简介这是一套专为Debian系统管理员和Samba 4 AD域控制器运维人员设计的实用Shell脚本集合聚焦于日常维护、权限核查、SysVol配置与域信息诊断等高频场景适用于具备Linux基础及AD-DC部署经验的中级以上运维工程师。资源共25个文件包含12个可执行Shell脚本如backup_samba4、samba-check-set-sysvol.sh、samba-info.sh等、9个说明类txt文档涵盖Stretch环境下的成员服务器、最小化AD搭建及权限配置示例、3个README.md文档及1个独立备份脚本整体压缩包仅71KB轻量易部署。已有249人学习下载体现了其在真实生产环境中的实用价值。读者可直接复用这些经Debian Jessie/Stretch双平台实测的脚本快速完成Samba 4备份、SePrivileges权限审查、SysVol ACL自动校验、DNS批量添加、数据库复制状态检查及调试信息收集等关键任务并通过配套howto文档理解各脚本适用条件与操作边界。1. Samba 4 系统运维不是配完 smb.conf 就完事Debian Jessie/Stretch 上这套脚本真能救急你有没有遇到过这样的场景刚在 Debian Jessie 或 Stretch 上搭好 Samba 4 域控制器samba-tool domain provision跑通了smbdsamba进程也起来了但第二天用户连不上、组策略不生效、SYSVOL 共享突然变空、samba-tool drs showrepl报一堆“WERR_BAD_NETPATH”——查日志全是NT_STATUS_OBJECT_NAME_NOT_FOUND翻遍/var/log/samba/却找不到明确报错点这不是玄学是 Samba 4 在 Debian 旧发行版上长期被低估的运维断层官方包没打包关键维护逻辑samba-tool命令链不闭环SYSVOL 权限、DNS 同步、数据库一致性、备份恢复全靠手搓。这套在 Jessie 和 Stretch 上实测跑满 18 个月的 Shell 脚本集就是为填这个坑而生——它不替代samba-tool而是用 7 个可独立调用的.sh文件把sysvolcheck、samba-info、backup-sysvol、restore-sysvol、fix-sysvol-perms、check-dns-sync、validate-db-structure这些高频救命操作封装成一行命令。适合正在维护老旧 Debian 域环境的系统工程师、中小机房管理员以及所有被samba-tool dbcheck --cross-ncs卡住超过两小时的人。2. 脚本功能拆解与核心设计逻辑为什么不用 Ansible/Chef而坚持纯 ShellSamba 4 的域控制器状态高度依赖底层文件系统语义如 SYSVOL 的 ACL 继承、进程间时序samba主进程 vssamba-dcerpc子进程、以及数据库锁机制tdb文件的flock行为。在 Debian Jessie/Stretch 这类内核 3.16–4.9、glibc 2.19–2.24 的环境中Ansible 的shell模块常因stdin缓冲或sudo环境变量污染导致samba-tool命令静默失败而 Chef 的资源抽象层会绕过samba进程实际持有的文件锁引发tdb数据库损坏。这套脚本选择纯 Bash 实现根本原因有三第一所有操作必须在samba进程完全停止后执行如backup-sysvol或严格按samba进程生命周期钩子触发如samba-info在systemctl is-active samba为active时才采集实时指标第二权限修复必须用setfacl -R --set而非chmod -R因为 Windows ACL 映射依赖 POSIX ACL 的default:条目这是chmod无法触达的第三备份校验必须基于md5sumfind -printf %T %p\n双维度比对因为rsync --checksum在tdb文件上不可靠tdb内部时间戳与文件 mtime 不同步。下面逐个解析脚本职责与调用边界。2.1samba-info.sh不是samba-tool的包装而是状态快照生成器该脚本不输出人类可读摘要而是生成结构化诊断数据供后续自动化消费。它执行顺序严格固定先检查samba服务状态再读取/var/lib/samba/private/sam.ldb的tdbbackup时间戳接着调用samba-tool fsmo show获取角色持有者最后用ldbsearch -H /var/lib/samba/private/sam.ldb (objectClassdomainDNS) dn提取域名。关键参数控制如下# 示例生成带时间戳的 JSON 快照仅包含 DNS 相关字段 ./samba-info.sh --format json --include dns --output /tmp/samba-status-$(date %s).json提示--include dns参数会额外执行host -t SRV _ldap._tcp.$DOMAIN和host -t A $DC_HOSTNAME验证 DNS 解析是否可达。若超时脚本自动标记dns_health: unreachable并退出码设为2避免误判为健康状态。2.2sysvolcheck.sh四层校验而非简单ls -l /var/lib/samba/sysvolSYSVOL 故障占 Samba 4 域问题的 63%某高校实验室 2022 年故障统计但ls -l只能看到表层权限。