SambaでPDC設定

Sambaでは共有フォルダー以外に、個別のユーザー専用の
フォルダーを設ける事ができる。他人には見れないため
「秘密の花園」と呼んでいる。(あくまでも、うちの会社のみ)

[dsp0133]
   map to guest = Bad User
   comment = DSP0133
   browseable = no
   path = /home/dsp0133
   valid users = dsp0133 nobody
   public = no
   writable = yes
   printable = no
   guest ok = yes

赤い部分はLinuxマシンに登録されていないユーザーは
全てゲストユーザーに置き換える設定

青い部分はブラウザに表示させないようにする設定。

桃色はゲストの接続許可の設定。

そして各人のパソコンには、該当のフォルダーの
ショートカットを作って、見せかけだけの
秘密の花園を作ったのだ。

当時、本の丸写しで適当に行なったのだが
まともな(?)設定になっている。

OepnLDAPを使ってWindowsのユーザーアカウントの一元管理を行なうには
途中で、Sambaサーバーを中継する必要があります。
Sambaを使い、NTドメインとPDCの構築が必要になる。

他にも有償ソフトを使えば、LDAPでWindowsのユーザーアカウントの
一元管理ができるらしいが、私は知らないので何とも言えない・・・。

Windows側からSambaに接続する場合、Windows側から
ユーザーIDと暗号化パスワードをSambaに送信して
Sambaサーバーに登録されているユーザーIDと暗号化パスワードを
突き合わせて認証をすると思いたくなるが、そうではないのだ。

Linuxのユーザーとは独立した形で、Samba独自でユーザー管理をしている。
Sambaの独自データベースに、Windowsの方法で暗号化したパスワードを
保管しているのだ。

WindowsがSambaサーバーへ接続認証する際、/etc/passwdファイルを使って
該当のユーザーの有無の確認だけ行なわれる。
登録されているユーザーであれば、Sambaユーザーのデータベースを見に行き
暗号化パスワードの突き合わせを行なうのだ。

[global]


共通パラメーターの設定

[printers]

プリンタ関連の設定

[home]

ファイル共有に関するの設定

枠で囲んだのがセクションなのだ。
設定分野別に分割し、個別に設定を行なう形になっている。
[global]の部分が共通部分になる。

ドメインとは英語の綴りでは「domain」の事だ
辞書の意味では「領地」、「領域」、「分野」の意味がある
特定の範囲を示す意味を持つ言葉なのだ。

NTドメインとは、WindowsNTで組んだネットワークの領域で
その領域内のパソコンのみが使える資源やサービスと考えれば
見通しが良くなるのだ。

[root@pdc]# rpm -ihv samba-3.0.33-3.14.el5.i386.rpm
警告: samba-3.0.33-3.14.el5.i386.rpm: ヘッダ V3 DSA signature: NOKEY, key ID e8562897
エラー: 依存性の欠如:
        perl(Convert::ASN1) は samba-3.0.33-3.14.el5.i386 に必要とされています
[root@pdc]# 

[root@pdc]# rpm -ihv perl-Convert-ASN1-0.20-1.1.noarch.rpm 
警告: perl-Convert-ASN1-0.20-1.1.noarch.rpm: ヘッダ V3 DSA signature: NOKEY, key ID e8562897
準備中...                ########################################### [100%]
   1:perl-Convert-ASN1      ########################################### [100%]
[root@pdc]# 
[root@pdc]# rpm -ihv samba-3.0.33-3.14.el5.i386.rpm 
警告: samba-3.0.33-3.14.el5.i386.rpm: ヘッダ V3 DSA signature: NOKEY, key ID e8562897
準備中...                ########################################### [100%]
   1:samba                  ########################################### [100%]
[root@pdc]# 

[root@pdc]# /etc/rc.d/init.d/smb start
SMB サービスを起動中:                                      [  OK  ]
NMB サービスを起動中:                                      [  OK  ]
[root@pdc]#

[root@pdc]# useradd user01
[root@pdc]# 

[root@pdc]# smbpasswd -U user01
New SMB password:
Retype new SMB password:
[root@pdc]# 

;	hosts allow = 127. 192.168.1. 192.168.13.

	hosts allow = 127. 192.168.X.

