Автономный сервер Samba с помощью LDAP для аутентификации: несоответствие SID

Я пытаюсь получить свой новый сервер самбы, работающий в течение многих дней теперь, и я начинаю сходить с ума по не выяснению, что я делаю неправильно. Вот моя установка:

Сервер OpenLDAP 2.4.21 с ~15 группами и> 100 пользователей, все имеющие Unix и пароль самбы сохранили в LDAP, а также Пользователе SID и Основную группу SID, присвоенный и сохраненный в LDAP, полученном из SID Сервера LDAP.

Теперь я хочу использовать несколько серверов самбы для использования сервера LDAP для аутентификации пользователей. Сервером самбы является Linux, настроенный с NSS/PAM использование ldap сервера. getent passwd/group возвращает всех пользователей и ssh к работам машины самбы для всех пользователей. Теперь вот smb.conf:

[global]
workgroup = XXXXX
security = user
passdb backend = ldapsam:ldap://myldapserver
ldap suffix = dc=mydomain,dc=com
ldap admin dn = cn=replicator,dc=mydomain,dc=com
ldap user suffix = ou=users
ldap group suffix = ou=groups
ldap machine suffix = ou=computers
ldap ssl = start tls

ldap работы соединения, как pdbedit -L шоу

pm_process() returned Yes
smbldap_search_domain_info: Searching for:[(&(objectClass=sambaDomain)(sambaDomainName=SAMBAHOSTNAME))]
StartTLS issued: using a TLS connection
smbldap_open_connection: connection opened
ldap_connect_system: successful connection to the LDAP server
The LDAP server is successfully connected
smbldap_search_paged: base => [dc=mydomain,dc=com], filter => [(&(uid=*)(objectclass=sambaSamAccount))],scope => [2], pagesize => [1024]
smbldap_search_paged: search was successful
sid S-1-5-21-[LDAPSID]-5168 does not belong to our domain

и затем последнее сообщение повторяется для всего uids. Используя smbclient -L localhost -U someid файл журнала говорит:

check_ntlm_password:  Checking password for unmapped user [XXX]\[someid]@[SAMBAHOST] with the new password interface
check_ntlm_password:  mapped user is: [SAMBAHOST]\[someid]@[SAMBAHOST]
StartTLS issued: using a TLS connection
smbldap_open_connection: connection opened
ldap_connect_system: successful connection to the LDAP server
The LDAP server is successfully connected
init_sam_from_ldap: Entry found for user: someid
Home server: SAMBAHOST
Home server: SAMBAHOST
init_group_from_ldap: Entry found for group: 1011
init_group_from_ldap: Entry found for group: 1011
Primary group S-1-5-21-[LDAPSID]-1000 for user someid is a UNKNOWN and not a domain group
Forcing Primary Group to 'Domain Users' for someid
ntlm_password_check: Checking NTLMv2 password with domain [CIN]
sam_account_ok: Checking SMB password for user someid
The primary group domain sid(S-1-5-21-[LOCALSID]-513) does not match the domain sid(S-1-5-21-[LDAPSID]) for someid(S-1-5-21-[LDAPSID]-5708)
check_sam_security: make_server_info_sam() failed with 'NT_STATUS_UNSUCCESSFUL'
check_ntlm_password:  Authentication for user [someid] -> [someid] FAILED with error NT_STATUS_UNSUCCESSFUL

Что я вижу, вот то, что сервер самбы не распознает основную группу пользователя (который является существующей группой в LDAP), и для этого отображает основную группу на ее локальную группу "Пользователей домена", которая затем, очевидно, не соответствует domainSID идентификатора пользователя. Но почему сервер самбы не распознает группу? Или есть ли другая базовая проблема?

Что я попробовал до сих пор:

Изменение SID сервера самбы к SID сервера LDAP, но net setlocalsid S-... не изменил локальный SID. Никакое сообщение об ошибке, просто выполненное успешно, но getlocalsid, не возвратило старый SID.

Установка domainsid сервера самбы к SID ldap сервера. net setdomainsid S-... было успешно, но сервер самбы все еще отказывается аутентифицировать пользователей.

Испытанное добавление сервера к домену с net join XXX но ответ был просто "автономным сервером, не может присоединиться к домену".

Я пытался работать smbpasswd -a добавить пользователя к локальному дб самбы (даже при том, что это не было бы опцией для конечного решения, но это - то, что другие пользователи рекомендовали), но ошибку не изменилось.

Как я могу или сказать самбе игнорировать несоответствие домена SID или самбу силы, чтобы иметь тот же SID как LDAP? Или это вызвало бы другие проблемы, если ~10 Серверов Samba и LDAP в конце у всех есть тот же самый SID?