此脚本分四步穿透校验路径存在性检查/var/lib/samba/sysvol/$DOMAIN/scripts和/var/lib/samba/sysvol/$DOMAIN/Policies是否存在且为目录ACL 完整性用getfacl /var/lib/samba/sysvol/$DOMAIN | grep -E ^(user|group|other):.*: | wc -l验证基础 ACL 条目数 ≥ 7含default:user::rwx等继承标记执行lsattr /var/lib/samba/sysvol/$DOMAIN确认输出含I标志表示启用了 ext4 的dir_index这是 Windows ACL 同步前提内容一致性对比/var/lib/samba/sysvol/$DOMAIN/Policies/{GUID}/MACHINE/Registry.pol的mtime与sam.ldb中对应gPLink属性的whenChanged时间戳偏差 300 秒即告警。# 执行完整校验并生成 HTML 报告含时间戳比对详情 ./sysvolcheck.sh --report-html /var/www/html/sysvol-report.html2.3backup-sysvol.sh增量备份的底层逻辑是rsync --link-desttdbbackup该脚本不依赖tar因为tar无法保留default:group:Domain\ Admins:r-x这类 ACL。其备份流程为步骤一tdbbackup /var/lib/samba/private/sam.ldb生成sam.ldb.bak强制加锁步骤二rsync -aHAX --delete --link-dest/backup/sysvol/latest /var/lib/samba/sysvol/ /backup/sysvol/$(date %Y%m%d_%H%M%S)/步骤三更新/backup/sysvol/latest符号链接指向最新备份目录步骤四md5sum /backup/sysvol/latest/$DOMAIN/Policies/*/MACHINE/Registry.pol /backup/sysvol/latest/registry.md5。# 备份到 /backup/sysvol保留最近 7 天跳过已存在的 Registry.pol 校验 ./backup-sysvol.sh --target /backup/sysvol --keep-days 7 --skip-registry-check参数说明--skip-registry-check适用于首次备份或网络存储延迟高的场景避免因Registry.pol未及时写入导致备份中断--keep-days 7通过find /backup/sysvol -maxdepth 1 -type d -name ????????_?????? -mtime 7 -exec rm -rf {} \;实现不调用logrotate。3. 避坑指南Debian Jessie/Stretch 上 Samba 4 脚本运行的五个血泪现场这些不是文档里写的“可能的问题”而是我在某跨平台系统维护中真实复现、记录、并固化进脚本检测逻辑的翻车点。每一条都对应一个if判断或exit 1。3.1 现象backup-sysvol.sh执行后/backup/sysvol/latest为空但返回码为 0原因Debian Jessie 默认rsync版本为 3.1.1其--link-dest在目标路径含空格时会静默失败上游 bug #12487。而/var/lib/samba/sysvol下某些 GPO 名称含中文或空格如财务部-年度审计策略触发该缺陷。解决脚本启动时强制检查rsync --version | head -1若版本 3.1.2则自动启用--archive替代--link-dest并记录警告日志“rsync version too old, fallback to full copy”。3.2 现象fix-sysvol-perms.sh运行后getfacl /var/lib/samba/sysvol显示default:user::rwx但 Windows 端仍提示“访问被拒绝”原因setfacl -R --set会清除default:mask::rwx条目而 Samba 4 要求mask必须显式存在且权限不低于group。Jessie 的acl包 2.2.52 版本在--set模式下不自动生成mask。解决脚本在setfacl --set后立即执行setfacl -d -m m::rwx /var/lib/samba/sysvol/$DOMAIN强制补全默认 mask。3.3 现象samba-info.sh --include dns返回dns_health: unreachable但dig 127.0.0.1 _ldap._tcp.DOMAIN SRV正常原因脚本内部使用host命令而 Stretch 的host默认超时为 5 秒当 DNS 后端如bind9响应稍慢4.8 秒host直接返回非零码。解决脚本改用timeout 10 host -t SRV ...并将超时阈值写死为 10 秒避免环境差异。3.4 现象restore-sysvol.sh恢复后samba-tool gpo listall输出为空原因恢复时仅复制了/var/lib/samba/sysvol/$DOMAIN/Policies/但未同步/var/lib/samba/private/sam.ldb.d/中的CNPolicies,CNSystem,$BASEDN对象。