Webserver & Dienste

Active Directory durch Samba ersetzen: Was du realistisch erwarten kannst

Für Anmeldung, Gruppenrichtlinien und Dateifreigaben ist Samba als Domänencontroller eine ernstzunehmende Alternative. An Exchange-Integration, komplexen Vertrauensstellungen und einigen Verwaltungswerkzeugen stößt du dagegen an Grenzen.

6 Kapitel mit allen Befehlen

Passende Kurse ansehen Persönlich beraten lassen

Administrator konfiguriert einen Webserver am Laptop

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Seit 1997 am Markt Präsenz & Live-Online 4,9 aus 503 Google-Bewertungen Auch Inhouse für dein Team

Worum es geht

Der Verzeichnisdienst entscheidet über den ganzen Windows-Ausstieg

Wer Windows-Server ablösen will, kommt an einer Frage nicht vorbei: Was passiert mit dem Active Directory? Anmeldung, Dateifreigaben, Druckerzuweisungen, Zertifikate, Softwareverteilung und ein großer Teil der Fachanwendungen hängen an genau diesem Verzeichnisdienst. Solange er auf Windows Server läuft, ist jede Diskussion über digitale Souveränität auf der Anwendungsebene stehen geblieben.

Samba kann seit Version 4 als Active-Directory-Domänencontroller betrieben werden. Es bringt einen eigenen KDC, das AD-typische LDAP-Schema, DNS-Integration und SYSVOL-Replikation mit. Windows-Clients treten einer Samba-Domäne bei, ohne den Unterschied zu bemerken, und lassen sich mit den gewohnten Remote Server Administration Tools verwalten. Auf der Client-Seite ist der Ersatz damit weitgehend transparent.

Die typischen Fehler entstehen nicht beim Provisionieren des ersten DC, sondern danach. Häufig wird unterschätzt, dass Samba weder eine eigene Zertifizierungsstelle noch eine Gruppenrichtlinien-Konsole mitbringt und dass Exchange on premises einen echten Windows-DC voraussetzt. Ebenso oft wird der klassische Fehler gemacht, das Samba-SYSVOL per rsync statt über eine unterstützte Replikation zu verteilen, oder Dateisysteme ohne funktionierende erweiterte Attribute und ACL-Unterstützung einzusetzen. Das rächt sich erst im Betrieb, wenn Berechtigungen nach einer Wiederherstellung nicht mehr stimmen.

Miniatur-Szene: Webserver-Turm mit umkreisendem Globus, ein- und ausgehende Anfragepfeile, Zertifikatskarte

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Umstiegspfad vom Active Directory zum Samba-Domänencontroller

01 Bestandsaufnahme der AD-Abhängigkeiten
02 Samba-DC als zusätzlicher Domänencontroller
03 FSMO-Rollen und DNS übernehmen
04 Datei-, Druck- und Freigabedienste migrieren
05 Gruppenrichtlinien und Linux-Clients regeln
06 Windows-DC abschalten und Betrieb absichern

Was du mitnimmst

So gehst du den Ersatz strukturiert an

Ein Verzeichnisdienst wird nicht an einem Wochenende getauscht. Sinnvoll ist ein Weg, der zuerst Klarheit über die tatsächlichen Abhängigkeiten schafft und dann schrittweise Rollen von Windows nach Linux verschiebt. Diese Punkte bilden den roten Faden.

Abhängigkeiten der bestehenden Domäne erheben

Bevor irgendetwas migriert wird, brauchst du eine Liste aller Systeme, die am AD hängen: Fachanwendungen mit LDAP- oder Kerberos-Anbindung, Zertifikatsvorlagen aus den AD-Zertifikatdiensten, Vertrauensstellungen zu Partnerdomänen, Exchange, Entra-ID-Synchronisation und Softwareverteilung. Diese Liste entscheidet, ob ein vollständiger Ersatz überhaupt in Frage kommt.

Samba als AD-DC sauber provisionieren

Ein Samba-DC wird entweder neu provisioniert oder per klassischem Upgrade beziehungsweise als zusätzlicher DC in die bestehende Domäne aufgenommen und danach übernimmt er die FSMO-Rollen. Wichtig sind ein Dateisystem mit erweiterten Attributen, eine funktionierende Zeitsynchronisation für Kerberos, konsistentes DNS und ein zweiter DC von Anfang an.

