Dotaz: SAMBA Interpretace direktivy create mask

[polo23]

Ahoj mam takovy mensi problem s pravy se sambou. Vse mam poladene vse jede jak ma. Mam jen jeden problem v souboru smb.conf mam uvedeno sdileni adresare jako public. Muze do neho zapisovat kdokoliv. V definici public mam 2 direktivy o kterych je rec. "directory mask = 0777" a "create mask = 0777". Kdyz se prihlasim z windows jako samba uzivatel a vytvorim v public adresari adresar a pak se na serveru podivam na jeho prava tak jsou drwxrwxrwx coz je podle masky naprosto spravne. Problem nastava kdyz jsme vytvoril v public soubor text.txt. Prava by mela byt stejna jako u vytvoreneho adresare protoze i masky jsou identicke. Ale prava vypadaji nasledovne -rwxrw-rw-. Jak pro skupinu tak pro ostatni chybi pravo x(spousteni). Nevite nekdo v cem by mohl byt problem? Diky za kazdou radu

Odpovědi

[jekub]

V tomhle Vám neporadím, nikdy mě nenapadlo dát create mask na 0777. Spíš se chci zeptat (abych si rozšířil obzory), jaký k tomu máte důvod?

[polo23]

No prece k tomu ze kdyz mam adresar PUBLIC zrizeny za tim ucelem aby si kazdy mohl nahravat kopirovat a mazat a SPOUSTET co chtel tak u tech souboru tam potrebuju pravo na spusteni. Chapu mozna by ste to obesel tak ze by ste si soubor skopcil tim se stal jeho vlastnikem a mate po problemu. Ale berte v uvahu ze je to napr(ted strelim od boku) 2GB AVI soubor a uzivatel si ho chce rovnou spustit a ne pretahovat... Takze tak:)

[timeos]

Na take "spustenie" mutlimedialneho suboru predsa nemusi byt nastaveny executed flag na linuxovom filesysteme (pokial nepouzivate ACL na strane serveroveho filesystemu)? Predsa sa ta particia musi tvarit ako "windows_compatible", a windows ziadny "x" flag ako svoj ekvivalent nepozna (mapuje sa na nejaky windows atgribut, ale ziaden z nich nema funkciu "executed"). Takze ziadne "pretahovanie" suboru na lokalny disk sa nemusi konat.

Je mi sice jasne, ze problem ktory uvadzate, problemom naozaj je (nenastaveny x flag), ale nedalo mi nezareagovat na vas prispevok.

[timeos]

Na konci prvej vety nemal byt otaznik, neviem ako sa mi tam pritrafil

[petrxn]

 X flag se používá na mapování souborových atributů windows, nemá to nic společného s execute na unixu. Viz MAP ARCHIVE, MAP HIDDEN, atd.

[jekub]

Na to ale přece nepotřebujete právo spuštění na Linuxu.

[petrxn]

 Před časem jsem to také řešil, myslím si že se jedná o chybu/vlastnost samby 3.2 a výše. Práva k souboru se nenastaví korektně, nezkopírují se práva vlastníka adresáře.  Mám pocit, že by to mohlo být opraveno ve verzi 3.3.5 (Fix posix acls when setting an ACL without explicit ACE for the owner (bug #2346). Ale ještě jsem to nezkoušel.

[polo23]

Ted jsme tam zkousel nahrat spustitelny soubor a spustit ho jinym uzivatelem a jelo to. Jde o to ze tohle budu prezentovat sefovi a ten se me bude ptat proc na serveru chybi ta "x". Ja zas jen sklopim hlavu vyslechnu si jak jsem neschopny:(

[jekub]

W. se vůbec neohlíží na nějaký příznak x (jak by se k němu taky dostaly, že). Buď je to pro ně spustitelný soubor (exe, bat, ...) a spustí jej, nebo je definovaná asociace koncovky a spustí na ten soubor asociovaný program.

[polo23]

jasne ale vemte si ze by se takovy uzivatel dostal primo na linux a chtel tam neco spustit tam by mu priznak "x" uz chybel.

[ZAH]

Skoro se mi chce říct něco nelichotivého. Myslím, jak by řekl taťulda Spejbl,že to není hloupost to je velká hloupost. Každy text se potencionálně škodlivým kódem bude defaultně nastaven jako spustitelný. Nezlobte se na mne, ale jako správce servru bych vás určitě nechtěl. Myslím, že i ta blokace byl umysl a dobrý. Představte si situaci vaší firmy, kdyby se vám to povedlo. Kdokoliv, kdo má přístup samby nahraje cosi se škodlivým kódem z windows na servr váš zásah umožní, aby toto kdokoliv kdo má účet spustil. Ono i to 0766 je něco co bych nechtěl na servru určitě vidět, ale aspoň chytnu toho, kdo ten průser aktivuje.

[polo23]

Chapu to co pisete ale Vy jste asi uplne nepochopil me. Ja jsem resil jen princip to je vse OK? Jen mi nelezlo do hlavy proc 777 nedelaji rwx. Bezpecnost a ostre nasazeni je vec druha. Mozna jsme uvedl spatny priklad ale nejak jsem to popsat musel. Naposledy pripominam jde o princip. Dekuji za pochopeni.

[zelial]

princip je ten, ze "create mode" je jen doporuceni a vysledna prava budou ovlivnena jeste umask-em, mapovanim dosovych atributu a buhvi jeste cim. Pokud opravdu nutne musite mit executable bit nastaveny, tak pouzijte "force create mode".

[polo23]

Diky ten jsme samozrejme pouzil a fachci to jak ma...:)

[jekub]

Nemáte nastaven umask pro Lin. uživatele?

[polo23]

UMASK mam nastaven standartne na 022.

[petr_p]

Přečtěte si v manuálu nápovědu ohledně: create mask, security mask, force create mode, force security mode.

Od jisté verze samby a CIFS se na create mask/mode nebere ohled a řídí to security mask/mode.