Dotaz: BFU dotaz ohledne Samby

[tom]

Dobry den,

necekam zadny podrobny navod, jen chci pozadat nekoho zkusenejsiho, aby mi napsal, jestli lze docilit toho co zamyslim, a pokud ano, kterym smerem se koukat. Ostatni si uz dogooglim a nastuduju. Jenom se mi to ted nedari. O Sambe uz bylo popsano tolik internetu (tech stromu co na to padlo!), ze kdyz se clovek nepta zcela konkretne, tak mu to nachazi ledacos

Predstava je takova: Nastavit Sambu jako PDC (uz mam), v ni nasdilet jeden adresar nad EXT4 s ACL (taky uz mam), a nastavit Sambu tak, aby se vsechny vytvorene soubory/adresare ukladaly pod jedinym unix userem/skupinou (treba smbuser/smbgroup) a veskre uzivatele a prava souboru/adresaru se dalo naklikat z Windows

Jo jakoze by ten, kdo se do Win 7 Pro prihlasi jako Administrator, tak mohl vytvorit uzivatele Franta, Pepa, Honza a kdyz Pepa v tom sdilenem adresari udela adresar "Fotky Frantovo stary", tak aby mohl naklikat, ze to muze videt kazdej krome Franty

Aby se zkratka od spusteni uz do toho Linuxu kde bezi ta Samba nemuselo vubec lezt, aby se veskera opravneni resila pres ACL, aby se vsechno dalo naklikat z Win a aby si to cele zachovalo nejakou stabni kulturu

Ptam se proto, ze jednomu nasemu firemnimu zakaznikovi odesel spravce site a zustala po nem Samba PDC a je to totalni galimatyas ACL/Unixovych uzivatelu a opravneni a vepr aby se v tom vyznal. Tak resim, ze bychom nasadili nove paralelni reseni a jak to udelat aby v tom byl nejaky ornung. Uz si tady s tim hraju treti tyden a zacinam mit pocit, ze jsem asi uplne vedle a ze asi nejde docilit toho co si predstavuju

Dekuji za jakekoli nakopnuti

Odpovědi

[tom]

Ted to tu po sobe ctu a (jako vzdycky az po odeslani) zacinam videt, ze nektery vety trochu zavadeji k mylnemu vykladu. Zkusim to zjednodusit

Sef te firmy (je tam asi 50 lidi) si preje platformu, ktera mu umozni (z Windows) pridavat nove uzivatele, kteri do firmy prijdou, rusit ty, kteri odejdou, a kdyz vytvori sdileny adresar "Mzdy 2017-07", tak chce naklikat, ze ho muze videt pouze Knoblochova a Vomackova a nikdo jiny

O nejakym Linuxu nechce ani slyset, je mu to burt. Proc to cele musi byt PDC nevim, to vi kolega a ten ma ted dovolenou. Mozna mohl puvodni dotaz vypadat takhle. Sorry

[NN]

O nejakym Linuxu nechce ani slyset, je mu to burt.

Tady bych to asi uzavrel.

[tom]

A proc? Ja ho chapu. Proc by mel resit, jestli to bude reseni od firmy X nebo Y? On vi co chce, je mu jedno kdo to naprogramuje, je mu jedno kdo mu to doda. Proti Linuxu nic nema. Stejne jako nic nema proti lidem, kteri hraji curling. Jako sef ma uplne jiny starosti. Ma prachy a je ochotny je dat za neco co bude fungovat a co bude resit jeho problemy. Byl bych rad, kdyby to mohla byt Samba

[Peter Golis]

Ak je šéf pevne rozhodnutý tie peniaze minúť za technológiu, tak by si musel byť dodávateľ aby si z toho mal niečo iné ako dobrý pocit.

Je to smutné, ale tvoj šéf rozhodol že tie financie nepôjdu na výplaty. A ty s návrhom na Sambu by si bol Single Point of Failure, čo s pôvodnou otázkou ...

[tom]

Odpustte, ale asi jsme se nepochopili

Neni to muj sef a verim (ci spise doufam), ze jsem zde pomerne pregnantne vyjadril ceho potrebuji dosahnout a jedine co bych se rad dozvedel je, jestli to takhle jde udelat nebo nejde + idealne nejake info navic o tom, kde jsou pripadne mantinely

Dekuji

[marek_hb]

http://www.webmin.com/samba-howto.html

Co tohle?

