Samba-3 kann als Domänencontroller, als Backup-Domänencontroller (vielleicht am besten als sekundärer Controller bezeichnet), als Domänen-Mitgliedsserver oder als Stand-alone-Server konfiguriert werden. Der Windows-Netzwerk-Domänen-Sicherheitskontext sollte dimensioniert und geprüft werden, und zwar vor der Migration. Besondere Aufmerksamkeit sollte auf die Platzierung des PDCs und der BDCs gelegt werden. Ein Unterschied zwischen der Samba-3- und der Microsoft-Technologie ist, dass man, wenn man sich für das LDAP-Authentifizierungs-Backend entscheidet, dieselbe Datenbank für mehrere verschiedene Domänen benutzen kann. In einer komplexen Organisation kann es eine einzelne LDAP-Datenbank geben, die selbst verteilt werden kann (durch Verwendung eines Master- und mehrerer Slave-LDAP-Server) und die mehrere Domänen bedienen kann.

In Hinblick auf das Design sollte die Anzahl der Benutzer pro Server, ebenso wie die Anzahl der Server pro Domäne, unter Berücksichtigung der Server-Kapazitäten und Netzwerk-Bandbreiten festgelegt werden.

Ein physisches Netzwerk-Segment kann mehrere Domänen beinhalten. Jede Domäne kann wiederum mehrere Netzwerk-Segmente umfassen. Wenn Domänen geroutete Netzwerk-Segmente umfassen, sollten Sie die Auswirkungen auf die Performance bedenken und testen, die der Entwurf und das Design des Netzwerks haben können. Ein zentral platzierter Domänencontroller, der mehrere geroutete Netzwerk-Segmente bedienen soll, kann ernsthafte Performance-Probleme verursachen. Prüfen Sie die Antwortzeiten (ping-Zeiten) zwischen dem entfernten Segment und dem PDC. Sind diese lang (> 100 ms), platzieren Sie einen BDC im entfernten Segment, um als lokaler Authentifikations- und Zugriffskontrollserver zu arbeiten.

Es gibt einige Grundregeln des effektiven Netzwerk-Designs, die nicht ungestraft verletzt werden können. Die wichtigste und erste Regel: Einfachheit siegt. Und das in jedem gut verwalteten Netzwerk. Jeder Teil der Infrastruktur muss verwaltet werden; je komplizierter diese ist, umso größer ist die Notwendigkeit, die Systeme sicher und funktional zu halten.

Halten Sie sich vor Augen, welcher Natur die zu speichernden Daten sind. Das Layout des physischen Platten-Platzes sollte sorgfältig überlegt sein. Manche Daten müssen gesichert werden. Je einfacher das Layout ist, umso einfacher wird es sein, den Backup-Anforderungen gerecht zu werden. Legen Sie fest, welche Backup-Medien Ihren Ansprüchen gerecht werden; erwägen Sie Backups auf Band, CD-ROM (oder DVD-ROM) bzw. anderen Offline-Speicher-Medien. Planen und implementieren Sie im Hinblick auf minimalen Wartungsaufwand. Überlassen Sie nichts dem Zufall! Überlassen Sie vor allem nicht die Backups dem Zufall: Sichern, testen und überprüfen Sie jedes Backup, erstellen Sie einen Disaster-Recovery-Plan, und prüfen Sie, dass er auch funktioniert.

Benutzer sollten nach ihren Bedürfnissen, was den Datenzugriff bzw. dessen Einschränkung betrifft, gruppiert werden. Der Datei- und Verzeichniszugriff wird am besten durch Gruppen-Rechte verwaltet, und die Verwendung des „sticky bits“ auf gruppen-kontrollierte Verzeichnisse kann es grundlegend vermeiden, dass Benutzer von Samba-Freigaben sich über Probleme mit dem Datei-Zugriff beschweren.

Unerfahrene Netzwerk-Administratoren versuchen oft mit komplizierten Techniken Zugriffskontrollen auf Dateien, Verzeichnisse, Freigaben zu setzen und Freigaben zu definieren. Halten Sie Ihr Design und Ihre Implementation einfach, und dokumentieren Sie Ihr Design ausführlich. Lassen Sie andere Ihre Dokumentation prüfen. Schaffen Sie kein komplexes Durcheinander, das kein Nachfolgender versteht. Denken Sie daran, dass Sie Betriebsausfall und Stillstand für die Benutzer verursachen können, wenn Sie versuchen, Sicherheit durch komplexes Design und komplexe Implementation zu schaffen. Der neue Adminístrator muss nämlich erst lernen, Ihre Knoten zu entwirren. Halten Sie die Zugriffskontrollen simpel und effektiv, und stellen Sie sicher, dass die Benutzer nie durch dumme Komplexität unterbrochen werden.

Anmelde-Skripten können dabei helfen, sicherzustellen, dass alle Benutzer die Freigabe- und Drucker-Verbindungen erreichen können, die sie brauchen.

Anmelde-Skripten können im Betrieb erzeugt werden, so dass alle ausgeführten Befehle spezifisch für die Rechte und Privilegien sind, die dem Benutzer erteilt wurden. Die bevorzugten Kontrollen sollten von der Gruppen-Mitgliedschaft abhängig sein, so dass die Gruppen-Information dazu benutzt werden kann, ein maßgeschneidertes Anmelde-Skript anzulegen. Dies kann durch Anwendung des Parameters root preexec in der Freigabe NETLOGON geschehen.

Manche Organisationen bevorzugen es, ein Werkzeug wie kixstart zu verwenden, um eine kontrollierte Benutzer-Umgebung zu schaffen. Jedenfalls werden Sie vielleicht mittels Google nach Programmen für Anmelde-Skripten suchen wollen. Sie sollten sich vor allem den Artikel KB189105 in der Microsoft KnowledgeBase ansehen, der beschreibt, wie man über den Logon-Skript-Vorgang Drucker ohne Benutzer-Intervention hinzufügt.

Benutzer- und Gruppen-Profile können unter Verwendung der Werkzeuge migriert werden, die im Abschnitt Das Management von Desktop-Profilen beschrieben sind.

Profile können auch mit dem Samba-3-Werkzeug profiles verwaltet werden. Dieses Werkzeug erlaubt es, die Sicherheitsidentifier (SIDs) im MS Windows NT-Stil, die in der Profil-Datei NTuser.DAT gespeichert sind, auf den SID der Samba-3-Domäne zu ändern.

Es ist möglich, alle Konten-Einstellungen von einer MS Windows NT4-Domäne auf Samba-3 zu migrieren. Bevor Sie versuchen, Benutzer- und Gruppen-Konten zu migrieren, sollten Sie UNBEDINGT in Samba die Gruppen anlegen, die in der MS Windows NT4-Domäne vorhanden sind UND sie auf passende UNIX/Linux-Gruppen abbilden („mappen“). Wenn Sie diesen einfachen Ratschlag befolgen, sollten alle Benutzer- und Gruppen-Attribute problemlos migrieren.