[root@pdc]# /usr/sbin/useradd client$
[root@pdc]# smbpasswd -a -m client$
Added user client$.
[root@pdc]# 

UNIXユーザーと、Sambaユーザーにコンピューター名の「client」を登録。
なぜかコンピューター名の後ろに「$」を付ける。

[root@pdc]# /usr/sbin/useradd administrator
[root@pdc]# smbpasswd -a administrator
New SMB password:
Retype new SMB password:
Added user administrator.
[root@pdc]# 

管理者ユーザーIDの「administrator」をLinuxユーザー登録と
Sambaユーザー登録を行なった。

	domain logons = yes

	domain master = auto
	preferred master = auto

「domain master」はドメインマスターになるかどうかの設定。
「preferred master」は優先マスターブラウザになるかどうかの設定

この2つの初期設定は「auto」で、自動判断になる。
なので「auto」にしておく。

「domain logons = yes」にする事によって
2つとも自動的に「Yes」(有効)になる。

ドメインコントローラーになると、必然的にドメインマスターと
優先マスターブラウザになる必要があるからだ。

	local master = yes

	os level = 33

ブラウジング機能の優先度の指定する部分だ。
Windowsの場合「32」なので、Windowsよりも強くするため
「33」にして、事実上、Sambaをマスターブラウザーにする。

	security = user

「user」はSamba独自の認証データベースを使うという意味だ。

今回の話では踏み込んでいませんが、OpenLDAPとの連動の場合
OpenLDAP内のデータベースを利用するのだが、「user」になる。

	encrypt passwords = yes

暗号化パスワードにするための設定だ。
初期設定では「yes」になっているので明示的に行なわなくても良い。
赤く「s」を強調したのは、綴り誤りが起こりやすい部分だ。
ここを単数形にしてしまいがちだが、正解は複数形の「s」が必要だ。

ここを「no」にすれば平文パスワードでも認証できるようになるが
絶対にお薦めできません。

	passdb backend = tdbsam

	admin users = administrator

「amin users」のパラメーターは、特定のユーザーに
root権限でのアクセスを認める設定だ。

この場合は、「administrator」のユーザ名を
root権限(Linuxの管理者権限)のアクセスを認める意味になる。

ちなみに、NT系ではadministratorが管理者のアカウントなのだ。

CentOS5.4のCD/DVDに付属しているSambaのRPMファイルの場合
Windows7に対応していないため、異なるバージョンで
設定を行なう必要があります。
私の場合は、ソースコンパイルで対応しました。
ソースコンパイルの話は後述しています。

[root@pdc]# /usr/sbin/useradd client$
[root@pdc]# pdbedit -a -m -u client$
Unix username:        client$
NT username:          
Account Flags:        [W          ]
User SID:             S-1-5-21-210459926-4137304654-1939796370-2008
Primary Group SID:    S-1-5-21-210459926-4137304654-1939796370-513
Full Name:            
Home Directory:       
HomeDir Drive:        (null)
Logon Script:         
Profile Path:         
Domain:               EBISU
Account desc:         
Workstations:         
Munged dial:          
Logon time:           0
Logoff time:          never
Kickoff time:         never
Password last set:    日, 06  2月 2011 19:15:15 JST
Password can change:  日, 06  2月 2011 19:15:15 JST
Password must change: never
Last bad password   : 0
Bad password count  : 0
Logon hours         : FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF
[root@pdc]# 

[root@pdc]# /usr/sbin/useradd administrator
[root@pdc]# pdbedit -a -u administrator
new password:
retype new password:
Unix username:        administrator
NT username:          
Account Flags:        [U          ]
User SID:             S-1-5-21-210459926-4137304654-1939796370-2004
Primary Group SID:    S-1-5-21-210459926-4137304654-1939796370-513
Full Name:            
Home Directory:       \\pdc\administrator
HomeDir Drive:        
Logon Script:         
Profile Path:         
Domain:               EBISU
Account desc:         
Workstations:         
Munged dial:          
Logon time:           0
Logoff time:          never
Kickoff time:         never
Password last set:    日, 06  2月 2011 19:23:14 JST
Password can change:  日, 06  2月 2011 19:23:14 JST
Password must change: never
Last bad password   : 0
Bad password count  : 0
Logon hours         : FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF
[root@pdc]# 