[tom]

Diky, tuto moznost jsem zaznamenal. Jenze to je opet neco, co vyzaduje interakci na strane toho Samba serveru. Cemuz by se (doufam) mozna slo vyhnout

V konfiguraci Samby lze (mimo jinych) definovat i parametr jako "add user script" a jeden manual pravi, ze:

Specifies a command that creates a new user on the system hosting the 
Samba server. This command runs as root when access to a Samba share is
attempted by a Windows user who does not have an account on the hosting
system, but does have an account maintained by a primary domain controller
on a different system.

Tedy chovam (mozna blahovou) nadeji, ze lze (napr. pomoci nastroju RSAT) z Windowsu vytvaret v te Sambe uzivatele, kteri jsou z hlediska Linuxu "virtualni"

Mozna bych mel dodat, ze ten zminovany "sef" neni v prostredi Win* uplny BFU a kdyz vi co chce, dokaze si to "naklikat"

Chovam nadeji, ze Sambu lze nastavit tak, aby byla, abych tak rekl "transparentni"

Dekuji

[tom]

Ackoli ted kdyz si ten anglicky text ctu znovu, konkretne:

, but does have an account maintained by a primary domain controller
on a different system

chapu to spravne, ze kazdy Samba uzivatel tedy skutecne musi mit "protejsi" linuxovy ucet?

[Peter Golis]

Pokiaľ ten šéf nie je tvoj zamestnávateľ, tak mi vychádza že si dodávateľ a chceš ušetriť CALy za užívateľov v AD a File Servri. A pýtaš sa či ti niekto zdarma nevypracuje technologický návrh.

Áno, Samba také niečo zvládne bez problémov. Ale nerád by som videl zaplatené nasadenie Linuxu ktoré ostane bez podpory. Nerobí to dobré meno, a to ani tebe ako dodávateľovi.

[tom]

Nevim co jsou to "CALy", a pokud se neceho dotazuji v linuxovem foru, nesnazim se "pytat neceho zdarma". Uprimne, o penezich vubec neuvazuji

Kdybych nezminil, ze se jedna o firemniho zakaznika, nejspis by tato nase diskuse vubec nevznikla. Trochu to demonstruje na jakych (odpustte) nesmyslech se nekdy takovy polozeny dotaz muze "rozbit"

S Vasimi dvema poslednimi vetami souhlasim bez vyhrady

[Peter Golis]

Pretože už bolo rozhodnuté.

A tvoja ochota predať zákazníkovi technológiu ktorú nepoznáš a ktorú nechce je silne kontraproduktívna.

[tom]

aha! tak takhle to je...

no ja vim, ze se to nema, ale ja uz jsem takova "mekka" duse. zrovna dneska jsem z louze zachranoval plostici

mimochodem - zcela mimo tuhle debatu, a doufam, ze se to z vasi strany obejde bez komentaru. je to jen k zamysleni... kdyz jsem zachranoval tu plostici, napadlo mne, jestli ten nas zivot lidskej kapanek neprecenujeme - s ohledem na to kolik hmyzu kazdy den uplne nesmyslne umira a kolik se ho rodi

no nic, to jen tak

a pro tebe mam cukrik, ty "skóre: 55":

- co bolo rozhodnute?

- jak jsi prisel na to, ze tu technologiu nechce?

je to muj znamy. dodavame mu internet a jen tak mimochodem se mi zminil, ze ma ten vyse popisovany problem. neslibil jsem mu nic vic, nez ze se na to podivam. a ted se neceho podrz, tomu nebudes verit, delam to ve svem volnem case a nic za to necekam

to je vazeni posledni dnesni krmeni trolla. dekuji marek_hb, MadCatX a R, zaklapavam notebook a jdu si uvarit caj ;)

ahoj

[Peter Golis]

a pro tebe mam cukrik, ty "skóre: 55":

- co bolo rozhodnute?

- jak jsi prisel na to, ze tu technologiu nechce?

