Доверие доменов samba Astra linux

Ограничения Samba Winbind:
   политики не управляются централизованно и должны распространяться вне группы;

domain\\user ALL=(ALL) ALL

%DOMAIN\\domain^users ... 

[libdefaults]
default_realm = BASE_DOMAIN
kdc_timesync = 1
ccache_type = 4
forwardable = true
proxiable = true
[realms]
BASE_DOMAIN = {
kdc = FDC.base_domain
kdc = SDC.base_domain
admin_server = FDC.base_domain
default_domain = base_domain
auth_to_local = RULE:[1:$1@$0](^.*@BASE_DOMAIN$)s/@BASE_DOMAIN/@base_domain/
auth_to_local = DEFAULT
}
DOMAIN_TWO = {
kdc = bases.domain_two
admin_server = bases.domain_two
default_domain = domain_two
auth_to_local = RULE:[1:$1@$0](^.*@DOMAIN_TWO$)s/@DOMAIN_TWO/@domain_two/
auth_to_local = DEFAULT
}
[domain_realm]
.base_domain = BASE_DOMAIN
base_domain = BASE_DOMAIN
.domain_two = DOMAIN_TWO
domain_two = DOMAIN_TWO
[login]
krb4_convert = false
krb4_get_tickets = false

[global]
#В этом режиме Samba работает как член домена AD
security = ADS
#Устанавливает строку комментария к принтеру, которая будет видна в диспетчере печати и в сетевом окружении
server string=share Astra Linux
#Параметр указывает на принадлежность сервера к рабочей группе (домену)
workgroup = BASE_DOMAIN
#Указывается зона домена
realm = base_domain
#Для сопоставление локальных id пользователей и доменных, для домена по умолчанию (*) выберем режим tdb (который позволяет и писать и читать id в свою базу данных)
idmap config * : backend = tdb
#Диапазон id пользователей для нашего домена
idmap config * : range = 3000-7999
#Выберем для нашего домена режим RID, который работает в режиме «только чтение». Этот режим извлекает информацию об учетных записях и группах из контроллера домена
idmap config base_domain : backend = rid
#Диапазон id пользователей для нашего домена
idmap config base_domain : range = 10000-999999
#Отключаем режим работы мастер браузер домена
domain master = No
#Поддержка определенных системных вызовов, позволяющих приложениям видеть доменных пользователей
winbind enum groups = yes
#Тоже самое, но для групп
winbind enum users = yes
#Разрешим управлять пользователями без доменной части в имени пользователя
winbind use default domain = yes
#Включим поддержку вложенных групп
winbind nested groups = yes
#Укажем, что winbind должен обновлять билеты Kerberos
winbind refresh tickets = yes
# Кодировка компьютера на котором работает samba
unix charset = utf-8
#Укажем, что нужно переопределять кодировку для dos клиентов
dos charset = cp866
#Служба nmbd не будет предпочитаемым мастер браузером
preferred master = No
#Не будет локальным мастером браузером
local master = No
#Этот параметр управляет, могут ли сервером использоваться символические ссылки в файловой системе UNIX
wide links = yes
#Укажем, что нужно преобразовать права доступа unix в списки доступа Windows NT
nt acl support = yes
#В posix файловых системах, только владелец файла и суперпользователь может изменить разрешения и acl для файла. Этим параметром отменим это ограничение.
acl group control = yes
#Укажем, что нужно использовать расширенные атрибуты файлов
map acl inherit = yes
#Модуль позволит использовать acl Windows, то есть будет возможно редактировать права из Windows
vfs objects = acl_xattr
#Укажем, что нужно считывать DOS атрибуты (системный, скрытый, архивный, только для чтения)
store dos attributes = Yes
#Эта опция позволяет переопределить имя файла событий
log file = /home/log/samba/log.%m
#И максимальный размер файла событий.
max log size = 1000
#Заставим синхронизировать пароли unix с паролями smb
unix password sync = yes
#Оболочка по умолчанию для доменных пользователей
template shell = /bin/bash
#Домашний каталог для доменных пользователей
template homedir = /home/%U@%D
#Параметры определяют минимальную и максимальную версии протокола, используемую клиентом
client min protocol = SMB2
client max protocol = SMB3
#Для распознавания доверенного домена
winbind scan trusted domains = Yes

%администратор@DOMAIN_TWO ALL=(ALL) ALL
%администратор@domain_two ALL=(ALL) ALL
%DOMAIN_TWO\\администратор ALL=(ALL) ALL
%domain_two\\администратор ALL=(ALL) ALL
%DOMAIN_TWO\\администратор@domain_two ALL=(ALL) ALL
%domain_two\\администратор@domain_two ALL=(ALL) ALL
%DOMAIN_TWO\\domain_two^администратор ALL=(ALL) ALL

winbind use default domain = yes

%wheel        ALL=(ALL)       ALL

%MYDOMAIN\\domain\ admins  ALL=(ALL) ALL