Samba3-HOWTO/TOSHARG-NT4Migration.xml

   1 <?xml version="1.0" encoding="iso-8859-1"?>
   2 <!DOCTYPE chapter PUBLIC "-//Samba-Team//DTD DocBook V4.2-Based Variant V1.0//EN" "http://www.samba.org/samba/DTD/samba-doc">
   3 <chapter id="NT4Migration">
   4 <chapterinfo>
   5         &author.jht;
   6         <pubdate>April 3, 2003</pubdate>
   7 </chapterinfo>
   8
   9 <title>Migration from NT4 PDC to Samba-3 PDC</title>
  10
  11 <para>
  12 <indexterm><primary>migrate</primary></indexterm>
  13 <indexterm><primary>domain control</primary></indexterm>
  14 This is a rough guide to assist those wishing to migrate from NT4 domain control to
  15 Samba-3-based domain control.
  16 </para>
  17
  18 <sect1>
  19 <title>Planning and Getting Started</title>
  20
  21 <para>
  22 <indexterm><primary>show-stopper-type</primary></indexterm>
  23 In the IT world there is often a saying that all problems are encountered because of
  24 poor planning. The corollary to this saying is that not all problems can be anticipated
  25 and planned for. Then again, good planning will anticipate most show-stopper-type situations.
  26 </para>
  27
  28 <para>
  29 <indexterm><primary>migration plan</primary></indexterm>
  30 Those wishing to migrate from MS Windows NT4 domain control to a Samba-3 domain control
  31 environment would do well to develop a detailed migration plan. So here are a few pointers to
  32 help migration get underway.
  33 </para>
  34
  35 <sect2>
  36 <title>Objectives</title>
  37
  38 <para>
  39 <indexterm><primary>migration process</primary></indexterm>
  40 The key objective for most organizations is to make the migration from MS Windows NT4
  41 to Samba-3 domain control as painless as possible. One of the challenges you may experience
  42 in your migration process may well be convincing management that the new environment
  43 should remain in place. Many who have introduced open source technologies have experienced
  44 pressure to return to a Microsoft-based platform solution at the first sign of trouble.
  45 </para>
  46
  47 <para>
  48 <indexterm><primary>change motivations</primary></indexterm>
  49 Before attempting a migration to a Samba-3-controlled network, make every possible effort to
  50 gain all-round commitment to the change. Know precisely <emphasis>why</emphasis> the change
  51 is important for the organization. Possible motivations to make a change include:
  52 </para>
  53
  54 <indexterm><primary>manageability</primary></indexterm>
  55 <indexterm><primary>functionality</primary></indexterm>
  56 <indexterm><primary>operating costs</primary></indexterm>
  57 <indexterm><primary>support exposure</primary></indexterm>
  58 <indexterm><primary>licensing</primary></indexterm>
  59
  60 <itemizedlist>
  61     <listitem><para>Improve network manageability.</para></listitem>
  62     <listitem><para>Obtain better user-level functionality.</para></listitem>
  63     <listitem><para>Reduce network operating costs.</para></listitem>
  64     <listitem><para>Reduce exposure caused by Microsoft withdrawal of NT4 support.</para></listitem>
  65     <listitem><para>Avoid MS License 6 implications.</para></listitem>
  66     <listitem><para>Reduce organization's dependency on Microsoft.</para></listitem>
  67 </itemizedlist>
  68
  69 <para>
  70 <indexterm><primary>alternative solution</primary></indexterm>
  71 <indexterm><primary>advantages</primary></indexterm>
  72 <indexterm><primary>core values</primary></indexterm>
  73 <indexterm><primary>migration</primary></indexterm>
  74 <indexterm><primary>ADS</primary></indexterm>
  75 <indexterm><primary>without ADS</primary></indexterm>
  76 Make sure everyone knows that Samba-3 is not MS Windows NT4. Samba-3 offers
  77 an alternative solution that is both different from MS Windows NT4 and offers
  78 advantages compared with it. Gain recognition that Samba-3 lacks many of the
  79 features that Microsoft has promoted as core values in migration from MS Windows NT4 to
