Samba 身份验证和 LDAP

Question

我有一个 OpenLDAP 服务器，用于对各种服务进行身份验证和授权。所有用户都是对象类型inetOrgPerson，我的组是groupOfNames.

现在我想将 Samba 配置为也通过 LDAP 进行身份验证（使用基于组的授权）。我不能/不想将 samba 用作域控制器，而仅用作文件服务器。我也不想在 samba 中单独管理用户帐户，因为我在 LDAP 中有我需要的所有信息（用户名、密码、组成员资格）。我也想避免改变我的 DIT。就我目前的研究而言，我不能直接这样做，因为

a) Samba 使用它自己的凭证存储进行身份验证，这意味着我必须smbpasswd为每个现有的 LDAP 用户
b) 我的 LDAP 用户必须具有 samba 属性

环顾四周后，我怀疑我的问题的解决方案可能是在 samba 和 LDAP 之间使用 Kerberos。
我没有管理 Kerberos 的经验，所以在努力之前，我想澄清以下主题：

• 我的假设正确吗？
• 我可以在一台机器上运行 Kerberos 的身份验证服务器和密钥分发中心并将其配置为仅在本地主机上提供授权票证吗？（OpenLDAP 和 samba 在同一台机器上运行）
• 使用 Kerberos 是否允许我保持 DIT 不变并仅使用 LDAP 中的信息执行身份验证/授权？
• 有更好/更简单的解决方案吗？

我在 Ubuntu Server 14.04 上。

非常感谢您提前提供任何提示