Samba создает маску некорректно

Question

Часто проблема возникает из-за включения одного из следующих параметров:

map archive(использует бит выполнения unix для владельца)
map system(использует бит выполнения unix для группы)
map hidden(использует бит выполнения unix для других)
inherit permissionsзаставляет самбу игнорировать create maskи т. д.
есть также inherit acls, который должен быть по умолчанию равен no

«Разрешения и атрибуты файлов в MS-DOS и Unix» вГлава 8. Расширенные дисковые ресурсыхорошо объясняет вышесказанное.

Однако продукты Microsoft Office вызывают странное поведение и вызывают ошибку/неожиданное поведение. Даже с create maskand/or force create modeset и избеганием вышеуказанной опции map или inherit я видел, как разрешения на выполнение группы устанавливались при редактировании документов с помощью приложений Microsoft Office. Этого не происходит с другими программами, например, при редактировании файла .txt с помощью блокнота разрешения остаются в порядке. Office не просто создает файлы, он также немного путается с временными файлами, переименованием и разрешениями.

После долгих поисков выяснилось, что это может быть связано с какой-то ошибкой Samba POSIX ACL:

Старый отчет об ошибке Debian 2007 года"samba: неправильно интерпретирует режим создания с помощью POSIX acls"
"Неправильное поведение списков контроля доступа по умолчанию" похоже, это последний отчет об ошибке для Samba, но, к сожалению, он закрыт как «РЕШЕНО НЕДЕЙСТВИТЕЛЬНО» (преждевременно?).

Наблюдаемое поведение на стороне Linux

Расширенные списки управления доступом для пустого файла Word docx, созданного через контекстное меню проводника Windows (еще не открытого и не сохраненного в Word)

$ getfacl test.docx 
# file: test.docx
# owner: tester
# group: tester
user::rw-
group::rw-
other::---

После сохранения через MS Word 2016

$ getfacl test.docx 
# file: test.docx
# owner: tester
# group: tester
user::rw-
user:tester:rw-
group::rw-
group:tester:rw-
mask::rwx

При проверке конфигурации Samba в Ubuntu 16.04 LTS выяснилось, что она, похоже, map archiveвключена по умолчанию, но для этого должен использоваться бит выполнения владельца, а не бит выполнения группы, так что в моем случае это не было причиной.

$ testparm -s -v 2>&1 | grep 'map archive'
map archive = Yes

Наблюдаемое поведение на стороне Windows

Используя SysInternals Process Monitor и сравнивая редактирование файла .txt с помощью notepad.exe и файла .docx с помощью WINWORD.EXE, офисный пакет выполняет множество сложных действий, создавая временные файлы, переименовывая и т. д. В частности, в отличие от notepad.exe, WINWORD.EXE, похоже, возится со списками контроля доступа. Как видно из procmon

SetSecurityFile
Information:    Group, DACL

Я подозреваю, что именно поэтому приложения Microsoft Office вмешиваются в работу групповых разрешений UNIX.

Для более глубокого исследования потребовалось включить аудит безопасности файловых объектов Windows, чтобы увидеть, что именно изменилось. Событие ID 4670 показывает ~WRD0000.tmpпримененные изменения разрешений (я думаю, Word использует это для периодического сохранения и восстановления в случае сбоя).

Object:
    Object Server:    Security
    Object Type:    File
    Object Name:    C:\Users\<user>\Desktop\TestAudit\~WRD0000.tmp
    Handle ID:    0xfd0

Process:
    Process ID:    0x1ae4
    Process Name:    C:\Program Files\Microsoft Office\root\Office16\WINWORD.EXE

Permissions Change:
    Original Security Descriptor:
D:AI(A;ID;FA;;;SY)(A;ID;FA;;;BA)(A;ID;FA;;;S-1-5-<SID>-1001)
    New Security Descriptor:
D:(A;;0x1200a9;;;WD)(A;ID;FA;;;SY)(A;ID;FA;;;BA)(A;ID;FA;;;S-1-5-21-<SID>-1001)

Изменение разрешения в SDDL (Security Descriptor Definition Language) — это DACL (дискреционная часть списка управления доступом), где, похоже, была добавлена дополнительная ACE (Access Control Entry). ACE (A;;0x1200a9;;;WD)добавляется прямо в начало. Вот как я это интерпретирую:

A;значение разрешить доступ, осталось прежним
;нет наследства
0x1200a9;означает FILE_GENERIC_READ | FILE_EXECUTEдоступ на чтение и выполнение
WDозначает «каждый» доверительный управляющий

Затем позже, ~WRD0000.tmpполучает переименованный в test.docxкоторый я видел в мониторе процессов как SetRenameInformationFileоперацию. Так что в конце концов test.docxзаканчивает с некоторыми изменениями ACE, которые word сделал по какой-то причине.