  80 MS Windows 2000 and beyond (with or without Active Directory services).
  81 </para>
  82
  83 <para>
  84 What are the features that Samba-3 cannot provide?
  85 </para>
  86
  87 <indexterm><primary>Active Directory Server</primary></indexterm>
  88 <indexterm><primary>Group Policy Objects</primary></indexterm>
  89 <indexterm><primary>Machine Policy Objects</primary></indexterm>
  90 <indexterm><primary>Logon Scripts</primary></indexterm>
  91 <indexterm><primary>Access Controls</primary></indexterm>
  92
  93 <itemizedlist>
  94         <listitem><para>Active Directory Server.</para></listitem>
  95         <listitem><para>Group Policy Objects (in Active Directory).</para></listitem>
  96         <listitem><para>Machine Policy Objects.</para></listitem>
  97         <listitem><para>Logon Scripts in Active Directory.</para></listitem>
  98         <listitem><para>Software Application and Access Controls in Active Directory.</para></listitem>
  99 </itemizedlist>
 100
 101 <para>
 102 The features that Samba-3 does provide and that may be of compelling interest to your site
 103 include:
 104 </para>
 105
 106 <indexterm><primary>ownership cost</primary></indexterm>
 107 <indexterm><primary>Global support</primary></indexterm>
 108 <indexterm><primary>Dynamic SMB servers</primary></indexterm>
 109 <indexterm><primary>on-the-fly logon scripts</primary></indexterm>
 110 <indexterm><primary>on-the-fly policy files</primary></indexterm>
 111 <indexterm><primary>stability</primary></indexterm>
 112 <indexterm><primary>reliability</primary></indexterm>
 113 <indexterm><primary>performance</primary></indexterm>
 114 <indexterm><primary>availability</primary></indexterm>
 115 <indexterm><primary>Manageability</primary></indexterm>
 116 <indexterm><primary>backend authentication</primary></indexterm>
 117 <indexterm><primary>tdbsam</primary></indexterm>
 118 <indexterm><primary>ldapsam</primary></indexterm>
 119 <indexterm><primary>mysqlsam</primary></indexterm>
 120 <indexterm><primary>single-sign-on</primary></indexterm>
 121 <indexterm><primary>distribute authentication systems</primary></indexterm>
 122
 123 <itemizedlist>
 124         <listitem><para>Lower cost of ownership.</para></listitem>
 125         <listitem><para>Global availability of support with no strings attached.</para></listitem>
 126         <listitem><para>Dynamic SMB servers (can run more than one SMB/CIFS server per UNIX/Linux system).</para></listitem>
 127         <listitem><para>Creation of on-the-fly logon scripts.</para></listitem>
 128         <listitem><para>Creation of on-the-fly policy files.</para></listitem>
 129         <listitem><para>Greater stability, reliability, performance, and availability.</para></listitem>
 130         <listitem><para>Manageability via an SSH connection.</para></listitem>
 131         <listitem><para>Flexible choices of backend authentication technologies (tdbsam, ldapsam, mysqlsam).</para></listitem>
 132         <listitem><para>Ability to implement a full single-sign-on architecture.</para></listitem>
 133         <listitem><para>Ability to distribute authentication systems for absolute minimum wide-area network bandwidth demand.</para></listitem>
 134 </itemizedlist>
 135
 136 <para>
 137 <indexterm><primary>successful migration</primary></indexterm>
 138 Before migrating a network from MS Windows NT4 to Samba-3, consider all necessary factors. Users
 139 should be educated about changes they may experience so the change will be a welcome one
 140 and not become an obstacle to the work they need to do. The following sections explain factors that will
 141 help ensure a successful migration.
 142 </para>
 143
 144 <sect3>
 145 <title>Domain Layout</title>
 146
 147 <para>
 148 <indexterm><primary>domain controller</primary></indexterm>
 149 <indexterm><primary>backup domain controller</primary></indexterm>
 150 <indexterm><primary>secondary controller</primary></indexterm>
 151 <indexterm><primary>domain member</primary></indexterm>
 152 <indexterm><primary>standalone server</primary></indexterm>
 153 <indexterm><primary>network security</primary></indexterm>
 154 <indexterm><primary>domain context</primary></indexterm>
 155 <indexterm><primary>PDC</primary></indexterm>
 156 <indexterm><primary>BDCs</primary></indexterm>
 157 <indexterm><primary>LDAP</primary></indexterm>
 158 <indexterm><primary>authentication backend</primary></indexterm>
 159 <indexterm><primary>complex organization</primary></indexterm>
 160 <indexterm><primary>LDAP database</primary></indexterm>
 161 <indexterm><primary>master server</primary></indexterm>
 162 <indexterm><primary>slave servers</primary></indexterm>
 163 <indexterm><primary>multiple domains</primary></indexterm>
 164 Samba-3 can be configured as a domain controller, a backup domain controller (probably best called
 165 a secondary controller), a domain member, or a standalone server. The Windows network security
 166 domain context should be sized and scoped before implementation. Particular attention needs to be
 167 paid to the location of the Primary Domain Controller (PDC) as well as backup controllers (BDCs).
