ubuntuusers.de

Moin! Ich habe ein paar Freigaben auf einem Samba, wo bestimmte Datei/Ordnerrechte gesetzt sein müssen. Die erzwinge ich mittels:

        create mask = 0600
        force create mode = 0600
        directory mask = 0700
        force directory mode = 0700
        force group = smbusr
        force user = samba

Wenn ich nun auf den Share via Nautilus, Thunar, usw zugreife funktioniert es auch so wie ich es mir vorgestellt habe (Dateien werden mit 600 und Ordner mit 700 abgelegt und gehören jeweils samba:smbusr). Jetzt kann ich allerdings, wenn ich den Share mittels cifs im Terminal mounte, darauf zugreifen und beliebige Rechte setzen, z.B. 000, womit ich die Datei selbst nicht mehr öffnen kann.

Warum ist das so? Ich erzwinge doch die minimalen und maximalen Rechte für Dateien und Ordner. Warum kann ich diese plötzlich doch wieder verändern?

Vielen Dank für eure Hilfe!

(Edit: mask und mode vertauscht, testparm ist in der Section fehlerlos)

Eine kleine Frage vorweg:

force create mask = 0600

Laut man smb.conf lautet die Optiom

force create mode = 0600

Ob hier mask als Synonym für mode zulässig ist, weiß ich nicht (siehe dazu sie Ausgabe von testparm).

Nun zum eigentlichen Problem: Es kann zweierlei Gründe geben, wenn die Option force create mode nicht berücksichtigt wird:

1. Wenn die cifs UNIX Extensions aktiv sind (siehe dazu Samba Client cifs), dann haben diese Vorrang, oder

2. Wenn ACL gesetzt sind, dann können diese die UNIX-Dateirechte überdecken. Bei Samba-4 kann man z.B. von Windows-Clients aus auf dem Server ACL setzen (evtl. sogar unabsichtlich). Das wissen viele nicht.

Wenn ich nun auf den Share via Nautilus, Thunar, usw zugreife funktioniert es auch so wie ich es mir vorgestellt habe

Das deutet darauf hin, dass es sich bei Dir wohl um die UNIX Extensions handelt. Denn die Dateimanager Nautilus, Thunar &Co. verwenden das GVFS, und dieses unterstützt die UNIX Extensions nicht.

Auch beim Mounten mittels cifs kannst Du die UNIX Extensions deaktivieren, und zwar mit der Option nounix.

Gruß – Max-Ulrich

Max-Ulrich_Farber schrieb:

Eine kleine Frage vorweg:

> force create mask = 0600
> 

Laut man smb.conf lautet die Optiom

force create mode = 0600

Ob hier mask als Synonym für mode zulässig ist, weiß ich nicht (siehe dazu sie Ausgabe von testparm).

Nein es ist nicht zulässig, habs korrigiert, gibt (natürlich) auch einen Fehler mittels testparm aus.

ACL ist nicht gesetzt, aber Danke für deinen Tipp mit den Win-Clients.

Die cifs Unis-Extensions sind aktiv, habe diese nun testweise mittels nounix deaktiviert. Jetzt kann ich die Rechte auf dem Server auch nicht mehr verändern. Es passiert nun aber etwas "komisches": Die Dateien liegen auf dem Server nun alle mit 600, aber auf dem Client werden sie als 655 angezeigt. Ich mounte die Freigabe in der FSTAB mittels

//10.10.10.11/user /mnt/user cifs user,uid=1001,rw,nounix,credentials=/home/user/.smbcredentials 0 0

Liegt hier vielleicht ein Fehler vor?

Liegt hier vielleicht ein Fehler vor?

Nein, das ist normal. Wenn die UNIX Extensions deaktiviert sind, dann werden die auf dem Server geltenden Datei-und Zugriffsrechte nicht an den Client übermittelt, d.h. man kann sie dort auch nicht sehen. Auf dem Server gelten sie dann aber trotzdem, d.h. man kann nichts machen, was dort verboten ist, selbst wenn man dies auf dem Client nicht sieht.

Wenn die UNIX Extensions nicht aktiv sind, dann erfolgen sozusagen unabhängig voneinander zwei Rechte-Prüfungen: Erstens die Überprüfung der in den Mount-Parametern festgelegten Rechte auf dem Client (wenn dort nichts angegeben ist, dann gilt root:root und der mittels umask festgelegte Standardwert, also meist 0644), und außerdem noch die Überprüfung der UNIX-Dateirechte auf dem Server. Dabei erfährt der Server aber nur, mit welcher Identität die Freigaben auf dem Client gemountet wurden (username=xyz), nicht jedoch, wer dann dort auf die bereits gemounteten Freigaben tatsächlich zugreift. Beim GVFS ist das ein bisschen einfacher, denn dort geschieht das Mounten und der Zugriff automatisch mit der gleichen Identität.

In vielen Fällen genügt das einfacher gestrickte GVFS, bei dem ein automatisches Mounten auch möglich ist, sogar über das graphische Tool Gigolo.

Gruß – Max-Ulrich