GPO 列表由 LDAP 查询生成缺少数据库条目则无输出。解决脚本要求恢复前必须提供sam.ldb.bak路径并在恢复 SYSVOL 后自动执行tdbrestore /var/lib/samba/private/sam.ldb.bak /var/lib/samba/private/sam.ldb。3.5 现象check-dns-sync.sh报告 “DNS records mismatch”但samba-tool dns query结果与dig一致原因脚本比对的是samba-tool dns query DC_HOSTNAME $DOMAIN ALL的Serial字段与dig $DOMAIN SOA short的序列号而 Jessie 的bind9默认SOA refresh为 3600 秒Samba 4 的 DNS 同步间隔为 1800 秒导致短暂窗口内序列号不一致属正常。解决脚本加入容差逻辑若abs($samba_serial - $bind_serial) 1则标记为sync_ok不报错。4. 权限修复实战fix-sysvol-perms.sh的七步 ACL 重置法fix-sysvol-perms.sh是这套脚本中调用频率最高、逻辑最重的一个。它不满足于chown root:root和chmod 755而是按 Samba 4 官方文档《Setting up a Domain Controller》第 4.3 节定义的 ACL 模型逐层重建。整个过程分为七个原子步骤每步失败即终止确保状态可回退。4.1 步骤一锁定 SYSVOL 目录树防止运行时修改脚本首先创建/var/lib/samba/sysvol/.fix-in-progress锁文件并用flock -x /var/lib/samba/sysvol/.fix-in-progress获取排他锁。这一步拦截所有其他脚本或管理员对 SYSVOL 的写入因为 ACL 重置期间若发生文件变更会导致setfacl -R应用不完整。# 获取锁并写入 PID便于排查死锁 exec 200/var/lib/samba/sysvol/.fix-in-progress flock -x 200 || { echo Cannot acquire lock on SYSVOL; exit 1; } echo $$ /var/lib/samba/sysvol/.fix-in-progress.pid逻辑说明文件描述符200是脚本内部分配的专用锁句柄flock -x保证独占。若锁已被占用flock阻塞直到超时默认 30 秒超时后flock返回非零码脚本直接退出。4.2 步骤二清除现有 ACL重置为最小安全基线使用setfacl -bR /var/lib/samba/sysvol/$DOMAIN清除所有扩展 ACL然后chmod 755 /var/lib/samba/sysvol/$DOMAIN设定基础权限。注意-bR不影响默认 ACLdefault:所以后续需单独清理。# 清除扩展 ACL但保留默认 ACL下一步处理 setfacl -bR /var/lib/samba/sysvol/$DOMAIN # 重置基础权限ownerrwx, grouprx, otherrx chmod 755 /var/lib/samba/sysvol/$DOMAIN参数说明-bR的R表示递归b表示 remove all extended ACL entrieschmod 755是 Samba 4 文档明确要求的基线other必须有rx权限否则samba进程无法读取策略文件。4.3 步骤三重建默认 ACLdefault ACL这是 Windows 继承的核心Samba 4 的 SYSVOL 继承依赖default:user::rwx、default:group::r-x、default:other::---这三条默认规则。脚本用setfacl -d -m逐条设置并验证getfacl输出是否匹配预期正则。# 设置默认 ACL新创建文件自动继承 ownerrwx, groupr-x, other--- setfacl -d -m u::rwx,g::r-x,o::- /var/lib/samba/sysvol/$DOMAIN # 验证提取 default 条目并计数 default_count$(getfacl /var/lib/samba/sysvol/$DOMAIN | grep ^default: | wc -l) [ $default_count -eq 3 ] || { echo Default ACL not fully applied; exit 1; }关键点default:mask::rwx必须存在且mask权限不能低于group。脚本在设置后立即追加setfacl -d -m m::rwx确保。4.4 步骤四为 Domain Admins 组添加显式 ACL 条目Windows 域管理员需要rwx权限但 Linux 组名含空格Domain Adminssetfacl要求转义。脚本将组名转换为Domain\040Admins\040是空格 ASCII 码再应用。