企业官网建设流程全解析

1. 为什么要在 Linux 上折腾 Samba 与 AD 的 uid 映射

很多做企业内网运维的朋友都遇到过这种场景：公司内部有一套 Active Directory 域控，Windows 客户端登录、文件共享、权限管理全靠它。但业务部门又跑着一批 Linux 服务器，需要让 Linux 上的用户直接用 AD 账号登录，访问 Samba 共享目录时还得带上正确的 uid，否则文件属主全变成一堆乱七八糟的数字，权限继承直接崩掉。

这个需求听起来简单，实际落地时坑特别多。核心矛盾在于：AD 本身并不存储 Linux 的 uid 和 gid，它只认 SID。而 Linux 内核在文件系统层面只认数字 uid/gid。所以中间必须有一层映射机制，把 AD 的 SID 翻译成 Linux 能理解的数字 ID。Samba 的 winbind 组件就是干这个的，但默认行为是动态分配 uid，重启服务或者缓存过期后 uid 可能变，导致文件属主错乱。

标题里说的“控制 Active Directory 指定 uid”，本质就是要把这个动态分配变成可控的、固定的映射。适合谁来参考？主要是三类人：一是负责混合环境运维的 Linux 系统管理员，二是需要给开发团队搭建统一认证文件共享平台的基础架构工程师，三是正在做 AD 与 Linux 集成项目、被 uid 漂移问题折磨过的技术负责人。如果你只是偶尔用用 Samba 做匿名共享，这篇内容可能对你来说偏重了，但如果你管着几十上百台 Linux 机器、用户量上千，那下面这些经验应该能帮你省下不少排查时间。

我前后在三个不同规模的环境里做过这套配置，最小的域只有几十个用户，最大的超过两千人。每次都会遇到新问题，有的是 idmap 后端选型不对，有的是 AD 架构扩展没做，还有的是缓存策略导致 uid 对不上。下面我把整个思路拆开讲，从设计选型到实操落地，再到问题排查，尽量把每个决策背后的原因说清楚。

2. 整体设计思路与核心组件选型

2.1 理解 SID 与 uid 映射的基本逻辑

AD 里每个用户和组都有一个唯一的 SID，格式类似S-1-5-21-xxxxxxxxxx-xxxxxxxxxx-xxxxxxxxxx-1001。Linux 这边需要把这个 SID 对应到一个数字 uid。Samba 的 winbind 服务负责查询 AD 并完成转换，但转换方式取决于你选的 idmap 后端。

默认情况下，Samba 使用idmap_ldb或者idmap_tdb这类后端，它们会在本地生成一个映射表，uid 从某个范围里顺序分配。问题在于，这个映射表是本地维护的，不同服务器之间可能不一致，而且如果缓存丢失或者重新加入域，uid 可能重新分配。对于文件服务器来说，uid 一变，之前创建的文件属主就变成了一个不存在的用户，权限全乱。

所以“控制指定 uid”的核心思路就是：要么让 AD 直接存储 uid 属性，要么用一套确定性的算法从 SID 计算出 uid，保证任何服务器、任何时候算出来的结果都一样。

2.2 三种主流 idmap 后端对比

目前 Samba 支持多种 idmap 后端，能实现固定 uid 的主要是下面三种：

我最早用的是idmap_rid，因为不用动 AD，配置简单。但后来用户量涨到一千多，RID 基数设小了不够用，设大了又和系统本地用户 uid 冲突。最后换成了idmap_ad，虽然前期要在 AD 里给每个用户填 uidNumber，但一劳永逸，再也没出现过 uid 漂移。

2.3 为什么最终推荐 idmap_ad

idmap_ad的逻辑很直接：winbind 去 AD 里查用户的uidNumber属性，查到什么就用什么。这个属性是 AD 架构扩展后才会有的，默认的 AD 架构里没有。所以第一步得先扩展架构，把uidNumber和gidNumber加进去。听起来麻烦，但好处是：

• uid 完全由你指定，想给谁多少就给多少，不受算法限制。
• 所有加入域的 Linux 服务器查到的 uid 都一样，文件共享权限天然一致。
• 不依赖本地缓存，重启、重加入域都不影响。
• 可以和 NFS 配合，因为 NFS 也认 uid，这样 Samba 和 NFS 的权限模型能统一。

代价就是需要 AD 管理员配合，给每个需要登录 Linux 的用户填上 uidNumber。如果用户量特别大，可以用脚本批量导入，后面我会讲具体做法。

3. 核心细节解析与实操前的关键准备

3.1 AD 架构扩展的具体操作

扩展 AD 架构不是随便改改就行，需要用schmmgmt.dll或者adprep工具。更稳妥的做法是手动添加属性。在域控上打开“AD 架构”管理单元（需要先注册schmmgmt.dll），然后新建两个属性：

