Dotaz: Zase SAMBA

[petrfm]

Už mi z toho zase hrabe. Na tom win to bylo tak easy Mam sdileny "disk", na ktery pristupuju z Win VISTA a pak z ruznych linuxu. Na tom serveru to je ulozene pod uzivatelem firma a group users. Samba ma ruzne ucty, napriklad firma, petr, blabla atd. Jak mam spravne nastavit prava? Chci, abych mohl cist, zapisovat a aby to bylo trochu bezpecne. Nyni muzu bez problemu delat vse z Win Vista, protoze se prihlasuju jako user FIRMA a tedy mam prava k zapisu do adresaru a souboru. Ale kdyz se prihlasim ze sve NB s uctem petr a skupinou petr, jsem v (_!_), protoze mne to nenecha vytvorit ani slozku. Co s tim?

1) Prepsat nejak natvrdo uzivatele nebo prava v direktivach tomu urcenych v smb.conf? Vim, ze da nejak vynutit pres FORCE jiny chmod pro zapis, atd da se nejak protlacit i jiny user a je to vubec bezpecne?

2) Zmenit skupinu z users treba na smbshare a hodit uzivatele na NB do skupiny smbshare? Pak samo na serveru nastavit CHMOD tomu sdilenemu adresari, aby skupina mohla vse?

3) Vytvorit na NB uzivatele firma a prihlasovat se v SMB4K nikoliv jako Petr, ale jako firma? Neni to krkolomne, mit uzivatele v systemu, ktery nebude nic jineho, nez pristupovat k pitomemu sambasharu?

Prosim poradte, jak se to SPRAVNE dela a jak by tedy mel vypadat konfigurak pro to sdileni? Jak nastavit ty masky a chmod u sdileneho adresare, aby to slapalo? Pokazde co nastavuju sambu, tak je to na hov*o. asi jsem levej, nebo je tam silene moc podminek Zaroven bych nechtel, aby na serveru ta sdilena slozka mela CHMOD 777, to je parodie na zabezpeceni. Asi ani samba by nemela bezet pod rootem, ze?

Odpovědi

[petrfm]

Jen dodam, protoze to neni moc jasne. To sdileni je na LINUXU, v sambe. Je to sdileny jeden adresar na disku. Win je jen jeden klient, kde to slape OK. Jinak pristupuju z dalsich klientu a to jsou linuxy, kde se biju prave s tim, ze se prihlasuju jako user, ktery je prihlaseny v sezeni a to je jednou petr, potom franta, atd. Ve Win se jednoduse prihlasim pri pokusu o pripojeni k tomu sdilenemu disku, vyvola to dialog a tam napisu FIRMA a heslo. Ale v linuxu to asi nejde? Resp jde, ale ty soubory se tam pak ladujou pod uzivatelem, ktery je prihlaseny a nema tedy pravo zapisu, protoze zapisovat muze jen skupina a user, coz je firma a users. Co s tim, do prkna, jak vyresit tu schízu?

[Peter Golis]

V linuxe sa ten dialóg na meno, heslo a doménu vyvolá automaticky pri použití grafického správcu súborov. Tvoj popis má asi iný problém. Máš povolené prístupy na čítanie aj pre sambou neautorizovaného užívateľa, a nejako nevidím že by ten samba server vôbec vykonával akékoľvek overovanie windows užívateľov. To máš naozaj niečo tak otvorené vo firme?

[petrfm]

A to vidis jak, mas kristalovou kouli? )) Ne, delam si legraci. Samba samozrejme overuje, protoze kdyz se pripojuji z W Vista, tak vyskoci dialog a musim se normalne zalogovat. V linuxu ne, protoze se pripojuji pres SMB4K a mam tam usera petr, ktery je i na tom serveru a asi ma shodou okolnosti i stejne heslo. Mozna jsem ho zadaval, nevim, mam to nastavene uz rok a jen se prihlasim pres smb4k a "jede to".

Jinak bezpecnost extra neresim proto, ze to sdileni neni pristupne z venku, mam to jen v lokalni siti a pripojuju se k tomu pres VPNku, takze tak.

[Peter Golis]

Z tohoto: "a to jsou linuxy, kde se biju prave s tim, ze se prihlasuju jako user, ktery je prihlaseny v sezeni".

Samba má vlastné overovanie užívateľov, a to nesúvisí s tým kto je prihlásený v linuxovom grafickom prostredí. Teda, ak to nezjednotíš napríklad cez kerberos, ale to je pre teba mimo záberu.

[BUgs]

Takhle to nejde? smb://user@server/slozka

[petrfm]

Aha, tak jsem si uvedomil, ze... Zkusil jsem se prihlasit z NB pres krusader, kde mam usera firma@tensambashare a koukam, ze to chodi jak ma. To prihlaseni do samby vlastne zpusobi, ze soubory se neukladaji jako petr, ale jako user, ktery se prihlasil, je to tak?

Jenomze ouha, kouknu pres krusadera na slozku test7 kterou jsem prave vytvoril a user petr, skupina petr. Ale, na serveru ma ta sama slozka skupinu users, user firma. Tak jak je to mozne? Diky tomu mne samozrejme dolphin, kdyz pristupuju pres smb4k nenecha vytvorit adresar, protoze nejsem ve skupine users ale petr a mam pro skupinu prava jenom r-x.

To je ale pakarna Co s tim?

