Hallo,
ich habe ein Problem mit samba. Gegeben ein samba-server mit:
/home/user1 /home/user2 ... /fuer_alle
Das erste sind die Homeverzeinisse, das zweite ist ein Verzeichnis, mit dem die ganze Gruppe arbeiten soll (also gemeinsam lesen und schreiben über Gruppenrecht, Verzeichnisse 2775, files 664)
Die Freigaben:
[homes] writable = yes browseable = yes create mode = 0700 directory mode = 0700
[fuer_alle] path = /fuer_alle writable = yes browseable = yes create mode = 0664 force create mode = 0664 directory mode = 2755 force directory mode = 2775
Funktioniert im "Normalfall" alles gut, aber: Einer der Nutzer hat als Erleichterung in seinem $HOME einen SymLink in die Struktur unter /fuer_alle angelegt z.B.
/home/user1/dokumente/ -> /fuer_alle/dokumente/ (das ist ein Verzeichniss)
Wenn nun dieser user1 von einem Windows-client aus sein [homes]-share mountet und den Link "dokumente/" anklickert landet er in /fuer_alle/dokumente/ des Servers. Soweit ok. Aber jetzt sind noch die Permissions des [homes]-share aktiv, nicht die von [fuer_alle] (!!!). Wenn user1 nun dort in /fuer_alle/dokumente/ Verzeichnisse und Dateien erzeugt, bekommen diese 0700 statt 2775 und 0664. Damit sind diese Dateien für andere Gruppenmitglider nicht mehr les-/schreibbar ;-( Mhh, das wollte ich eigentich verhindern ...
Kann man irgendwie erzwingen, daß nach dem Symlink in /fuer_alle/ die Konfig [fuer_alle] aktiv wird anstatt die von [homes] weiterhin zu nutzen? Komplettes Abschalten der symlinks via "follow symlinks = no" kommt nicht in Frage da symlinks innerhalb eines shares erlaubt sein müssen. Ideen?
Reinhard
Am Dienstag, dem 13. November 2001 um 16:59:31, schrieb Reinhard Foerster:
Kann man irgendwie erzwingen, daß nach dem Symlink in /fuer_alle/ die Konfig [fuer_alle] aktiv wird anstatt die von [homes] weiterhin zu nutzen? Komplettes Abschalten der symlinks via "follow symlinks = no" kommt nicht in Frage da symlinks innerhalb eines shares erlaubt sein müssen. Ideen?
Ein cron-Job, der die Zugriffsrechte regelmaessig korrigiert, mit allen bekannten Gefahren, wie race conditions etc. Mit etwas Intelligenz sollte das zu schaffen sein, vergleiche auch mit Programmen wie tmpreaper.
Torsten
On Tue, Nov 13, 2001 at 11:45:44PM +0100, Torsten Werner wrote:
Ein cron-Job, der die Zugriffsrechte regelmaessig korrigiert, mit allen bekannten Gefahren, wie race conditions etc. Mit etwas Intelligenz sollte das zu schaffen sein, vergleiche auch mit Programmen wie tmpreaper.
genau das passiert im Moment auch ... irgendwie unschön.
Reinhard
Am Mittwoch, dem 14. November 2001 um 03:20:02, schrieb Reinhard Foerster:
On Tue, Nov 13, 2001 at 11:45:44PM +0100, Torsten Werner wrote:
Ein cron-Job, der die Zugriffsrechte regelmaessig korrigiert, mit allen
genau das passiert im Moment auch ... irgendwie unschön.
Ich verstehe dein Problem aber nicht ganz: Ein Benutzer, der in der Lage ist, ein Symlink zu erzeugen, hat offensichtlich ein Shell-Login auf dem Samba-Rechner. Bloss dann ist er sowieso in der Lage, jederzeit die Zugriffsrechte nach seinem Gusto zu veraendern - mal ganz davon abgesehen, dass er die auch mit dem Windows-Explorer in gewissem Umfang aendern koennte. Wozu also jetzt die Aufregung?
Torsten
On Wed, Nov 14, 2001 at 08:40:01AM +0100, Torsten Werner wrote:
Ich verstehe dein Problem aber nicht ganz: Ein Benutzer, der in der Lage ist, ein Symlink zu erzeugen, hat offensichtlich ein Shell-Login auf dem Samba-Rechner.
ja.
Bloss dann ist er sowieso in der Lage, jederzeit die Zugriffsrechte nach seinem Gusto zu veraendern - mal ganz davon abgesehen, dass er die auch mit dem Windows-Explorer in gewissem Umfang aendern koennte. Wozu also jetzt die Aufregung?
Einer legt Dokument ab, was die anderen nochmal begutachten sollen. Solange der cronjob nicht aktiv war geht das nicht.
Nun muß also entweder der Nutzer sein Verhalten umstellen und über das richtige share statt über den link zugreifen oder ich kann serverseitig erzwingen, daß die files immer richtig angelegt werden. Da Nutzer von sich aus sowieso immer die Sachen tun, die sie eigentlich lassen sollen wäre ein serverseitiger Zwang viel besser. Shelllogin + chmod sind nicht wirklich zumutbar. Hätte ja sein können, daß es dafür eine Lösung gibt.
Reinhard
lug-dd@mailman.schlittermann.de
-
Reinhard Foerster -
Torsten Werner