[global]
        workgroup = <name>
        realm = domain.name
        interfaces = eth0
        auth methods = winbind
        log level = 0 vfs:2
        log file = /var/log/samba/samba.log
        max log size = 100
        syslog = 0
        winbind enum users = Yes
        winbind enum groups = Yes
        winbind use default domain = Yes
        winbind nested groups = No
        winbind refresh tickets = Yes
        hosts allow = 192.168.0.
        store dos attributes = yes

# Эти две опции отвечают как раз за авторизацию через AD
  	security = ads
   	encrypt passwords = true
# Просто важные 
   	dns proxy = no 
   	socket options = TCP_NODELAY

# Если вы не хотите, чтобы самба пыталась при случае вылезти в лидеры в домене или рабочей группе,
# или даже стать доменконтроллером, то всегда прописывайте эти пять опций именно в таком виде
   	domain master = no
   	local master = no
   	preferred master = no
   	os level = 0
   	domain logons = no

# Отключить поддержку принтеров
   	load printers = no
   	show add printer wizard = no
   	printcap name = /dev/null
   	disable spoolss = yes
# Опции сопоставления доменных пользователей и виртуальных пользователей в системе через Winbind.
# Диапазоны идентификаторов для виртуальных пользователей и групп.
   	idmap config*:range=10000-20000
   	idmap config*:backend=tdb
# Эти опции не стоит выключать.
   	winbind enum groups = yes
   	winbind enum users = yes
# Использовать домен по умолчанию для имён пользователей. Без этой опции имена пользователей и групп
# будут использоваться с доменом, т.е. вместо username - DOMAIN\username.
# Возможно именно это вам и нужно, однако обычно проще этот параметр включить. 
	winbind use default domain = yes
# Если вы хотите разрещить использовать командную строку для пользователей домена, то
# добавьте следующую строку, иначе в качестве shell'а будет вызываться /bin/false
	template shell = /bin/bash
# Для автоматического обновления билета Kerberos модулем pam_winbind.so нужно добавить строчку
   	winbind refresh tickets = yes

# Возможность оффлайн-авторизации при недоступности доменконтроллера
   	winbind offline logon = yes
# Период кэширования учетных записей, по умолчанию равен 300 секунд
   	winbind cache time = 300
# Необязательная настройка, но избавляет от нудных пауз, указываем контроллер домена dc, 
# можно указать и ip, но это является плохим тоном
   	password server = DC01
	
[Share]
	path = /data/share
	browseable = Yes
	comment = Share for administration
	valid users = @domain\group
	admin users = @domain\group
	read only = No
	create mask = 0770
	directory mask = 0770
	veto files = /lost+found/
	vfs objects = full_audit
	full_audit:prefix = %S|%u|%I
	full_audit:failure = none
	full_audit:success = connect disconnect opendir mkdir rmdir closedir open close read pread write pwrite sendfile rename unlink chmod fchmod chown fchown chdir ftruncate lock symlink readlink link mknod realpath
	full_audit:facility = local5
	full_audit:priority = notice