docs-xml/smbdotconf/security/security.xml

   1 <samba:parameter name="security"
   2                  context="G"
   3                  type="enum"
   4                  function="_security"
   5                  enumlist="enum_security"
   6                  xmlns:samba="http://www.samba.org/samba/DTD/samba-doc">
   7 <when_value value="security">
   8     <requires option="encrypt passwords">/(yes|true)/</requires>
   9 </when_value>
  10 <description>
  11     <para>This option affects how clients respond to
  12     Samba and is one of the most important settings in the <filename moreinfo="none">
  13     smb.conf</filename> file.</para>
  14
  15     <para>Unless <smbconfoption name="server role"/> is specified,
  16     the default is <command moreinfo="none">security = user</command>, as this is
  17     the most common setting, used for a standalone file server or a DC.</para>
  18
  19     <para>The alternatives to <command moreinfo="none">security = user</command> are
  20     <command moreinfo="none">security = ads</command> or <command moreinfo="none">security = domain
  21     </command>, which support joining Samba to a Windows domain</para>
  22
  23     <para>You should use <command moreinfo="none">security = user</command> and
  24     <smbconfoption name="map to guest"/> if you
  25     want to mainly setup shares without a password (guest shares). This
  26     is commonly used for a shared printer server. </para>
  27
  28     <para>The different settings will now be explained.</para>
  29
  30
  31     <para><anchor id="SECURITYEQUALSAUTO"/><emphasis>SECURITY = AUTO</emphasis></para>
  32
  33     <para>This is the default security setting in Samba, and causes Samba to consult
  34     the <smbconfoption name="server role"/> parameter (if set) to determine the security mode.</para>
  35
  36     <para><anchor id="SECURITYEQUALSUSER"/><emphasis>SECURITY = USER</emphasis></para>
  37
  38     <para>If <smbconfoption name="server role"/> is not specified, this is the default security setting in Samba.
  39     With user-level security a client must first &quot;log-on&quot; with a
  40     valid username and password (which can be mapped using the <smbconfoption name="username map"/>
  41     parameter). Encrypted passwords (see the <smbconfoption name="encrypt passwords"/> parameter) can also
  42     be used in this security mode. Parameters such as <smbconfoption name="force user"/> and <smbconfoption
  43         name="guest only"/> if set      are then applied and
  44     may change the UNIX user to use on this connection, but only after
  45     the user has been successfully authenticated.</para>
  46
  47     <para><emphasis>Note</emphasis> that the name of the resource being
  48     requested is <emphasis>not</emphasis> sent to the server until after
  49     the server has successfully authenticated the client. This is why
  50     guest shares don't work in user level security without allowing
  51     the server to automatically map unknown users into the <smbconfoption name="guest account"/>.
  52     See the <smbconfoption name="map to guest"/> parameter for details on doing this.</para>
  53
  54     <para><anchor id="SECURITYEQUALSDOMAIN"/><emphasis>SECURITY = DOMAIN</emphasis></para>
  55
  56     <para>This mode will only work correctly if <citerefentry><refentrytitle>net</refentrytitle>
  57     <manvolnum>8</manvolnum></citerefentry> has been used to add this
  58     machine into a Windows NT Domain. It expects the <smbconfoption name="encrypt passwords"/>
  59         parameter to be set to <constant>yes</constant>. In this
  60     mode Samba will try to validate the username/password by passing
  61     it to a Windows NT Primary or Backup Domain Controller, in exactly
  62     the same way that a Windows NT Server would do.</para>
  63
  64     <para><emphasis>Note</emphasis> that a valid UNIX user must still
  65     exist as well as the account on the Domain Controller to allow
  66     Samba to have a valid UNIX account to map file access to.</para>
  67
  68     <para><emphasis>Note</emphasis> that from the client's point
  69     of view <command moreinfo="none">security = domain</command> is the same
  70     as <command moreinfo="none">security = user</command>. It only
  71     affects how the server deals with the authentication,
  72     it does not in any way affect what the client sees.</para>
  73
  74     <para><emphasis>Note</emphasis> that the name of the resource being
  75     requested is <emphasis>not</emphasis> sent to the server until after
  76     the server has successfully authenticated the client. This is why
  77     guest shares don't work in user level security without allowing
  78     the server to automatically map unknown users into the <smbconfoption name="guest account"/>.
  79     See the <smbconfoption name="map to guest"/> parameter for details on doing this.</para>
  80
  81     <para>See also the <smbconfoption name="password server"/> parameter and
  82          the <smbconfoption name="encrypt passwords"/> parameter.</para>
  83
  84         <para><anchor id="SECURITYEQUALSADS"/><emphasis>SECURITY = ADS</emphasis></para>
  85
  86         <para>In this mode, Samba will act as a domain member in an ADS realm. To operate
  87                 in this mode, the machine running Samba will need to have Kerberos installed
  88                 and configured and Samba will need to be joined to the ADS realm using the
  89                 net utility. </para>
  90
  91         <para>Note that this mode does NOT make Samba operate as a Active Directory Domain
  92                 Controller. </para>
  93
  94         <para>Note that this forces <smbconfoption name="require strong key">yes</smbconfoption>
  95         and <smbconfoption name="client schannel">yes</smbconfoption> for the primary domain.</para>
  96
  97         <para>Read the chapter about Domain Membership in the HOWTO for details.</para>
  98 </description>
  99
 100 <related>realm</related>
 101 <related>encrypt passwords</related>
 102
 103 <value type="default">AUTO</value>
 104 <value type="example">DOMAIN</value>
 105 </samba:parameter>