 168 One way in which Samba-3 differs from Microsoft technology is that if one chooses to use an LDAP
 169 authentication backend, then the same database can be used by several different domains. In a
 170 complex organization, there can be a single LDAP database, which itself can be distributed (have
 171 a master server and multiple slave servers) that can simultaneously serve multiple domains.
 172 </para>
 173
 174 <para>
 175 <indexterm><primary>network bandwidth</primary></indexterm>
 176 From a design perspective, the number of users per server as well as the number of servers per
 177 domain should be scaled taking into consideration server capacity and network bandwidth.
 178 </para>
 179
 180 <para>
 181 <indexterm><primary>network segment</primary></indexterm>
 182 <indexterm><primary>multiple network segments</primary></indexterm>
 183 <indexterm><primary>domain controller</primary></indexterm>
 184 <indexterm><primary>ping</primary></indexterm>
 185 <indexterm><primary>BDC</primary></indexterm>
 186 <indexterm><primary>remote segment</primary></indexterm>
 187 A physical network segment may house several domains. Each may span multiple network segments.
 188 Where domains span routed network segments, consider and test the performance implications of
 189 the design and layout of a network. A centrally located domain controller that is designed to
 190 serve multiple routed network segments may result in severe performance problems. Check the
 191 response time (ping timing) between the remote segment and the PDC. If it's long (more than 100 ms),
 192 locate a BDC on the remote segment to serve as the local authentication and access control server.
 193 </para>
 194 </sect3>
 195
 196 <sect3>
 197 <title>Server Share and Directory Layout</title>
 198
 199 <para>
 200 <indexterm><primary>Simplicity is king</primary></indexterm>
 201 <indexterm><primary>well-controlled network</primary></indexterm>
 202 There are cardinal rules to effective network design that cannot be broken with impunity.
 203 The most important rule: Simplicity is king in every well-controlled network. Every part of
 204 the infrastructure must be managed; the more complex it is, the greater will be the demand
 205 of keeping systems secure and functional.
 206 </para>
 207
 208 <para>
 209 <indexterm><primary>disk space</primary></indexterm>
 210 <indexterm><primary>backed up</primary></indexterm>
 211 <indexterm><primary>tape</primary></indexterm>
 212 <indexterm><primary>backup</primary></indexterm>
 213 <indexterm><primary>validate every backup</primary></indexterm>
 214 <indexterm><primary>disaster recovery</primary></indexterm>
 215 Keep in mind the nature of how data must be shared. Physical disk space layout should be considered
 216 carefully. Some data must be backed up. The simpler the disk layout, the easier it will be to
 217 keep track of backup needs. Identify what backup media will meet your needs; consider backup to tape,
 218 CD-ROM or DVD-ROM, or other offline storage medium. Plan and implement for minimum
 219 maintenance. Leave nothing to chance in your design; above all, do not leave backups to chance:
 220 backup, test, and validate every backup; create a disaster recovery plan and prove that it works.
 221 </para>
 222
 223 <para>
 224 <indexterm><primary>access control needs</primary></indexterm>
 225 <indexterm><primary>group permissions</primary></indexterm>
 226 <indexterm><primary>sticky bit</primary></indexterm>
 227 Users should be grouped according to data access control needs. File and directory access
 228 is best controlled via group permissions, and the use of the <quote>sticky bit</quote> on group-controlled
 229 directories may substantially avoid file access complaints from Samba share users.
 230 </para>
 231
 232 <para>
 233 <indexterm><primary>network administrators</primary></indexterm>
 234 <indexterm><primary>document design</primary></indexterm>
 235 <indexterm><primary>simple access controls</primary></indexterm>
 236 <indexterm><primary>obtuse complexity</primary></indexterm>
 237 <indexterm><primary>document design</primary></indexterm>
 238 Inexperienced  network administrators often attempt elaborate techniques to set access
 239 controls on files, directories, shares, as well as in share definitions.
