第 16 章 文件和打印服务器

在域成员中配置 ad Backd

1. 编辑 /etc/samba/smb.conf 文件中的 [global] 部分：

   1. 如果默认域(*)不存在，请为它添加 ID 映射配置。例如：

      idmap config * : backend = tdb
      idmap config * : range = 10000-999999

      有关默认域配置的详情，请参考 第 16.1.5.3.2 节 “* 默认域”。

   2. 为 AD 域启用 ad ID 映射后端：

      idmap config DOMAIN : backend = ad

   3. 设置分配给 AD 域中用户和组的 ID 范围。例如：

      idmap config DOMAIN : range = 2000000-2999999

      重要

      范围不得与这个服务器上的任何其他域配置重叠。此外，范围必须足够大，以便包含将来分配的所有 ID。详情请查看 第 16.1.5.3.1 节 “规划 ID 范围”。

   4. 设置 Samba 在读取 AD 属性时使用 RFC 2307 模式：

      idmap config DOMAIN : schema_mode = rfc2307

   5. 要让 Samba 从对应的 AD 属性读取登录 shell 和用户主目录的路径，请设置：

      idmap config DOMAIN : unix_nss_info = yes

      或者，您可以设置应用于所有用户的统一的域范围的主目录路径和登录 shell。例如：

      template shell = /bin/bash
      template homedir = /home/%U

      有关变量替换的详情，请查看 smb.conf(5)man page 中的 VARIABLE SUBSTITUTIONS 部分。

   6. 默认情况下，Samba 使用用户对象的 primaryGroupID 属性作为 Linux 上用户的主组。或者，您可以将 Samba 配置为使用 the gidNumber 属性中设置的值：

      idmap config DOMAIN : unix_primary_group = yes

2. 验证 /etc/samba/smb.conf 文件：

   ~]# testparm

   详情请查看 第 16.1.2 节 “使用 testparm 实用程序验证 smb.conf 文件”。

3. 重新载入 Samba 配置：

   ~]# smbcontrol all reload-config

4. 验证设置是否按预期工作。请参阅 “验证操作系统是否可以恢复域用户帐户和组”一节。

在 域 成员中配置删除的后端

1. 编辑 /etc/samba/smb.conf 文件中的 [global] 部分：

   1. 如果默认域(*)不存在，请为它添加 ID 映射配置。例如：

      idmap config * : backend = tdb
      idmap config * : range = 10000-999999

      有关默认域配置的详情，请参考 第 16.1.5.3.2 节 “* 默认域”。

   2. 为域启用丢弃的 ID 映射后端：

      idmap config DOMAIN : backend = rid

   3. 设置一个足够大的范围，使其包含将来将分配的所有 RID。例如：

      idmap config DOMAIN : range = 2000000-2999999

      Samba 会忽略此域中 RID 不在 范围内的用户和组。

      重要

      范围不得与这个服务器上的任何其他域配置重叠。详情请查看 第 16.1.5.3.1 节 “规划 ID 范围”。

   4. 设置分配给所有映射用户的 shell 和主目录路径。例如：

      template shell = /bin/bash
      template homedir = /home/%U

      有关变量替换的详情，请查看 smb.conf(5)man page 中的 VARIABLE SUBSTITUTIONS 部分。

2. 验证 /etc/samba/smb.conf 文件：

   ~]# testparm

   详情请查看 第 16.1.2 节 “使用 testparm 实用程序验证 smb.conf 文件”。

3. 重新载入 Samba 配置：

   ~]# smbcontrol all reload-config

4. 验证设置是否按预期工作。请参阅 “验证操作系统是否可以恢复域用户帐户和组”一节。

在域 成员中配置自动 后端

1. 编辑 /etc/samba/smb.conf 文件中的 [global] 部分：

   1. 为 * 默认域启用 自动 ID 映射后端：

      idmap config * : backend = autorid

   2. 设置一个足够大的范围来为所有现有和将来的对象分配 ID。例如：

      idmap config * : range = 10000-999999

      Samba 忽略在此域中计算 ID 不在范围范围内的用户和组。有关后端如何计算 ID 的详情，请查看 idmap_autorid(8)man page 中的 THE MAPPING FORMULAS 部分。

