Wenn dieser Parameter mit dem Namen eines weiteren SMB-Servers belegt
ist, so wird dieser Server für die Authentifizierung der an den
Samba-Server übergebenen Passwords verwendet. Das funktioniert
natürlich nur, wenn der Parameter security entweder mit dem
Wert server oder dem Wert domain belegt ist (siehe
Seite ![[*]](file:/usr/share/latex2html/icons/crossref.png){kind=icon}
). Dieser sogenannte Password-Server kann
natürlich auch ein Windows NT-Server oder ein weiterer Samba-Server
sein.
Der Name des angegebenen Password-Servers muss ein registrierter NetBIOS-Name sein. Für den Fall, dass der NetBIOS-Name sich von dem für den Server verwendeten Netz-Namen unterscheidet, muss der NetBIOS-Name in der Datei lmhosts eingetragen werden (siehe Beispiel 1.11).
192.168.17.3 samba
192.168.17.5 wincom
Die lmhosts-Datei findet sich im selben Directory, in dem auch die Datei /etc/samba/smb.conf zu finden ist (normalerweise in /etc/lmhosts).
Mögliche Password-Server können in verschiedenen Dateien gefunden werden.
Daher analysiert der Samba-Server diese Dateien in der vom
Parameter name resolve order= angegebenen Reihenfolge (siehe
Seite ). Als Password-Server können
allerdings nur Maschinen dienen, die entweder das LM1.2X002-
oder das LM NT 0.12-Protokoll unterstützen. Eine solche
Maschine muss im user level security-Mode laufen.
Wenn man sich eines Security-Servers bedient, so wird der Sicherheitsstandard der eigenen Samba-Unix-Workstation von dem Password-Server bestimmt. Wird die Authentifizierung eines Clients von dem Security-Server abgesegnet, dann kümmert sich die Unix-Maschine nicht mehr um dessen Authentifizierung, und der Client erhält Zugang zum Samba-Server. Man sollte diese Konfiguration nur mit äußerster Vorsicht verwenden und nur einen Server für diesen Dienst einrichten, den man selbst konfiguriert hat oder dem man wirklich trauen kann.
Einen weiteren wichtigen Hinweis sollte man unbedingt beachten.
Man sollte niemals versuchen, den Security-Server auf die
Samba-Maschine zeigen zu lassen. Damit erzeugt man eine
kaskadierende Rekursion, die den eigenen Server in einen fatalen Tiefschlaf
versetzen kann. Bei der Angabe des Security-Server-Namens können die meisten
Makros verwendet werden, unter anderem auch das Makro %m (siehe
Seite ). Diese Ersetzung weist den
Samba-Server an, den nachfragenden Client als Security-Server zu
verwenden. Auch hier gilt: Dieses Makro sollte man nur verwenden, wenn man
allen Clients im Netz vertrauen kann. Man darf dann aber nicht vergessen,
mit dem Parameter hosts allow die Clients anzugeben, die
diesen Dienst auch wirklich leisten können (siehe
Seite ).
Wenn der Parameter security mit dem Wert domain belegt ist, kann natürlich der Parameter password server nur mit den Namen von PDCs oder BDC-Controllern belegt werden (siehe Glossar BDCbdc und PDCpdc), da der Samba-Server mit seinen Daten (Namen und Password) verschlüsselt in diesen Domains registriert ist und natürlich auch für die Authentifizierung der Clients verschlüsselte RPC-Calls verwendet (siehe Glossar RPCrpc). Wenn man den Parameter mit security=domain belegt, so kann man den Parameter password server mit verschiedenen Hostnamen belegen. Der Daemon smbd wird dann versuchen, jeden dieser Hosts zu kontaktieren, bis eine Registrierung des Security-Servers erfolgt. Das ist eine besonders nützliche Eigenschaft, speziell in großen Netzen, die potentiell mehrere Server enthalten. Wenn nämlich der primäre Security-Server aus irgendeinem Grund seinen Dienst versagt, so kann der Samba-Server automatisch einen Ersatz im Netz finden, der diese Aufgabe übernimmt, bis der primäre Server wieder online ist.
Wenn der Parameter security mit dem Wert server belegt ist, so ergeben sich freilich andere Probleme:
Man kann zwar mehrere Password-Server angeben, wenn aber die Auswahl einmal getätigt und die Verbindung vom Daemon smbd zu dem ausgewählten Server hergestellt wurde, darf dieser Server nicht mehr vom Netz genommen werden, da der Daemon smbd nicht in der Lage ist, eine erneute Auswahl im laufenden Betrieb zu veranlassen. Das kann auf der Samba-Seite nicht repariert werden, weil dieses Verhalten von einer Restriktion des SMB/CIFS-Protokolls verursacht wird, wenn der Server im Modus security=server läuft (siehe auch die man pages von /etc/samba/smb.conf).
Wenn ein Windows NT-Server als Password-Server im Netz eingesetzt wird, muss sichergestellt werden, dass sich die Clients vom Samba-Server aus einloggen können (der Samba-Server reicht den Wunsch nach einer Authentifizierung an den Security-Server weiter, und dort wird geprüft, ob ein Client die Zugangsberechtigung für einen Dienst oder eine Share auf dem Samba-Server hat). Der Wunsch nach Authentifizierung kommt für den Windows NT-Security-Server von dem Samba-Server und nicht vom Client selbst.
Voreinstellung:
password server = <leere Zeichenkette>
Beispiel:
password server = NT-PDC, NT-BDC1, NT-BDC2
