Samba, игнорирующий POSIX ACLs

Опаздывая с этим вопросом, я все же хотел бы указать на официальную документацию Samba для поддержки ACL . Это справедливо для Samba 4.0.0 и более поздних версий, которые, безусловно, не были доступны в то время, когда задавался этот вопрос. Но поскольку вопрос появляется в поисковых системах, эта ссылка может быть полезной.

Основные шаги:

1. Убедитесь, что файловая система поддерживает acls (в настоящее время ext4 поддерживает по умолчанию, дополнительные параметры монтирования не требуются)

2. Убедитесь, что Samba скомпилирована с поддержкой ACL. (Да,по умолчанию в Ubuntu 14.04 LTS):

smbd -b | grep HAVE_LIBACL

3. Включите ACL, установив следующее в разделе [global] файла /etc/samba/smb.conf :

vfs objects = acl_xattr
map acl inherit = yes
store dos attributes = yes

Для получения подробной информации посетите официальную документацию по ссылке выше.

Это потому, что заставляет пользователя , заставляет группу , создает маску и маску каталога заставляет использовать разрешения в стиле tradidional unix, которые не могут быть объединены с наследуемыми ACL. ACL по умолчанию должны находиться на уровне файловой системы папки, а не самого ресурса samba, чтобы наследование работало, но имейте в виду, что противоречивые разрешения всегда будут запрещать доступ, например. Если у пользователя есть разрешение как у пользователя, но не как у группы samba, доступ будет запрещен при использовании ACL (что мне кажется ошибкой), например: пользователь никто не входит в группу nogroup , то ACL должны никому не разрешать & nogroup write permission, в противном случае доступ на запись будет запрещен. Только самба ведет себя таким образом!

Возможным способом создания папки с наследственными правами по умолчанию может быть:

me@myHost:/shares$ getfacl myShare/
# file: myShare/
# owner: JohnDoe
# group: domain\040users
user::rwx
group::rwx          #effective:r-x
group:domain\040users:rwx   #effective:r-x
group:domain\040admins:rwx  #effective:r-x
mask::rwx
other::r-x
default:user::rwx
default:group::rwx
default:group:domain\040users:rwx
default:group:domain\040admins:rwx
default:mask::rwx
default:other::r-x

Раздел со значениями default:* является интересной частью для наследования, потому что любой новый файл или папка получит их при создании внутри папки myShare. Подробнее об установке значений по умолчанию: в файле или папке смотрите страницу руководства setfacls. Теперь проблема с использованием создайте маску или маску каталога в папке со значением по умолчанию:ACLs заключается в том, что samba затем переопределит эти значения по умолчанию, и в большинстве случаев эти операторы маски полезны только в том случае, если нужно, чтобы вся папка и файлы содержали только одного владельца и группу. ACL сложнее настраивать, но они предлагают гораздо больше гибкости, как обычно на машинах windows. Чтобы samba соблюдала эти разрешения по умолчанию:*:: наследуемые acls должны быть установлены в [global] разделе:

[global]
    ; Important if ACLs (eg: setfacl) contain default entries
    ; which samba honors only if this is set to 'yes'.
    inherit acls = yes

[...]

[myShare]
    comment = Put your files here
    path = /shares/myShare
    writeable = yes

Это позволило бы создать общий ресурс, где каждый может записывать в общий ресурс... но (!). что не обязательно означает, что это разрешено на уровне файловой системы, потому что папка myShare просто разрешает пользователям домена . В любом случае, для паранойи разрешения на общий доступ можно сузить, разрешив только определенные группы:

    write list = @"domain users"

, что подразумевает writeable=yes, но только для групп, определенных в списке write list. Убедитесь, что разрешения на общий доступ и на папку не содержат противоречий, например:

    write list = @"other group"

позволит другой группе записывать в общий доступ, но поскольку папки myShare позволяют записывать только пользователям домена , то очевидно, что это не удастся.