Máscara de criação do Samba não funciona corretamente

Question

Freqüentemente, o problema é causado pela ativação de um dos seguintes itens:

map archive(usa bit de execução unix para proprietário)
map system(usa bit de execução unix para grupo)
map hidden(usa bit de execução unix para outro)
inherit permissionsfaz com que o samba ignore create mask, etc.
há também inherit aclso padrão que deve ser não

"Permissões e atributos de arquivos no MS-DOS e Unix" emCapítulo 8. Compartilhamentos de disco avançadosexplica bem o acima.

No entanto, os produtos do Microsoft Office causam um comportamento estranho e desencadeiam um bug/comportamento inesperado. Mesmo com create maske/ou force create modedefinido e evitando a opção de mapa ou herança acima, vi permissões de execução de grupo serem definidas ao editar documentos usando aplicativos do Microsoft Office. Isso não acontece com outros programas, por exemplo, edite um arquivo .txt com o bloco de notas e as permissões permanecerão sãs. O Office não apenas cria arquivos, ele também mexe um pouco com arquivos temporários, renomeação e permissões.

Depois de muita pesquisa, ele também pode estar misturado com uma espécie de bug do Samba POSIX ACL:

Antigo relatório de bug do debian de 2007"samba: interpreta mal o modo de criação com acls POSIX"
"Comportamento errado para ACLs padrão"parece ser o relatório de bug mais recente do samba, mas infelizmente foi fechado como 'RESOLVIDO INVÁLIDO' (prematuramente?).

Comportamento observado no lado do Linux

As ACLs estendidas para um arquivo docx do Word vazio criado por meio do menu de contexto do Windows Explorer (ainda não aberto e salvo pelo Word)

$ getfacl test.docx 
# file: test.docx
# owner: tester
# group: tester
user::rw-
group::rw-
other::---

Depois de salvar via MS Word 2016

$ getfacl test.docx 
# file: test.docx
# owner: tester
# group: tester
user::rw-
user:tester:rw-
group::rw-
group:tester:rw-
mask::rwx

Ao verificar a configuração do samba, no Ubuntu 16.04 LTS, parece que map archiveestá habilitado por padrão, mas isso deve usar o bit de execução do proprietário, não o bit de execução do grupo, então essa não foi a causa no meu caso

$ testparm -s -v 2>&1 | grep 'map archive'
map archive = Yes

Comportamento observado no lado do Windows

Usando o SysInternals Process Monitor e comparando a edição de um arquivo .txt com notepad.exe versus um arquivo .docx com WINWORD.EXE, o pacote de escritório faz muito trabalho sofisticado criando arquivos temporários, renomeando, etc. , WINWORD.EXE parece mexer nas listas de controle de acesso. Como visto por procmon

SetSecurityFile
Information:    Group, DACL

Então eu suspeito que é por isso que a permissão do grupo UNIX é alterada pelos aplicativos do Microsoft Office.

Uma investigação mais profunda exigiu a ativação da auditoria de segurança de objetos de arquivos do Windows para ver o que exatamente mudou. O ID do evento 4670 mostra as ~WRD0000.tmpalterações de permissão aplicadas (acho que o Word usa isso para salvamento e recuperação periódicos em caso de falha).

Object:
    Object Server:    Security
    Object Type:    File
    Object Name:    C:\Users\<user>\Desktop\TestAudit\~WRD0000.tmp
    Handle ID:    0xfd0

Process:
    Process ID:    0x1ae4
    Process Name:    C:\Program Files\Microsoft Office\root\Office16\WINWORD.EXE

Permissions Change:
    Original Security Descriptor:
D:AI(A;ID;FA;;;SY)(A;ID;FA;;;BA)(A;ID;FA;;;S-1-5-<SID>-1001)
    New Security Descriptor:
D:(A;;0x1200a9;;;WD)(A;ID;FA;;;SY)(A;ID;FA;;;BA)(A;ID;FA;;;S-1-5-21-<SID>-1001)

A alteração de permissão em SDDL (linguagem de definição de descritor de segurança) é uma DACL (parte da lista de controle de acesso discricionária) onde parece que uma ACE (entrada de controle de acesso) extra foi adicionada. O ACE (A;;0x1200a9;;;WD)é adicionado logo na frente. Foi assim que interpretei:

A;ou seja, permitir acesso, permaneceu o mesmo
;sem herança
0x1200a9;significa FILE_GENERIC_READ | FILE_EXECUTEacesso de leitura e execução
WDsignifica o administrador de 'todos'

Mais tarde, o ~WRD0000.tmpnome é renomeado para test.docxo que vi no monitor de processo como uma SetRenameInformationFileoperação. Então, no final, test.docxacaba com algumas das alterações do ACE que foram feitas por qualquer motivo.

