Настройка разграничения доступа к файлам и папкам на Ubuntu Server 13.10 c пакетом Samba по SSH

Question

[Михаил Александрович]

Дано: Офис. Ubuntu Server 13.10. Пакет Samba. Полный доступ по SSH.
Необходимо: Настроить таким образом, чтобы "Сотрудник_1" (Windows 7) имел полный доступ в личную папку "Папка_Сотрудника_1", на сервере, под учетной записью Samba (логин, пароль). Остальные сотрудники (Сотрудник_2 (Windows 7), Сотрудник_3 (Windows 8) и т.д.) могли закачивать файлы в "Папка_Сотрудника_1", без возможности редактирования и скачки содержимого папки "Папка_Сотрудника_1", видимость содержимого папки не критична. Для всех сотрудников есть учетные записи на сервере и Samba, вида "Сотрудник_1" (логин, пароль) и т.д.
___
Возможно путано объяснил. Смысл был в том, чтобы все сотрудники могли создавать файлы в папке "Папка_Сотрудника_1". Читать все файлы мог только "Сотрудник_1", владелец папки. Остальные сотрудники либо могли читать созданные только ими файлы, либо не могли читать ничего, либо читать только список файлов в "Папка_Сотрудника_1". Такое вообще возможно?

Answer 1

[Максим Васильев]

А права на папку типа -wx (3) не работают?

Comments

[Михаил Александрович]

"Папка_Сотрудника_1" - 633? Владельцем папки должен быть "Сотрудник_1"?

Samba:
[Папка_Сотрудника_1]
comment = Папка_Сотрудника_1
path = /home/офис/папка_сотрудника_1
valid users = сотрудник_1
create mask = 0600
directory mask = 0700
writable = yes

[Максим Васильев]

Закаченные в папку файлы будут иметь владельца-создателя, и с правами типа 640 (rw- r-- ---) и 750 (rwx r-x ---)

Маска должна быть такая, чтобы запретить им читать собственные файлы. тоесть 333.
Но вообще, не уверен, что такой номер пройдёт.

Вероятно, придётся возиться с acl и default acl.

[Максим Васильев]

Ну попробвать стоит.

[Михаил Александрович]

Возможно путано объяснил. Смысл был в том, чтобы все сотрудники могли создавать файлы в папке "Папка_Сотрудника_1". Читать все файлы мог только "Сотрудник_1", владелец папки. Остальные сотрудники либо могли читать созданные только ими файлы, либо не могли читать ничего, либо читать только список файлов в "Папка_Сотрудника_1". Такое вообще возможно?

Answer 2

[Максим Васильев]

Чтобы пользователи могли писать в каталог, но читать только свои файлы - это возможно на уровне линуксовой файловой системы.
Именно таким образом устроен каталог /tmp

Гуглить надо в направлении sticky bit и setgid.
А в самбе: create mask и, может быть, force create mode