docs-xml/smbdotconf/winbind/idmapconfig.xml

   1 <samba:parameter name="idmap config DOMAIN : OPTION"
   2                  context="G"
   3                  type="string"
   4                  xmlns:samba="http://www.samba.org/samba/DTD/samba-doc">
   5 <description>
   6
   7         <para>
   8         ID mapping in Samba is the mapping between Windows SIDs and Unix user
   9         and group IDs. This is performed by Winbindd with a configurable plugin
  10         interface. Samba's ID mapping is configured by options starting with the
  11         <smbconfoption name="idmap config"/> prefix.
  12         An idmap option consists of the <smbconfoption name="idmap config"/>
  13         prefix, followed by a domain name or the asterisk character (*),
  14         a colon, and the name of an idmap setting for the chosen domain.
  15         </para>
  16
  17         <para>
  18         The idmap configuration is hence divided into groups, one group
  19         for each domain to be configured, and one group with the
  20         asterisk instead of a proper domain name, which specifies the
  21         default configuration that is used to catch all domains that do
  22         not have an explicit idmap configuration of their own.
  23         </para>
  24
  25         <para>
  26         There are three general options available:
  27         </para>
  28
  29         <variablelist>
  30                 <varlistentry>
  31                 <term>backend = backend_name</term>
  32                 <listitem><para>
  33                 This specifies the name of the idmap plugin to use as the
  34                 SID/uid/gid backend for this domain. The standard backends are
  35                 tdb
  36                 (<citerefentry><refentrytitle>idmap_tdb</refentrytitle> <manvolnum>8</manvolnum> </citerefentry>),
  37                 tdb2
  38                 (<citerefentry><refentrytitle>idmap_tdb2</refentrytitle> <manvolnum>8</manvolnum></citerefentry>),
  39                 ldap
  40                 (<citerefentry><refentrytitle>idmap_ldap</refentrytitle> <manvolnum>8</manvolnum></citerefentry>),
  41                 rid
  42                 (<citerefentry><refentrytitle>idmap_rid</refentrytitle> <manvolnum>8</manvolnum></citerefentry>),
  43                 hash
  44                 (<citerefentry><refentrytitle>idmap_hash</refentrytitle> <manvolnum>8</manvolnum></citerefentry>),
  45                 autorid
  46                 (<citerefentry><refentrytitle>idmap_autorid</refentrytitle> <manvolnum>8</manvolnum></citerefentry>),
  47                 ad
  48                 (<citerefentry><refentrytitle>idmap_ad</refentrytitle> <manvolnum>8</manvolnum></citerefentry>)
  49                 and nss
  50                 (<citerefentry><refentrytitle>idmap_nss</refentrytitle> <manvolnum>8</manvolnum></citerefentry>).
  51                 The corresponding manual pages contain the details, but
  52                 here is a summary.
  53                 </para>
  54                 <para>
  55                 The first three of these create mappings of their own using
  56                 internal unixid counters and store the mappings in a database.
  57                 These are suitable for use in the default idmap configuration.
  58                 The rid and hash backends use a pure algorithmic calculation
  59                 to determine the unixid for a SID. The autorid module is a
  60                 mixture of the tdb and rid backend. It creates ranges for
  61                 each domain encountered and then uses the rid algorithm for each
  62                 of these automatically configured domains individually.
  63                 The ad backend uses unix ids stored in Active Directory via
  64                 the standard schema extensions. The nss backend reverses
  65                 the standard winbindd setup and gets the unix ids via names
  66                 from nsswitch which can be useful in an ldap setup.
  67                 </para></listitem>
  68                 </varlistentry>
  69
  70                 <varlistentry>
  71                 <term>range = low - high</term>
  72                 <listitem><para>
  73                 Defines the available matching uid and gid range for which the
  74                 backend is authoritative. For allocating backends, this also
  75                 defines the start and the end of the range for allocating
  76                 new unique IDs.
  77                 </para>
  78                 <para>
  79                 winbind uses this parameter to find the backend that is
  80                 authoritative for a unix ID to SID mapping, so it must be set
  81                 for each individually configured domain and for the default
  82                 configuration. The configured ranges must be mutually disjoint.
  83                 </para>
  84                 <para>
  85                 Note that the low value interacts with the <smbconfoption name="min domain uid"/> option!
  86                 </para></listitem>
  87                 </varlistentry>
  88
  89                 <varlistentry>
  90                 <term>read only = yes|no</term>
  91                 <listitem><para>
  92                 This option can be used to turn the writing backends
  93                 tdb, tdb2, and ldap into read only mode. This can be useful
  94                 e.g. in cases where a pre-filled database exists that should
  95                 not be extended automatically.
  96                 </para></listitem>
  97                 </varlistentry>
  98         </variablelist>
  99
 100         <para>
 101         The following example illustrates how to configure the <citerefentry>
 102         <refentrytitle>idmap_ad</refentrytitle> <manvolnum>8</manvolnum>
 103         </citerefentry> backend for the CORP domain and the
 104         <citerefentry><refentrytitle>idmap_tdb</refentrytitle>
 105         <manvolnum>8</manvolnum></citerefentry> backend for all other
 106         domains. This configuration assumes that the admin of CORP assigns
 107         unix ids below 1000000 via the SFU extensions, and winbind is supposed
 108         to use the next million entries for its own mappings from trusted
 109         domains and for local groups for example.
 110         </para>
 111
 112         <programlisting>
 113         idmap config * : backend = tdb
 114         idmap config * : range = 1000000-1999999
 115
 116         idmap config CORP : backend  = ad
 117         idmap config CORP : range = 1000-999999
 118         </programlisting>
 119
 120 </description>
 121 <related>min domain uid</related>
 122 </samba:parameter>