Share access controls

验证 Samba 用户身份

Samba 无法使用自身的原生协议直接验证现有 Linux 用户，因为这与 Linux 在系统中存储密码的方式不兼容，例如 /etc/shadow 中的密码存储方式。系统里的本地 Linux 用户不会自动成为 Samba 用户。要让一个本地 Linux 用户能够使用 Samba，必须在 Samba 凭据数据库中创建相应用户。这意味着会存在两套用户数据库：Linux 的用户数据库与 Samba 的用户数据库。

要把现有 Linux 用户加入 Samba 用户数据库，可使用 smbpasswd 命令。例如，下面把名为 melissa 的现有 Linux 用户添加到 Samba 用户数据库：

sudo smbpasswd -a melissa

命令会要求输入密码两次以便确认，然后创建 Samba 用户。

如果 Linux 中不存在这个用户，smbpasswd 命令就会失败。Samba 用户必须先作为 Linux 用户存在。

以后修改现有 Samba 用户的密码时，也使用同一个命令。例如：

sudo smbpasswd melissa

Samba 也有用户组的概念，但用户组本身不执行身份验证，因此无须为 Samba 组建立单独的组数据库。可以使用普通 Linux 用户组，只要组内成员同时存在于 Linux 与 Samba 的用户数据库中。

用户组

用户组是一组对特定网络资源拥有相同访问权限的用户，可以更细致地控制资源访问。例如，假设“qa”组中包含 Freda、Danika 和 Rob；另一个“support”组中包含 Danika、Jeremy 和 Vincent。允许“qa”组访问的网络资源，可以由 Freda、Danika 和 Rob 使用，但 Jeremy 与 Vincent 无法使用。Danika 同时属于“qa”和“support”两组，因此可以访问两组各自有权使用的资源。其他用户只能访问明确授予其所属用户组的资源。

在 Samba 配置文件 /etc/samba/smb.conf 中引用用户组时，应在组名前加上 @ 符号。例如，要使用名为 sysadmin 的组，在 /etc/samba/smb.conf 的某个配置段中应写为 @sysadmin。如果组名包含空格，应加上双引号，例如 "@LTS Releases"。

读写权限

读写权限明确规定计算机或用户对某个共享资源所拥有的权利。可以编辑 /etc/samba/smb.conf 文件，在共享配置段中指定这些权限。

例如，已经定义了一个名为 share 的 Samba 共享，希望让“qa”组只读，而允许“sysadmin”组以及名为“vincent”的用户写入该共享，可以编辑 /etc/samba/smb.conf 文件，在 [share] 配置段下添加以下内容：

read list = @qa
write list = @sysadmin, vincent

另一种 Samba 权限是为特定共享资源声明管理权限。获得某项资源管理权限的用户，可以读取、写入或修改该资源中的任何信息。

例如，要赋予用户 Melissa 对示例共享 share 的管理权限，可以编辑 /etc/samba/smb.conf 文件，在 [share] 配置段下添加以下行：

admin users = melissa

编辑 /etc/samba/smb.conf 后，运行以下命令重新加载 Samba，使更改生效：

sudo smbcontrol smbd reload-config

文件系统权限

现在已经通过 Samba 配置限制了哪些用户组可以访问共享目录，还需要检查文件系统权限。

传统 Linux 文件权限无法很好地映射到 Windows NT 访问控制列表（ACL）。Ubuntu 服务器支持 POSIX ACL，能够提供更精细的控制。例如，要在 EXT3 文件系统上的 /srv 启用 ACL，可编辑 /etc/fstab 并添加 acl 选项：

UUID=66bcdd2e-8861-4fb0-b7e4-e61c569fe17d /srv  ext3    noatime,relatime,acl 0       1

然后重新挂载分区：

sudo mount -v -o remount /srv

为了匹配前面的 Samba 配置，需要授予“sysadmin”组对 /srv/samba/share 的读、写和执行权限，授予“qa”组读和执行权限，并将文件所有者设为“melissa”。在终端输入以下命令：

sudo chown -R melissa /srv/samba/share/

sudo chgrp -R sysadmin /srv/samba/share/

sudo setfacl -R -m g:qa:rx /srv/samba/share/

现在，从 Windows 客户端应该可以看到新的文件权限已经生效。关于 POSIX ACL 的更多信息，请参阅 acl(5) 和 setfacl(1) 手册页。

延伸阅读

• 关于更深入的 Samba 配置，请参阅 Samba HOWTO 文集。

• 该指南也有纸质版。

• O’Reilly 的《Using Samba》也是一个很好的参考。

• 第 18 章专门讨论 Samba HOWTO 文集中的安全主题。

• 关于 Samba 与 ACL 的更多信息，请参阅 Samba ACL 页面。

• 另见 Ubuntu Wiki 的 Samba 页面。