Dotaz: Oprávnění ACL - problém s MASK.

[natech]

mám nastavené oprávnění ACL na složce přístupné jen pro skupinu

$ getfacl "/mnt/pool1/fs2/Ltd/Side businesses/"
getfacl: Removing leading '/' from absolute path names
# file: mnt/pool1/fs2/Ltd/Side businesses
# owner: jand
# group: domain\040users
user::rwx
group::---
group:domain\040admins:rwx
group:sideb:rwx
mask::rwx
other::---
default:user::rwx
default:group::---
default:group:domain\040admins:rwx
default:group:sideb:rwx
default:mask::rwx
default:other::---

Když mi někdo ze skupiny sideb vytvoří složku, tak se nastaví mask na r-x

$ getfacl "/mnt/pool1/fs2/Ltd/Side businesses/Majetek"
getfacl: Removing leading '/' from absolute path names
# file: mnt/pool1/fs2/Ltd/Side businesses/Majetek
# owner: jinyUser
# group: domain\040users
user::rwx
group::---
group:domain\040admins:rwx      #effective:r-x
group:sideb:rwx                 #effective:r-x
mask::r-x
other::---
default:user::rwx
default:group::---
default:group:domain\040admins:rwx
default:group:sideb:rwx
default:mask::rwx
default:other::---

A nikdo jiný do té složky už nemůže zapisovat. Proč se to děje a jak tomu zabránit? Potřebuji aby maska byla zděděna z default.

Odpovědi

[Max]

Nezapomněl jsi na parametr -R "setfacl -R" ? Tj. nastavovat práva přes "setfacl -Rdm..."
Zdar Max

[natech]

Ne, u nastavování práv jsem to tak dělal. Problém mi vzniká, když uživatel na svým počítači vytvoří složku. Nadřazená složka má oprávnění, podle mě, dobře, ale když uživatel vytvoří složku (ve windows na síťovém disku) tak mask není podle toho, co je default, ale chybí tam w.

[Max]

Tak to jsi ale jaksi zapomněl napsat, že to máš namapovaný přes sambu k uživatelům s Windows. To je zase trochu jiná věc. Může ti do toho např. kecat samba. Tj., chtělo by to sem i hodit, jaké nastavení pro to sdílění máš.
Zdar Max

[pavele]

A nestačilo by nastavit na nadřazený adresář GID bit a mít v smb.conf: directory mask = 0775?

[pavele]

Podle wiki.samba.org by jsi práva neměl nastavovat v linuxu, ale ve windows přes průzkumníka:

https://wiki.samba.org/index.php/Setting_up_a_Share_Using_Windows_ACLs

[natech]

Díky, to je přesně co jsem potřeboval a nějak jsem to přehlídl a namatlal jsem to jinak.

Používáte v nastavení parametr 'acl_xattr:ignore system acls = yes'?

[Max]

To není o tom, zda ho někdo používá, nebo ne. Je to o tom, zda ho nutně potřebuješ, nebo ne. Pokud ho nepotřebuješ, tak ho nepoužívej. Pokud chceš lepší kompatibilitu s NT právy (ať už to znamená cokoli, ale údajně něco s rozšířenými atributy práv v rámci win) a nechceš je propisovat do unixových práv (což třeba znamená, že pak nemůžeš použít třeba NFS s acl apod.), tak si nastav (za podmínek zmíněných v dokumentaci):

 acl_xattr:ignore system acls = yes
 acl_xattr:default acl style = windows

Ale já bych to nedělal.
Zdar Max

[Polish]

Záleží na tom, jaké aplikace používají uživatelé. Ty se mohou chovat hloupě (o ACL neví a nastaví klasická práva). Stává se to např. při použití filemanageru v php. Nepřišel jsem na to jak to vyřešit. Default práva, jak navrhuje Max fungují jen u slušných aplikací.