Samba direkt gegen LDAP bzw. PAM authentifizieren

Liebe Administratoren,

ich plane, für eine Arbeitsgruppe mit etwa 20 Benutzern einen (Linux-)Fileserver neu zu konfigurieren.
Dabei soll jetzt erstmals eine "Single-source-of-signon"-Lösung zum Einsatz kommen, um nicht an verschiedenen Stellen im Netzwerk Benutzerdaten gespeichert haben zu müssen.

• Genutzte Dienste sind hierbei:
1. Samba3 (nicht als DC, sondern als Backup- und DataExchange-Medium)
2. eine Webapp auf PHP-Basis (nur ggf.)
3. SSH/Systemlogins

Ich wollte dazu ein LDAP-Verzeichnis nutzen.
Mit PAM (und pam_ldap.so) und NSS läuft die Auth der Unix-Benutzer per SSH und direkt ohne Probleme.

Samba (mit ldapsam als passdb backend) speichert nun allerdings natürlich seine NTLM-Hashes und kann sich nicht direkt gegen einen DN im LDAP-Dir authentifizieren.
Gibt es eine Möglichkeit, das umzusetzen?


Das Problem ist jenes, dass die Daten zwar zentral im Verzeichnis gespeichert sind, aber in jedem DN dann eben wieder zwei Attribute Passwörter speichern.

• Um das Passwort zu ändern bin ich also auf das CLI und smbpasswd (mit ldap passwd sync = Yes) angewiesen.
• Über eine Webapp den Benutzer das Passwort ändern zu lassen, ist also dann nur möglich, wenn ich
1. PHP auf Apache direkt smbpasswd ausführen lasse (bzw. ein Shellscript schreibe, das mir das wrappt) (mit entsprechender Sudo-Config)
2. mir selbst eine Lösung bastle, die mit PHP das DN-Passwort und den NTLM-Hash im DN modifiziert.

Der zweite Punkt scheint mir am Sinnvollsten, aber auch keine saubere Lösung, wenn es auch anders gehen sollte.


Ich freu mich auf Antworten,

danke und viele Grüße,
Ferdinand