Gruppenschreibrechte für User der selben Gruppe unterbinden
Hallo …
Zur Ausgangslage
UCS 4.4-8 errata 1010
Samba version: 4.10.18-Univention
Freigabe/n: hier zum Beispiel … (Grundschule Grüntal, Klasse1B)
…
GSG-1B (/home/GSG/groups/klassen/GSG-1B auf serverxy)
Freigabeeinstellungen
Die dazugehörige Konfigurationsdatei zu den Erweiterten Samba-Rechten …
# cat /etc/samba/shares.conf.d/GSG-1B
[GSG-1B]
path = /home/GSG/groups/klassen/GSG-1B
vfs objects = acl_xattr
msdfs root = no
writeable = yes
browseable = no
public = no
dos filemode = no
hide unreadable = no
create mode = 0640
directory mode = 0750
force create mode = 0640
force directory mode = 0750
locking = 1
blocking locks = 1
strict locking = Auto
oplocks = 1
level2 oplocks = 1
fake oplocks = 0
csc policy = manual
force group = +GSG-1B
nt acl support = 1
inherit acls = 1
inherit owner = no
inherit permissions = no
map acl inherit = yes
Zum Problem
Nach den oben gezeigten Einstellungen erwartete ich beim Erstellen neuer Verzeichnisse unterhalb von GSG-1B die folgenden Berechtigungen …
# ls -la /home/GSG/groups/klassen/GSG-1B
...
drwxr-x---+ 2 schueler02 GSG-1B 4096 Sep 2 19:03 schueler02
drwxr-x---+ 2 schueler03 GSG-1B 4096 Sep 2 18:57 schueler03
Stattdessen erhalte ich immer wieder diese Berechtigungen …
# ls -la /home/GSG/groups/klassen/GSG-1B
...
drwxrwxr-x+ 2 schueler02 GSG-1B 4096 Sep 2 19:03 schueler02
drwxrwxr-x+ 2 schueler03 GSG-1B 4096 Sep 2 18:57 schueler03
Ziel ist es, dass jeder Schüler sein eigenes Verzeichnis erstellt,
die anderen Schüler der selben Klasse aber nur lesend darauf zugreifen dürfen.
Was übersehe ich hier … ACLs … ?
Diese sieht für das Wurzelverzeichnis so aus …
# getfacl /home/GSG/groups/klassen/GSG-1B
getfacl: Entferne führende '/' von absoluten Pfadnamen
# file: home/GSG/groups/klassen/GSG-1B
# file: home/GSG/groups/klassen/GSG-1B
# owner: root
# group: GSG-1B
user::rwx
user:root:rwx
group::rwx
group:admins-gsg:rwx
group:GSG-1B:r-x
mask::rwx
other::---
default:user::rwx
default:user:root:rwx
default:group::r-x
default:group:admins-gsg:rwx
default:group:GSG-1B:rwx
default:mask::rwx
default:other::r-x
Ich habe schon versucht, dies zu korrigieren …
# setfacl -m g:GSG-1B:rx /home/GSG/groups/klassen/GSG-1B/
Aber ich gestehe, da weiß ich (noch) zu wenig über Priorität, Wirkung und Möglichkeiten.
Kann mir jemand weiterhelfen … wo mein Fehler liegt ?
Vielen Dank - Dietmar