Samba 4 – Leute können nichts von Anderen verschieben

[sia]

Hallo Leute,

Habe eine Samba 4 AD und eine unternehmensweite Ablage.

Auszug aus der smb.conf:

[ablage]
	comment = unternehmensweite Ablage
	path = /srv/smb/ablage
	browsable = yes
	read only = no
	hosts allow = 192.168.1.0/255.255.0.0
	hide unreadable = yes

Das soll so funktionieren, dass jeder Dateien standardmäßig auch von Anderen verschieben kann. Sind ja theoretisch alle in der Gruppe "domain users" und Windows setzt ja standardmäßig auf rwx-rw-r, daher sollte das eigentlich mit dem oben beschriebenen Share funktionieren.

Tut es aber nicht. Auch nach einer Erweiterung mit dem Folgenden funktioniert es nicht:

	# min permissions
	force create mode = 660

Die ACLs sehen bei den Dateien, die von Windows erstellt wurden, ungefähr so aus:

[src=bash]# getfacl KaDeWe.jpg
# file: KaDeWe.jpg
# owner: phre4k
# group: domain\040users
user::rwx
group::rw-
other::r--[/src]

Das scheint auch zu funktionieren, aber wenn jetzt z.B. ein OSX-User (gemischte Umgebung: Windows, Linux, OS X) was anlegt, sieht es so aus:

[src=bash]# getfacl Adolf.png
# file: Adolf.png
# owner: macsux
# group: domain\040users
user::rwx
group::r--
other::r--[/src]

Auch mit der "force create mode"-Direktive.

Was mache ich falsch?

 

[Metal_Warrior]

@phre4k:
Probier mal die Rechte drwxrwS--- auf dem Share-Ordner. So erzwinge ich bei meinem Samba, dass die Gruppe richtig gesetzt wird (denn Samba nimmt zumindest auf einem Debian standardmäßig die Hauptgruppe des Benutzers als erstellende Gruppe). Die Einstellung bewirkt, dass Rechte und Gruppe des Share-Ordners auf alle darunter liegenden, neu erstellten Dateien übernommen wird.

 

[4m8IoN]

Hallo Leute, [...] Was mache ich falsch?

Hatte mal ein ähnliches Problem und kann bestätigen das "force create mode" alleine nicht genug ist.
Du bist allerdings auf dem richtigen Weg, denn es gibt da noch ein paar weitere Optionen zur Rechteverwaltung.
Habe mir damals dadurch behelfen können sie alle gleichzeitig zu benutzen:

[gruppenOrdner]
	comment = Öffentliche Dokumente
	path = /pfad/zum/gruppenOrdner
	inherit owner = yes
	force group = gruppen_name
	create mask = 0660
	force create mode = 0660
	security mask = 000
	force security mode = 660
	directory mask = 0770
	force directory mode = 0770
	directory security mask = 000
	force directory security mode = 770
	valid users = @gruppen_name
	browsable = yes
	writeable = yes
	guest ok = no

Das ganze sieht jetzt zwar grausam aus, aber es erfüllt bis heute seinen Zweck
Es ist allerdings zu lange her als das ich mich noch erinnern könnte ob es einen Sinn hatte so vorzugehen,
oder ob ich einfach nur zu faul zum aufräumen war.

In Deinem Fall könnte also folgender Buchstabensalat zum gewünschten Ergebnis führen:

[ablage]
	comment = unternehmensweite Ablage
	path = /srv/smb/ablage
	inherit owner = yes
	force group = "domain users"
	create mask = 0660
	force create mode = 0660
	security mask = 000
	force security mode = 660
	directory mask = 0770
	force directory mode = 0770
	directory security mask = 000
	force directory security mode = 770
	hosts allow = 192.168.1.0/255.255.0.0
	browsable = yes
	writeable = yes
	hide unreadable = yes