Телепаты в отпуске, поэтому надо сообщать тип Windows.
Для W'9x заставить юзеров сдложно - любой может вывести машину из домена. Для W'NT/2k/XP достаточно удалить/заблокировать локальных юзеров и ввести машину в домен.
Удобство: юзер может логиниться под своим именем с любой машины и иметь те же самые права в сетИ (доступ к лок.машине немного различается - диск C: у каждой машины свой).
На W'9x/ME надо указать "разделять shares на уровне юзеров" (а не самих шар).
Траблы: W'XP использует такой алгоритм шифрования, которого Samba ещё не имеет - правится через реестр, но ключа я не знаю.
Если W'NT/2k/XP "вывалится" из домена, то будет морока (пляски с бубном) с введением её в домен.
Ну и если рухнет контроллер домена... Кстати, Samba не умеет работать в роли BDC; это можно сделать ручками через CVS или типа того, но уж очень геморно, а без бэкапного контроллера очень уж стрёмно...
А самая страшная трабла = человеческий фактор. Юзера могут рассказать друг другу свои пароли и вообще всячески класть на тебя. А чтоб не клали - на то есть директор, пусть прикажет им строиться как ты сказал. А с др.стороны, юзера зарабатывают деньги для конторы (в т.ч. на твою зарплату), так что пусть работают как им удобнее.