Início / computer / Perguntas / 1499635
Accepted
Eric
Asked: 2019-11-07 06:56:26 +0800 CST

Samba como membro do AD: "forçar usuário" confuso por nomes de usuário locais e de domínio idênticos

  • 772

Estou executando o Samba 4.9.1 no RHEL7, associado a um domínio Win AD. Em um compartilhamento, eu defino

force user = foo

, esperando forçar o usuário local foo. No entanto, o mesmo nome de usuário também existe no AD e o Samba realmente usa o usuário AD, por exemplo, na criação do arquivo.

getent passwd foo

retorna o usuário local, como esperado, já que /etc/nsswitch.conf lê

passwd: files winbind
group: files winbind

Obviamente, eu defino a opção

winbind use default domain = yes

em smb.conf, e prefiro não mudar isso, já que não tenho certeza de quantas coisas precisaria mudar em outro lugar então...

Alguma dica de como forçar o Samba a procurar usuários locais primeiro?

Atenciosamente, Eric

user-accounts samba

1 respostas

  1. Best Answer

    Bem, como Worthweile pediu, postarei minha solução alternativa como resposta.

    1. Remova a diretiva "force user" da definição de compartilhamento. Isso fará com que os arquivos recém-criados pertençam ao usuário de compartilhamento atualmente autenticado e seu grupo primário.
    2. Se necessário, por exemplo, em sistemas de arquivos ext2/3, ative as ACLs por meio das opções de montagem. No meu caso (xfs), as ACLs estão sempre disponíveis por padrão.
    3. setfactl -R -m u:foo:rwX <share_dir> setfactl -R -d -m u:foo:rwX <share_dir>

    O primeiro comando concederá ao usuário permissões foode leitura, gravação e execução para todos os arquivos e diretórios dentro do compartilhamento. A capital Xdefinirá permissões de execução apenas se for um diretório ou outra pessoa já tiver permissão de execução, conforme indicado em man setfactl.

    O segundo adicionará a mesma permissão como padrão para novos arquivos dentro do compartilhamento.

    Provavelmente, a opção do Samba force useré, na maioria dos casos, uma solução alternativa para gerenciamento insuficiente de privilégios, portanto, essa deve ser a maneira mais limpa (o equivalente do Linux a 'pythonic', talvez?). No entanto, provavelmente ainda haverá situações em que as ACLs não são aplicáveis, portanto, a questão sobre force usero comportamento de permanece.

    • 0

relate perguntas