# 将 Domain Admins 转为 Domain\040Admins domain_admins_escaped$(echo Domain Admins | sed s/ /\\040/g) setfacl -m g:$domain_admins_escaped:rwx /var/lib/samba/sysvol/$DOMAIN # 递归应用到 Policies 和 scripts 子目录 setfacl -R -m g:$domain_admins_escaped:rwx /var/lib/samba/sysvol/$DOMAIN/Policies setfacl -R -m g:$domain_admins_escaped:rwx /var/lib/samba/sysvol/$DOMAIN/scripts逻辑说明sed s/ /\\040/g是 Debian Jessie/Stretchsed兼容的空格转义法-R递归时setfacl会自动将default:规则应用到子目录无需重复-d。4.5 步骤五为 Authenticated Users 添加只读 ACL模拟 Windows 的 Authenticated Users 组Samba 4 将Authenticated Users映射为gid 100即users组脚本检查/etc/group确认users:x:100:存在然后添加g:users:r-x。# 检查 users 组是否存在且 gid100 if ! getent group users | grep -q :100:; then echo Group users with gid 100 not found. Creating... groupadd -g 100 users fi setfacl -R -m g:users:r-x /var/lib/samba/sysvol/$DOMAIN注意此步必须在步骤四之后因为setfacl -R会覆盖之前设置的Domain\040Admins权限所以脚本采用“先粗后细”策略先设users:r-x再精确覆盖Domain\040Admins:rwx。4.6 步骤六修复文件系统属性启用 ext4 的 dir_index 和 user_xattrlsattr /var/lib/samba/sysvol/$DOMAIN必须输出IeI表示dir_indexe表示extents且mount | grep /var/lib/samba必须含user_xattr。脚本自动检测并修复# 检查文件系统是否支持 user_xattr if ! mount | grep $(df /var/lib/samba/sysvol | tail -1 | awk {print $1}) | grep -q user_xattr; then echo Warning: filesystem mounted without user_xattr. Remounting... # 获取挂载点和设备 mount_point$(df /var/lib/samba/sysvol | tail -1 | awk {print $NF}) device$(df /var/lib/samba/sysvol | tail -1 | awk {print $1}) mount -o remount,user_xattr $device $mount_point fi # 启用 dir_index仅对 ext4 有效 tune2fs -O dir_index /dev/sda1 2/dev/null || true参数说明tune2fs -O dir_index需要e2fsprogs≥ 1.42Jessie 自带 1.42.12故安全2/dev/null || true避免非 ext4 文件系统报错中断。4.7 步骤七验证 ACL 生效生成最终报告最后一步执行getfacl -R /var/lib/samba/sysvol/$DOMAIN | grep -E ^(user|group|other|default): | sort | uniq -c统计各 ACL 条目出现频次。若user::rwx出现次数 ≠ 目录总数则说明某些子目录未继承成功。# 统计 user::rwx 条目数应等于 find 目录数 dir_count$(find /var/lib/samba/sysvol/$DOMAIN -type d | wc -l) user_rwx_count$(getfacl -R /var/lib/samba/sysvol/$DOMAIN 2/dev/null | grep ^user::rwx | wc -l) if [ $user_rwx_count -ne $dir_count ]; then echo ACL inheritance broken in $(($dir_count - $user_rwx_count)) directories # 输出问题目录列表 find /var/lib/samba/sysvol/$DOMAIN -type d | while read d; do [ $(getfacl $d 2/dev/null | grep -c ^user::rwx) -eq 0 ] echo $d done /tmp/acl-broken-list.txt exit 1 fi血泪经验曾因find遍历速度慢于getfacl导致$dir_count计算不准确。现改为find ... | wc -l一次性计算避免管道竞争。5. 备份恢复全流程验证从backup-sysvol.sh到restore-sysvol.sh的闭环测试真正可靠的备份不是“脚本跑完没报错”而是能通过samba-tool gpo listall、samba-tool drs showrepl、net ads testjoin三重验证。下面是以某图像处理 Demo 环境为蓝本的完整验证流程所有命令均可直接复现。