Samba + LDAP: SID и управление доступом 0

Дано: FreeBSD 6.1, Samba 3.0.23, OpenLDAP 2.3.27

Системную авторизацию пока не трогал (и не предполагается).

Авторизация Самбы сделана через LDAP (как и, главное, зачем — отдельная пестня).

По всей видимости дело идёт к построению виндового домена.

Попутно обнаружился целый набор граблей, но главный вопрос не в этом.

При добавлении пользователя Самбы, насколько я понял в строго обязательном порядке требуется указать SID.

Без указания оного — облом с добавлением пользователя, при указании неверного значения — облом с функциональностью.

Некоторый набор стандартных значений известен.

Но вопрос с принципами задания/присвоения неясен (как и адресации привилегий).

Обнаруженная документация куцая:

Samba-Rights-HOWTO (попытка реализации отдельных рецептов обламывается с core dump).

Чем меньше прав и простого смертного, тем лучше.

Считаю, что здесь правильным будет забить на навязываемую фичу и использовать её только в минимально-необходимом объёме.

Вопрос: значения SID для пользователей/групп пользователей можно задавать от фонаря (в заданном диапазоне)?

И после этого выдавать минимально необходимую «SeDiskOperatorPrivilege» (и возможно «SeMachineAccountPrivilege») и забить на SID?

ЗЫ: И ещё вопрос про отображение: предусмотрена ли в Самбе возможность показывать каталоги только тем пользователям, которые имеют туда доступ?