• uidNumber：语法选“整数”，最小值为 10000，最大值为 2147483647。
• gidNumber：语法同上。

建完属性后，把它们加到“用户”类和“组”类的属性列表里。这一步做完，你才能在用户的“属性编辑器”里看到uidNumber字段。注意，架构扩展是不可逆的，操作前务必确认域控有完整备份。我见过有人直接在主力域控上试，结果属性冲突导致复制报错，折腾了一整天才恢复。

提示：如果域里有多个域控，架构主机角色必须在线，扩展后等复制完成再继续下一步。

3.2 给用户和组填充 uidNumber 与 gidNumber

架构扩展完，接下来就是给每个需要访问 Linux 的 AD 用户填uidNumber。手动一个个填肯定不现实，我一般用 PowerShell 脚本批量处理。思路是：从 HR 系统导出一份用户列表，包含工号和姓名，然后按工号顺序分配 uid，比如从 10000 开始递增。

# 示例：批量设置 uidNumber $users = Get-ADUser -Filter * -SearchBase "OU=Employees,DC=example,DC=com" $uid = 10000 foreach ($user in $users) { Set-ADUser -Identity $user -Add @{uidNumber=$uid} $uid++ }

组也一样，gidNumber从 10000 开始分配。注意，Linux 本地系统用户通常占用 0-999，普通用户从 1000 开始，所以 AD 用户的 uid 最好从 10000 起，避免冲突。另外，Domain Users这个组的 gidNumber 一定要设，否则登录时会报找不到主组。

3.3 Samba 与 winbind 的配置文件关键参数

服务端配置文件是核心，下面这几个参数必须配对：

[global] workgroup = EXAMPLE security = ADS realm = EXAMPLE.COM idmap config * : backend = tdb idmap config * : range = 3000-7999 idmap config EXAMPLE : backend = ad idmap config EXAMPLE : schema_mode = rfc2307 idmap config EXAMPLE : range = 10000-999999 idmap config EXAMPLE : unix_primary_group = yes winbind nss info = rfc2307 winbind use default domain = yes winbind enum users = yes winbind enum groups = yes template shell = /bin/bash template homedir = /home/%U

这里有几个点容易搞错。idmap config *是通配配置，用于那些不属于任何域的 SID，范围要避开 AD 用户的范围。schema_mode = rfc2307告诉 winbind 去 AD 里读uidNumber和gidNumber。unix_primary_group = yes让用户的主组也来自 AD 的gidNumber，而不是默认的Domain Users。winbind nss info = rfc2307确保 NSS 层能拿到这些属性。

3.4 NSS 与 PAM 的配合配置

Samba 配好了还不够，Linux 系统得知道去 winbind 查用户。这就要改/etc/nsswitch.conf：

passwd: files winbind group: files winbind

顺序很重要，files在前，winbind在后，这样本地用户优先，查不到再去 AD 找。PAM 方面，如果用pam_winbind，需要确保/etc/pam.d/system-auth或/etc/pam.d/common-auth里有对应的行。不同发行版路径不一样，我一般用authconfig或pam-auth-update自动配，省得漏掉。

注意：改完 NSS 后，不要急着用id命令测试，先重启 winbind 和 Samba，否则缓存可能让你看到旧结果。

4. 完整实操流程与关键环节实现

4.1 加入域并验证信任关系

第一步是把 Linux 服务器加入 AD 域。需要先装好samba、samba-winbind、samba-winbind-clients、krb5-workstation这些包。然后配置/etc/krb5.conf，指向域控的 KDC。接着用net ads join加入：

net ads join -U Administrator

如果报错，多半是 DNS 解析或者时间不同步。AD 对时间偏差很敏感，超过 5 分钟就会拒绝认证。我习惯先ntpdate一下域控，再执行加入。加入成功后，用net ads testjoin验证，返回Join is OK才算稳。

4.2 启动 winbind 并验证 uid 映射

加入域后，启动 winbind 和 smb 服务：

systemctl enable --now winbind systemctl enable --now smb

然后用wbinfo -u列出 AD 用户，用wbinfo -i username查看某个用户的 uid 信息。如果uidNumber填对了，这里应该显示你指定的数字。再用getent passwd username验证 NSS 层是否正常。如果wbinfo能查到但getent查不到，多半是nsswitch.conf没改对，或者 winbind 的 nss info 参数没生效。

我遇到过一种情况：wbinfo -i显示的 uid 是 10000 多，但getent显示的是 16777216 这种大数字。后来发现是idmap config *的范围和 AD 域的范围重叠了，winbind 走了通配配置。把通配范围改成 3000-7999 后就正常了。