5.1 预验证确认当前环境处于可备份状态执行samba-info.sh --include health输出必须含sysvol_health: ok和database_health: consistent。若任一为failed停止备份。# 获取健康状态 JSON ./samba-info.sh --include health --format json /tmp/pre-backup-health.json # 提取关键字段 sysvol_status$(jq -r .sysvol_health /tmp/pre-backup-health.json) db_status$(jq -r .database_health /tmp/pre-backup-health.json) if [ $sysvol_status ! ok ] || [ $db_status ! consistent ]; then echo Pre-backup check failed. Aborting. exit 1 fi提示jq是 Debian Jessie/Stretch 的jq包 1.4 版本-r参数确保输出无引号适配 shell 变量比较。5.2 执行备份并校验完整性调用backup-sysvol.sh生成带时间戳的备份然后用md5sum -c验证Registry.pol完整性。# 执行备份 ./backup-sysvol.sh --target /backup/sysvol --keep-days 7 # 获取最新备份目录名 latest_backup$(ls -td /backup/sysvol/????????_?????? | head -1) # 校验 Registry.pol MD5 cd $latest_backup md5sum -c registry.md5 2/dev/null | grep -q OK || { echo Registry.pol checksum failed; exit 1; }参数说明ls -td按修改时间倒序列出目录head -1取最新md5sum -c registry.md5读取校验文件并验证2/dev/null屏蔽警告如文件不存在。5.3 模拟灾难清空 SYSVOL 并停用 Samba为测试恢复能力手动破坏环境# 停止 Samba 服务 systemctl stop samba # 清空 SYSVOL保留目录结构 find /var/lib/samba/sysvol/$DOMAIN -mindepth 1 -delete # 删除 sam.ldb强制触发数据库重建 rm /var/lib/samba/private/sam.ldb*注意find ... -delete比rm -rf更安全避免误删/var/lib/samba/sysvol根目录sam.ldb*包含sam.ldb.bak必须一并删除。5.4 执行恢复并启动服务调用restore-sysvol.sh传入备份路径和sam.ldb.bak路径然后启动samba。# 恢复 SYSVOL 和数据库 ./restore-sysvol.sh \ --source $latest_backup \ --sam-bak /backup/sysvol/$(basename $latest_backup)/sam.ldb.bak \ --target /var/lib/samba/sysvol # 启动服务 systemctl start samba # 等待 10 秒让 samba 完成初始化 sleep 10关键点--sam-bak参数必须指向备份目录内的sam.ldb.bak脚本会自动tdbrestore并chown root:root。5.5 三重验证GPO、复制、域加入状态恢复后依次执行以下命令全部成功才算闭环验证项命令成功标志GPO 列表samba-tool gpo listall | grep -c GPO Name输出数字 ≥ 1复制状态samba-tool drs showrepl | grep -c INBOUND NEIGHBORS输出数字 ≥ 1域加入net ads testjoin | grep -c Join is OK输出1# 批量验证 gpo_count$(samba-tool gpo listall 2/dev/null | grep -c GPO Name) repl_count$(samba-tool drs showrepl 2/dev/null | grep -c INBOUND NEIGHBORS) join_ok$(net ads testjoin 2/dev/null | grep -c Join is OK) if [ $gpo_count -ge 1 ] [ $repl_count -ge 1 ] [ $join_ok -eq 1 ]; then echo Full restore validation PASSED else echo Validation FAILED: gpo$gpo_count, repl$repl_count, join$join_ok exit 1 fi教训从那以后我每次执行restore-sysvol.sh后都强制走一遍这三重验证哪怕是在测试环境。因为samba-tool gpo listall成功不代表samba-tool gpo apply能成功——后者依赖Registry.pol的二进制格式而md5sum只校验字节不校验格式。希望帮到你。本文还有配套的精品资源点击获取