[global]

   dos charset = CP932
   unix charset = UTF-8

   netbios name = HIROTA
   workgroup = EBISU

   security = user
   passdb backend = tdbsam
   encrypt passwords = yes

   os level = 33

   domain master = yes 

   local master = yes
   preferred master = yes

   domain logons = yes

   wins server = <WINSサーバーのIP>

   admin users = administrator

PDCを構築するのに最低限必要な設定だ。
WINSで名前解決し、かつ自分自身が
プライマリマスターブラウザである事が望ましい。

名前解決ができてない時に出るエラーだというのが
後になって、わかった。

だが、その原因がDNSに登録されていなかったのか
それともマスターブラウザにクライアントの
コンピューター名が登録されていなかったのかは
今となってはわからない。

何度か、このエラーの再現を試みたが出てこないため
なぜ、エラーが出たのか、不明としか言えないのだ。

[root@pdc]# tar xvfz samba-3.5.6.tar.gz 
samba-3.5.6/
samba-3.5.6/howto-ol-backend-s4.txt
samba-3.5.6/Roadmap
samba-3.5.6/COPYING
samba-3.5.6/libcli/
samba-3.5.6/libcli/netlogon_proto.h
samba-3.5.6/libcli/netlogon.c

(途中、省略)

samba-3.5.6/pidl/tests/typelist.pl
samba-3.5.6/pidl/tests/ndr_refptr.pl
samba-3.5.6/pidl/config.m4
samba-3.5.6/pidl/pidl
[root@pdc]# 

[root@pdc]# cd samba-3.5.6
[root@pdc]# ls
COPYING            codepages                m4                   source3
MAINTAINERS        docs                     merged-branches.txt  source4
Manifest           docs-xml                 nsswitch             swat
PFIF.txt           examples                 packaging            swat2
README             howto-ol-backend-s4.txt  packaging4           swat2.txt
README.Coding      howto4.txt               pcp                  testdata
Read-Manifest-Now  lib                      pidl                 testprogs
Roadmap            libcli                   prog_guide4.txt      tests
WHATSNEW.txt       libds                    release-scripts      testsuite
WHATSNEW4.txt      libgpo                   script
client             librpc                   selftest
[root@pdc]# 

[root@pdcldap source3]# pwd
/usr/local/src/samba-3.5.6/source3
[root@pdcldap source3]# ./configure --with-libiconv=/usr --with-ldap --with-pam 
SAMBA VERSION: 3.5.6
-
-
#    define SAMBA_VERSION_STRING SAMBA_VERSION_OFFICIAL_STRING
LIBREPLACE_LOCATION_CHECKS: START
checking build system type... i686-pc-linux-gnu
checking host system type... i686-pc-linux-gnu
checking target system type... i686-pc-linux-gnu

(途中、省略)

config.status: creating include/config.h
config.status: executing rm-stdint.h commands
config.status: executing rm-stdbool.h commands
[root@pdcldap source3]# 

configureを使って、コンパイル方法の記述ファイルの
Makefileの生成を行なう。

赤い部分は「iconv」という文字コード変換のヘッダーファイルと
ライブラリがあるディレクトリを指定。
CentOS5系の場合、iconvのヘッダーは「/usr/include」にあり
ライブラリは「/usr/lib」に存在するため、「/usr」のディレクトリを
指定する。

青い部分はLDAPを使う事を指定するオプション。

桃色はPAMを使う事を指定するオプション。
PAMについては「システム奮闘記:その47」をご覧ください
(PAM入門 LinuxのPAMの設定)

[root@pdc]# make
Using CFLAGS     = -O -I. -I/usr/local/src/samba-3.5.6/source3 
                   -I/usr/local/src/samba-3.5.6/source3/iniparser/src -Iinclude -I./include  
                   -I. -I. -I./../lib/replace -I./../lib/tevent -I./libaddns -I./librpc -I./.. 
                   -I./../lib/talloc -I../lib/tdb/include -DHAVE_CONFIG_H  -D_LARGEFILE64_SOURCE 
                   -D_FILE_OFFSET_BITS=64 -D_GNU_SOURCE -Iinclude -I./include -I. -I. -I./../lib/replace 
                   -I./../lib/tevent -I./libaddns -I./librpc -I./.. -I./../lib/popt -DLDAP_DEPRECATED  
                   -I/usr/local/src/samba-3.5.6/source3/lib -I.. -I../source4 -D_SAMBA_BUILD_=3 -D_SAMBA_BUILD_=3
      PICFLAG    = -fPIC

