「POSIX ACLs を利用して共有を設定する」の版間の差分

提供：雑廉堂Wiki
← 古い編集新しい編集 →
70行目: 70行目:
| type = notice
| type = notice
| style = margin:4px 2%;
| style = margin:4px 2%;
| text = SGIDビットを設定すると（<code><u>2</u>770</code>）、ディレクトリのグループは自動的にすべての新しいファイルと作成されたディレクトリに継承され、代わりにユーザーのプライマリグループに設定されます。
| text = SGIDビットを設定すると(<code><u>2</u>770</code>)、ディレクトリのグループは自動的にすべての新しいファイルと作成されたディレクトリに継承され、代わりにユーザーのプライマリグループに設定されます。
}}
}}


2019年3月1日 (金) 20:05時点における版

はじめに

SambaはPOSIXアクセス制御リスト（ACL）との共有をサポートしています。 それらを使用すると、UNIXユーティリティを使用してSambaホスト上でローカルに権限を管理できます。 共有のファイルシステムが拡張属性をサポートしている場合は、WindowsのACLと同様に、拡張POSIX ACLを使用して複数のユーザーおよびグループをACLに設定できます。 詳細は拡張ACLの設定をご覧ください。 細かいWindows ACLが必要な場合は、代わりにWindows ACLを使用して共有を設定してください。 詳細については、 Windows ACLを使用した共有の設定を参照してください。

Sambaは、以下のPOSIX ACLとの共有をサポートしています。

  • ドメインメンバー
  • NT4 PDCとBDC
  • スタンドアロンホスト

{{#invoke:Message box|imbox}}

ホストの準備

共有を作成する前に、Sambaをセットアップしてください。 詳しくは、以下を参照してください。



ファイルを実行可能にする

デフォルト設定を使用すると、POSIX x-bitが設定されている場合、ユーザはSamba共有上で*.exeや*.batなどのファイルのみを実行できます。。たとえば、次のファイルはrootユーザーおよびDomain Usersグループのメンバーに対して実行可能です: 

-rwxr-x--- 1 root "Domain Users" 133160 1. Jan 00:00 /srv/samba/Demo/example.exe

シナリオによっては、xビットが設定されているかどうかにかかわらず、ユーザーが共有上のすべてのファイルを実行できるようにする必要があります。 有効にするには、smb.confの[global]セクションで設定します。: 

acl allow execute always = yes

共有を追加する

共有名Demoを使用して/srv/samba/Demo/ディレクトリを共有するには、次の手順を実行します:

  • ディレクトリを作成:
# mkdir -p /srv/samba/Demo/
  • 共有の定義[Demo]をsmb.confファイルに追加します。:
[Demo]
       path = /srv/samba/Demo/
       read only = no
これらは、書き込み可能な共有を設定するために必要な最小限のパラメータです。 必要に応じて、共有権限を設定できます。 詳細は共有アクセス許可の設定をご覧ください。
  • Sambaの設定をリロード:
# smbcontrol all reload-config

ACLを設定

標準UNIX ACLを設定

UNIXオペレーティングシステムの標準アクセス制御リスト（ACL）は、1人の所有者、1つのグループ、およびその他すべての人（その他）に対するアクセス許可の設定をサポートしています。 ディレクトリに複数のACLを設定する必要がある場合は、拡張ACLの設定を参照してください。

例えば、/srv/samba/Demo/ディレクトリの所有者をrootにするには、所有者とDomain Usersグループに読み書きの許可を付与し、そして他のすべてのユーザーに対してはアクセスを拒否します。次のように入力してください: 

# chmod 2770 /srv/samba/Demo/
# chown root:"Domain Users" /srv/samba/Demo/

{{#invoke:Message box|imbox}}

For further details about the permissions, see the chmod(1) and chown(1) man page.