 240 Keep your design and implementation simple and document your design extensively. Have others
 241 audit your documentation. Do not create a complex mess that your successor will not understand.
 242 Remember, job security through complex design and implementation may cause loss of operations
 243 and downtime to users as the new administrator learns to untangle your knots. Keep access
 244 controls simple and effective, and make sure that users will never be interrupted by obtuse
 245 complexity.
 246 </para>
 247 </sect3>
 248
 249 <sect3>
 250 <title>Logon Scripts</title>
 251
 252 <para>
 253 <indexterm><primary>Logon scripts</primary></indexterm>
 254 Logon scripts can help to ensure that all users gain the share and printer connections they need.
 255 </para>
 256
 257 <para>
 258 Logon scripts can be created on the fly so all commands executed are specific to the
 259 rights and privileges granted to the user. The preferred controls should be effected through
 260 group membership so group information can be used to create a custom logon script using
 261 the <smbconfoption name="root preexec"/> parameters to the <smbconfsection name="NETLOGON"/> share.
 262 </para>
 263
 264 <para>
 265 <indexterm><primary>kixstart</primary></indexterm>
 266 Some sites prefer to use a tool such as <command>kixstart</command> to establish a controlled
 267 user environment. In any case, you may wish to do a Google search for logon script process controls.
 268 In particular, you may wish to explore the use of the Microsoft Knowledge Base article KB189105 that
 269 deals with how to add printers without user intervention via the logon script process.
 270 </para>
 271 </sect3>
 272
 273 <sect3>
 274 <title>Profile Migration/Creation</title>
 275
 276 <para>
 277 User and group profiles may be migrated using the tools described in the section titled Desktop Profile
 278 Management.
 279 </para>
 280
 281
 282 <para>
 283 <indexterm><primary>SID</primary></indexterm>
 284 <indexterm><primary>NTuser.DAT</primary></indexterm>
 285 Profiles may also be managed using the Samba-3 tool <command>profiles</command>. This tool allows the MS
 286 Windows NT-style security identifiers (SIDs) that are stored inside the profile
 287 <filename>NTuser.DAT</filename> file to be changed to the SID of the Samba-3 domain.
 288 </para>
 289 </sect3>
 290
 291 <sect3>
 292 <title>User and Group Accounts</title>
 293
 294 <para>
 295 <indexterm><primary>migrate account settings</primary></indexterm>
 296 <indexterm><primary>migrate user</primary></indexterm>
 297 <indexterm><primary>migrate group</primary></indexterm>
 298 <indexterm><primary>map</primary></indexterm>
 299 It is possible to migrate all account settings from an MS Windows NT4 domain to Samba-3. Before
 300 attempting to migrate user and group accounts, you are STRONGLY advised to create in Samba-3 the
 301 groups that are present on the MS Windows NT4 domain <emphasis>AND</emphasis> to map them to
 302 suitable UNIX/Linux groups. By following this simple advice, all user and group attributes
 303 should migrate painlessly.
 304 </para>
 305 </sect3>
 306
 307 </sect2>
 308
 309 <sect2>
 310 <title>Steps in Migration Process</title>
 311
 312 <para>
 313 The approximate migration process is described below.
 314 </para>
 315
 316 <itemizedlist>
 317         <listitem><para>
 318         You have an NT4 PDC that has the users, groups, policies, and profiles to be migrated.
 319         </para></listitem>
 320
 321         <listitem><para>
 322 <indexterm><primary>domain controller</primary></indexterm>
 323 <indexterm><primary>netlogon share</primary></indexterm>
 324 <indexterm><primary>BDC</primary></indexterm>
 325         Samba-3 is set up as a domain controller with netlogon share, profile share, and so on. Configure the &smb.conf; file
 326         to function as a BDC: <parameter>domain master = No</parameter>.