      警告

      设置范围并开始使用 Samba 后，您只能增加范围的上限。对范围的任何其他更改都可能导致新的 ID 分配，从而释放文件所有权。

   3. 另外，还可设置范围大小。例如：

      idmap config * : rangesize = 200000

      Samba 会为每个域的对象分配这个数量的连续 ID，直到获取 idmap config * : range 参数中设置范围中的所有 ID。详情请查看 idmap_autorid(8)man page 中的 rangesize 参数描述。

   4. 设置分配给所有映射用户的 shell 和主目录路径。例如：

      template shell = /bin/bash
      template homedir = /home/%U

      有关变量替换的详情，请查看 smb.conf(5)man page 中的 VARIABLE SUBSTITUTIONS 部分。

   5. 另外，还可为域添加额外的 ID 映射配置。如果没有单个域的配置可用，Samba 使用之前配置的 * 默认域中的 自动后端 设置来计算 ID。

      重要

      如果您为单个域配置额外的后端，则所有 ID 映射配置的范围不得互相重叠。详情请查看 第 16.1.5.3.1 节 “规划 ID 范围”。

2. 验证 /etc/samba/smb.conf 文件：

   ~]# testparm

   详情请查看 第 16.1.2 节 “使用 testparm 实用程序验证 smb.conf 文件”。

3. 重新载入 Samba 配置：

   ~]# smbcontrol all reload-config

4. 验证设置是否按预期工作。请参阅 “验证操作系统是否可以恢复域用户帐户和组”一节。

添加使用 POSIX ACL 的共享

1. （可选）创建 文件夹（如果文件夹不存在）。例如：

   ~]# mkdir -p /srv/samba/example/

2. 如果您以 enforcing 模式运行 SELinux，请在目录中设置 samba_share_t 上下文：

   ~]# semanage fcontext -a -t samba_share_t "/srv/samba/example(/.*)?"
   ~]# restorecon -Rv /srv/samba/example/

3. 在目录中设置文件系统 ACL。详情请查看 第 16.1.6.1.2 节 “设置 ACL”。

4. 将 示例 共享添加到 /etc/samba/smb.conf 文件中。例如，添加启用了共享的写操作：

   [example]
   	path = /srv/samba/example/
   	read only = no

   注意

   无论文件系统 ACL 是什么；如果您没有 只设置只读 = no，Samba 都会以只读模式共享该目录。

5. 验证 /etc/samba/smb.conf 文件：

   ~]# testparm

   详情请查看 第 16.1.2 节 “使用 testparm 实用程序验证 smb.conf 文件”。

6. 打开所需的端口并使用 firewall-cmd 工具重新载入防火墙配置：

   ~]# firewall-cmd --permanent --add-service=samba
   ~]# firewall-cmd --reload

7. 重启 smb 服务：

   ~]# systemctl restart smb

8. 另外，还可启用 smb 服务在引导时自动启动：

   ~]# systemctl enable smb

在共享上启用扩展 POSIX ACL

1. 在 /etc/samba/smb.conf 文件中的共享部分启用以下参数，以启用扩展 ACL 的 ACL 继承：

   inherit acls = yes

   详情请查看 smb.conf(5)man page 中的参数描述。

2. 重启 smb 服务：

   ~]# systemctl restart smb

3. 另外，还可启用 smb 服务在引导时自动启动：

   ~]# systemctl enable smb

4. 在目录中设置 ACL。有关使用扩展 ACL 的详情，请参考 第 5 章 访问控制列表。

   例 16.4. 设置扩展 ACL

   以下步骤为 Domain Admins 组设置读取、写入和执行权限，为 Domain Users 组设置读取和执行权限，并拒绝 /srv/samba/example/ 目录中其他人的访问权限：

   设置扩展 ACL

   1. 为主用户帐户组禁用自动授予权限：

      ~]# setfacl -m group::--- /srv/samba/example/
      ~]# setfacl -m default:group::--- /srv/samba/example/