Gruppenrichtlinien und Client-Verwaltung klären

Samba speichert und repliziert GPOs, wertet sie aber nicht selbst aus, das machen weiterhin die Windows-Clients. Bearbeitet werden sie über die Gruppenrichtlinien-Verwaltung auf einem Windows-Client oder über samba-tool gpo. Für Linux-Clients brauchst du einen eigenen Weg, in der Regel Konfigurationsmanagement mit Ansible statt GPO.

Datei- und Druckdienste mitnehmen

Freigaben mit NTFS-artigen ACLs, Windows-kompatible Papierkörbe, Schattenkopien über vfs_shadow_copy2 und Druckdienste über CUPS lassen sich unter Samba abbilden. Entscheidend ist die korrekte Übernahme der Berechtigungen samt SID-Mapping, damit nach der Migration niemand plötzlich mehr oder weniger sieht als vorher.

Ehrliche Grenzen benennen

Eine Enterprise-CA nach Windows-Vorbild, Exchange on premises, einige Trust-Szenarien und Werkzeuge, die zwingend auf Windows-spezifische AD-Erweiterungen setzen, bekommst du mit Samba nicht eins zu eins. FreeIPA ist die Alternative, wenn der Schwerpunkt auf Linux-Clients, Host-basierter Zugriffskontrolle und Zertifikaten liegt, es ersetzt aber kein AD für Windows-Domänenbeitritt im klassischen Sinn.

Betrieb, Backup und Notfallplan aufbauen

Zum Verzeichnisdienst gehören Monitoring der Replikation, regelmäßige Prüfungen mit samba-tool dbcheck, konsistente Sicherungen der Datenbank und des SYSVOL sowie ein geübtes Wiederherstellungsverfahren. Wer das erst nach dem Umstieg aufsetzt, hat den Betrieb nicht abgesichert.

Tutorial

Von der Ist-Aufnahme bis zum zweiten Domänencontroller

Der Ablauf folgt der Reihenfolge, in der ein Verzeichnisdienst tatsächlich abgelöst wird: erheben, provisionieren, beweisen, replizieren, übernehmen, sichern. Jeder Abschnitt endet mit einem Befehl, der zeigt, ob der Schritt gewirkt hat. Alle Beispiele nutzen die Domäne example.intern.

Erheben, was an der Domäne wirklich hängt

Der Aufwand einer Ablösung steckt nicht im Domänencontroller, sondern in dem, was sich über die Jahre an ihn gehängt hat. Diese Liste erstellst du, bevor du irgendetwas installierst.

Bestandsaufnahme von einem Linux-Host aus

# Domänencontroller und Dienste über DNS finden
host -t SRV _ldap._tcp.example.intern.
host -t SRV _kerberos._udp.example.intern.
host -t SRV _ldap._tcp.dc._msdcs.example.intern.

# Eckdaten der bestehenden Domäne abfragen
samba-tool domain info <ip-des-dc>

# Wer bindet per LDAP an? Konten mit Dienstnamen sind Kandidaten
ldapsearch -H ldap://dc1.example.intern -Y GSSAPI \
  -b "dc=example,dc=intern" "(servicePrincipalName=*)" sAMAccountName

Die SRV-Einträge sind der schnellste Weg zu einer vollständigen Liste der Domänencontroller, auch der vergessenen. Die LDAP-Abfrage findet Dienstkonten, hinter denen fast immer eine Anwendung steckt, die bei der Umstellung mitgedacht werden muss.

Diese Punkte gehören in die Erhebung

Zahl und Inhalt der Gruppenrichtlinien, samt Verknüpfungen an Organisationseinheiten.
Schema-Erweiterungen durch Drittsoftware, weil sie sich nicht ohne Weiteres nachbilden lassen.
Vertrauensstellungen zu anderen Gesamtstrukturen und deren Richtung.
Anwendungen mit LDAP- oder Kerberos-Anbindung, inklusive der verwendeten Dienstkonten.
Zertifikatsdienste und ausgestellte Vorlagen, denn dafür gibt es in Samba kein Gegenstück.
Anmeldeskripte, Laufwerkszuordnungen und Druckerbereitstellung.

Den ersten Domänencontroller provisionieren

Die Provisionierung selbst ist ein einziger Befehl. Die Fehler passieren davor und danach: bei den Diensten, beim Kerberos-Verweis, bei DNS und bei der Zeitsynchronisation.

