Quando administramos um Controlador de Domínio Samba-AD, é comum precisar criar novos usuários com poderes administrativos.
No entanto, há um detalhe importante: o Samba-AD mantém sua própria base de contas (LDAP interno), independente dos usuários locais do Linux.
Ou seja: um usuário criado com adduser ou useradd no Debian não é automaticamente um usuário do domínio.
Este guia mostra como criar um novo usuário administrador no Samba-AD rodando no Debian 12 e como promover usuários já existentes no AD ao grupo de administradores.
1. Diferença entre usuário Linux e usuário AD
- Usuário Linux: aparece em
/etc/passwd, serve para logar no sistema operacional local. - Usuário Samba-AD: é gerenciado com
samba-toole fica no banco LDAP do Samba, sendo reconhecido pelo domínio.
Mesmo que tenham o mesmo nome, são entidades distintas. Para que um usuário tenha permissões de administrador no domínio, ele precisa existir no Samba-AD.
2. Criando um novo usuário no Samba-AD
Crie o usuário com:
samba-tool user create usuarioadmin 'SenhaForte123!' --given-name="Usuario" --surname="Admin"
Atenção: a senha deve obedecer à política de complexidade do AD (mínimo 7 caracteres, com maiúscula, minúscula, número e símbolo).
3. Tornando o usuário administrador
No Samba-AD, os privilégios de administrador são concedidos ao pertencer ao grupo Domain Admins.
Adicione o usuário ao grupo:
samba-tool group addmembers "Domain Admins" usuarioadmin
4. Se o usuário já existe no Samba-AD
Basta adicioná-lo ao grupo:
samba-tool group addmembers "Domain Admins" usuarioexistente
5. Se o usuário existe apenas no Linux
Mesmo que exista em /etc/passwd, esse usuário não tem efeito dentro do AD.
Nesse caso, é necessário criar o correspondente no Samba-AD:
samba-tool user create usuario 'SenhaForte123!'
samba-tool group addmembers "Domain Admins" usuario
Agora o usuário tem identidade tanto no Linux quanto no AD (embora sejam independentes).
6. Conferindo os membros do grupo de administradores
samba-tool group listmembers "Domain Admins"
O usuário recém-adicionado deve aparecer na lista.
7. Testando login com Kerberos
Valide o acesso ao domínio com:
kinit [email protected]
klist
Se tudo estiver correto, o ticket Kerberos será exibido.
8. Importando usuários Linux para o AD (avançado)
Se você quiser promover vários usuários locais para dentro do AD, pode automatizar:
for u in $(awk -F: '$3 >= 1000 {print $1}' /etc/passwd); do
samba-tool user create $u 'SenhaPadrao123!' --random-password
done
Depois, basta gerenciar quais entram em grupos administrativos.
Conclusão
- Usuários do Linux e do AD são bases separadas.
- Para ter privilégios de administrador no Samba-AD, é obrigatório que o usuário exista no AD.
- O grupo Domain Admins é quem garante os privilégios equivalentes ao administrador do domínio.
Com esses passos, você pode criar novos administradores ou promover usuários já existentes de forma simples e consistente no Samba-AD.