[petrfm]

tak jeste jinak. V krusaderovi je to ok, skupina petr, user petr, zapis funguje. Zlobi jenom ten dolphin pres smb4k. A uz vim proc. Kdyz se kouknu na tu samou slozku pres dolphina, ma vlastnika root a skupinu root. Takze zase blbne smb4k. Ten krusader si vlastne udela virtualni souborovy system, je to tak? A proto jsem vlastnikem ja, i kdyz na serveru je fakticky vlastnikem firma. Takze vsechno chodi, problem je, ze smb4k mi ten share mountuje jako root a ne jako petr.

[petrfm]

No a uz to jede. smb4k mne uz tolikrat vypeklo. Je tam moznost, nastavit si rucne, pod jakym userem ty shary montovat. Ale i kdyz sviti petr, petr, kdyz na to kliknu, naskoci root root. Odkliknu vedle, znovu kliknu a uz je tam petr petr. Proste je nekde v tom gui nejaky bug.

To jsou ty debilni klikatka Ted, kdyz se to montuje jako petr-petr je vse ok, i kdyz na serveru je to fyzicky ulozene jako firma-users. Proste samba dela jakysi preklad uzivatele, podle toho, jak se zaloguju

[lertimir]

A proč to děláš takto? Pro mne je přirozené, když se zaloguji, aby se mi připojily správně všechny filysystémy, které chci. Málokdy potřebuji FS připojovat a odpojovat za běžného provozu. Pro stacionární připojení používám buď přímo fstab, nebo konfigurace pro pam_mount, pak se ti někam do tvého stromu mountne to co potřebuješ a máš vše ve filovém stromu, takže ti funguje každý program, přece jen v krusaderu nebo Dolphinu jsou to často jen prostředky na kopírování souborů a ne na přímý přístup.

[petrfm]

Protoze mam NB v docku a nekdy ho vytrhnu a jdu do postele. Tam se pripojim pres wifi. Nebo ruzne po byte. Linux ma tendence se z toho pos*at, kdyz mu utrhnu mountovany SMB. To pak otevru dolphina a cekam treba 5 minut, nez ho budu moct zavrit. Takze uz si davam velky pozor, abych vsechno hezky odmountoval, nez ho vyskubnu :) A timpadem mi fstab je prd platny. Mohl bych si pomoct klavesovou zkratkou, ale kdo si to ma furt pamatovat Takhle kliknu, resp. v smb4k mam nastaveny jakysi timout , ktery jaksi funguje, ze kdyz vyskubnu LANku, tak mi odmontuje ty disky. Jinak smb4k funguje, jak pises. On to montuje do /home/petr/smb4k, takze to VYPADA jako lokalni slozka. Ale casto jen vypada, protoze nektere programy se chovaji jinak, nez kdyz je to soubor primo na disku.

[nobody]

jen takova pripominka, vytrhnuti z docku by melo vyvolat nejakou udalost a na zaklade te udalosti by mej jit pustit nejakej skript co by provedl automaticky to co si prejes :)

[petrfm]

To bych ji musel najit a pak bych ho tam musel naprogramovat a to jsem neudelal, tudiz se zhola nic nestane

[petrfm]

To, jakou udalost to vyvola, by asi mohlo jit zjistit v dmesg, ze? Pokud teda o tom, ze jsem vyskubl NB z docku jadro vubec vi.

[nobody]

udalost nejlepe v udev, sledovat pomoci:

udevadm monitor

a pak napsat jednoduche pravidlo volajici skript co bude delat jednoduse to co potrebujes, neco jako :)

[petrfm]

Ono na tom docku je dokonce tlačítko, se mačká před vytržením a pod widlema to právě ošetřilo sítě, USB zařízení zapojené do dockových portů, atd. Kdyby se podařilo odchytit přímo to, bylo by to lepší, protože automatické montovani při změně sítě se mi nelíbí, někdy se prostě nechci automaticky logovat. Zítra to zkusím, dnes už se mi nechce křápat sem a tam s dockem, všichni už spí

[lertimir]

Událost je ne vytrhnutí z doku, ale ztráta konektivity. A to má standardní řešení. NetworkManager, kterým asi připojení řídíš, má možnost mít skripty v /etc/NetworkManager/dispatcher.d/ (a man page píše, co se do jich posílá) CIFS nepoužívám tak ti nepomohu, ale moje NFS má tento script

#! /bin/sh
#
# nfs - start NFS in response to interface change
#
# Robert Love
# Bastian Holst <bholst@lusku.de>

case "$2" in
        up|dhcp4-change|dhcp6-change)
                # Check with systemd if nfs service is enabled
                if /usr/bin/systemctl is-enabled nfs.service >/dev/null 2>&1; then
                        /bin/mount -alt nfs,nfs4
                fi
                ;;
        down)
                /bin/umount -alt nfs,nfs4
                exit 0
                ;;
        *)
                exit 0
                ;;
esac

Je vidět, že při nahození konektivity se moutne, co je ve fstab a při konci konektivity se nfs lazy umountne. Určite půjde najít obdobný script pro CIFS a případně ho upravit tak, aby v různých sítích mounul správné sdílení. Podle mne NM skripty jsou přesně to co potřebuješ.

[source]

Já dělám SMB share tak, že pro všechny v smb.conf povolím vše a poté řídím práva až na úrovni souborů a složek. Funguje to OK.

[petrfm]

A jak to delas? Jak mas nastevene uzivatele a skupiny? Na nejakem prikladu... ? Mas vsude skupinu sambashare a to, co maji videt vsichni, mas ve skupine sambashare s pravem zapisu pro skupinu? A jednotlive uzivatele si pak rozdelujes pravem pro uzivatele?