staging.inyokaproject.org

Hallo zusammen,

auf diesem Wege habe ich eine Verständnisfrage in Bezug auf Samba. In meinem LAN läuft ein Linux-Server mit SAMBA. Jeder Benutzer hat eine Freigabe, in der es drei Unterverzeichnisse gibt: - Privat - Scan - transfer

Diese Verzeichnisse wurden manuell vom User "root" angelegt.

Die Berechtigungen für den Benutzer "simone-data" sehen wie folgt aus:

drwxr-x--- 5 root        familie     4096 Jul  5 10:19 .
drwxr-xr-x 8 root        root        4096 Jul  5 10:15 ..
drwx------ 5 simone-data simone-data 4096 Jul  4 20:19 Privat
drwxr-x--- 2 root        simone-data 4096 Jul  5 10:19 Scan
drwxr-x--- 5 root        familie     4096 Jul  5 09:46 transfer

Meine Frage bezieht sich auf das Verzeichnis "Scan": Von den Berechtigungen her dürfte nur der Benutzer "root" und die Mitglieder der Gruppe "simone-data" in das Verzeichnis wechseln. In der Gruppe "simone-data" gibt es nur einen User: "simone-data".

Zu meiner Verwunderung musste ich jedoch feststellen, dass auch ein beliebiger anderer Benutzer (z.B. "frechdachs-data" auf das Scan-Verzeichnis vom User "simone-data" zugreifen kann.

Das kann ich nicht nachvollziehen... Könnte mir das bitte jemand erklären? Vielen Dank im Voraus.

Liebe Grüße,

frechdachs

Noch ein Nachtrag: Ich habe mich auf dem Server als Benutzer "frechdachs-data" angemeldet.

Es ist (natürlich) nicht möglich, in das Verzeichnis ".../simone-data/Scan" zu wechseln:

frechdachs-data@server:/srv/files/simone-data$ ls -al
insgesamt 20
drwxr-x--- 5 root        familie     4096 Jul  5 10:19 .
drwxr-xr-x 8 root        root        4096 Jul  5 10:15 ..
drwx------ 5 simone-data simone-data 4096 Jul  4 20:19 Privat
drwxr-x--- 2 root        simone-data 4096 Jul  5 10:19 Scan
drwxr-x--- 5 root        familie     4096 Jul  5 09:46 transfer

frechdachs-data@server:/srv/files/simone-data$ cd Scan
bash: cd: Scan: Keine Berechtigung
frechdachs-data@server:/srv/files/simone-data$

Aber wieso funktioniert das denn mit Samba?

Liebe Grüße,

frechdachs

Normalerweise sollten die lokalen Rechten immer gelten. Also in deinem Fall sollte nur root Schreibrechte haben. Die lokal wirkenden Rechte kann man auch nicht einfach als SMB Client überschreiben. Das ginge meiner Meinung nach ohnehin nur, wenn man die unix extensions aktiviert, was allerdings die Nutzung von der SMB Protokollversion 1.0 voraussetzt. Kannst du als ersten Schritt bitte mal die Ausgabe von

cat /etc/samba/smb.conf

zeigen?

Guten Morgen chr123,

erstmal vielen Dank für Deine Antwort.

Hier die Ausgabe der Konfigurationsdatei (ich habe nicht alle Shares aufgelistet, deshalb eine gekürzte Ausgabe):

[global]
   workgroup = XYZ
   server string = Linux-Server

   dns proxy = no
   #interfaces = 127.0.0.0/8 eth0
   interfaces = enp1s0

   #log file = /var/log/samba/log.%m
   log file = /var/log/samba/samba.log
   max log size = 1000

   panic action = /usr/share/samba/panic-action %d

   server role = standalone server

   passdb backend = tdbsam

   obey pam restrictions = yes

   unix password sync = yes

   passwd program = /usr/bin/passwd %u
   passwd chat = *Enter\snew\s*\spassword:* %n\n *Retype\snew\s*\spassword:* %n\n *password\supdated\ssuccessfully* .

   pam password change = yes

   hosts allow = 192.168.0.0/255.255.255.0


[frechdachs]
   comment = Verzeichnis von frechdachs
   path = /srv/files/frechdachs-data
   browseable = yes
   read only = no
   valid users = @familie
   create mask = 0740
   force group = frechdachs-data
   directory mask = 0750

[simone]
   comment = Verzeichnis von Simone
   path = /srv/files/simone-data
   browseable = yes
   read only = no
   valid users = @familie
   create mask = 0740
   force group = simone-data
   directory mask = 0750

Hilft Dir das weiter?

Vielleicht noch ein Hinweis: Die Anweisung "force group = ...." hat den Hintergrund, dass Benutzer in dem transfer-Verzeichnis Daten ablegen können - hier gibt es pro Familienmitglied nochmal einen "Anlieferungsordner":

root@server:/srv/files/simone-data/transfer# ls -al
insgesamt 20
drwxr-x--- 5 root        familie         4096 Jul  5 09:46 .
drwxr-x--- 5 root        familie         4096 Jul  5 10:19 ..
drwxrwx--- 2 simone-data abc-data        4096 Jul  5 09:46 von ABC
drwxrwx--- 2 simone-data xyz-data        4096 Jul  5 09:46 von XYZ
drwxrwx--- 2 simone-data frechdachs-data 4096 Jul  5 09:46 von frechdachs

Das könnte man sicherlich auch eleganter lösen - ist bis jetzt der erste Versuch... 😉

Aber mein ursprüngliches Problem bleibt: Wieso kann ich als Benutzer "frechdachs-data" auf ".../simone-data/Scan" zugreifen?

Liebe Grüße,

frechdachs

Ok, jetzt wird es ungewöhnlich. Die Gruppe @familie steuert erstmal nur, ob du Zugriff auf den jeweiligen Share (Pfad: /srv/files/frechdachs-data) hast. Soweit sieht das ok aus. Nach der Anmeldung sollten dann aber die jeweiligen lokal vergebenen Rechten wirken. Allerdings setzt du ja die force group, womit die Benutzer, die in der Gruppe familie sind, automatisch beim Zugriff auf den Share die Gruppe frechdachs-data etc. erben. Nimm einfach mal "force group" raus. Dann sollte der Zugriff nicht mehr gehen. Falls der Zugriff nicht mehr geht, können wir ja über eine andere Lösung nachdenken.

Ich habe die Samba-Shares jetzt aufgesplittet: Jeder User hat jetzt zwei Shares: Ein individuelles Share für die eigenen Daten (Verzeichnisse Privat und Scan) und ein separates Verzeichnis für den Austausch von Dateien (transfer). Das funktioniert problemlos.

Trotzdem kann ich es nicht nachvollziehen, warum Samba sich so verhalten hat. Das ist für mich sehr merkwürdig, wie es möglich ist, die Rechte der Verzeichnisstruktur quasi außer Kraft zu setzen.

Vielen Dank an alle, die mir geholfen haben.

Liebe Grüße,

frechdachs