SSSD + Samba4. Не узнаются SIDы ADшные

[PUL]

Здравствуйте. <Лирика>Получаю удовольствие от использования Ubuntu в качестве раб.станции, теперь ещё и охотствую, чтоб и сервера она возглавляла. </Лирика>

Первая моя задача, сделать файловое хранилище с правами доступа доменными на Ubuntu 14.04.4, да ещё чтоб права можно было регулировать из под Windows обычной расстановкой галочек.

Имеется домен уровня Windows 2000 (КД Win2003).
Успешно ввёл в домен по этой инструкции: https://help.ubuntu.com/lts/serverguide/sssd-ad.html

Samba донастраивался вот так: https://wiki.samba.org/index.php/Shares_with_Windows_ACLs

Публикую свою шару... Радуюсь. Галочки расставляются, сохраняются, всё складно да ладно на первый взгляд. Однако, при перелогинивании на этой же станции обнаружил, что пропадают имена пользователей и групп в правах, а вместо них красуются SIDы. И лишь одна группа "Все" - остаётся в строю. Ну и конечно, права галочные не применяются как надо (за исключением группы "Все").

Пробую на сервере id различные имена пользователей, узнаёт, но заметил, что лишь последние 4 цифры в UID совпадают с SID из AD. (Использовал и с раб станции утилиту psgetsid. Ubuntu отдаёт, но совпадает только первая S- и последние 4 цифры в сравнении с доменом.

Пример опроса с раб станции: server - Win КД, termos - Ubuntu

Код: [Выделить]

c:\PSTools>psgetsid \\server student

PsGetSid v1.44 - Translates SIDs to names and vice versa
Copyright (C) 1999-2008 Mark Russinovich
Sysinternals - www.sysinternals.com

SID for TERM\student:
S-1-5-21-2649717512-519007928-2778379581-1220

c:\PSTools>psgetsid \\termos student

PsGetSid v1.44 - Translates SIDs to names and vice versa
Copyright (C) 1999-2008 Mark Russinovich
Sysinternals - www.sysinternals.com

SID for UNIX USER\student:
S-1-22-1-727001220
Причём примечательно, что Samba корректно обрабатывает допуск в случае указания в конфиг файле читающих, пишущих, админов шары. А вот с галками недопонимание.

Что-то тут не так... Не могли бы подсказать, что именно?

Конфиги: Samba - testparm:

(Нажмите, чтобы показать/скрыть)

[global]
   workgroup = TERM
   realm = TERM.LOCAL
   server string = %h server (Samba, Ubuntu)
   server role = standalone server
   security = ADS
   map to guest = Bad User
   obey pam restrictions = Yes
   pam password change = Yes
   passwd program = /usr/bin/passwd %u
   passwd chat = *Enter\snew\s*\spassword:* %n\n *Retype\snew\s*\spassword:* %n\n *password\supdated\ssuccessfully* .
   unix password sync = Yes
   kerberos method = secrets and keytab
   syslog = 0
   log file = /var/log/samba/log.%m
   max log size = 1000
   client signing = if_required
   dns proxy = No
   usershare allow guests = Yes
   panic action = /usr/share/samba/panic-action %d
   idmap config * : backend = tdb
   map acl inherit = Yes
   store dos attributes = Yes
   vfs objects = acl_xattr

[printers]
   comment = All Printers
   path = /var/spool/samba
   create mask = 0700
   printable = Yes
   print ok = Yes
   browseable = No

[print$]
   comment = Printer Drivers
   path = /var/lib/samba/printers

[IT]
   path = /home/PUBLIC/IT
   admin users = @TERM\grp_Admins
   write list = @TERM\grp_Admins

[Проекты]
   comment = Коммент
   path = /mnt/LOCAL/DATA/Проекты
   valid users = "@TERM\Domain Users"
   admin users = @TERM\grp_Admins
   write list = @TERM\grp_Admins

SSSD конфиг:

(Нажмите, чтобы показать/скрыть)

[sssd]
services = nss, pam
config_file_version = 2
domains = TERM.LOCAL

[domain/TERM.LOCAL]
id_provider = ad
access_provider = ad

override_homedir = /home/%d/%u

[AnrDaemon]

Что помешало использовать winbind?

[PUL]

Да, я уж тоже начинаю отчаиваться и поглядывать на WinBind... Да где-то читанул, что SSSD - круче и современнее и многофункциональнее, вот меня и подцепило. А так как ранее не делал этого, то мне было изначально надо было научиться, сразу выбрал то, что ?круче?

А на деле - долго буксую.

Если сейчас начну переиначивать под winbind, опять время. )

[AnrDaemon]

Круче? Возможно. Больше рюшечек и перделочек.
Но - оно вам нужно?… Если задачу можно решить простым и сложным способом, нормальный админ выберет простой - меньше шансов, что он сломается, следовательно, легче чинить, когда всё таки ломается.

[PUL]

Да. При winbind работает.