Provisionierung und die Dienste drumherum

sudo samba-tool domain provision \
  --realm=EXAMPLE.INTERN \
  --domain=EXAMPLE \
  --server-role=dc \
  --dns-backend=SAMBA_INTERNAL \
  --use-rfc2307 \
  --adminpass='<starkes-passwort>'

# Kerberos-Konfiguration verweisen statt kopieren
sudo ln -sf /var/lib/samba/private/krb5.conf /etc/krb5.conf

# Debian/Ubuntu: die drei Einzeldienste stören den DC-Dienst
sudo systemctl disable --now smbd nmbd winbind
sudo systemctl mask smbd nmbd winbind
sudo systemctl unmask samba-ad-dc
sudo systemctl enable --now samba-ad-dc

--use-rfc2307 legt die Attribute für UID und GID im Verzeichnis an, ohne die spätere Anbindung von Linux-Mitgliedsservern deutlich umständlicher wird. Der Domänencontroller muss sich außerdem selbst als DNS-Server eintragen, sonst findet er seine eigenen SRV-Einträge nicht.

Zeitsynchronisation mit signierten Antworten

# /etc/chrony/chrony.conf (Debian) bzw. /etc/chrony.conf (RHEL)
ntpsigndsocket /var/lib/samba/ntp_signd
allow 10.10.0.0/24

# Das Verzeichnis muss für den chrony-Dienst lesbar sein
sudo chgrp _chrony /var/lib/samba/ntp_signd
sudo chmod 750 /var/lib/samba/ntp_signd
sudo systemctl restart chrony

Kerberos toleriert nur wenige Minuten Zeitversatz, danach schlägt jede Anmeldung fehl, und die Fehlermeldung auf dem Client nennt die Uhrzeit mit keinem Wort. Windows-Clients erwarten zusätzlich signierte Zeitantworten, dafür ist ntpsigndsocket zuständig.

Beweisen, dass die Domäne funktioniert

Bevor der erste Client beitritt, prüfst du die vier Schichten einzeln: DNS, Kerberos, LDAP und die Dateifreigabe. Wenn eine davon klemmt, sind alle Folgefehler irreführend.

Vier Prüfungen, die alles Wesentliche abdecken

# 1. DNS: liefert der DC seine eigenen Einträge aus?
host -t SRV _ldap._tcp.example.intern.
sudo samba_dnsupdate --verbose --all-names

# 2. Kerberos: lässt sich ein Ticket holen?
kinit administrator@EXAMPLE.INTERN
klist

# 3. LDAP: antwortet das Verzeichnis?
sudo samba-tool domain level show
sudo samba-tool user list | head

# 4. SMB: sind netlogon und sysvol erreichbar?
smbclient -L localhost -U administrator
smbclient //localhost/netlogon -U administrator -c 'ls'

Achte bei klist darauf, dass der Realm in Großbuchstaben steht. Kerberos unterscheidet an dieser Stelle streng, und ein kleingeschriebener Realm ist die häufigste Ursache für die Meldung, dass der Client den Realm nicht auflösen kann.

Erst wenn diese vier Prüfungen sauber durchlaufen, tritt der erste Windows-Client bei. Für Linux-Mitgliedsserver ist der Weg net ads join, gefolgt von Winbind, einem angepassten /etc/nsswitch.conf und der Gegenprobe mit wbinfo -u und getent passwd für ein Domänenkonto.

Zweiter Domänencontroller und die sysvol-Frage

Ein einzelner Domänencontroller ist ein Ausfall ohne Rückweg. Der zweite ist schnell aufgesetzt, aber ein Detail musst du selbst lösen, das Windows automatisch erledigt.

Beitritt und Replikation prüfen

sudo samba-tool domain join example.intern DC \
  -U administrator --dns-backend=SAMBA_INTERNAL

# Repliziert es wirklich? Fehlerspalten müssen auf 0 stehen
sudo samba-tool drs showrepl

# Replikation von Hand anstoßen
sudo samba-tool drs replicate dc2 dc1 dc=example,dc=intern

# Topologie neu berechnen lassen
sudo samba-tool drs kcc

samba-tool drs showrepl gehört in die Überwachung, nicht nur in die Inbetriebnahme. Eine unterbrochene Replikation fällt sonst erst auf, wenn ein Passwort auf dem einen Controller geändert wurde und die Anmeldung am anderen scheitert.

sysvol abgleichen und Rechte kontrollieren

# Abgleich vom führenden Controller, erweiterte Attribute unbedingt mitnehmen
sudo rsync -XAav --delete-after \
  root@dc1:/var/lib/samba/sysvol/ /var/lib/samba/sysvol/

# Rechte im sysvol prüfen und bei Bedarf zurücksetzen
sudo samba-tool ntacl sysvolcheck
sudo samba-tool ntacl sysvolreset

Die Optionen -X und -A sind nicht optional: Die NT-Rechte stecken in erweiterten Attributen, ein gewöhnliches rsync -a lässt sie fallen. Danach meldet sysvolcheck Abweichungen, und Gruppenrichtlinien greifen nicht mehr.