      目录的主要组还映射到动态 CREATOR GROUP 主体。当您在 Samba 共享中使用扩展 POSIX ACL 时，会自动添加这个主体，您无法将其删除。

   2. 设置目录中的权限：

      1. 向 Domain Admins 组授予读取、写入和执行权限：

         ~]# setfacl -m group:"DOMAIN\Domain Admins":rwx /srv/samba/example/

      2. 为 Domain Users 组授予读取和执行权限：

         ~]# setfacl -m group:"DOMAIN\Domain Users":r-x /srv/samba/example/

      3. 为其他 ACL 条目设置权限，以拒绝不匹配其他 ACL 条目的用户的访问：

         ~]# setfacl -R -m other::--- /srv/samba/example/

         这些设置只适用于这个目录。在 Windows 中，这些 ACL 仅映射到此文件夹 模式。

   3. 启用上一步中设置的权限由此目录中创建的新文件系统对象继承：

      ~]# setfacl -m default:group:"DOMAIN\Domain Admins":rwx /srv/samba/example/
      ~]# setfacl -m default:group:"DOMAIN\Domain Users":r-x /srv/samba/example/
      ~]# setfacl -m default:other::--- /srv/samba/example/

      使用这些设置时，现在将主体的 此文件夹仅 设置为此 文件夹、子文件夹和文件。

   Samba 将之前设置的权限映射到以下 Windows ACL：

   主体	权限	适用于
   DOMAIN\Domain Admins	完整控制	这个文件夹、子文件夹和文件
   DOMAIN\Domain 用户	读和执行	这个文件夹、子文件夹和文件
   每个人都 [a]	无	这个文件夹、子文件夹和文件
   所有者 （Unix Userpass:attributes[]所有者） [b]	完整控制	只限于这个文件夹
   primary_group (Unix Userpass:attributes[]primary_group) [c]	无	只限于这个文件夹
   创建者所有者 [d] [e]	完整控制	只适用于子文件夹和文件
   创建组 [f]	无	只适用于子文件夹和文件
   [a] Samba 从其他 ACL 条目映射此主体的权限。 [b] Samba 将目录的所有者映射到此条目。 [c] Samba 将目录的主组群映射到这个条目。 [d] 在新文件系统对象中，创建者会自动继承这个主体的权限。 [e] 在使用 POSIX ACL 的共享中不支持从 ACL 配置或删除这些主体。 [f] 在新文件系统对象中，创建器的主组群自动继承这个主体的权限。

配置基于主机的共享访问

1. 在 /etc/samba/smb.conf 中的共享配置中添加以下参数：

   hosts allow = 127.0.0.1 192.0.2.0/24 client1.example.com
   hosts deny = client2.example.com

2. 重新载入 Samba 配置

   ~]# smbcontrol all reload-config

添加使用 Windows ACL 的共享

1. （可选）创建 文件夹（如果文件夹不存在）。例如：

   ~]# mkdir -p /srv/samba/example/

2. 如果您以 enforcing 模式运行 SELinux，请在目录中设置 samba_share_t 上下文：

   ~]# semanage fcontext -a -t samba_share_t "/srv/samba/example(/.*)?"
   ~]# restorecon -Rv /srv/samba/example/

3. 将 示例 共享添加到 /etc/samba/smb.conf 文件中。例如，添加启用了共享的写操作：

   [example]
   	path = /srv/samba/example/
   	read only = no

   注意

   无论文件系统 ACL 是什么；如果您没有 只设置只读 = no，Samba 都会以只读模式共享该目录。

4. 如果您还没有在所有共享的 [global] 部分中启用 Windows ACL 支持，请在 [example] 部分中添加以下参数来为这个共享启用此功能：

   vfs objects = acl_xattr
   map acl inherit = yes
   store dos attributes = yes

5. 验证 /etc/samba/smb.conf 文件：

   ~]# testparm

   详情请查看 第 16.1.2 节 “使用 testparm 实用程序验证 smb.conf 文件”。

6. 打开所需的端口并使用 firewall-cmd 工具重新载入防火墙配置：

   ~]# firewall-cmd --permanent --add-service=samba
   ~]# firewall-cmd --reload

7. 重启 smb 服务：

   ~]# systemctl restart smb

8. 另外，还可启用 smb 服务在引导时自动启动：

   ~]# systemctl enable smb

启用用户共享

1. 如果本地 示例 组不存在，请创建它：

   ~]# groupadd example

2. 为 Samba 准备目录以存储用户共享定义并正确设置其权限。例如：

   1. 创建目录：

      ~]# mkdir -p /var/lib/samba/usershares/

   2. 为 示例 组设置写入权限：

      ~]# chgrp example /var/lib/samba/usershares/
      ~]# chmod 1770 /var/lib/samba/usershares/

