Dotaz: ACL a "zneviditelnění" souboru/adresáře

[Petr Fores]

Dobrý den, právě zkouším aplikaci ACL na sambě a mám takový problém, který nemohu vyřešit a pořád se v tom plácám. Mám adresářovou strukturu:

Adr
 - Adr1 - Adr1.1 - Adr1.1.1
                 - Adr1.1.2
        - Adr1.2
.
.
.
.

skupiny sk1 a sk2. Tak, a potřeboval bych dosáhnout stavu, kdy uživatel ze skupiny sk1, který má práva zápisu do Adr1.1 vytvoří soubor. Užvatel ze skupiny sk2 má práva čtení v adresáři Adr1.1, ale ne zápisu. To proto, aby se dostal do adresáře Adr1.1.1, kde může zapisovat. Já bych potřeboval nastavit ACL tak, aby uživatel ze skupiny sk2 mohl projít přes adresář Adr1.1 a neviděl soubory, které tam vytvořil někdo z jiné skupiny. Pokud by to nešlo, může je vidět, ale nesmí mít možnost je číst - tedy vůbec otevřít. Myslím, že by to mělo jít přes "mask" nastavit tak, že co vytvoří už. ze sk1, bude mít práva rwxrwx---, to mi ale nějak nejde nastavit. Nebo snad úplně jinak? Můžete mi prosím poradit? Nevím jak z kola ven...

Vypis ze smb.conf

[Adr]
   comment = Adr
   path = /home_groups/Adr
   printable = no
   writable = yes
   nt acl support = yes
   inherit permissions = yes


--------------------------------------------


výpis ACL
# file: home_groups/Adr
# owner: root
# group: root
user::r--
group::r-x                      
mask::r--
other::r-x

# file: home_groups/Adr/Adr1.1
# owner: root
# group: root
user::rwx
group::r-x
group:sk2:r-x
group:sk1:rwx
mask::r--
other::r-x

Odpovědi

[dustin]

Myslím, že když uživatel 2 potřebuje vstoupit do podadresáře, musí mít možnost vypsat obsah nadřazeného adresáře, tudíž uvidí minimálně názvy souborů v onom adresáři.Na výpis obsahu souborů už ale právo mít nemusí.

[Petr Fores]

To by šlo, ale jak udělat aby při vytvoření souboru už. ze sk1 se nastavila práva tak, aby ten druhý už. ze sk2 to nemohl otevřít?

[petr_p]

Default ACL adresáře.

Default ACL adrásře, ve kterém se vytváří soubor, získá tento ACL zcela utomaticky, nové podadresáře jej dokonce dědí jako defaultní.

Příklad na uživatelích petr a blb:

petr@album:/tmp $ mkdir test
petr@album:/tmp $ cd test
petr@album:/tmp/test $ setfacl -m 'default:user:blb:x' .
petr@album:/tmp/test $ getfacl .
# file: .
# owner: petr
# group: users
user::rwx
group::r-x
other::r-x
default:user::rwx
default:user:blb:--x
default:group::r-x
default:mask::r-x
default:other::r-x

petr@album:/tmp/test $ echo "obsah_petra" > soubor_petra

blb@album:/tmp $ cat test/soubor_petra 
cat: test/soubor_petra: Přístup odmítnut

blb@album:/tmp $ getfacl test/soubor_petra 
# file: test/soubor_petra
# owner: petr
# group: users
user::rw-
user:blb:--x                    #effective:---
group::r-x                      #effective:r--
mask::r--
other::r--

[zz]

To se mi zda podezrele. V Unixu muze mit adresar prava drwxrwx--x. Pro "other" uzivatele to znamena, ze mohou adresarem projit, ale nemohou vypsat jeho obsah. Aby jim pohli projit, tak samozrejme potrebuji znat jmeno podadresare. Skutecne to v Sambe nefunguje?

[dustin]

Omlouvám se, funguje to dle tvého popisu. Ani přes sambu nevím, nicméně autorem požadované funcionalita ACL bude asi ještě komplikovanější.

[zz]

Pokud tomu spravne rozumim, tak problem je zajistit, aby nove vytvarene soubory mely spravna pristupova prava. (Predpokladam, ze s nastavenim pristupovych prav k jiz existujicim souborum problem nemate, nebot to je trivialni uloha.)

Problem ma 2 aspekty: (1) jak to funguje v Linuxu, a (2) co s tim udela Samba.

S bodem (2) zkusenosti nemam, zde Vas odkazi na diskuzi v http://www.usenix.org/events/usenix03/tech/freenix03/full_papers/gruenbacher/gruenbacher.pdf .

Ohledne bodu (1): zkuste experimentovat s nastavenim default ACL pro adresar Adr1.1. (Popis default ACLs je ve zminovanem dokumentu). Kdysi jsem si s tim hral a pozadovane nastaveni se mi podarilo. Soubory vytvarene pres touch, presmerovani, ... mely pristupova prava, ktera jsem potreboval. Potiz ale byla s textovymi editory a pod. Ty na konvenci defaultnich ACL dlabaly, takze to nakonec bylo nepouzitelne. Ve Vasem pripade jde o to, co s tim udela Samba.

Jako workaround by se dal pouzit nejaky demon, ktery by automaticky menil pristupova prava v danem adresari. Nejjednodussi ale byva zmenit adresarovou strukturu tak, aby tento problem vubec nenastal.