Prišiel som na to na základe tvojích slov:

O nejakym Linuxu nechce ani slyset, je mu to burt.

A najsmutnejšie na tom je to, že si snažíš vylepšiť karmu vymysleným príbehom o zachránenej ploštici. Nie, mekota sa nesnaží predať zákazníkovi riešenie ktorému nerozumie.

[tacoberu]

- jak jsi prisel na to, ze tu technologiu nechce?

Prišiel som na to na základe tvojích slov:

O nejakym Linuxu nechce ani slyset, je mu to burt.

V tom případě je problém na tvé straně, protože takto ten text nelze chápat.

[R]

Vzdy sa najde nejaky troll, ktory diskusiu otoci od technickeho riesenia k picovinam.

[Peter Golis]

Zaujímalo by ma ako sa trafíš technickým riešením do požiadavky: O nejakym Linuxu nechce ani slyset, je mu to burt.

[Chytrex]

tak pro tebe, jelikož asi zjevně nerozumíš česky dostatečně na to abys tu tebou omílanou větu dokázal rozšifrovat korektně:

Tou větou je myšleno, že dotyčnému je naprosto jedno jak to bude řešeno, že ho to technicky nezajímá. Je dán požadavek na win share, ovládaný z win stanice. tečka.

Ta věta neznamená, že dotyčný linux nechce.

[Peter Golis]

Ehm.

[k3dAR]

napsal to spravne, bud si to z cestiny nedokazes pochopit, nebo (jako obvykle) jen tro(t)llujes...
"Je mu to burt" v danem kontextu znamena "Je mu jedno jestli to pobezi na Linuxu nebo ne, zajima ho jen aby to plnilo jeho pozadavky/potreby" ;)

[Peter Golis]

A za chvíľu sa mu na to nabalí DHCP/DNS ktoré je bežnou súčasťou požadovaného AD, a TCO napuchne nad cenu za MS produkt. Nie preto že by Linuxové alebo OSS riešenia boli drahé, ale preto že nemajú možnosť inštalácie klikaním na next, next a človek by mal byť zaučený a rozumieť návodu na použitie.

Nepredpokladám že by im to OSS riešenie nasadzoval kratšie ako je možný počet jeho človekohodín za cenu riešenia od MS. Jeho šéf bude rád ak to za lacnejšie dodá a udrží pri živote počas záruky. Ja tomu však neverím.

[MadCatX]

Nepomohlo by inspirovat se zde? https://wiki.samba.org/index.php/Setting_up_a_Share_Using_Windows_ACLs.

Sambu bohužel nemám jako PDC, takže to nemůžu vyzkoušet.

[tom]

Priznam se bez muceni, ze jsem na tuto stranku narazil jiz drive a proletl ji jen letmo. Na prvni pohled mi to prislo prilis slozite. Ale prvni pohled obvykle klame. Kdyz se clovek (ted myslim i sebe) necemu venuje prilis dlouho a bez uspechu, tak ztrati cit a zacne "veci" resit silou

Prectu si ji tedy znovu a pozorne

Dekuji

[BigBRAMBOR]

Pokud nahodis sambu 4 jako pdc a zalozis ji sdileni pak veskere uzivatele muzes resit z win pc pomoci RSAT a prava na adresare pomoci spravy pocitace - pripojit na jiny pc.

[bigBRAMBOR]

v4era jsem klikal z tabletu, ten uz jsem u PC.

pokud mas pripojeny PC do domeny kde je Samba 4 jako PDC, staci si nainstalovat RSAT, kde muzes nastavovat uzivatele, skupiny, GPO, stejne jako pro jakýkoliv Win server, není v tom rozdíl.

co se týká sdílení, pak pres sambu zapnes share slozku, potom pres Windows - správa počítače, přepneš se na PC samby, uvidíš sdílení, zde můžes nastavit práva k celému sdílení a práva pro nově vytvořené soubory s složky v nejvyšší urovni - nizsí urovně pak práva dědí. Toto může nastavit admin nebo právě viz tvuj navod, uzivatel s pravy diskoperator.

