3.9. 设置使用 Windows ACL 的共享

流程

1. 例如，要对 DOMAIN\Domain Admins 组赋予 SeDiskOperatorPrivilege 特权：

   # net rpc rights grant "DOMAIN\Domain Admins" SeDiskOperatorPrivilege -U "DOMAIN\administrator"
   Enter DOMAIN\administrator's password:
   Successfully granted rights.

   注意

   在域环境中，对域组赋予 SeDiskOperatorPrivilege。这可让您通过更新用户的组成员资格来集中管理特权。

2. 列出所有被赋予了 SeDiskOperatorPrivilege 的用户和组：

   # net rpc rights list privileges SeDiskOperatorPrivilege -U "DOMAIN\administrator"
   Enter administrator's password:
   SeDiskOperatorPrivilege:
     BUILTIN\Administrators
     DOMAIN\Domain Admins

流程

1. 要全局启用所有共享，请在 /etc/samba/smb.conf 文件的 [global] 部分添加以下设置：

   vfs objects = acl_xattr
   map acl inherit = yes
   store dos attributes = yes

   或者，您可以通过将相同的参数添加到共享部分来启用对单个共享的 Windows ACL 支持。

2. 重启 smb 服务：

   # systemctl restart smb

流程

1. 如果不存在，请创建文件夹。例如：

   # mkdir -p /srv/samba/example/

2. 如果您在enforcing模式下运行 SELinux，请在目录中设置samba_share_t上下文：

   # semanage fcontext -a -t samba_share_t "/srv/samba/example(/.)?"*
   # restorecon -Rv /srv/samba/example/

3. 将示例共享添加到/etc/samba/smb.conf文件中。例如，添加启用了共享的写操作：

   [example]
   	path = /srv/samba/example/
   	read only = no

   注意

   无论文件系统 ACL 是什么；如果您没有设置read only = no，Samba 会以只读模式共享该目录。

4. 如果您没有在[global] 部分中对所有共享启用 Windows ACL 支持，那么请在 [example] 部分中添加以下参数来为这个共享启用此特性：

   vfs objects = acl_xattr
   map acl inherit = yes
   store dos attributes = yes

5. 验证/etc/samba/smb.conf文件：

   # testparm

6. 打开所需的端口，并使用firewall-cmd工具重新加载防火墙配置：

   # firewall-cmd --permanent --add-service=samba
   # firewall-cmd --reload

7. 重启 smb 服务：

   # systemctl restart smb