authconfig で --enableldap（NSS で LDAP 情報を利用）だけしておけば、
--enableldapauth（PAM で LDAP 情報を利用）をしなくても Samba の利用に支障は無いことがわかった。
よく考えてみれば NSS で情報が得られれば（認証の要らない root なら）su できるわけだし、当たり前といえば当たり前なのでした。

enableldapauth しないことによって、PAM の認証が通らなくなるので、例えば物理的にマシンコンソールにアクセスされた場合でもパスワード認証を通さないことが可能になる。