Samba のマスク作成が正しく機能しない

Question

多くの場合、この問題は次のいずれかを有効にすることが原因で発生します。

map archive(所有者には Unix 実行ビットを使用)
map system(グループに Unix 実行ビットを使用)
map hidden(その他には Unix 実行ビットを使用)
inherit permissionssamba が無視するcreate maskなど
inherit aclsデフォルトはnoであるべきである

「MS-DOSとUnixのファイル権限と属性」第8章高度なディスク共有上記をうまく説明しています。

ただし、Microsoft Office 製品は奇妙な動作を引き起こし、バグや予期しない動作を引き起こします。and create mask/or force create modeset を使用し、上記の map または inherit オプションを回避した場合でも、Microsoft Office アプリケーションを使用してドキュメントを編集するときにグループ実行権限が設定されることがあります。これは他のプログラムでは発生しません。たとえば、メモ帳で .txt ファイルを編集しても、権限は正常のままです。Office はファイルを作成するだけでなく、一時ファイル、名前の変更、権限にも多少影響します。

いろいろ調べてみたところ、Samba POSIX ACL のバグとも関係がある可能性があります。

2007 年の古い Debian バグレポート「samba: POSIX ACL で作成モードを誤って解釈します」
「デフォルトの ACL の誤った動作「は samba の最新のバグレポートのようですが、残念ながら「解決済み無効」でクローズされています (時期尚早?)。

Linux側で観察された動作

Windows エクスプローラーのコンテキストメニューから作成された空の Word docx ファイルの拡張 ACL (Word でまだ開かれて保存されていない)

$ getfacl test.docx 
# file: test.docx
# owner: tester
# group: tester
user::rw-
group::rw-
other::---

MS Word 2016で保存した後

$ getfacl test.docx 
# file: test.docx
# owner: tester
# group: tester
user::rw-
user:tester:rw-
group::rw-
group:tester:rw-
mask::rwx

Ubuntu 16.04 LTSのsamba設定を確認すると、map archiveデフォルトで有効になっているようですが、グループ実行ビットではなく所有者の実行ビットを使用する必要があるため、私のケースではそれが原因ではありませんでした。

$ testparm -s -v 2>&1 | grep 'map archive'
map archive = Yes

Windows側で観察された動作

SysInternals Process Monitor を使用して、notepad.exe で .txt ファイルを編集する場合と WINWORD.EXE で .docx ファイルを編集する場合を比較すると、このオフィススイートは一時ファイルの作成、名前の変更など、多くの複雑な処理を行っています。特に、notepad.exe とは異なり、WINWORD.EXE はアクセス制御リストを操作しているようです。procmon で確認されたように、

SetSecurityFile
Information:    Group, DACL

したがって、UNIX グループの権限が Microsoft Office アプリケーションによって変更されるのは、このためではないかと私は考えています。

より詳細な調査では、Windows ファイルオブジェクトセキュリティ監査をオンにして、何が変更されたかを正確に確認する必要がありました。イベント ID 4670 は、~WRD0000.tmp適用されたアクセス許可の変更を示します (Word は、クラッシュした場合に定期的な保存と回復を行うためにこれを使用していると思います)。

Object:
    Object Server:    Security
    Object Type:    File
    Object Name:    C:\Users\<user>\Desktop\TestAudit\~WRD0000.tmp
    Handle ID:    0xfd0

Process:
    Process ID:    0x1ae4
    Process Name:    C:\Program Files\Microsoft Office\root\Office16\WINWORD.EXE

Permissions Change:
    Original Security Descriptor:
D:AI(A;ID;FA;;;SY)(A;ID;FA;;;BA)(A;ID;FA;;;S-1-5-<SID>-1001)
    New Security Descriptor:
D:(A;;0x1200a9;;;WD)(A;ID;FA;;;SY)(A;ID;FA;;;BA)(A;ID;FA;;;S-1-5-21-<SID>-1001)

SDDL (セキュリティ記述子定義言語) の権限変更は、DACL (任意アクセス制御リスト部分) であり、追加の ACE (アクセス制御エントリ) が追加されたように見えます。ACE は(A;;0x1200a9;;;WD)先頭に追加されます。私は次のように解釈しました。

A;アクセスを許可するという意味は同じまま
;継承なし
0x1200a9;FILE_GENERIC_READ | FILE_EXECUTE読み取りと実行のアクセスを意味します
WD「全員」受託者を意味する

その後、プロセスモニターで操作として確認したところ、~WRD0000.tmpはに名前変更されました。そのため、最終的には、何らかの理由で Word が行った ACE の変更の一部が反映されます。test.docxSetRenameInformationFiletest.docx

Answer 1