 327         </para></listitem>
 328 </itemizedlist>
 329
 330 <procedure>
 331 <title>The Account Migration Process</title>
 332
 333         <step><para>
 334         <indexterm><primary>pdbedit</primary></indexterm>
 335         Create a BDC account in the old NT4 domain for the Samba server using NT Server Manager.
 336         <emphasis>Samba must not be running.</emphasis>
 337         </para></step>
 338
 339         <step><para>
 340         <indexterm><primary>net</primary><secondary>rpc</secondary><tertiary>join</tertiary></indexterm>
 341         <userinput>net rpc join -S <replaceable>NT4PDC</replaceable> -w <replaceable>DOMNAME</replaceable> -U
 342         Administrator%<replaceable>passwd</replaceable></userinput>
 343         </para></step>
 344
 345         <step><para>
 346 <indexterm><primary>net</primary><secondary>rpc</secondary><tertiary>vampire</tertiary></indexterm>
 347         <userinput>net rpc vampire -S <replaceable>NT4PDC</replaceable> -U
 348         administrator%<replaceable>passwd</replaceable></userinput>
 349         </para></step>
 350
 351 <indexterm><primary>pdbedit</primary></indexterm>
 352         <step><para><userinput>pdbedit -L</userinput></para>
 353                 <para>Note: Did the users migrate?</para>
 354         </step>
 355
 356         <step><para>
 357         <indexterm><primary>net</primary><secondary>groupmap</secondary></indexterm>
 358         <indexterm><primary>initGroups.sh</primary></indexterm>
 359         Now assign each of the UNIX groups to NT groups:
 360         (It may be useful to copy this text to a script called <filename>initGroups.sh</filename>)
 361         <programlisting>
 362 #!/bin/bash
 363 #### Keep this as a shell script for future re-use
 364
 365 # First assign well known domain global groups
 366 net groupmap modify ntgroup="Domain Admins" unixgroup=root
 367 net groupmap modify ntgroup="Domain Users"  unixgroup=users
 368 net groupmap modify ntgroup="Domain Guests" unixgroup=nobody
 369
 370 # Now for our added domain global groups
 371 net groupmap add ntgroup="Designers" unixgroup=designers type=d
 372 net groupmap add ntgroup="Engineers" unixgroup=engineers type=d
 373 net groupmap add ntgroup="QA Team"   unixgroup=qateam    type=d
 374 </programlisting>
 375         </para></step>
 376
 377         <step><para><userinput>net groupmap list</userinput></para>
 378                 <para>Check that all groups are recognized.
 379         </para></step>
 380 </procedure>
 381
 382 <para>
 383 Migrate all the profiles, then migrate all policy files.
 384 </para>
 385
 386 </sect2>
 387 </sect1>
 388
 389 <sect1>
 390 <title>Migration Options</title>
 391
 392 <para>
 393 Sites that wish to migrate from MS Windows NT4 domain control to a Samba-based solution
 394 generally fit into three basic categories. <link linkend="majtypes">Following table</link> shows the possibilities.
 395 </para>
 396
 397 <table frame="all" id="majtypes"><title>The Three Major Site Types</title>
 398 <tgroup cols="2">
 399         <colspec align="left"/>
 400         <colspec align="justify"/>
 401         <thead>
 402         <row><entry>Number of Users</entry><entry>Description</entry></row>
 403         </thead>
 404         <tbody>
 405         <row><entry>&lt; 50</entry><entry><para>Want simple conversion with no pain.</para></entry></row>
 406         <row><entry>50 - 250</entry><entry><para>Want new features; can manage some inhouse complexity.</para></entry></row>
 407         <row><entry>&gt; 250</entry><entry><para>Solution/implementation must scale well; complex needs.
 408                 Cross-departmental decision process. Local expertise in most areas.</para></entry></row>
 409         </tbody>
 410 </tgroup>
 411 </table>
 412
 413 <sect2>
 414 <title>Planning for Success</title>
 415
 416 <para>
 417 There are three basic choices for sites that intend to migrate from MS Windows NT4
 418 to Samba-3:
 419 </para>
 420
 421 <itemizedlist>
 422         <listitem><para>
 423         Simple conversion (total replacement).
 424         </para></listitem>
 425
 426         <listitem><para>
 427         Upgraded conversion (could be one of integration).
 428         </para></listitem>
 429
 430         <listitem><para>
 431         Complete redesign (completely new solution).
 432         </para></listitem>
 433 </itemizedlist>
 434
 435 <para>
 436 Minimize downstream problems by:
 437 </para>
 438
 439 <itemizedlist>
 440         <listitem><para>
 441         Taking sufficient time.
 442         </para></listitem>
 443
 444         <listitem><para>
 445         Avoiding panic.
 446         </para></listitem>
 447
 448         <listitem><para>
 449         Testing all assumptions.
 450         </para></listitem>
 451
 452         <listitem><para>
 453         Testing the full roll-out program, including workstation deployment.
 454         </para></listitem>
 455 </itemizedlist>
 456
 457 <para><link linkend="natconchoices">Following table</link> lists the conversion choices given the type of migration
 458 being contemplated.
