Может быть, лучше ntlm_auth сделать SGID-ным?

Да, я уже думал об этом. По идее можно и так. ab@ сейчас в отпуске, что будем
делать? Ждать когда вернется или NMU?

Поскольку на практике оказалось usermod -G winbind squid недостаточным -
поскольку смотрится только Effective group под которой пускается демон, то делаю
reassign на владельца samba.

похоже надо переоткрывать #4182.
Я не пойму как работает (и работает ли вообще) cache_effective_group
Добавляю squid в группу winbind - эффект ноль - не работает.

по описанию:
If you define cache_effective_user, but not
cache_effective_group, Squid sets the GID to the effective
user's default group ID (taken from the password file) and
supplementary group list from the from groups membership of
cache_effective_user.

Почему это не происходит? я не указываю cache_effective_group, значит группа
берётся из /etc/group (где squid включён в winbind), но доступа к
/var/lib/samba/winbindd_privileged как не было, так и нет.