Почему Samba не даёт пользователю записывать файлы в домашнюю директорию без разрешения группе на запись?

Question

[OSBoy]

Начал осваивать Samba. Установил: версия 2:4.5.12+dfsg-2+deb9u4 на Debian 9.
Настроил минимальный конфиг для доступа пользователя к домашней директории:

[global]
   workgroup = WORKGROUP
   dns proxy = no
   log file = /var/log/samba/log.%m
   max log size = 1000
   syslog = 0
   panic action = /usr/share/samba/panic-action %d
   server role = standalone server
   passdb backend = tdbsam
   obey pam restrictions = yes
   unix password sync = yes
   passwd program = /usr/bin/passwd %u
   passwd chat = *Enter\snew\s*\spassword:* %n\n *Retype\snew\s*\spassword:* %n\n *password\supdated\ssuccessfully* .
   pam password change = yes
   map to guest = bad user
   usershare allow guests = yes
[homes]
   comment = Home Directories
   browseable = no
   read only = no
   create mask = 0644
   directory mask = 0755
   valid users = %S
   path = /home/%S/samba

Суть вопроса вот в чём: почему Самба не позволяет записывать пользователю файлы в домашнюю директорию (и поддиректории), если у неё выставлены права, например, 755? При этом, если выставить права, например, 775 - то файлы записываются нормально! То есть, чтобы разрешить запись владельцу, приходится давать доступ на запись его группе!

Comments

[Andrej Gessel]

Проще всего начать с установки последней стабильной версии и проверки этой же функции. Samba 4.5 а так же 4.6 EOL.

Answer 1

[maniac_by]

Суть вопроса вот в чём: почему Самба не позволяет записывать пользователю файлы в домашнюю директорию (и поддиректории), если у неё выставлены права, например, 755?

Потому что архитектура Линупсов не позволяет использовать пользователя без группы. По умолчанию вместе с пользователем присваивается одноименная пользователю группа. Если ты хочешь создавать шары для каждого пользователя отдельно то и назначай каждую шару на пользовательскую группу. Просто прис оздании пользователя генерируй дополнительную уникальную группу для шары. https://help.ubuntu.ru/wiki/пользователи_и_группы

В результате у тебя будет всего две группы для каждой шары: Именная пользователя с правами на управление, и общая (если нужна) с правами на чтение.

Comments

[OSBoy]

Потому что архитектура Линупсов не позволяет использовать пользователя без группы. По умолчанию вместе с пользователем присваивается одноименная пользователю группа.

Так то оно так, но при этом ведь системная пользовательская домашняя директория по умолчанию имеет права доступа 755 и это не мешает системному пользователю записывать в неё файлы, в отличие от того же пользователя, вошедшего через Самбу!

[maniac_by]

OSBoy, Так и что в этом примере не верное?) Есть общая для всех группа по-умолчанию. 1000. Оно её и использует. В общем. Смотрите по группам. Линупс он такой, не ищет легких путей. Но вы же и не в Windows, ведь так?

Если хотети сделать из линупса виндовс - то смотрите сюда: https://habr.com/post/174407/

[OSBoy]

Есть общая для всех группа по-умолчанию. 1000. Оно её и использует.

Чё то у меня опять не сходится. Вот специально создал второго пользователя, и видим, что группы у них разные - получилось что-то вроде этого:

$ cat /etc/passwd | grep myuser
myuser1:x:1000:1000::/home/myuser1:/bin/bash
myuser2:x:1001:1001::/home/myuser2:/bin/bash
cat /etc/group | grep myuser
myuser1:x:1000:
myuser2:x:1001:

Если выставить права на директорию /home/myuser1: 775, зайти в неё через самбу и скопировать туда извне какой-либо файл, то он записывается с владельцем и группой соответственно: myuser1:myuser1 - всё нормально. То есть, самба нас пустила, как пользователя myuser1 из группы myuser1 - логично? Но если сменить права на директорию на 755 - то записать через самба уже не можем, так как "Access denied"... То есть, уже, по логике, получается, что самба нас авторизовывает под пользователем myuser1, но уже с другой группой что-ли? Нонсенс. Может быть всё-таки действительно, косяк самбы или конкретной её версии? Или её какая-то неведомая для меня особенность?
И вообще, если система меня определила как ВЛАДЕЛЬЦА директории, то причём тут группы?
Вот я ради прикола попробовал сделать вот так:

# chown myuser2:myuser1 /home/myuser2
chown: неверная группа: «myuser2:myuser1»

Как видим - фокус не удался! :) Имхо - это ещё раз подтверждает, что раз уж система признала меня владельцем директории, то уж должно автоматом подразумеваться, что я и в группе владельца состою! )))

[maniac_by]

OSBoy, Нет, это нет. Косяка в самбе нет. Группа в Линукс состоит выше пользователя. Это не WIndows с раздельными правами. Ещё раз, выше в моем посте. Если хотите получить из линукса винду, то самба для шары не нужна. Используйте winbind или PowerBroker Identity Services

[OSBoy]

Нет, это нет. Косяка в самбе нет. Группа в Линукс состоит выше пользователя.

Хорошо, но почему же при этом сама система то тогда позволяет владельцу писАть в свою папку с правами 755, и даже 700, я никак не могу в толк взять ??? Ведь доступ на запись разрешён только пользователю, НЕ группе! Я не первый год имею дело с линуксом, но с такой вот непоняткой впервые столкнулся, только когда коснулся настройки самбы!

[maniac_by]

OSBoy, попробуйте не самбу, на ней же свет клином не сошёлся :) Есть, как я скидывал, системы "эмулирующие" виндоповедение. С ними легче разобраться будет