 459 </para>
 460
 461 <table frame="all" id="natconchoices"><title>Nature of the Conversion Choices</title>
 462 <tgroup cols="3">
 463         <colspec align="justify" colwidth="1*"/>
 464         <colspec align="justify" colwidth="1*"/>
 465         <colspec align="justify" colwidth="1*"/>
 466         <thead>
 467         <row><entry>Simple Install</entry><entry>Upgrad Decisions</entry><entry>Redesign Decisions</entry></row>
 468         </thead>
 469         <tbody>
 470         <row>
 471         <entry><para>Make use of minimal OS specific features</para></entry>
 472         <entry><para>Translate NT4 features to new host OS features</para></entry>
 473         <entry><para>Improve on NT4 functionality, enhance management capabilities</para></entry>
 474         </row>
 475         <row>
 476         <entry><para>Move all accounts from NT4 into Samba-3</para></entry>
 477         <entry><para>Copy and improve</para></entry>
 478         <entry><para>Authentication regime (database location and access)</para></entry>
 479         </row>
 480         <row>
 481         <entry><para>Make least number of operational changes</para></entry>
 482         <entry><para>Make progressive improvements</para></entry>
 483         <entry><para>Desktop management methods</para></entry>
 484         </row>
 485         <row>
 486         <entry><para>Take least amount of time to migrate</para></entry>
 487         <entry><para>Minimize user impact</para></entry>
 488         <entry><para>Better control of Desktops/Users</para></entry>
 489         </row>
 490         <row>
 491         <entry><para>Live versus isolated conversion</para></entry>
 492         <entry><para>Maximize functionality</para></entry>
 493         <entry><para>Identify Needs for: <emphasis>Manageability, Scalability, Security, Availability</emphasis></para></entry>
 494         </row>
 495         <row>
 496         <entry><para>Integrate Samba-3, then migrate while users are active, then change of control (swap out)</para></entry>
 497         <entry><para>Take advantage of lower maintenance opportunity</para></entry>
 498         <entry><para></para></entry>
 499         </row>
 500         </tbody>
 501 </tgroup>
 502 </table>
 503 </sect2>
 504
 505 <sect2>
 506 <title>Samba-3 Implementation Choices</title>
 507
 508 <variablelist>
 509                 <varlistentry><term>Authentication Database/Backend</term><listitem>
 510                 <para>
 511                 Samba-3 can use an external authentication backend:
 512                 </para>
 513
 514                 <para>
 515                 <itemizedlist>
 516                         <listitem><para>Winbind (external Samba or NT4/200x server).</para></listitem>
 517                         <listitem><para>External server could use Active Directory or NT4 domain.</para></listitem>
 518                         <listitem><para>Can use pam_mkhomedir.so to autocreate home directories.</para></listitem>
 519                         <listitem><para> Samba-3 can use a local authentication backend: <parameter>smbpasswd</parameter>,
 520                                 <parameter>tdbsam</parameter>, <parameter>ldapsam</parameter>, <parameter>mysqlsam</parameter>
 521                         </para></listitem>
 522                 </itemizedlist></para></listitem>
 523                 </varlistentry>
 524
 525         <varlistentry><term>Access Control Points</term><listitem>
 526                 <para>
 527                 Samba permits Access Control points to be set:
 528                 </para>
 529
 530 <indexterm><primary>share ACLs</primary></indexterm>
 531 <indexterm><primary>UNIX permissions</primary></indexterm>
 532 <indexterm><primary>POSIX ACLS</primary></indexterm>
 533 <indexterm><primary>share stanza controls</primary></indexterm>
 534
 535                 <itemizedlist>
 536                         <listitem><para>On the share itself &smbmdash; using share ACLs.</para></listitem>
 537                         <listitem><para>On the file system &smbmdash; using UNIX permissions on files and directories.</para>
 538                         <para>Note: Can enable Posix ACLs in file system also.</para></listitem>
 539                         <listitem><para>Through Samba share parameters &smbmdash; not recommended except as last resort.</para></listitem>
 540                 </itemizedlist></listitem>
 541         </varlistentry>
 542
 543         <varlistentry><term>Policies (migrate or create new ones)</term><listitem>
 544                 <para>
 545 <indexterm><primary>policies</primary></indexterm>
 546 <indexterm><primary>NTConfig.POL</primary></indexterm>
 547                 Exercise great caution when making registry changes; use the right tool and be aware
 548                 that changes made through NT4-style <filename>NTConfig.POL</filename> files can leave
 549                 permanent changes.