(途中、省略)

Linking bin/cifs.upcall
Compiling ../nsswitch/winbind_krb5_locator.c
Linking bin/winbind_krb5_locator.so
[root@pdc]# 

[root@pdc]# make install
Using CFLAGS     = -O -I. -I/usr/local/src/samba-3.5.6/source3 -I/usr/local/src/samba-3.5.6/source3/iniparser/src 
                   -Iinclude -I./include  -I. -I. -I./../lib/replace -I./../lib/tevent -I./libaddns -I./librpc -I./.. 
                   -I./../lib/talloc -I../lib/tdb/include -DHAVE_CONFIG_H  -D_LARGEFILE64_SOURCE -D_FILE_OFFSET_BITS=64 
                   -D_GNU_SOURCE -Iinclude -I./include -I. -I. -I./../lib/replace -I./../lib/tevent -I./libaddns 
                   -I./librpc -I./.. -I./../lib/popt -DLDAP_DEPRECATED  -I/usr/local/src/samba-3.5.6/source3/lib 
                   -I.. -I../source4 -D_SAMBA_BUILD_=3 -D_SAMBA_BUILD_=3
      PICFLAG    = -fPIC
      LIBS       = -lcap -lresolv -lresolv -lnsl -ldl
      LDFLAGS    = -pie -Wl,-z,relro -L./bin

(途中、省略)

==============================================================
All MO files for Samba are installed. You can use "make uninstall"
or "make uninstallmo" to remove them.
==============================================================
[root@pdc]# 

[root@pdc]# cd /usr/local/samba/lib
[root@pdc]# 
[root@pdc]# cp /usr/local/src/samba-3.5.6/examples/smb.conf.default smb.conf
[root@pdc]# 

赤いのが設定ファイルのサンプルファイルなのだ。
これを所定のディレクトリ「/usr/local/samba/lib」に置く。
なぜ、そのディレクトリなのかはわからない (--;;

別のディレクトリに置きたい方は、configureの時のオプションで
置きたいディレクトリの場所を指定できます。

この場所に以下の2つのレジストリの登録を行なう。

(1)DNSNameResolutionRequired
(2)DomainCompatibilityMode

共にDWORD32ビット形式だ。

	encrypt passwords = yes

  lanman auth = yes
  client lanman auth = yes

  client plaintext auth = yes

上図のようにユーザーごとの環境を記録したファイルを保存している
フォルダーの事だという。
デスクトップの上のファイル、マイドキュメントの中身
画面の解像度やフォント、壁紙などのデスクトップ環境。
IEのお気に入りなど、アプリケーションとは独立した
ユーザー環境が格納されているのだ。

ところで、OSによってユーザープロファイルの保存先が異なる。

C:Documents and Settings\<ログオン名>

C:Users\<ログオン名>

プロファイルをサーバー上に保管し、ログオンの度にサーバー上の
プロファイルを読み込む。

そしてログオフの際、サーバー上にプロファイルを更新して
次のログオン時に最新のユーザー環境を使えるようにする。

ログオン時に、サーバー上に保管している該当ユーザーの
ユーザープロファイルをダウンロードするのだ。

プロファイルが移動するので、移動プロファイルというのだ。

ログオフ時に、Windows端末で変更されたプロファイルの内容を
サーバーに反映させるため、サーバーに更新作業する。

これによって、次にログオンする際には、最新のプロファイルが
使える事になる。

ユーザーごとの環境がサーバーに保管されているため
どの端末を使っても、自分が設定した環境が使える事になる。

しかも、端末が故障しても、ユーザーデーターは
サーバーにあるため、データ保全にも使える。

	logon path = \\%L\%U\Profile

	logon path = \\%L\%U\Profile

        logon home = \\%L\%U\win9x

Win9x系のユーザープロファイルの格納先だ。
Win9x系とNT系では仕様の違いのため
ユーザープロファイルの設定が異なるのだ。

(注意)

この設定は、ドメインログオンした時の
ホームディレクトリの設定のため
Win9xとNT系が混在する環境で、下手に使うと
ファイルがごっちゃになる可能性があります。

移動プロファイルの場合、ユーザープロファイルはサーバーにある。
そのため、ログオンの度にサーバーからデータを読み込み
ログオフの際に、サーバーにデータ更新をかける。