Answer 1

Freqüentemente, o problema é causado pela ativação de um dos seguintes itens:

map archive(usa bit de execução unix para proprietário)
map system(usa bit de execução unix para grupo)
map hidden(usa bit de execução unix para outro)
inherit permissionsfaz com que o samba ignore create mask, etc.
há também inherit aclso padrão que deve ser não

"Permissões e atributos de arquivos no MS-DOS e Unix" emCapítulo 8. Compartilhamentos de disco avançadosexplica bem o acima.

No entanto, os produtos do Microsoft Office causam um comportamento estranho e desencadeiam um bug/comportamento inesperado. Mesmo com create maske/ou force create modedefinido e evitando a opção de mapa ou herança acima, vi permissões de execução de grupo serem definidas ao editar documentos usando aplicativos do Microsoft Office. Isso não acontece com outros programas, por exemplo, edite um arquivo .txt com o bloco de notas e as permissões permanecerão sãs. O Office não apenas cria arquivos, ele também mexe um pouco com arquivos temporários, renomeação e permissões.

Depois de muita pesquisa, ele também pode estar misturado com uma espécie de bug do Samba POSIX ACL:

Antigo relatório de bug do debian de 2007"samba: interpreta mal o modo de criação com acls POSIX"
"Comportamento errado para ACLs padrão"parece ser o relatório de bug mais recente do samba, mas infelizmente foi fechado como 'RESOLVIDO INVÁLIDO' (prematuramente?).

Comportamento observado no lado do Linux

As ACLs estendidas para um arquivo docx do Word vazio criado por meio do menu de contexto do Windows Explorer (ainda não aberto e salvo pelo Word)

$ getfacl test.docx 
# file: test.docx
# owner: tester
# group: tester
user::rw-
group::rw-
other::---

Depois de salvar via MS Word 2016

$ getfacl test.docx 
# file: test.docx
# owner: tester
# group: tester
user::rw-
user:tester:rw-
group::rw-
group:tester:rw-
mask::rwx

Ao verificar a configuração do samba, no Ubuntu 16.04 LTS, parece que map archiveestá habilitado por padrão, mas isso deve usar o bit de execução do proprietário, não o bit de execução do grupo, então essa não foi a causa no meu caso

$ testparm -s -v 2>&1 | grep 'map archive'
map archive = Yes

Comportamento observado no lado do Windows

Usando o SysInternals Process Monitor e comparando a edição de um arquivo .txt com notepad.exe versus um arquivo .docx com WINWORD.EXE, o pacote de escritório faz muito trabalho sofisticado criando arquivos temporários, renomeando, etc. , WINWORD.EXE parece mexer nas listas de controle de acesso. Como visto por procmon

SetSecurityFile
Information:    Group, DACL

Então eu suspeito que é por isso que a permissão do grupo UNIX é alterada pelos aplicativos do Microsoft Office.

Uma investigação mais profunda exigiu a ativação da auditoria de segurança de objetos de arquivos do Windows para ver o que exatamente mudou. O ID do evento 4670 mostra as ~WRD0000.tmpalterações de permissão aplicadas (acho que o Word usa isso para salvamento e recuperação periódicos em caso de falha).

Object:
    Object Server:    Security
    Object Type:    File
    Object Name:    C:\Users\<user>\Desktop\TestAudit\~WRD0000.tmp
    Handle ID:    0xfd0

Process:
    Process ID:    0x1ae4
    Process Name:    C:\Program Files\Microsoft Office\root\Office16\WINWORD.EXE

Permissions Change:
    Original Security Descriptor:
D:AI(A;ID;FA;;;SY)(A;ID;FA;;;BA)(A;ID;FA;;;S-1-5-<SID>-1001)
    New Security Descriptor:
D:(A;;0x1200a9;;;WD)(A;ID;FA;;;SY)(A;ID;FA;;;BA)(A;ID;FA;;;S-1-5-21-<SID>-1001)

A alteração de permissão em SDDL (linguagem de definição de descritor de segurança) é uma DACL (parte da lista de controle de acesso discricionária) onde parece que uma ACE (entrada de controle de acesso) extra foi adicionada. O ACE (A;;0x1200a9;;;WD)é adicionado logo na frente. Foi assim que interpretei:

A;ou seja, permitir acesso, permaneceu o mesmo
;sem herança
0x1200a9;significa FILE_GENERIC_READ | FILE_EXECUTEacesso de leitura e execução
WDsignifica o administrador de 'todos'

Mais tarde, o ~WRD0000.tmpnome é renomeado para test.docxo que vi no monitor de processo como uma SetRenameInformationFileoperação. Então, no final, test.docxacaba com algumas das alterações do ACE que foram feitas por qualquer motivo.

Máscara de criação do Samba não funciona corretamente

Responder1

informação relacionada