 550 <indexterm><primary>Group Policy Editor</primary></indexterm>
 551 <indexterm><primary>tattoo effect</primary></indexterm>
 552 <indexterm><primary>permanent changes</primary></indexterm>
 553                 </para>
 554                 <itemizedlist>
 555                         <listitem><para>Using Group Policy Editor (NT4).</para></listitem>
 556                         <listitem><para>Watch out for tattoo effect.</para></listitem>
 557                 </itemizedlist>
 558                 </listitem>
 559         </varlistentry>
 560
 561         <varlistentry><term>User and Group Profiles</term><listitem>
 562                 <para>
 563 <indexterm><primary>NTUser.DAT</primary></indexterm>
 564 <indexterm><primary>SIDs</primary></indexterm>
 565                 Platform-specific, so use platform tool to change from a local to a roaming profile.
 566                 Can use new profiles tool to change SIDs (<filename>NTUser.DAT</filename>).
 567                 </para>
 568                 </listitem>
 569         </varlistentry>
 570
 571         <varlistentry><term>Logon Scripts</term><listitem>
 572                 <para>
 573                 Know how they work.
 574                 </para>
 575                 </listitem>
 576         </varlistentry>
 577
 578
 579         <varlistentry><term>User and Group Mapping to UNIX/Linux</term><listitem>
 580                 <para>
 581                 <indexterm><primary>pdbedit</primary></indexterm>
 582                 User and group mapping code is new. Many problems have been experienced as network administrators
 583                 who are familiar with Samba-2.2.x migrate to Samba-3. Carefully study the chapters that document
 584                 the new password backend behavior and the new group mapping functionality.
 585                 </para>
 586                         <itemizedlist>
 587                                 <listitem><para>The <parameter>username map</parameter> facility may be needed.</para></listitem>
 588                                 <listitem><para>Use <command>net groupmap</command> to connect NT4 groups to UNIX groups.</para></listitem>
 589                                 <listitem><para>
 590                                         Use <command>pdbedit</command> to set/change user configuration.
 591                                         </para>
 592
 593                                         <para>
 594                                         When migrating to LDAP backend, it may be easier to dump the initial
 595                                         LDAP database to LDIF, edit, then reload into LDAP.
 596                                         </para></listitem>
 597                         </itemizedlist></listitem>
 598         </varlistentry>
 599
 600         <varlistentry><term>OS Specific Scripts/Programs May be Needed</term><listitem>
 601                 <para>
 602                 Every operating system has its peculiarities. These are the result of engineering decisions
 603                 that were based on the experience of the designer and may have side effects that were not
 604                 anticipated. Limitations that may bite the Windows network administrator include:
 605                 </para>
 606                 <itemizedlist>
 607                         <listitem><para>Add/Delete Users: Note OS limits on size of name
 608                                 (Linux 8 chars, NT4 up to 254 chars).</para></listitem>
 609                         <listitem><para>Add/Delete Machines: Applied only to domain members
 610                                 (Note: machine names may be limited to 16 characters).</para></listitem>
 611                         <listitem><para>Use <command>net groupmap</command> to connect NT4 groups to UNIX groups.</para></listitem>
 612                         <listitem><para>Add/Delete Groups: Note OS limits on size and nature.
 613                                 Linux limit is 16 char, no spaces, and no uppercase chars (<command>groupadd</command>).</para></listitem>
 614                 </itemizedlist></listitem>
 615         </varlistentry>
 616
 617         <varlistentry><term>Migration Tools</term><listitem>
 618                 <para>
 619                                 <indexterm><primary>pdbedit</primary></indexterm>
 620                                 Domain Control (NT4-Style) Profiles, Policies, Access Controls, Security
 621                                 <itemizedlist>
 622                                          <listitem><para>Samba: <command>net, rpcclient, smbpasswd, pdbedit, profiles</command></para></listitem>
 623                                          <listitem><para>Windows: <command>NT4 Domain User Manager, Server Manager (NEXUS)</command></para></listitem>
 624                                 </itemizedlist></para></listitem>
 625         </varlistentry>
 626 </variablelist>
 627
 628 </sect2>
 629
 630 </sect1>
 631
 632 </chapter>