Answer 1

Часто проблема возникает из-за включения одного из следующих параметров:

map archive(использует бит выполнения unix для владельца)
map system(использует бит выполнения unix для группы)
map hidden(использует бит выполнения unix для других)
inherit permissionsзаставляет самбу игнорировать create maskи т. д.
есть также inherit acls, который должен быть по умолчанию равен no

«Разрешения и атрибуты файлов в MS-DOS и Unix» вГлава 8. Расширенные дисковые ресурсыхорошо объясняет вышесказанное.

Однако продукты Microsoft Office вызывают странное поведение и вызывают ошибку/неожиданное поведение. Даже с create maskand/or force create modeset и избеганием вышеуказанной опции map или inherit я видел, как разрешения на выполнение группы устанавливались при редактировании документов с помощью приложений Microsoft Office. Этого не происходит с другими программами, например, при редактировании файла .txt с помощью блокнота разрешения остаются в порядке. Office не просто создает файлы, он также немного путается с временными файлами, переименованием и разрешениями.

После долгих поисков выяснилось, что это может быть связано с какой-то ошибкой Samba POSIX ACL:

Старый отчет об ошибке Debian 2007 года"samba: неправильно интерпретирует режим создания с помощью POSIX acls"
"Неправильное поведение списков контроля доступа по умолчанию" похоже, это последний отчет об ошибке для Samba, но, к сожалению, он закрыт как «РЕШЕНО НЕДЕЙСТВИТЕЛЬНО» (преждевременно?).

Наблюдаемое поведение на стороне Linux

Расширенные списки управления доступом для пустого файла Word docx, созданного через контекстное меню проводника Windows (еще не открытого и не сохраненного в Word)

$ getfacl test.docx 
# file: test.docx
# owner: tester
# group: tester
user::rw-
group::rw-
other::---

После сохранения через MS Word 2016

$ getfacl test.docx 
# file: test.docx
# owner: tester
# group: tester
user::rw-
user:tester:rw-
group::rw-
group:tester:rw-
mask::rwx

При проверке конфигурации Samba в Ubuntu 16.04 LTS выяснилось, что она, похоже, map archiveвключена по умолчанию, но для этого должен использоваться бит выполнения владельца, а не бит выполнения группы, так что в моем случае это не было причиной.

$ testparm -s -v 2>&1 | grep 'map archive'
map archive = Yes

Наблюдаемое поведение на стороне Windows

Используя SysInternals Process Monitor и сравнивая редактирование файла .txt с помощью notepad.exe и файла .docx с помощью WINWORD.EXE, офисный пакет выполняет множество сложных действий, создавая временные файлы, переименовывая и т. д. В частности, в отличие от notepad.exe, WINWORD.EXE, похоже, возится со списками контроля доступа. Как видно из procmon

SetSecurityFile
Information:    Group, DACL

Я подозреваю, что именно поэтому приложения Microsoft Office вмешиваются в работу групповых разрешений UNIX.

Для более глубокого исследования потребовалось включить аудит безопасности файловых объектов Windows, чтобы увидеть, что именно изменилось. Событие ID 4670 показывает ~WRD0000.tmpпримененные изменения разрешений (я думаю, Word использует это для периодического сохранения и восстановления в случае сбоя).

Object:
    Object Server:    Security
    Object Type:    File
    Object Name:    C:\Users\<user>\Desktop\TestAudit\~WRD0000.tmp
    Handle ID:    0xfd0

Process:
    Process ID:    0x1ae4
    Process Name:    C:\Program Files\Microsoft Office\root\Office16\WINWORD.EXE

Permissions Change:
    Original Security Descriptor:
D:AI(A;ID;FA;;;SY)(A;ID;FA;;;BA)(A;ID;FA;;;S-1-5-<SID>-1001)
    New Security Descriptor:
D:(A;;0x1200a9;;;WD)(A;ID;FA;;;SY)(A;ID;FA;;;BA)(A;ID;FA;;;S-1-5-21-<SID>-1001)

Изменение разрешения в SDDL (Security Descriptor Definition Language) — это DACL (дискреционная часть списка управления доступом), где, похоже, была добавлена дополнительная ACE (Access Control Entry). ACE (A;;0x1200a9;;;WD)добавляется прямо в начало. Вот как я это интерпретирую:

A;значение разрешить доступ, осталось прежним
;нет наследства
0x1200a9;означает FILE_GENERIC_READ | FILE_EXECUTEдоступ на чтение и выполнение
WDозначает «каждый» доверительный управляющий

Затем позже, ~WRD0000.tmpполучает переименованный в test.docxкоторый я видел в мониторе процессов как SetRenameInformationFileоперацию. Так что в конце концов test.docxзаканчивает с некоторыми изменениями ACE, которые word сделал по какой-то причине.

Samba создает маску некорректно

решение1

Связанный контент