4.3 配置文件共享并测试权限

共享目录的配置相对简单，关键是权限要跟 uid 对上。比如：

[shared] path = /srv/shared valid users = @EXAMPLE\linuxusers read only = no create mask = 0664 directory mask = 0775

目录的属主可以设成某个 AD 用户，比如chown 10001:10001 /srv/shared。这样 AD 用户登录后，创建的文件属主就是对应的 uid，其他服务器上看到的也一样。测试时用smbclient或者直接挂载 CIFS 都行。我一般用smbclient //localhost/shared -U username快速验证。

4.4 跨服务器一致性验证

这一步最容易被忽略。如果你有多台 Linux 服务器都加入了同一个 AD 域，一定要在每台上都执行wbinfo -i和getent passwd，确认同一个用户在所有机器上的 uid 完全一致。我见过有人只在一台机器上配好了，其他机器没改smb.conf，结果用户在不同机器上 uid 不同，文件权限乱成一锅粥。

验证方法很简单：在 A 机器上创建一个文件，用ls -n看数字 uid；然后在 B 机器上ls -n同一个文件（如果共享存储），数字应该一样。如果不一样，说明 idmap 配置有差异。

5. 常见问题与排查技巧实录

5.1 uid 显示为一大串数字而不是指定值

这是最常见的问题。原因通常有三个：一是 AD 里没填uidNumber，winbind 回退到动态分配；二是schema_mode没设成rfc2307；三是idmap config的域范围写错了。排查顺序：先wbinfo -i username看 winbind 层，再getent passwd username看 NSS 层，最后ls -n看文件层。哪一层不对就查对应的配置。

5.2 用户能登录但主组不对

如果id命令显示的主组是domain users而不是你指定的组，检查unix_primary_group是否设为yes，以及 AD 用户的gidNumber是否填了。另外，winbind nss info必须是rfc2307，否则 winbind 不会去读gidNumber。

5.3 重启后 uid 变了

这种情况基本可以确定是用了idmap_tdb或idmap_rid这类非确定性后端。idmap_tdb的映射表存在本地，如果缓存文件被清理或者重新加入域，映射就丢了。换成idmap_ad后，uid 存在 AD 里，重启多少次都不会变。

5.4 常见问题速查表

实操心得：每次改完smb.conf，先testparm检查语法，再重启服务。我见过有人直接重启，结果配置写错导致 Samba 起不来，共享全断。

6. 进阶技巧与长期维护建议

6.1 用脚本自动化 uid 分配与审计

用户量大了之后，手动维护uidNumber容易出错。我写了一个 Python 脚本，定期从 AD 拉取用户列表，检查哪些用户没填uidNumber，然后按规则自动分配并记录到日志。这样既能保证唯一性，又能审计谁改了 uid。

import subprocess import re def get_users_without_uid(): result = subprocess.run(['ldapsearch', '-x', '-H', 'ldap://dc.example.com', '-D', 'cn=admin,dc=example,dc=com', '-w', 'password', '-b', 'dc=example,dc=com', '(&(objectClass=user)(!(uidNumber=*)))'], capture_output=True, text=True) return re.findall(r'dn: (.+)', result.stdout)

这个思路的核心是：任何没填uidNumber的用户都是隐患，必须及时发现。

6.2 缓存策略与性能调优

winbind 默认会缓存查询结果，减少对 AD 的压力。但如果缓存时间太长，改了uidNumber后不会立即生效。可以调整winbind cache time参数，默认是 300 秒，我一般设成 60 秒，平衡性能和实时性。另外，winbind offline logon可以开启离线登录，但要注意离线时 uid 映射可能走本地缓存，如果缓存丢了就会出问题。

6.3 与 NFS 共存的注意事项

如果同一批用户还要访问 NFS，NFS 服务端也必须能解析同样的 uid。这意味着 NFS 服务端也要加入 AD 并配置相同的 idmap。否则 NFS 客户端看到的 uid 和 Samba 看到的不一致，权限会乱。我一般建议 Samba 和 NFS 用同一套 idmap 配置，统一由 AD 的uidNumber驱动。

6.4 监控与告警

最后，别忘了监控。winbind 服务挂了，用户就登录不了。我一般用systemd的Restart=always保证服务自动拉起，再加一个简单的脚本定期检查wbinfo -t是否返回成功。如果失败就发告警。另外，AD 的uidNumber属性如果被误删，也会导致映射失败，所以定期审计 AD 属性变更也很重要。

这套方案我在生产环境跑了两年多，用户从几百涨到两千，没再出现过 uid 漂移导致的权限问题。前期在 AD 架构扩展和属性填充上花的时间，后面都省回来了。如果你正准备做类似的项目，建议先在测试域里完整走一遍流程，把每个环节的验证命令都跑通，再上生产。