Problema ao criar um compartilhamento Samba acessível em uma partição de dados separada

Question

Eu estou tentando criar um servidor de arquivos Samba autônomo com segurança em nível de usuário para diretórios compartilhados que residem em uma partição de dados separada. O problema é que alguns usuários não podem acessar compartilhamentos nessa partição, mesmo que tenham permissões completas de rwx de grupo.

Meu pensamento inicial foi criar um compartilhamento de rede em / srv / shares, mas isso não está na partição correta, então eu tenho tentado criar um compartilhamento de um diretório na partição de dados (nwk-data) atualmente montada em / media / bill. Isso não foi bem sucedido.

Considerei editar o fstab para montar a partição de dados nwk-data em / srv, mas não tenho certeza de que isso importaria: Compartilhamentos criados para fins de teste em vários pontos de montagem acima, em e abaixo do ponto de montagem da partição de dados com êxito ou falha dependendo se eles estão nessa partição.

Configuração:

• Samba 4.3 no Ubuntu Desktop 16.04

• Dois usuários (conta, debra) e um grupo (sambausers, dos quais bill e debra são membros).

• Três volumes: (a) HDD de backup; (b) volume do sistema; (c) volume de dados. O volume de dados tem três partições: sdc1 [reservado], sdc2 [reservado], sdc3 [nwk-data]; todos os três são montados em / media / bill. [nwk-data] é a partição de dados.

• Propriedade de / media é raiz: sambausers (chown -R root: sambausers / media).

• As permissões para / media são rwx para proprietário e grupo (chmod -R 770 / media).

• Dois laptops clientes. Cada um é o Windows 7 e cada um tem contas / usuários Bill e Debra.

• As senhas são idênticas para cada usuário nas três máquinas (servidor e dois laptops).

• O compartilhamento principal é [usuários] em / media / bill / nwk-data / usuários (root: sambausers) (rwx para proprietário e grupo).

• / a mídia é compartilhada [mídia] para fins de teste (raiz: sambausers) (rwx para proprietário e grupo).

• / media / bill é compartilhado [bill] para fins de teste (root: sambausers) (rwx para proprietário e grupo).

• / media / bill / nwk-data é compartilhado [nwk-data] para fins de teste (raiz: sambausers) (rwx para proprietário e grupo).

• Compartilhamento adicional [teste] criado para fins de teste em / srv / shares (raiz: sambausers) (rwx para proprietário e grupo).

• Compartilhamento adicional [bshare] criado para fins de teste em / media / bshare (root: sambausers) (rwx para proprietário e grupo).

O que funciona:

• Bill pode acessar todos os compartilhamentos de ambos os laptops usando suas credenciais.
• A Debra pode acessar todos os compartilhamentos de ambos os laptops usando as credenciais do Bill.
• Debra pode acessar [teste], [bshare] e [mídia] de ambos os laptops usando suas credenciais.

O que não funciona:

• Debra não pode acessar [bill], [nwk-data] ou [users] ou qualquer um dos subdiretórios do segundo laptop usando as credenciais dela.

Eu consertei por três dias com o arquivo smb.conf, propriedade e permissões sem efeito.

O problema parece estar em obter acesso a subdiretórios de / media. Não tenho certeza do que é o hangup. Pode ser um problema da ACL, embora eu não saiba nada sobre esse assunto. Quaisquer reflexões sobre qual seria o problema, e melhor ainda como consertá-lo, seriam muito apreciadas.

    

Answer 1

Uau. Algumas questões são mais adequadas ao fórum do Ubuntu e esta é uma delas, já que precisamos de um diálogo sobre isso.

Todo esse chown'ing e chmod'ing de / media e / media / bill contornou todas as medidas de segurança padrão que o Linux implementou para esses diretórios. / media / bill tem uma configuração especial de permissões aplicada a ele - pelo menos foi o que aconteceu. Se você tivesse olhado para as permissões normais " ls -dl / media / bill " primeiro, não pareceria que o bill teria acesso transversal porque proprietário = grupo = raiz e as permissões seriam drwxr-x --- + . A chave aqui é o " + " no final. Isso significa que permissões especiais estão em vigor. A maneira de encontrar essas permissões é com este comando:

getfacl -t /media/bill

Ele teria mostrado que apenas o projeto de lei tem o direito de atravessar o diretório / media / bill para chegar ao que está sob ele, onde ele estaria sujeito às permissões dele. Não tem certeza do que parece agora com todas as alterações de permissões.

Se você criou um compartilhamento em / media / bill / nwk-data / users, você só tem duas opções - normalmente:

[1] Use a opção force user = bill na definição de compartilhamento. Isso fará com que Debra pareça uma fatura para o servidor, para que ela possa atravessar a pasta / media / bill.

[2] Monte a partição em outro lugar: um nível acima em / media / nwk-data, / srv / mwk-data, em qualquer lugar, mas unser / media / bill teria funcionado.

Se isso acontecesse no fórum, eu teria algumas perguntas sobre como o sistema de arquivos é montado em / media / bill / nwk-data e como o compartilhamento é configurado no smb.conf.

EDITAR : / media / $ USER é configurado pelo sistema para cada usuário local. Sua finalidade é fornecer um diretório pai para todas as partições não permanentes ou dispositivos que um usuário pode querer conectar ao seu sistema.

Quando, por exemplo, o usuário insere um disco USB externo em sua máquina, o sistema o monta automaticamente em / media / $ USER / LABEL. O motivo das permissões "especiais" em / media / $ USER é garantir que este dispositivo seja acessível apenas ao usuário que o anexar e a mais ninguém. Esse usuário tem permissões para percorrer o diretório / media / $ USER (cruzar o diretório) para acessar o diretório / LABEL. Nesse ponto, ele é restrito pelas permissões do diretório / LABEL.

Você pode compartilhar algo sob essas condições, mas terá que usar a sugestão "forçar usuário". Alterar permissões em / media / $ USER anula sua finalidade. E alterar as permissões da pasta / mídia do sistema simplesmente não é feito.

Para uma partição interna, é melhor montá-la em algum lugar diferente de / media / $ USER.