Як створити папку Samba, яку можна записувати з Windows без 777 дозволів?

У мене є шлях на машині Linux (Debian 8), яким я хочу поділитися з Samba 4 на комп'ютери Windows (Win7 та 8 у домені). В моєму випадку smb.confя зробив наступне:

[myshare]
path = /path/to/share
writeable = yes
browseable = yes
guest ok = yes
public = yes

У мене ідеальний доступ для читання з Windows. Але для того, щоб мати доступ до запису, мені потрібно зробити це chmod -R 777 /path/to/shareдля того, щоб мати можливість писати на нього з Windows.

Що я хочу - це доступ для запису з Windows після того, як я надаю облікові дані Linux власника Linux /path/to/share.

Я вже спробував:

[myshare]
path = /path/to/share
writeable = yes
browseable = yes

Потім Windows запитує облікові дані, але незалежно від того, що я ввожу, це завжди відмовляється.

Який правильний спосіб отримати доступ для запису до акцій Samba з комп’ютера з доменом Windows без надання 777?

Я рекомендую створити виділеного користувача для цієї спільної власності та вказати її в force user(див. Документи) .

Створіть користувача ( shareuserнаприклад) та встановіть власника всього в папці спільного доступу до цього користувача:

adduser --system shareuser
chown -R shareuser /path/to/share

Потім додайте force userта налаштування маски дозволу в smb.conf:

[myshare]
path = /path/to/share
writeable = yes
browseable = yes
public = yes
create mask = 0644
directory mask = 0755
force user = shareuser

Зауважте, що guest okце синонім для public.

У налаштуваннях спільного доступу в smb.conf потрібно вказати імена користувачів та / або груп, яким дозволено записувати на спільний доступ, використовуючи write list = ...рядок.

Приклад:

[myshare]
...
write list = my_linux_username

Тоді вам потрібно буде скористатися smbpasswdкомандою, щоб встановити пароль для автентифікації my_linux_usernameдля Samba:

sudo smbpasswd -a my_linux_username

Цей крок необхідний, оскільки стандартні системні паролі в /etc/shadow хешируються в алгоритмах, несумісних з алгоритмами хешування паролів, що використовуються в протоколі SMB. Коли клієнт надсилає пакет автентифікації SMB, він включає хешований пароль. Його можна порівняти лише з іншим хешем пароля, який використовує той самий алгоритм.

(Дуже старі інструкції попереднього тисячоліття можуть рекомендувати вимкнути шифрування паролем у Samba та використовувати певні хаки реєстру, щоб Windows могла надсилати незашифровані паролі в мережу. Ця порада: застаріла : ці зловми реєстру можуть більше не працювати в поточних версіях Windows, і дозволити всім, хто може стежити за вашим мережевим трафіком, тривіально захоплювати ваш пароль.)

Є ще одна річ, яку вам, можливо, доведеться зробити на стороні клієнта. Коли ваша клієнтська система Windows приєднається до домену Active Directory і ви ввійшли в обліковий запис AD, він автоматично встановлює всі некваліфіковані імена користувачів з іменем домену AD користувача, тобто ви будете автентифіковані якAD_DOMAIN\your_username , а не просто your_username.

Якщо ви ввійшли в систему за допомогою локального облікового запису (або ваша клієнтська система не приєднана до домену AD), Windows може автоматично встановити префікс імені користувача хоста клієнта, якщо не вказати інше ім'я домену.

Для успішного входу на автономний сервер Samba від автономного клієнта Windows, можливо, доведеться вказати своє ім’я користувача як SAMBA_SERVER_HOSTNAME\your_username .

Інакше Samba побачить ім'я користувача як WINDOWS_CLIENT_HOSTNAME\your_username , висновок, що він не може перевірити будь-яких користувачів, що належать домену, іменованому WINDOWS_CLIENT_HOSTNAME, і відхилить логін.

(Більш новітні версії Samba можуть мати вбудовану перевірку на цю конкретну ситуацію, і вони, тим не менш, можуть дозволити вам отримати доступ. Але це в основному, як автентифікація SMB працює "під капотом", і якщо вам потрібно мати справу зі старими версіями Samba , це може бути корисним.)

Я шукав це, тому що я поспішав і навіть не встиг зосередитись на створенні користувачів і так ...

Просто потрібно було якомога швидше вийняти дані машини debian 9, і це був найшвидший спосіб, про який я хотів, якщо ви хочете уникати пропускання команд, ви також можете це зробити, але це, очевидно, не рекомендується, якщо ви не знаходитесь поспішайте .

[mymfolder]
path = /mymfolder
writeable = yes
browseable = yes
public = yes
create mask = 0777
directory mask = 0777
force user = root