winbind ou pam_ldap ?

Bonjour

Néophite sous linux, j'ai la lourde tâche de mettre en place du single
sign-on sur un réseau hétérogène (windose, linux et mac pour l'instant).
J'ai un contrôleur de domaine Active Directory.

Actuellement j'ai un serveur linux qui a été configuré avec winbind
pour qu'on puisse se connecter depuis windows via kerberos sans avoir
à entrer son passwd.

Bon, ça marche bien mais que pour le smb pour l'instant.
Or nous avons besoins d'autres services, notament nfs pour les postes
linux et netatalk pour les mac. Du sftp serait pas mal non-plus pour
les accès distants.

Première question, si je fais un
id "DOMAIN\username"
il me retourne l'identité de l'utilisateur avec un UID.
D'où vient cet UID ?
c'est Winbind qui tient une base de données avec une liste, ou c'est
calculé à partit de l'AD ?

Seconde question, il y a dans ldap.conf
( je suis en fedora Linux 2.6.9-1.6_FC2 )
un truc qui parles d'authentification directe sur l'AD, via mssfu.
(donc je supposes qu'il faut avoir installé sur l'AD les services pour
unix). Je suppose que ce truc passe via pam_ldap et nss_ldap.
J'ai malheureusment pas trouvé de proc pour intégréer tous mes
services, notament samba, via nss_ldap et kerberos.
Conaissez-vous un livre ou un site expliquant comment faire ?

Troisième question, serait-il possible de configurer tous mes services
pour qu'ils utilisent winbind ?
Il y a un pam_env.so qui permet de faire un login local via winbind.
Peut-on l'appliquer à d'autres services, et si oui où trouver de la
dec là dessus ?

Quatrième quesion, si on peut tout passer soit par nss_ldap soit par
pam_env, c'est quoi le mieux selon vous ? Et pourquoi ?

Voilou, ça fait beaucoup de questions. Merci d'avance :)

--
Nicolas - larhT