Bestehende Domäne übernehmen statt neu bauen

Eine gewachsene Domäne baust du nicht nach. Du fügst Samba als zusätzlichen Domänencontroller hinzu, verschiebst die Betriebsmasterrollen und stufst den alten Controller danach herunter.

Rollen übernehmen, nicht kopieren

# Funktionsebene vorher prüfen, sie begrenzt den Weg
sudo samba-tool domain level show

# Samba als weiteren DC in die bestehende Domäne aufnehmen
sudo samba-tool domain join example.intern DC -U 'EXAMPLE\administrator'

# Wer hält aktuell welche Betriebsmasterrolle?
sudo samba-tool fsmo show

# Rollen geordnet übernehmen, solange der alte DC noch läuft
sudo samba-tool fsmo transfer --role=all -U administrator

Prüfe die Funktionsebene, bevor du planst: Sie muss von der eingesetzten Samba-Version unterstützt werden, sonst scheitert der Beitritt. Nutze transfer, solange der alte Controller erreichbar ist, und greife nur im Notfall zu seize, weil dabei Änderungen verloren gehen können, die noch nicht repliziert waren.

Nach der Übernahme bleibt der alte Domänencontroller noch eine Weile stehen, aber ohne Rollen. Erst wenn Anmeldungen, Gruppenrichtlinien und Dateizugriffe über mehrere Tage stabil über Samba laufen, stufst du ihn ordentlich herunter. Ein einfaches Abschalten hinterlässt Karteileichen im Verzeichnis, die du später von Hand aufräumen musst.

Sicherung und Notfallplan

Ein Verzeichnisdienst wird nicht wie ein Dateiserver gesichert. Samba bringt dafür eigene Werkzeuge mit, und sie sind der einzige verlässliche Weg zurück.

Sicherung und Wiederherstellung

# Sicherung im laufenden Betrieb, von einem beliebigen DC aus
sudo samba-tool domain backup online \
  --server=dc1 --targetdir=/srv/backup/samba -U administrator

# Sicherung bei gestopptem Dienst
sudo samba-tool domain backup offline --targetdir=/srv/backup/samba

# Wiederherstellung unter neuem Servernamen
sudo samba-tool domain backup restore \
  --backup-file=/srv/backup/samba/<datei>.tar.bz2 \
  --newservername=dc3 --targetdir=/srv/samba-restore

Sichere zusätzlich das sysvol-Verzeichnis mit seinen erweiterten Attributen, denn dort liegen die Gruppenrichtlinien. Und teste die Wiederherstellung mindestens einmal in einem abgetrennten Netz, sonst weißt du am Tag des Ausfalls nicht, ob die Sicherung überhaupt brauchbar ist.

Bevor die Domäne in den Regelbetrieb geht

Es laufen mindestens zwei Domänencontroller, und die Replikation wird überwacht.Fällt der einzige Controller aus, meldet sich niemand mehr an und keine Freigabe ist erreichbar. Eine unbemerkt unterbrochene Replikation ist derselbe Ausfall mit Verzögerung.
Der sysvol-Abgleich läuft automatisch und wird auf Fehler geprüft.Ohne Abgleich hängt es vom Anmeldeserver ab, welche Gruppenrichtlinie ein Client bekommt. Solche Fehler sind im laufenden Betrieb kaum zu reproduzieren und kosten viel Suchzeit.
Die Zeitsynchronisation ist auf allen Controllern und Clients überwacht.Kerberos lehnt Tickets bei zu großem Zeitversatz ab. Der Effekt sieht wie ein Passwortproblem aus und wird deshalb meist an der falschen Stelle gesucht.
Die Wiederherstellung wurde einmal vollständig geübt und dokumentiert.Eine ungeprüfte Sicherung ist eine Annahme. Beim Ausfall des Verzeichnisdienstes steht die gesamte Anmeldung still, das ist der schlechteste Moment für den ersten Versuch.
Für Zertifikatsdienste und Exchange-Abhängigkeiten existiert ein eigener Plan.Diese beiden Bereiche deckt ein Samba-Domänencontroller nicht ab. Wer sie erst nach der Umstellung bemerkt, hat den Rückweg bereits abgeschnitten.

