如何通过命令行在Samba中委派权限，特别是为指定域用户配置密码重置权限以实现自动化

当然可以通过Samba的命令行工具来实现这个需求，不用依赖Windows的GUI向导。下面我会一步步教你如何用samba-tools里的命令，给你的binding_user配置密码重置权限，让他能在ADUC（Active Directory Users and Computers）里帮其他用户重置密码。

前提准备 #

• 你的Samba域环境已经正常运行，且samba-tools工具包已安装
• 你需要以域管理员身份执行这些命令（因为修改AD权限需要高权限）
• 确定好要授权的目标范围：是整个域的用户容器，还是某个特定的OU（组织单元）

步骤1：获取目标容器的LDAP DN #

首先你需要知道要配置权限的用户容器或OU的LDAP专有名称（DN）。比如：

• 默认域用户容器的DN通常是 CN=Users,DC=yourdomain,DC=com（把yourdomain替换成你的实际域名）
• 如果是自定义OU，比如销售部门OU，DN可能是 OU=Sales,DC=yourdomain,DC=com

你可以用以下命令列出域内的OU和容器来确认：

samba-tool ou list --domain yourdomain.com

步骤2：添加密码重置权限 #

使用dsacl命令（Samba自带的ACL管理工具）给binding_user添加重置密码的特殊权限。执行以下命令：

dsacl -d "CN=Users,DC=yourdomain,DC=com" -a "user:binding_user:CA;Reset Password"

参数说明：

• -d：指定要配置权限的目标DN（这里替换成你实际的容器/OU DN）
• -a：表示添加一条新的ACL规则
• user:binding_user：指定要授权的域用户
• CA：代表"Control Access"类型，对应密码重置这类特殊AD权限
• Reset Password：明确要授予的具体权限

步骤3：添加必要的读取权限 #

为了让binding_user能在ADUC里看到用户账号，还需要给他添加读取用户账号的权限：

dsacl -d "CN=Users,DC=yourdomain,DC=com" -a "user:binding_user:GR;Read User Account"

步骤4：验证权限配置 #

执行以下命令查看目标容器的ACL，确认binding_user的权限已成功添加：

dsacl -d "CN=Users,DC=yourdomain,DC=com" -l | grep binding_user

测试权限配置 #

让binding_user登录到Windows客户端，打开ADUC工具，尝试重置其他域用户的密码。如果配置正确，他应该能顺利完成操作，而不需要域管理员权限。

注意事项 #

• 如果只需要让binding_user管理特定OU下的用户，把命令中的DN换成对应OU的DN即可
• 确保你的samba-tools版本是较新的，旧版本可能在参数或支持的权限上有差异
• 权限生效可能需要几分钟的同步时间，若立即测试失败可以稍等片刻再试

备注：内容来源于stack exchange，提问作者Mohammed Noureldin