Ubuntu-fr

Portanoo

Pb d'ACL avec Samba [Résolu]

Bonjour j'ai un petit soucis avec mon serveur Samba.

Pratiquement tout fonctionne comme prévu, a savoir :

Samba est configuré en tant que PDC (bien que mon client continue de parametrer ces postes en workgroup mais ça c'est un autre pb)
La gestion des ACLS et de Attributs de fichiers sont là,
La possibilité de créer des partages directement depusi windows également.

Bref, j'ai installé ce serveur pour remplacer un vieux serveur ou il n'y avais pas de gestions des ACLS, et ou le client crée des partages avec les options valid users et write list afin de limiter les accès.

Avec mon serveur il peut désormais depuis un poste Windows et avec les outils usrmgr.exe et la console de gestion de l'ordinateur de windows XP gérer complêtement son serveur, il peut créer, modifier des comptes,etc....

Seul pb alors que mes ACLs sont bien positionnées et sachant qu'à chaque fois j'indique que le groupe "Admins Domain" sous samba ce qui signifie mon groupe ntadmin sous linux à tous les droits sur tous mon arborescence,
je m'apercois que si je me connecte avec un autre compte membre du groupe "Admins Domain" je ne peux modifier mes ACLS depuis Windows, il m'indique Accès refusé.
Seule solution, modifier le propriétaire de tout le répertoire et sous répertoire en selectionnant le compte que je souhaite utiliser pour modifier mes ACLs.

En recherchant sur le net je m'aperçois que bcp de monde à le même pb mais je n'ai pas trouve de solution.
C'est un peu génant pour l'administration du système et des droits sachant que j'ai besoin d'avoir au moins 3 personnes et donc 3 comptes différents pour administrer mes ACLS.

ci-joint mon smb.conf si un expert à un début de réponse je suis preneur...

# Samba config file created using SWAT
# from 192.168.1.7 (192.168.1.7)
# Date: 2007/07/04 11:59:40

[global]
        workgroup = DOMAINE
        netbios name = SambaServer
        #netbios aliases = sambaserver
        server string = ""
        obey pam restrictions = Yes
        passdb backend = tdbsam
        passwd program = /usr/bin/passwd %u
        passwd chat = *Enter\snew\sUNIX\spassword:* %n\n *Retype\snew\sUNIX\spassword:* %n\n *password\supdated\ssuccessfully* .
        log level = 10
        log file = /var/log/samba/%m.log
        max log size = 1000
        #smb ports = 139
        name resolve order = lmhosts host wins bcast
        socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192
        add user script = /usr/sbin/useradd -m -s /bin/false '%u'
        rename user script = /usr/sbin/usermod -l '%unew' '%uold'
        delete user script = /usr/sbin/userdel '%u'
        add group script = /usr/sbin/groupadd '%g'
        delete group script = /usr/sbin/groupdel '%g'
        add user to group script = /usr/sbin/adduser '%u' '%g'
        delete user from group script = /usr/sbin/deluser '%u' '%g'
        set primary group script = /usr/sbin/usermod -g '%g' '%u'
        add machine script = /usr/sbin/useradd -g machines -d /dev/null -s /bin/false '%u'
        #logon drive = P:
        #logon home = \\%L\%U
        domain logons = Yes
        os level = 95
        preferred master = Yes
        domain master = Yes
        dns proxy = No
        wins support = Yes
        case sensitive = No
        preserve case = Yes
        short preserve case = Yes
        hide files = /desktop.ini/ntuser.ini/NTUSER.*/
        msdfs root = No

        add share command = /etc/samba/scripts/modify_samba_config.pl
        change share command = /etc/samba/scripts/modify_samba_config.pl
        delete share command = /etc/samba/scripts/modify_samba_config.pl

        nt acl support = yes
        share modes = yes
        enable privileges = yes

[Groupes_Société2]
        path = /home/partage/société2
        read only = No
        create mask = 0770
        directory mask = 0770
        store dos attributes = Yes

[Groupes_Société1]
        path = /home/partage/societe1
        read only = No
        create mask = 0770
        directory mask = 0770
        store dos attributes = Yes

[netlogon]
        comment = Service de connexion reseau
        path = /home/partage/netlogon
        write list = +ntadmin
        browseable = No
        store dos attributes = Yes

[profile]
        path = /home/partage/export/profile
        read only = No
        create mask = 0770
        directory mask = 0770
        profile acls = Yes
        browseable = No
        store dos attributes = Yes

[homes]
        comment = Repertoire personnel
        read only = No
        browseable = No
        create mask = 0770
        directory mask = 0770
        store dos attributes = yes

[Commun]
        comment = Repertoire Commun
        path = /home/partage/commun
        read only = No
        browseable = Yes
        create mask = 0777
        directory mask = 0777
        store dos attributes = yes

[Donnees$]
        path = /home
        read only = No
        browseable = No
        create mask = 0770
        directory mask = 0770
        store dos attributes = Yes
        valid users = @ntadmin
        write list = @ntadmin

Exemple d'Acls sur un de mes repertoire que je souhaite modifier depuis windows :

# file: Projets
# owner: test
# group: test
user::rwx
group::---
group:ntadmin:rwx
mask::rwx
other::---
default:user::rwx
default:group::---
default:group:ntadmin:rwx
default:mask::rwx
default:other::---

résultat de ls -l :

drwxrwx---+ 12 test test 4.0K 2007-07-11 10:42 Projets

si je tente avec helios qui est membre du groupe ntadmin pas de pb en revanche si je tente avec helios2 j'ai accès refusé.
je suis obligé de mettre helios2 proprietaires des fichiers avant.

Dernière modification par Portanoo (Le 23/07/2007, à 08:20)

Portanoo

Re : Pb d'ACL avec Samba [Résolu]

un petit up.....

A ceux qui ont actuellement un serveur Samba en tant que PDC.
n'avez vous pas le même soucis en bidouillant les ACLs depuis un poste Windows ???

Portanoo

Re : Pb d'ACL avec Samba [Résolu]

Je viens de trouver la solution.

J'ai rajouté la ligne suivante:

admin users = +ntadmin

à ma section globale, et depuis tous les utilisateurs du groupe admin peuvent désormais modifier les autorisations des ACLS depuis Windows, sans avoir à être propriétaires des dossiers et sous dossiers.