Passende Kurse

Kurse zu Samba als AD-Ersatz bei cmt

Diese Kurse vertiefen genau das, an echten Systemen statt nur an Folien. Als Präsenz oder Live-Online, auf Wunsch auch Inhouse für dein Team.

Linux Samba und Windows Netzwerke 2 Tage Präsenz nächster Termin 22.10.2026 Zum Kurs Linux als Datei- und Druckserver (Samba, NFS und mehr) 2 Tage Präsenz nächster Termin 19.11.2026 Zum Kurs Linux Infrastrukturdienste (INFS) 3 Tage Präsenz nächster Termin 26.08.2026 Garantietermin Zum Kurs Linux Migration - Von Windows zu Linux 2 Tage Präsenz nächster Termin 07.12.2026 Zum Kurs Linux Netzwerk und Netzwerkdienste - Kompaktkurs 5 Tage Präsenz nächster Termin 21.09.2026 Zum Kurs

Unverbindlich beraten lassen Alle LPI-Kurse ansehen

Gut zu wissen

Häufige Fragen zu Samba als AD-Ersatz

Noch etwas offen? Wir sind ohne Warteschleife für dich da.

Frag uns direkt

Kann Samba Active Directory vollständig ersetzen?

Für Anmeldung, Kerberos, LDAP, DNS, Gruppenrichtlinien-Speicherung sowie Datei- und Druckdienste kann Samba einen Windows-Domänencontroller ersetzen, und Windows-Clients treten der Domäne ganz normal bei. Nicht abgedeckt sind unter anderem eine Enterprise-Zertifizierungsstelle nach Windows-Vorbild, Exchange on premises und einzelne Werkzeuge, die zwingend Windows-spezifische Erweiterungen im Verzeichnis voraussetzen.

Funktionieren Gruppenrichtlinien mit einem Samba-Domänencontroller?

Ja, Samba speichert die Richtlinienobjekte im Verzeichnis und repliziert das SYSVOL, sodass Windows-Clients ihre GPOs wie gewohnt anwenden. Die Auswertung findet weiterhin auf dem Client statt, und bearbeitet werden die Richtlinien entweder über die Gruppenrichtlinien-Verwaltungskonsole auf einem Windows-Rechner oder über samba-tool gpo.

Was ist der Unterschied zwischen Samba und FreeIPA?

Samba bildet eine Active-Directory-kompatible Domäne nach und ist die richtige Wahl, wenn Windows-Clients weiterhin Mitglied einer Domäne sein müssen. FreeIPA ist auf Linux-Umgebungen ausgelegt und bringt Zertifikatsverwaltung, Host-basierte Zugriffskontrolle und sudo-Regeln zentral mit, setzt für gemischte Umgebungen aber in der Regel eine Vertrauensstellung zu einem AD voraus.

Wie migriere ich eine bestehende Domäne, ohne bei null anzufangen?

Der übliche Weg ist, den Samba-Server als zusätzlichen Domänencontroller in die bestehende Domäne aufzunehmen, die Replikation zu prüfen und anschließend die FSMO-Rollen zu übertragen. Erst wenn Anmeldung, DNS und SYSVOL über den neuen DC stabil laufen, wird der Windows-Domänencontroller herabgestuft und entfernt.

Braucht man für einen produktiven Samba-AD mehrere Domänencontroller?

Ja, ein einzelner Domänencontroller ist immer ein Single Point of Failure, und beim Verzeichnisdienst legt sein Ausfall die Anmeldung im gesamten Netz still. Plane von Anfang an mindestens zwei DCs mit funktionierender Replikation, getrennter Stromversorgung beziehungsweise Virtualisierungshost und einem getesteten Wiederherstellungsverfahren.

Zuletzt geprüft am 26. Juli 2026.

Echte Stimmen aus unseren IT-Kursen

“

Sehr kompetenter Dozent der gut auf alle Fragen eingegangen ist.

Rückmeldung aus dem Kurs „Kubernetes Grundkurs“

“

Die Schulung war genau das richtige, um mein Verständnis zu erweitern. Vielen Dank an den Trainer!

Rückmeldung aus dem Kurs „Linux Grundkurs (LPI01)“

Persönlich für dich da

Deine Ansprechpartner

Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.

Yves Hoppe

Weiterbildung & Beratung

Hilft dir, aus dem Linux-Programm den passenden Kurs oder Lernpfad zu finden.

0800 71 20000 E-Mail

Norbert Jansen

Beratung & Inhouse

Plant mit dir Inhouse-Trainings, die exakt auf eure Systemlandschaft und Distributionen zugeschnitten sind.