows em: security.NTACL (xattr)
        │ Consulta POSIX ACL para compatibilidade
        ▼
  Filesystem Linux
        │
        │ /srv/shares/financeiro (ext4/xfs)
        │ user::rwx  group::rwx  other::---
        │ group:EMPRESA\GRP_Financeiro:rwx  (ACL POSIX)
        │ security.NTACL = <ACL Windows com SIDs>  (xattr)
        ▼
  Arquivo criado por joao
        │ Owner: EMPRESA\joao (UID 20500)
        │ Group: EMPRESA\GRP_Financeiro (GID 20100)
        │ Herda ACL do diretório pai

7.3 Configurando el idmap para herencia consistente

El método idmap define cómo se mapean los SIDs del AD a UIDs/GIDs en Linux.

Método rid (más común — sin RFC2307 en el esquema AD)

# smb.conf
idmap config EMPRESA : backend = rid
idmap config EMPRESA : range = 20000-999999

El UID/GID se calcula de forma determinista a partir del RID del SID. Ejemplo:

• S-1-5-21-XXXXXXXXX-YYYYYYYYY-ZZZZZZZZZ-**1104** → UID = 20000 + 1104 = 21104

Ventaja: automático, sin necesidad de agregar atributos en el AD.

Método ad (con RFC2307 — atributos uidNumber/gidNumber en el AD)

# smb.conf
idmap config EMPRESA : backend = ad
idmap config EMPRESA : range = 1000-999999
idmap config EMPRESA : schema_mode = rfc2307

En este modo, Samba consulta los atributos uidNumber y gidNumber de los objetos en el AD. Los administradores del AD definen el UID/GID directamente en la cuenta del usuario/grupo mediante ADUC (Active Directory Users and Computers).

Cuándo usar cada uno:

7.4 Configurando PAM y NSS para resolución de identidades

# /etc/nsswitch.conf — adicione "winbind" ou "sss"
passwd:     files winbind
group:      files winbind
shadow:     files
hosts:      files dns

Para SSSD (alternativa moderna):

passwd:     files sss
group:      files sss
shadow:     files sss

8. Configuración por versión de SO

RHEL 6 (heredado)

# Ingressar no domínio (sem realmd)
net ads join -U Administrator

# NSS e PAM manualmente
authconfig --enablewinbind --enablewinbindauth \
           --smbsecurity=ads --smbworkgroup=EMPRESA \
           --smbrealm=EMPRESA.LOCAL \
           --enablewinbindusedefaultdomain --update

# Serviços
service winbind start
service smb start
chkconfig winbind on
chkconfig smb on

RHEL 7

# Método realmd
realm join --user=Administrator empresa.local

# Configurar winbind para o Samba
systemctl enable --now winbind smb

# Firewall
firewall-cmd --permanent --add-service=samba
firewall-cmd --reload

RHEL 8 / 9 / Oracle Linux 8 / 9

# Método realmd
realm join --user=Administrator --client-software=winbind empresa.local
# ou com SSSD:
realm join --user=Administrator empresa.local

# Se usar Winbind com Samba:
systemctl enable --now winbind smb

# Se usar SSSD (sem Samba file server):
systemctl enable --now sssd

# SELinux — habilite o contexto correto para os shares
setsebool -P samba_export_all_rw on
setsebool -P samba_enable_home_dirs on
chcon -R -t samba_share_t /srv/shares/

# Firewall
firewall-cmd --permanent --add-service=samba
firewall-cmd --reload

RHEL 10 / Oracle Linux 10

realm join --user=Administrator --client-software=winbind empresa.local
systemctl enable --now winbind smb

# SELinux — mesmos comandos do RHEL 8/9
setsebool -P samba_export_all_rw on
chcon -R -t samba_share_t /srv/shares/

# Firewall (nftables)
firewall-cmd --permanent --add-service=samba
firewall-cmd --reload

Debian 10 / 11 / 12

# Ingressar no domínio
realm join --user=Administrator empresa.local

# Configurar PAM
pam-auth-update --enable mkhomedir

# NSS — edite /etc/nsswitch.conf
# passwd: files winbind
# group:  files winbind

# Serviços
systemctl enable --now winbind smbd nmbd

# AppArmor (Debian 11/12) — pode precisar de ajustes
aa-status
# Se bloquear, adicione regras ou desative para teste:
# aa-disable /usr/sbin/smbd

Ubuntu 20.04 / 22.04 / 24.04

# Ingressar no domínio
realm join --user=Administrator empresa.local

# PAM
pam-auth-update --enable mkhomedir

# NSS — edite /etc/nsswitch.conf
# passwd: files systemd winbind
# group:  files systemd winbind

# Serviços
systemctl enable --now winbind smbd nmbd

# UFW
ufw allow samba

# Ubuntu 22.04/24.04: systemd-resolved pode conflitar com DNS do AD
# Configure /etc/systemd/resolved.conf:
# [Resolve]
# DNS=192.168.1.10 192.168.1.11
# Domains=empresa.local
# DNSStubListener=no
systemctl restart systemd-resolved

9. Probando y validando

9.1 Prueba de Winbind

# Listar usuários do AD (pode ser lento em domínios grandes)
wbinfo -u | head -20

# Listar grupos
wbinfo -g | head -20

# Consultar usuário específico
wbinfo -i "EMPRESA\joao.silva"

# Testar autenticação
wbinfo -a "EMPRESA\joao.silva"

# Traduzir SID para nome
wbinfo -s S-1-5-21-XXXXXXXXX-YYYYYYYYY-ZZZZZZZZZ-1104

9.2 Prueba de resolución de identidad

# Deve retornar o usuário com UID mapeado
getent passwd "EMPRESA\joao.silva"
# Saída esperada: EMPRESA\joao.silva:*:21104:20513:Joao Silva:/home/EMPRESA/joao.silva:/bin/bash