      设置粘性位以防止用户重命名或删除此目录中其他用户存储的文件。

3. 编辑 /etc/samba/smb.conf 文件，并将以下内容添加到 [global] 部分：

   1. 设置您配置用来存储用户共享定义的目录的路径。例如：

      usershare path = /var/lib/samba/usershares/

   2. 设置允许在这个服务器上创建多少个用户共享 Samba。例如：

      usershare max shares = 100

      如果您对 usershare max shares 参数使用默认值 0，则用户共享将被禁用。

   3. 另外，还可设置绝对目录路径列表。例如，要配置 Samba 仅允许共享 /data 和 / srv 目录的子目录，请设置：

      usershare prefix allow list = /data /srv

      有关您可以设置的其他用户共享相关参数的列表，请参阅 smb.conf(5)man page 中的 USERSHARES 部分。

4. 验证 /etc/samba/smb.conf 文件：

   ~]# testparm

   详情请查看 第 16.1.2 节 “使用 testparm 实用程序验证 smb.conf 文件”。

5. 重新载入 Samba 配置：

   ~]# smbcontrol all reload-config

设置 打印$ 共享

1. 在 /etc/samba/smb.conf 文件中添加 [print$] 部分：

   [print$]
   	path = /var/lib/samba/drivers/
   	read only = no
   	write list = @printadmin
   	force group = @printadmin
   	create mask = 0664
   	directory mask = 2775

   使用这些设置：

   • 只有 printadmin 组的成员才能将打印机驱动程序上传到共享。
   • 新创建文件和目录的组将设为 printadmin。
   • 新文件的权限将设置为 664。
   • 新目录的权限将设置为 2775。

2. 要只为打印机上传 64 位驱动程序，请在 /etc/samba/smb.conf 文件的 [global] 部分包含此设置：

   spoolss: architecture = Windows x64

   如果没有这个设置，Windows 只会显示您至少上传 32 位版本的驱动程序。

3. 验证 /etc/samba/smb.conf 文件：

   ~]# testparm

   详情请查看 第 16.1.2 节 “使用 testparm 实用程序验证 smb.conf 文件”。

4. 重新载入 Samba 配置

   ~]# smbcontrol all reload-config

5. 如果 printadmin 组不存在，则创建它：

   ~]# groupadd printadmin

6. 为 printadmin 组授予 SePrintOperatorPrivilege 特权。

   ~]# net rpc rights grant "printadmin" SePrintOperatorPrivilege \
       -U "DOMAIN\administrator"
   Enter DOMAIN\administrator's password:
   Successfully granted rights.

   详情请查看 第 16.1.7.4.2 节 “启用用户上传和预配置驱动程序”。

7. 如果您以 enforcing 模式运行 SELinux，请在目录中设置 samba_share_t 上下文：

   ~]# semanage fcontext -a -t samba_share_t "/var/lib/samba/drivers(/.*)?"
   ~]# restorecon -Rv /var/lib/samba/drivers/

8. 在 /var/lib/samba/drivers/ 目录中设置权限：

   • 如果使用 POSIX ACL，请设置：

     ~]# chgrp -R "printadmin" /var/lib/samba/drivers/
     ~]# chmod -R 2775 /var/lib/samba/drivers/

   • 如果使用 Windows ACL，请设置：

     主体	权限	适用于
     创建者所有者	完整控制	只适用于子文件夹和文件
     经过身份验证的用户	读和执行、列出目录内容、读	此文件夹、子文件夹和文件
     printadmin	完整控制	此文件夹、子文件夹和文件

     有关在 Windows 上设置 ACL 的详情，请查看您的 Windows 文档。

创建 GPO 以启用客户端信任 Samba 打印服务器

1. 使用允许编辑组策略的帐户（如 AD 域 管理员用户 ）登录到 Windows 计算机。
2. 打开 组策略管理控制台。

3. 右键单击您的 AD 域并选择 创建此域中的 GPO，然后链接此处

   
4. 输入 GPO 的名称，如 Legacy 打印机驱动程序策略 并单击" 确定"。新的 GPO 将在域条目下显示。
5. 右键单击新创建的 GPO，然后选择 Edit 以打开 Group Policy Management Editor。

