Понимаю, что что-то недоделано. Конфиг свой приводил в начале темы. В последнем варианте он приведен к виду который AnrDaemon предложил в предпоследнем своем посте (в плане настройки idmap). Вопрос к AnrDaemon - у вас приведенная конфигурация работает на samba 4.3.11 и генерились ли базы idmap на этой версии (или на предыдущеих версиях)? По ощущениям - либо недоставлен какой-то пакет (только непонятно какой), либо это баг в idmap или winbind, может и в парсере конфига.