[Pavel 'TIGER' Růžička]

Pokud o nějakém Linuxu nechce slyšet, pak nemá cenu vést tuto diskuzi. Ono to totiž není jen o sambě jako takové, ale i o aktualizacích. A nemít aktualzovanou distribuci se sambou, to už raději ty windows.

[tom]

Ale o to tady prece vubec nejde. To jsem se jenom pitomne vyjadril. On proti Linuxu vubec nic nema. Pouze kdyz jsem mu rekl, ze by se to dalo vyresit pomoci Linuxu, ktery je free a nestalo by ho to ani korunu, tak rekl, ze je mu to kompletne ukradeny, ze ho to nezajima, ze potrebuje, aby to delalo to co potrebuje a jestli ho to bude stat penize, tak se*e pes

Ani nevite kolik energie mne stalo naformulovat ten prvotni dotaz a to jsem kolem toho jeste behal s hasicakem, abych uhasil pripadny zacinajici flamewar a jeste jsem ten puvodni dotaz doupresnoval a stejne podivejte se, kam to vede?

I ten Peter Golis to myslel ve sve podstate dobre, jenom se upnul k nejake predstave, kterou si zkraje udelal, a nechtel se ji pustit. Nakonec jsem ztratil tvar a trpelivost a byl k nemu sprosty

Kdysi jeden muj kamarad, mimochodem jeden z nejchytrejsich lidi, jake jsem kdy poznal, povida "koukni se na tohle" a napsal do jedne internetove diskuse vetu "Slunce je zlute!"

Okamzite se nasla parta jedincu, kteri na to zacali reagovat zpusobem: "A co ti jako na tom vadi, ze je zluty? To by jako podle tebe melo byt zeleny?"

Ale on nepsal, ze je to dobre nebo spatne. On to vubec nehodnotil. Presto ma rada lidi potrebu do vseho cpat emoce a promitat do toho svoje momentalni nalady a rozpolozeni

Prectete si prosim pozorne muj puvodni dotaz. Je tak obsahly prave proto, ze jsem se snazil vyklickovat ze vsech moznych vedlejsich vykladu. Presto se mi to evidentne nepodarilo

A svete zbor se, stejne nestojim o to, aby se toto vlakno stalo zdi narku o tom, kam nekdy tyhle debaty vedou. O tom uz bylo napsano az hanba

Proste prectete si pozorne muj puvodni dotaz a pokud neznate odpoved, tak prosim nereagujte. Dekuji

A nebojte se, Svet se bude tocit dal

[WinPaPá]

Když nejde o peníze tak co řešíš? Windows Server 2016 + 50 CAL a má vystaráno, bratru za 60 000 Kč.

[alkoholik]

Ale slunce je prece BILE!

[Pavel 'TIGER' Růžička]

No sálodlouhost příspěvku nemusí automaticky znamenat výstižnost. Co se týče práv v sambě, tak ty lze ovládat z windows, jak už tu bylo psáno. Ale zamyslel bych se nad tím, jestli to je ta správná cesta. Každopádně bych si nechal nakrestli adresářovou strukturu, kde, kdo má mít jaká práva. podadresáře je budou pochopitelně dědit. A to by se mělo striktně dodtržovat. Ta představa klikače, který bude brouzdat adresářovou strukturou a povolovat, či omezovat práva je poněkud děsivá.

[Milan Uhrák]

Promiň neber to jako výtku, ale formulace

O nejakym Linuxu nechce ani slyset

zní jako jednoznačné odmítnutí linuxového řešení. Tak dlouho jsi hasil dým, že ti za zády vzplál flame, aniž bys chtěl.

Správněji "Nezajímá ho, jestli linux nebo widle, není to pro něj podstatné, nerozumí tomu, chce výsledky"

Ale držím ti palce, abys to dotáhl úspěšně do konce. Šéf ti sice 60k odměnu nedá (podle toho, že je mu jedno, kolik to bude stát ) ale ten pocit .. překonat horu problémů a rozjet něco ...

tak zdar

[Max]