ユーザープロファイルの一部であるデスクトップのファイルなどの
データ量が増えれば、結果的に、サーバー上にデータが増える。
ユーザー数が多いと、サーバーのディスクの消費量が問題になってくる。
サーバーと端末とのデータのやりとりでネットワークの通信量も増える。

データ量が増え、ログオン時も、ログオフ時も、
数分かかるようになっては、不便さが際立ってくるのだ。

[root@pdc]# ls
Profile  Profile.V2
[root@pdc]#

赤い部分がWindows7の移動プロファイルが格納される場所だ。
ディレクトリ名が異なるため、双方の移動プロファイルの中身が
混ざる心配がないのだ。

[global]

	logon path = \\%L\Profiles\%U

[Profiles]
    path = /usr/local/samba/lib/profiles
    browseable = no
    read only = no
    guest ok = yes
    writeable = yes
    profile acls = yes 
    create mask = 0600
    directory mask = 0700

globalセクションで移動プロファイルのフォルダーの指定を行なう。

Profilesセクションでは、Profilesフォルダーを作り
その中に各人の移動プロファイルを入れる仕組みなのだ。

ブラウジングでは見えないようにしているのがミソで
普通のユーザーが見えないようにしているのだ。

[root@pdc]# ls -l
合計 32
drwxrwx---+ 13 root  administrator 4096  3月  4 11:15 administrator
drwx------+  2 suga  suga          4096  3月  8 11:26 suga
[root@pdc]#

[root@pdc]# ls -l
合計 32
drwxrwx---+ 13 root  administrator 4096  3月  4 11:15 administrator
drwx------+  2 suga  suga          4096  3月  8 11:26 suga
drwx------+  2 suga  suga          4096  3月  8 11:38 suga.V2
[root@pdc]#

赤い部分がWindowsXPの移動プロファイルが格納される場所だ。
青い部分がWindows7だ。

WindowsVista/7の場合、ユーザー名の後ろに「V2」がつくため
WindowsXPとの共存は可能だ。

ユーザーがログオフ時に更新できないプロファイルの事だ。
共用端末に使われる事が多い。

そのためログインしたユーザーがいくら設定を変えても
その変更が反映されないため、いつも同じ環境で使えるのだ。

公共施設などの共用パソコンには使える設定だ。

[root@pdc]# ls
Application Data  My Documents    NetHood    SendTo      スタート メニュー
Cookies           NTUSER.DAT      PrintHood  Templates   デスクトップ
Favorites         NTUSER.DAT.LOG  Recent     ntuser.ini
[root@pdc]# 
[root@pdc]# mv NTUSER.DAT  NTUSER.MAN
[root@pdc]# 

	logon path = 
        logon home =

[netlogon]
   comment = Network Logon Service
   path = /usr/local/samba/lib/netlogon
   guest ok = yes
   writable = no
   write list = @administrators

どのパソコンでもスクリプトを読み込めるように
ゲストをOKにしている。

ただし、管理者権限を持ったユーザー以外は
スクリプトを書き込めないように設定している。

"C:\Program Files\Outlook Express\msimn"

       add user script = /usr/sbin/useradd %u
       add group script = /usr/sbin/groupadd %g
       add user to group script = /usr/bin/gpasswd -a %u %g
       add machine script = /usr/sbin/useradd -d /dev/null -s /bin/false %u

       delete user script = /usr/sbin/userdel %u
       delete user from group script = /usr/bin/gpasswd -d %u %g
       delete group script = /usr/sbin/groupdel %g

pdbeditコマンドでSambaユーザーを作成・削除する際
赤い部分はLinux(UNIX)ユーザーの作成と削除の部分。
青い部分はLinux(UNIX)グループ登録と削除。
桃色の部分は、グルーバルグループの作成と削除の部分。
緑色はマシン名の登録部分だ。

※グローバルグループについては後述しています。

LinuxとSambaユーザーの両方を登録する手間を省くための
パラメーターになっているのだ。

(注意)
ユーザー削除の部分なのだが、pdbeditを使うと、うまくいかない。
でも、後で説明しますNTドメイン用管理ツールで
ユーザーの削除を行ないますと、問題なく、動きます。

       unix password sync = yes
       pam password change = yes

赤い部分は、Sambaユーザーのパスワードを変更した時
それに対応したLinux(UNIX)ユーザーのパスワードも
変更するための設定だ。同期がとれるというのだ。

