Samba 생성 마스크가 올바르게 작동하지 않습니다.

Question

다음 중 하나를 활성화하면 문제가 발생하는 경우가 많습니다.

map archive(소유자를 위해 unix 실행 비트를 사용함)
map system(그룹에 대해 unix 실행 비트 사용)
map hidden(다른 경우에는 유닉스 실행 비트를 사용합니다)
inherit permissionscreate mask삼바가 등을 무시하게 만듭니다 .
inherit acls기본적으로 no로 설정해야 하는 항목 도 있습니다.

"MS-DOS 및 Unix의 파일 권한 및 속성"8장. 고급 디스크 공유위의 내용을 친절하게 설명합니다.

그러나 Microsoft Office 제품은 이상한 동작을 일으키고 버그/예기치 않은 동작을 유발합니다. 위의 맵 또는 상속 옵션을 설정하고 create mask피 하더라도 force create modeMicrosoft Office 응용 프로그램을 사용하여 문서를 편집할 때 그룹 실행 권한이 설정되는 것을 보았습니다. 이는 다른 프로그램에서는 발생하지 않습니다. 예를 들어 메모장으로 .txt 파일을 편집하면 권한이 정상적으로 유지됩니다. Office는 파일을 생성할 뿐만 아니라 임시 파일, 이름 변경 및 권한을 약간 혼란스럽게 만듭니다.

많이 조사한 후에는 일종의 Samba POSIX ACL 버그와 혼동될 수도 있습니다.

이전 2007 데비안 버그 보고서"samba: POSIX acls를 사용하여 생성 모드를 잘못 해석합니다"
"기본 ACL의 잘못된 동작"는 Samba에 대한 가장 최근의 버그 보고서인 것 같지만 슬프게도 'RESOLVED INVALID'(이르게?)로 종료되었습니다.

Linux 측에서 관찰된 동작

Windows 탐색기 컨텍스트 메뉴를 통해 생성된 빈 단어 docx 파일에 대한 확장 ACL(아직 열리지 않고 단어별로 저장되지 않음)

$ getfacl test.docx 
# file: test.docx
# owner: tester
# group: tester
user::rw-
group::rw-
other::---

MS Word 2016을 통해 저장한 후

$ getfacl test.docx 
# file: test.docx
# owner: tester
# group: tester
user::rw-
user:tester:rw-
group::rw-
group:tester:rw-
mask::rwx

Ubuntu 16.04 LTS에서 Samba 구성을 확인할 때 map archive기본적으로 활성화되어 있는 것 같지만 그룹 실행 비트가 아닌 소유자의 실행 비트를 사용해야 하므로 제 경우에는 이것이 원인이 아니었습니다.

$ testparm -s -v 2>&1 | grep 'map archive'
map archive = Yes

Windows 측에서 관찰된 동작

SysInternals 프로세스 모니터를 사용하고 notepad.exe를 사용하여 .txt 파일을 편집하는 것과 WINWORD.EXE를 사용하여 .docx 파일을 편집하는 것을 비교하면 Office 제품군은 임시 파일 생성, 이름 바꾸기 등의 멋진 작업을 많이 수행합니다. 특히 notepad.exe와는 달리 , WINWORD.EXE는 액세스 제어 목록을 조작하는 것 같습니다. 프로몬에서 본 것처럼

SetSecurityFile
Information:    Group, DACL

그래서 저는 이것이 Microsoft Office 응용 프로그램이 UNIX 그룹 권한을 조작하는 이유라고 생각합니다.

더 자세히 조사하려면 Windows 파일 개체 보안 감사를 켜서 정확히 무엇이 변경되었는지 확인해야 했습니다. 이벤트 ID 4670은 ~WRD0000.tmp적용된 권한 변경을 보여줍니다. (내 생각에는 Word에서 충돌이 발생할 경우 정기적인 저장 및 복구를 위해 이것을 사용하는 것 같습니다.)

Object:
    Object Server:    Security
    Object Type:    File
    Object Name:    C:\Users\<user>\Desktop\TestAudit\~WRD0000.tmp
    Handle ID:    0xfd0

Process:
    Process ID:    0x1ae4
    Process Name:    C:\Program Files\Microsoft Office\root\Office16\WINWORD.EXE

Permissions Change:
    Original Security Descriptor:
D:AI(A;ID;FA;;;SY)(A;ID;FA;;;BA)(A;ID;FA;;;S-1-5-<SID>-1001)
    New Security Descriptor:
D:(A;;0x1200a9;;;WD)(A;ID;FA;;;SY)(A;ID;FA;;;BA)(A;ID;FA;;;S-1-5-21-<SID>-1001)

SDDL(Security Descriptor Definition Language)의 권한 변경은 추가 ACE(액세스 제어 항목)가 추가된 것으로 나타나는 DACL(임의 액세스 제어 목록 부분)입니다. ACE가 (A;;0x1200a9;;;WD)바로 앞에 추가됩니다. 제가 해석한 방법은 다음과 같습니다.

A;액세스 허용을 의미하며 동일하게 유지됩니다.
;상속 없음
0x1200a9;FILE_GENERIC_READ | FILE_EXECUTE읽기 및 실행 액세스를 의미합니다.
WD'모두' 수탁자를 의미합니다.

그런 다음 나중에 프로세스 모니터에서 작업으로 본 ~WRD0000.tmp이름으로 변경되었습니다 . 따라서 결국 어떤 이유로든 단어가 수행한 ACE 변경 사항 중 일부로 끝납니다.test.docxSetRenameInformationFiletest.docx

Answer 1