Když se rozjede samba4 jako PDC, tak z win přes to jejich klikátko(SAMBA4 - RSAT), lze nastavit jak oprávnění, tak uživatele, skupiny atd.
Obávám se ale, že správa sdílení nepůjde z Win řešit. Zkušenosti s tím nemám, ale myslím si, že v samba4 musí být stále sdílení ručně vytvořena v rámci konfiguračních souborů samby. Příklad : Create a Shared Directory on Samba AD DC, podobný návod je i na ofiko wiki samby.
Pokud tomu tak bude (toto si ověř), tak se to asi tomu šéfíkovi nebude líbit. I když nechápu, proč by měl mít možnost si sám spravovat sdílení a další věci. Ono jen správně navrhnout a udržovat systém oprávnění dá práci. A pokud se to dobře navrhne, tak se minimalizují rizika vzniklá případnými škůdci apod. Obávám se, že méně znalý uživatel na toto bude srát.
Jinak já osobně skoro na každý adresář vytvářím skupinu ve formátu "jméno-ro" a "jméno-rw" a do těch pak házím uživatele.
Dále nastavuji, aby uživatelé neviděli adresáře, ke kterým nemají oprávnění. Výsledek je, že každý má právo opravdu jen tam, kam potřebuje + vidí jen to, co potřebuje + pokud nepotřebuje rw, tak jede jen ro.
Jinak mi máme relativně malý share, jen asi 600GiB, pár stovek tisíc souborů a počet adresářů si nepamatuji, ale u nás je relativně malý pohyb v rootu, nový adresář s novými oprávněními se vytváří jednou za x měsíců, takže je to klid.
Zdar Max

[j]

O sdileni mu nejde ... jemu jde o prava na disku, a ty z widli nastavi. Problem je, ze kdyz to bude klikat nejakej klikac na tema "Knoblochova a Vomackova" ... tak se do 1/2 roku dostane do stavu, kdy nikdo nebude vedet kam kdo muze nebo nemuze.

[kami]

Zdravim, zkusim taky prispet

Proc to cele musi byt PDC nevim, to vi kolega a ten ma ted dovolenou

chapu to spravne, ze kazdy Samba uzivatel tedy skutecne musi mit "protejsi" linuxovy ucet?

Samba muze bezet v nekolika rezimech:

1. samostatny server - musi si drzet seznam uzivatelu/hesel u sebe (vlastni db - virtualni) nebo z linuxu (/etc/passwd)
2. samba clen nejake AD nebo starsi NT4 domeny - uzivatele jsou nekde jinde
3. samba4 jako AD DC - samba si hraje na windowsackej AD DC, windows stanice v idealnim pripade nepoznaji rozdil. Uzivatele, skupiny, prava silenych slozek, GPO, DNS (vic nepouzivam) - lze nastavovat z windows (RSAT). Jak tu nekdo poznamelan (Max), prvotni sdilene slozky je potreba vytvorit rucne v konfigu samby smb.conf (pravdepodobne, delam to tak). Dalsi podslozky a prava k nim lze z win.

Podivejte se na komunitni verzi zentyalu (rezim 3): http://www.zentyal.org/server/

• je to samba4 plus dalsi balicky a nad nimi vytvoreno webove klikatko
• na par kliku lze zalozit domenu, pridavat sdileni, uzivatele, skupiny...

Vyhoda proti ciste sambe - vse je prednastaveno, klikatko, proste to funguje. Nevyhoda - takovej black box - prizpusobujete se vyvojarum zentyalu Zkuste si nainstalovat zentyal, vytvorit domenu, pripojit jeden win Pro do domeny, vytvorit sdileni a pohrat si s pravama - jestli to splnuje vase predstavy.

a kdyz Pepa v tom sdilenem adresari udela adresar "Fotky Frantovo stary", tak aby mohl naklikat, ze to muze videt kazdej krome Franty

Tomuto bych se vyhnul. At prava sdileni spravuje konkretni clovek a pouze do urcite urovne slozek (dalsi urovne at se dedi). Bude lepsi prehled a bude se pripadne snaze obnovovat struktura sdileni ze zalohy (kazdy soubor si uklada prava do acl i xattr = opruz).

Nakonec me jeste neapadlo jedno reseni - nas synology - jejich DSM od verze 6.1 by melo umet sambu4 jako AD DC - hotove uloziste s jejich fajn klikatkama (ale osobne nemam vyzkouseno).