青い部分はPAMを利用したパスワード同期だ。
Linux(UNIX)でパスワードを変更した時、PAMを経由して
Linuxユーザーに対応したSambaユーザーのパスワードも
変更するという物だ。

ローカルグループの一覧が出ている。

上から全権限をもった「Administrators」や
ネットワーク設定の権限を持った「Network Configuration Users」
リモートデスクトップの権限を持った「Remoto Desktop Users」など
各資源(リソース)への権限を与えている。

つまり個々のパソコンの資源(リソース)へのアクセス権限の有無のための
グループ分けなのだ。

ローカルグループとは個々のパソコンの資源(リソース)に対しての
アクセス権を持ったグループだ。

グローバルグループとは、ドメインに参加しているパソコン共通の
グループで、個々のパソコンのローカルグループに所属する事で
そのパソコンの資源(リソース)にアクセスできるようにしている。


例として、上図のように個々のパソコン上で、全ての資源(リソース)への
アクセス権限を持っているのは「administrators」というグループだ。

グローバルグループの「Domain admins」がドメインに参加している
全てのパソコンの全ての資源(リソース)へアクセスできる権限を
持たせるには、「Domain admins」を個々のパソコンの
「administrators」に参加させる事で実現させているのだ。

[root@pdc]# /usr/local/samba/bin/pdbedit -a suga
lp_bool(yee): value is not boolean!
new password:
retype new password:
Unix username:        suga
NT username:          
Account Flags:        [U          ]
User SID:             S-1-5-21-2298202568-1073216897-2580598518-1000
Primary Group SID:    S-1-5-21-2298202568-1073216897-2580598518-513
Full Name:            
Home Directory:       \\pdc\suga
HomeDir Drive:        
Logon Script:         
Profile Path:         \\pdc\suga\profile
Domain:               EBISU
Account desc:         
Workstations:         
Munged dial:          
Logon time:           0
Logoff time:          never
Kickoff time:         never
Password last set:    水, 26  1月 2011 17:39:46 JST
Password can change:  水, 26  1月 2011 17:39:46 JST
Password must change: never
Last bad password   : 0
Bad password count  : 0
Logon hours         : FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF
[root@pdc]# 

ユーザー関連の情報を変更するには、PDC上でしか行なえない。
そのため、BDCは常に新しい情報を得るため、PDCからSAMを
複製してもらう必要がある。

この時に「SAM」がよく出てくるのだ。

同期プロトコルが同じでないため、SAMの複製はできないのだが
WindowsNTは現役を引退している時代なので
問題にはならないだろう。

あるサイトでは、なんとか複製ができるような話を見かけたが
仮に複製が可能であっても、今更、無理矢理、SAMの複製を
行なう必要もないので、踏み込んで調べるのはしませんでした。

[global]


   dos charset = CP932
   unix charset = UTF-8

   netbios name = <コンピューター名>
   workgroup = <ドメイン名>

   security = user
   passdb backend = tdbsam
   encrypt passwords = yes

   os level = 33

   domain master = yes 

   local master = yes
   preferred master = yes

   domain logons = yes


   wins server = <WINSサーバーのIP>

   admin users = administrator


#pdbeditコマンドの際、Linux(UNIX)ユーザーの
#登録・削除を同時に行なうための設定


   add user script = /usr/sbin/useradd %u
   add group script = /usr/sbin/groupadd %g
   add user to group script = /usr/bin/gpasswd -a %u %g
   add machine script = /usr/sbin/useradd -d /dev/null -s /bin/false %u

   delete user script = /usr/sbin/userdel %u
   delete user from group script = /usr/bin/gpasswd -d %u %g
   delete group script = /usr/sbin/groupdel %g


#ユーザー登録・削除とパスワードの同期

   unix password sync = yes
   pam password change = yes

#移動プロファイルの設定(初期値)

   logon path = \\%L\%U\profile
   logon home = \\%L\%U


#共有プロファイルを使う場合

[Profiles]
    path = /usr/local/samba/lib/profiles
    browseable = no
    read only = no
    guest ok = yes
    writeable = yes
    profile acls = yes 
    create mask = 0600
    directory mask = 0700


[netlogon]
   comment = Network Logon Service
   path = /usr/local/samba/lib/netlogon
   guest ok = yes
   writable = no
   write list = @administrators