拡張ACLを設定

If your file system supports extended access control lists (ACL), you can use extended POSIX ACLs. They enable you to set permissions for multiple users and groups on a file or directory - similar to Windows ACLs. However, POSIX ACLs are limited to the following general permissions modes:

  • None
  • Read
  • Write
  • Full control

For example, to set read, write, and execute permissions for the Domain Admins group, read and execute permissions for the Domain Users group, and deny access to everyone else on the /srv/samba/Demo/ directory:

  • Add the inherit acls = yes parameter to the share's configuration. For example:
[Demo]
       path = /srv/samba/Demo/
       read only = no
       inherit acls = yes
The inherit acls = yes parameter enables ACL inheritance of extended ACLs. For further details, see the parameter description in the smb.conf man page.
  • Reload Samba:
# smbcontrol all reload-config
  • Verify that the directory is stored on a file system that supports extended ACLs. For details, see File System Support.
  • Disable auto-granting permissions for the primary group of user accounts:
# setfacl -m group::--- /srv/samba/Demo/
# setfacl -m default:group::--- /srv/samba/Demo/
The primary group of the directory is additionally mapped to the dynamical CREATOR GROUP principal. If you use extended POSIX ACLs on a Samba share, this principal is automatically added and you cannot remove it. For further details about the CREATOR GROUP principal, see Well-known security identifiers in Windows operating systems.
  • Set the permissions on the directory:
  • Grant read, write, and execute permissions to the Domain Admins group:
# setfacl -m group:"SAMDOM\Domain Admins":rwx /srv/samba/Demo/
  • Grant read and execute permissions to the Domain Users group:
# setfacl -m group:"SAMDOM\Domain Users":r-x /srv/samba/Demo/
  • Set permissions for the other ACL entry to deny access to users that do not match other ACL entries:
# setfacl -R -m other::--- /srv/samba/Demo/
These settings are only applied to the directory itself. In Windows, this is converted to This folder only.
  • To configure that the same permissions set in the previous step are inherited to new file system objects created in this directory, enter:
# setfacl -m default:group:"SAMDOM\Domain Admins":rwx /srv/samba/Demo/
# setfacl -m default:group:"SAMDOM\Domain Users":r-x /srv/samba/Demo/
# setfacl -m default:other::--- /srv/samba/Demo/
With this settings, the This folder only mode for the principals now changed to This folder, subfolders, and files.

The ACLs set in the previous steps are mapped to the following Windows ACLs:

Principal Access Applies to Comments
SAMDOM\Domain Admins Full control This folder, subfolders, and files
SAMDOM\Domain Users Read & execute This folder, subfolders, and files
Everyone None This folder, subfolders, and files Samba maps the permissions for this principal from the UNIX other ACL entry.
directory_owner (Unix User\directory_owner) * Full control This folder only Samba maps the owner of the directory to this entry.
directory_primary_group (Unix User\directory_primary_group) * None This folder only Samba maps the primary group of the directory to this entry.
CREATOR OWNER * Full control Subfolders and files only On new file system objects, the creator inherits automatically the permissions of this principal.
CREATOR GROUP * None Subfolders and files only On new file system objects, the creator's primary group inherits automatically the permissions of this principal.

* Configuring or removing these principals from the ACLs is only supported when using Windows ACLs. For details, see Setting up a Share Using Windows ACLs.

For further details, see the setfacl man page.

Setting Share Permissions

Optional: Samba enables you to set permissions on each share which are validated when a user connects.

Access to the content on a share, is controlled using file system access control lists (ACL). For details, see Setting POSIX ACLs on a Samba Share


Configuring User and Group-based Share Access

Share-based access control enables you to grant or deny access to a share for certain users and groups. For example, to enable all members of the Domain Users group to access a share while access is denied for the example_user account, add the following parameters to the share's configuration: 

       valid users = +SAMDOM\"Domain Users"
       invalid users = SAMDOM\example_user

The invalid users parameter has a higher priority than the valid users parameter. For example, if the example_user account is a member of the Domain Users group, access is denied for this account in the previous example.

For further details, see the parameter descriptions in the smb.conf(5) man page.


Configuring Host-based Share Access

Host-based access control enables you to grant or deny access to a share based on host names, IP addresses, or IP ranges. For example, to enable the 127.0.0.1 IP address, the 10.99.0.0/24 IP range, and the GoodHost host name to access a share, and additionally deny access for the BadHost host name, add the following parameters to the share's configuration: 

       hosts allow = 127.0.0.1 10.99.0.0/24 GoodHost
       hosts deny = BadHost

The hosts deny parameter has a higher priority than the hosts allow parameter. For example, if BadHost resolves to an IP address that is listed in the hosts allow parameter, access to this host is denied.

For further details, see the parameter descriptions in the smb.conf(5) man page.



「http://www.rough-and-cheap.jp/mediawiki/index.php?title=POSIX_ACLs_を利用して共有を設定する&oldid=9910」から取得