# Grupos
getent group "EMPRESA\GRP_Financeiro"

9.3 Prueba de la compartición

# No próprio servidor
smbclient //localhost/financeiro -U "EMPRESA\joao.silva" -k

# Listar compartilhamentos
smbclient -L //srv-files -U "EMPRESA\joao.silva"

# No cliente Windows — via CMD
net use Z: \\srv-files\financeiro /user:EMPRESA\joao.silva
dir Z:\

9.4 Validar configuración de Samba

testparm -s
testparm --suppress-prompt

9.5 Verificar ACLs

# ACL POSIX
getfacl /srv/shares/financeiro

# ACL Windows (xattr)
getfattr -n security.NTACL /srv/shares/financeiro

# Via Samba (mostra como o cliente Windows veria)
smbcacls //localhost/financeiro / -U "EMPRESA\Administrator" -k

10. Troubleshooting

Problema: net ads join falla con "Connection refused"

# Verifique conectividade com o DC
telnet dc01.empresa.local 88    # Kerberos
telnet dc01.empresa.local 389   # LDAP
telnet dc01.empresa.local 445   # SMB

# Verifique o ticket Kerberos
kinit [email protected]
klist

# DNS correto?
host -t SRV _ldap._tcp.empresa.local

Problema: Winbind no resuelve usuarios

# Status do Winbind
systemctl status winbind

# Pipe de comunicação presente?
ls -la /var/lib/samba/winbindd_privileged/

# Teste direto
wbinfo --ping-dc

# Logs
tail -f /var/log/samba/log.winbindd

Problema: Permiso denegado incluso con usuario en el grupo correcto

# Verifique o mapeamento do grupo
id "EMPRESA\joao.silva"
# Deve mostrar os GIDs dos grupos AD

# Verifique ACL do diretório
getfacl /srv/shares/financeiro

# SELinux bloqueando? (RHEL/OL)
ausearch -m avc -ts recent | grep samba
sealert -a /var/log/audit/audit.log

Problema: Conflicto de UID/GID entre servidores

Esto ocurre cuando dos servidores usan idmap backend = rid pero con rangos diferentes, o cuando el dominio fue recreado.

# Verifique o range configurado em ambos os servidores
grep -A5 "idmap config EMPRESA" /etc/samba/smb.conf

# Limpe o cache do Winbind (CUIDADO em produção)
net cache flush
systemctl restart winbind

Problema: Tiempo desincronizado (clock skew)

# Verifique a diferença de tempo com o DC
ntpdate -q dc01.empresa.local

# Force sincronização
chronyc makestep
# ou
ntpdate -u dc01.empresa.local

Problema: smb.conf con error de sintaxis

testparm 2>&1 | grep -i "error\|warn"

11. Referencia rápida de comandos

##── Domínio ──────────────────────────────────────────────────
net ads testjoin               # Verifica o ingresso no domínio
net ads info                   # Info do domínio
net ads status                 # Status da conta de máquina
kinit [email protected]  # Obtém ticket Kerberos
klist                          # Lista tickets ativos

##── Winbind ──────────────────────────────────────────────────
wbinfo -t                      # Testa trust com o DC
wbinfo --ping-dc               # Ping no DC via winbind
wbinfo -i "EMPRESA\usuario"    # Info do usuário
wbinfo -n "EMPRESA\grupo"      # Resolve nome para SID
wbinfo -s S-1-5-21-...-1104    # Resolve SID para nome

##── Samba ────────────────────────────────────────────────────
testparm -s                    # Valida smb.conf
smbstatus                      # Conexões ativas
smbclient -L //localhost -k    # Lista shares
smbcacls //localhost/share / -k  # Exibe ACLs Windows

##── Identidades ─────────────────────────────────────────────
getent passwd "EMPRESA\usuario"
getent group "EMPRESA\grupo"
id "EMPRESA\usuario"

##── ACLs ─────────────────────────────────────────────────────
getfacl /srv/shares/financeiro
setfacl -m g:"EMPRESA\GRP_Financeiro":rwx /srv/shares/financeiro
setfacl -m d:g:"EMPRESA\GRP_Financeiro":rwx /srv/shares/financeiro  # Herança

##── Serviços ─────────────────────────────────────────────────
# RHEL 7+, Debian 9+, Ubuntu 16.04+
systemctl restart smb winbind      # RHEL
systemctl restart smbd nmbd winbind  # Debian/Ubuntu
systemctl status smb winbind
journalctl -u winbind -f

##── Logs ─────────────────────────────────────────────────────
tail -f /var/log/samba/log.smbd
tail -f /var/log/samba/log.winbindd
tail -f /var/log/samba/log.wb-EMPRESA

Conclusión

La integración de Samba con Active Directory permite que el servidor Linux funcione como un servidor de archivos de primera clase en el ecosistema Windows, con:

• Autenticación centralizada vía Kerberos/AD — no se necesitan usuarios locales

• Herencia de permisos — grupos y ACLs definidos en el AD aplicados directamente en el sistema de archivos Linux

• ACLs de Windows vía xattr — administradores de Windows configuran permisos con interfaz familiar

• Mapeo automático de SIDs — vía Winbind rid o ad (RFC2307)

Los puntos críticos de éxito son: DNS correcto apuntando al AD, NTP sincronizado, rango de idmap consistente entre todos los servidores, y sistema de archivos con soporte para xattr/ACL.

Documento generado por Nyverra Infraestructura · empresa.local es un dominio de ejemplo — sustitúyalo por el dominio real del entorno.