Active Directory durch Samba ersetzen: Was du realistisch erwarten kannst
Für Anmeldung, Gruppenrichtlinien und Dateifreigaben ist Samba als Domänencontroller eine ernstzunehmende Alternative. An Exchange-Integration, komplexen Vertrauensstellungen und einigen Verwaltungswerkzeugen stößt du dagegen an Grenzen.
Der Verzeichnisdienst entscheidet über den ganzen Windows-Ausstieg
Wer Windows-Server ablösen will, kommt an einer Frage nicht vorbei: Was passiert mit dem Active Directory? Anmeldung, Dateifreigaben, Druckerzuweisungen, Zertifikate, Softwareverteilung und ein großer Teil der Fachanwendungen hängen an genau diesem Verzeichnisdienst. Solange er auf Windows Server läuft, ist jede Diskussion über digitale Souveränität auf der Anwendungsebene stehen geblieben.
Samba kann seit Version 4 als Active-Directory-Domänencontroller betrieben werden. Es bringt einen eigenen KDC, das AD-typische LDAP-Schema, DNS-Integration und SYSVOL-Replikation mit. Windows-Clients treten einer Samba-Domäne bei, ohne den Unterschied zu bemerken, und lassen sich mit den gewohnten Remote Server Administration Tools verwalten. Auf der Client-Seite ist der Ersatz damit weitgehend transparent.
Die typischen Fehler entstehen nicht beim Provisionieren des ersten DC, sondern danach. Häufig wird unterschätzt, dass Samba weder eine eigene Zertifizierungsstelle noch eine Gruppenrichtlinien-Konsole mitbringt und dass Exchange on premises einen echten Windows-DC voraussetzt. Ebenso oft wird der klassische Fehler gemacht, das Samba-SYSVOL per rsync statt über eine unterstützte Replikation zu verteilen, oder Dateisysteme ohne funktionierende erweiterte Attribute und ACL-Unterstützung einzusetzen. Das rächt sich erst im Betrieb, wenn Berechtigungen nach einer Wiederherstellung nicht mehr stimmen.
Umstiegspfad vom Active Directory zum Samba-Domänencontroller
- 01 Bestandsaufnahme der AD-Abhängigkeiten
- 02 Samba-DC als zusätzlicher Domänencontroller
- 03 FSMO-Rollen und DNS übernehmen
- 04 Datei-, Druck- und Freigabedienste migrieren
- 05 Gruppenrichtlinien und Linux-Clients regeln
- 06 Windows-DC abschalten und Betrieb absichern
So gehst du den Ersatz strukturiert an
Ein Verzeichnisdienst wird nicht an einem Wochenende getauscht. Sinnvoll ist ein Weg, der zuerst Klarheit über die tatsächlichen Abhängigkeiten schafft und dann schrittweise Rollen von Windows nach Linux verschiebt. Diese Punkte bilden den roten Faden.
Abhängigkeiten der bestehenden Domäne erheben
Bevor irgendetwas migriert wird, brauchst du eine Liste aller Systeme, die am AD hängen: Fachanwendungen mit LDAP- oder Kerberos-Anbindung, Zertifikatsvorlagen aus den AD-Zertifikatdiensten, Vertrauensstellungen zu Partnerdomänen, Exchange, Entra-ID-Synchronisation und Softwareverteilung. Diese Liste entscheidet, ob ein vollständiger Ersatz überhaupt in Frage kommt.
Samba als AD-DC sauber provisionieren
Ein Samba-DC wird entweder neu provisioniert oder per klassischem Upgrade beziehungsweise als zusätzlicher DC in die bestehende Domäne aufgenommen und danach übernimmt er die FSMO-Rollen. Wichtig sind ein Dateisystem mit erweiterten Attributen, eine funktionierende Zeitsynchronisation für Kerberos, konsistentes DNS und ein zweiter DC von Anfang an.
Gruppenrichtlinien und Client-Verwaltung klären
Samba speichert und repliziert GPOs, wertet sie aber nicht selbst aus, das machen weiterhin die Windows-Clients. Bearbeitet werden sie über die Gruppenrichtlinien-Verwaltung auf einem Windows-Client oder über samba-tool gpo. Für Linux-Clients brauchst du einen eigenen Weg, in der Regel Konfigurationsmanagement mit Ansible statt GPO.
Datei- und Druckdienste mitnehmen
Freigaben mit NTFS-artigen ACLs, Windows-kompatible Papierkörbe, Schattenkopien über vfs_shadow_copy2 und Druckdienste über CUPS lassen sich unter Samba abbilden. Entscheidend ist die korrekte Übernahme der Berechtigungen samt SID-Mapping, damit nach der Migration niemand plötzlich mehr oder weniger sieht als vorher.
Ehrliche Grenzen benennen
Eine Enterprise-CA nach Windows-Vorbild, Exchange on premises, einige Trust-Szenarien und Werkzeuge, die zwingend auf Windows-spezifische AD-Erweiterungen setzen, bekommst du mit Samba nicht eins zu eins. FreeIPA ist die Alternative, wenn der Schwerpunkt auf Linux-Clients, Host-basierter Zugriffskontrolle und Zertifikaten liegt, es ersetzt aber kein AD für Windows-Domänenbeitritt im klassischen Sinn.
Betrieb, Backup und Notfallplan aufbauen
Zum Verzeichnisdienst gehören Monitoring der Replikation, regelmäßige Prüfungen mit samba-tool dbcheck, konsistente Sicherungen der Datenbank und des SYSVOL sowie ein geübtes Wiederherstellungsverfahren. Wer das erst nach dem Umstieg aufsetzt, hat den Betrieb nicht abgesichert.
Kurse zu Samba als AD-Ersatz bei cmt
Diese Kurse vertiefen genau das, an echten Systemen statt nur an Folien. Als Präsenz oder Live-Online, auf Wunsch auch Inhouse für dein Team.
Häufige Fragen zu Samba als AD-Ersatz
Noch etwas offen? Wir sind ohne Warteschleife für dich da.
Frag uns direktKann Samba Active Directory vollständig ersetzen?
Funktionieren Gruppenrichtlinien mit einem Samba-Domänencontroller?
Was ist der Unterschied zwischen Samba und FreeIPA?
Wie migriere ich eine bestehende Domäne, ohne bei null anzufangen?
Braucht man für einen produktiven Samba-AD mehrere Domänencontroller?
Zuletzt geprüft am 26. Juli 2026.
Verwandte Linux-Themen
Alle Linux-Themen im ÜberblickEchte Stimmen aus unseren IT-Kursen
Sehr kompetenter Dozent der gut auf alle Fragen eingegangen ist.
Die Schulung war genau das richtige, um mein Verständnis zu erweitern. Vielen Dank an den Trainer!
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem Linux-Programm den passenden Kurs oder Lernpfad zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die exakt auf eure Systemlandschaft und Distributionen zugeschnitten sind.
Samba-Know-how für den Umstieg aufbauen
In unseren Kursen "Linux Samba und Windows Netzwerke" und "Linux als Datei- und Druckserver" arbeitest du mit Samba als Domänencontroller, mit Freigaben, ACLs und der Anbindung von Windows-Clients. Wenn du den Windows-Ausstieg breiter planst, passen dazu die Kurse zur Linux-Migration und zu den Linux-Infrastrukturdiensten. Alle Termine gibt es als Präsenz- oder Live-Online-Schulung, und wenn du unsicher bist, welcher Weg zu deiner Domäne passt, sprich uns einfach an.