6. 进入 Computer Configuration Policies Administrative Templates Printers。

   

7. 在窗口的右侧，双击 Point 和 Print Restriction 以编辑策略：

   1. 启用策略并设置以下选项：

      1. 选择 Users 只能指向这些服务器并打印到这些服务器，再将 Samba 打印服务器的完全限定域名(FQDN)添加到此选项旁边的字段。

      2. 在 Security Prompts 下的两个复选框中，选择 Do not show warning 或 elevation 提示。

         
   2. 点确定。

8. 双击 Package Point 和 Print - Approved servers 以编辑策略：

   1. 启用策略并单击 Show 按钮。

   2. 输入 Samba 打印服务器的 FQDN。

      
   3. 单击 OK，以关闭 Show Contents 和 policy 属性窗口。
9. 关闭 组策略管理编辑器。
10. 关闭 组策略管理控制台。

使用 net 命令加入域

1. 使用以下设置手动创建 /etc/samba/smb.conf 文件：

   • 对于 AD 域成员：

     [global]
     workgroup = domain_name
     security = ads
     passdb backend = tdbsam
     realm = AD_REALM

   • 对于 NT4 域成员：

     [global]
     workgroup = domain_name
     security = user
     passdb backend = tdbsam

2. 为 * 默认域和要加入到 /etc/samba/smb.conf 中的 [global] 部分的域添加 ID 映射配置。详情请查看 第 16.1.5.3 节 “了解 ID 映射”。

3. 验证 /etc/samba/smb.conf 文件：

   ~]# testparm

   详情请查看 第 16.1.2 节 “使用 testparm 实用程序验证 smb.conf 文件”。

4. 以域管理员身份加入域：

   • 加入 AD 域：

     ~]# net ads join -U "DOMAINpass:quotes[administrator]"

   • 要加入 NT4 域：

     ~]# net rpc join -U "DOMAINpass:quotes[administrator]"

5. 将 winbind 源附加到 /etc/nsswitch.conf 文件中的 passwd 和 组 数据库条目中：

   passwd:   files winbind
   group:   files winbind

6. 启用并启动 winbind 服务：

   ~]# systemctl enable winbind
   ~]# systemctl start winbind

7. （可选）使用 authconf 实用程序配置 PAM。

   详情请查看 红帽系统级 身份验证指南中的使用可插拔验证 模块(PAM) 部分。

8. 另外，对于 AD 环境，配置 Kerberos 客户端。

   详情请查看 Red Hat System-Level Authentication Guide 中的 配置 Kerberos 客户端 部分。

将用户帐户添加到域

1. 添加帐户：

   ~]# net user add user password -U "DOMAIN\administrator"
   User user added

2. （可选）使用远程过程调用(RPC)shell 在 AD DC 或 NT4 PDC 中启用帐户。例如：

   ~]# net rpc shell -U DOMAIN\administrator -S DC_or_PDC_name
   Talking to domain DOMAIN (S-1-5-21-1424831554-512457234-5642315751)
   
   net rpc> user edit disabled user no
   Set user's disabled flag from [yes] to [no]
   
   net rpc> exit

使用 smbclient从 SMB 共享下载文件

1. 连接到共享：

   ~]# smbclient -U "DOMAINpass:quotes[user_name]" //server_name/share_name

2. 进入 /example/ 目录：

   smb: \> cd /example/

3. 列出目录中的文件：

   smb: \example\> ls
    .          D     0 Mon Sep 1 10:00:00 2017
    ..          D     0 Mon Sep 1 10:00:00 2017
    example.txt     N  1048576 Mon Sep 1 10:00:00 2017
   
        9950208 blocks of size 1024. 8247144 blocks available

4. 下载 example.txt 文件：

   smb: \example\> get example.txt
   getting file \directory\subdirectory\example.txt of size 1048576 as example.txt (511975,0 KiloBytes/sec) (average 170666,7 KiloBytes/sec)

5. 从共享断开：

   smb: \example\> exit