1.7. Configuration d'un partage de fichiers Samba utilisant des listes de contrôle POSIX

Procédure

1. Créez le dossier s'il n'existe pas. Par exemple :

   # mkdir -p /srv/samba/example/

2. Si vous utilisez SELinux en mode enforcing, définissez le contexte samba_share_t pour le répertoire :

   # semanage fcontext -a -t samba_share_t "/srv/samba/example(/.*)?"
   # restorecon -Rv /srv/samba/example/

3. Définir les ACL du système de fichiers sur le répertoire. Pour plus de détails, voir :

   • Définition d'ACLs standard sur un partage Samba qui utilise des ACLs POSIX
   • Définition d'ACL étendues sur un partage qui utilise des ACL POSIX.

4. Ajoutez l'exemple de partage au fichier /etc/samba/smb.conf. Par exemple, pour ajouter le partage en écriture :

   [example]
   	path = /srv/samba/example/
   	read only = no

   Note

   Indépendamment des ACL du système de fichiers, si vous ne définissez pas read only = no, Samba partage le répertoire en mode lecture seule.

5. Vérifiez le fichier /etc/samba/smb.conf:

   # testparm

6. Ouvrez les ports requis et rechargez la configuration du pare-feu à l'aide de l'utilitaire firewall-cmd:

   # firewall-cmd --permanent --add-service=samba
   # firewall-cmd --reload

7. Redémarrez le service smb:

   # systemctl restart smb

Procédure

1. Activez le paramètre suivant dans la section du partage du fichier /etc/samba/smb.conf pour activer l'héritage des ACL étendues :

   hériter des acls = oui

   Pour plus de détails, voir la description des paramètres dans la page de manuel smb.conf(5).

2. Redémarrez le service smb:

   # systemctl restart smb

3. Définissez les ACL sur le répertoire. Par exemple :

   Exemple 1.2. Définition des ACL étendues

   La procédure suivante définit les autorisations de lecture, d'écriture et d'exécution pour le groupe Domain Admins, les autorisations de lecture et d'exécution pour le groupe Domain Users, et refuse l'accès à tous les autres utilisateurs du répertoire /srv/samba/example/:

   1. Désactiver l'attribution automatique des autorisations au groupe principal de comptes d'utilisateurs :

      # setfacl -m group::--- /srv/samba/example/
      # setfacl -m default:group::--- /srv/samba/example/

      Le groupe primaire du répertoire est également mappé au principal dynamique CREATOR GROUP. Lorsque vous utilisez des ACL POSIX étendues sur un partage Samba, ce principal est automatiquement ajouté et vous ne pouvez pas le supprimer.

   2. Définir les droits d'accès au répertoire :

      1. Accorder les droits de lecture, d'écriture et d'exécution au groupe Domain Admins:

         # setfacl -m group:"DOMAIN\Domain Admins":rwx /srv/samba/example/

      2. Accorder les droits de lecture et d'exécution au groupe Domain Users:

         # setfacl -m group:"DOMAIN\Domain Users":r-x /srv/samba/example/

      3. Définissez les autorisations pour l'entrée ACL other afin de refuser l'accès aux utilisateurs qui ne correspondent pas aux autres entrées ACL :

         # setfacl -R -m other::--- /srv/samba/example/

      Ces paramètres ne s'appliquent qu'à ce répertoire. Sous Windows, ces ACL sont associées au mode This folder only.

   3. Pour permettre aux nouveaux objets du système de fichiers créés dans ce répertoire d'hériter des autorisations définies à l'étape précédente :

      # setfacl -m default:group:"DOMAIN\Domain Admins":rwx /srv/samba/example/
      # setfacl -m default:group:"DOMAIN\Domain Users":r-x /srv/samba/example/
      # setfacl -m default:other::--- /srv/samba/example/

      Avec ces paramètres, le mode This folder only pour les mandants est maintenant réglé sur This folder, subfolders, and files.

   Samba associe les autorisations définies dans la procédure aux listes de contrôle d'accès de Windows suivantes :

   Principal	Accès	S'applique à
   Domain\Administrateurs de domaine	Contrôle total	Ce dossier, ces sous-dossiers et ces fichiers
   Domain\Utilisateurs du domaine	Lire & exécuter	Ce dossier, ces sous-dossiers et ces fichiers
   Everyone [a]	Aucun	Ce dossier, ces sous-dossiers et ces fichiers
   owner (Unix User\owner) [b]	Contrôle total	Ce dossier ne contient que
   primary_group (Unix User\primary_group) [c]	Aucun	Ce dossier ne contient que
   CREATOR OWNER [d] [e]	Contrôle total	Sous-dossiers et fichiers uniquement
   CREATOR GROUP [e] [f]	Aucun	Sous-dossiers et fichiers uniquement
   [a] Samba mappe les permissions pour ce principal à partir de l'entrée ACL other. [b] Samba associe le propriétaire du répertoire à cette entrée. [c] Samba associe le groupe primaire du répertoire à cette entrée. [d] Sur les nouveaux objets du système de fichiers, le créateur hérite automatiquement des autorisations de ce principal. [e] La configuration ou la suppression de ces principaux des listes de contrôle d'accès n'est pas prise en charge sur les partages qui utilisent des listes de contrôle d'accès POSIX. [f] Pour les nouveaux objets du système de fichiers, le groupe principal du créateur hérite automatiquement des autorisations de ce principal.