关于Linux上SAMBA服务的权限问题(普通挂载)

简介:Samba服务用于在不同平台(windows,linux)之间共享文件和打印机等。

注：本文不讨论multiuser多用户挂载的情况

题目：

安装配置：(在服务器节点server0配置，在客户端节点desktop0验证)

1.server0节点安装samba(服务主程序)和samba-client(提供smbpasswd用户管理工具)

[root@server0 ~]# yum -y install samba samba-client

2.配置防火墙放行samba服务

[root@server0 ~]# firewall-cmd --add-service=samba --permanentsuccess[root@server0 ~]# firewall-cmd --reloadsuccess[root@server0 ~]# firewall-cmd --list-allpublic (default, active)  interfaces: eth0  sources:  services: dhcpv6-client samba  ports:  masquerade: no  forward-ports:  icmp-blocks:  rich rules:

3.创建共享目录,并配置该共享目录的SELinux上下文

[root@server0 ~]# mkdir /common[root@server0 ~]# chmod o+w /common[root@server0 ~]# semanage fcontext -a -t samba_share_t '/common(/.*)?'Full path required for exclude: net:[4026532580].Full path required for exclude: net:[4026532580].[root@server0 ~]# restorecon -RFvv /common/Full path required for exclude: net:[4026532580].Full path required for exclude: net:[4026532580].restorecon reset /common context unconfined_u:object_r:default_t:s0->system_u:object_r:samba_share_t:s0[root@server0 ~]# ls -ldZ /commondrwxr-xrwx. root root system_u:object_r:samba_share_t:s0 /common

4.修改配置文件/etc/samba/smb.conf

[root@server0 ~]# vim /etc/samba/smb.confworkgroup = STAFFsecurity = user[common]        path = /common        browseable = yes        hosts allow = 172.25.0.0/24        writable = no        write list = brian

5.添加本地用户(bash为nologin),并添加进samba数据库进行管理(smbpass -a)

[root@server0 ~]# useradd -s /sbin/nologin rob[root@server0 ~]# useradd -s /sbin/nologin brian[root@server0 ~]# smbpasswd -a robNew SMB password:Retype new SMB password:Added user rob.[root@server0 ~]# smbpasswd -a brianNew SMB password:Retype new SMB password:Added user brian.[root@server0 ~]# id robuid=1001(rob) gid=1001(rob) groups=1001(rob)[root@server0 ~]# id brianuid=1002(brian) gid=1002(brian) groups=1002(brian)

6.重新启动服务

[root@server0 ~]# systemctl restart smb nmb

---

客户端验证1：

1.安装cifs组件以支持samba协议类型的文件共享服务

[root@desktop0 ~]# yum -y install cifs-utils

在客户端desktop0创建两个用户rob=1002,brian=1001

[root@desktop0 ~]# tail -2 /etc/passwdbrian:x:1001:1001::/home/brian:/bin/bashrob:x:1002:1002::/home/rob:/bin/bash

服务端的uid情况：rob=1001;brian=1002

客户端的uid情况：rob=1002;brian=1001

2.创建挂载点

[root@desktop0 ~]# mkdir /mnt/smbrob[root@desktop0 ~]# mkdir /mnt/smbbrian

3.分别以rob,brian用户挂载到smbrob,smbbrian目录

[root@desktop0 ~]# mount -t cifs -o username=rob,password=redhat //server0/common /mnt/smbrob/[root@desktop0 ~]# mount -t cifs -o username=brian,password=redhat //server0/common /mnt/smbbrian/[root@desktop0 ~]# df -hFilesystem        Size  Used Avail Use% Mounted on//server0/common   10G  3.1G  7.0G  31% /mnt/smbrob//server0/common   10G  3.1G  7.0G  31% /mnt/smbbrian

4.以root进入到/mnt/smbbrian目录进行权限测试

[root@desktop0 smbbrian]# echo 'brian' > test1[root@desktop0 smbbrian]# lltotal 1024-rw-r--r--. 1 rob rob 6 Jul 24 22:39 test1

结论是：

- 用brian用户挂载的目录，本地root用户有可写可读权限

- 但是root所创建的文件所属者显示为rob(这是因为客户端的用户uid映射到了samba服务端的实际用户uid)

- 因为/mnt/smbbrian目录是用brian用户去挂载的,所以在这个目录下创建的所有文件都属于brian用户(brian用户在samba服务器端的用户uid是1002),但是此处所创建的文件所属者却显示为rob(因为samba只识别用户uid号,并不识别用户名;因为用户uid1002在客户端对应的用户是rob,所以就显示为了rob),实际上这个文件的真正所属者是samba服务端用户uid为1002的用户。

5.以root进入到/mnt/samrob目录进行权限测试

[root@desktop0 smbrob]# echo 'rob' > test2bash: test2: Permission denied[root@desktop0 smbrob]# cat test1brian

结论是：

- 用rob用户挂载的目录，本地root用户有只有可读权限，没有写入权限

---

客户端验证2：

1.查看rob和brian在服务器端的id

[root@server0 ~]# id robuid=1001(rob) gid=1001(rob) groups=1001(rob)[root@server0 ~]# id brianuid=1002(brian) gid=1002(brian) groups=1002(brian)

2.删除验证1时在客户端自动创建的用户rob,brian

[root@desktop0 smbrob]# userdel -r rob[root@desktop0 smbrob]# userdel -r brian

服务端的uid情况：rob=1001;brian=1002

客户端的uid情况：无rob,brian用户

3.挂载步骤和验证1一样

4.以root进入到/mnt/smbbrian目录进行权限测试

[root@desktop0 smbbrian]# echo 'brian222' > test3[root@desktop0 smbbrian]# lltotal 2048-rw-r--r--. 1 1002 1002 6 Jul 24 22:39 test1-rw-r--r--. 1 1002 1002 9 Jul 24 23:02 test3

结论是：

- 用brian用户挂载的目录，本地root用户有可写可读权限

- 因为brian用户在samba服务端的uid为1002,所以这里就显示为1002

- 再次验证了samba用uid来识别用户，而非用户名

5.以root进入到/mnt/samrob目录进行权限测试

[root@desktop0 smbrob]# echo 'rob222' > test4bash: test4: Permission denied[root@desktop0 smbrob]# cat test3brian222

结论是：

- 用rob用户挂载的目录，本地root用户有只有可读权限，没有写入权限

---

客户端验证3：

1.查看rob和brian在服务器端的uid

[root@server0 ~]# id robuid=1001(rob) gid=1001(rob) groups=1001(rob)[root@server0 ~]# id brianuid=1002(brian) gid=1002(brian) groups=1002(brian)

2.删除在客户端自动创建的用户rob,brian(验证2以完成该操作);然后在客户端再创建两个用户rob,brian,且用户uid和samba服务端的用户uid相同(bash为默认/sbin/login)

[root@desktop0 smbrob]# useradd -u 1001 rob[root@desktop0 smbrob]# useradd -u 1002 brian[root@desktop0 smbrob]# id robuid=1001(rob) gid=1001(rob) groups=1001(rob)[root@desktop0 smbrob]# id brianuid=1002(brian) gid=1002(brian) groups=1002(brian)

服务端的uid情况：rob=1001;brian=1002

客户端的uid情况：rob=1001;brian=1002

3.挂载步骤和验证1一样

4.以root进入到/mnt/smbbrian目录进行权限测试

[root@desktop0 smbbrian]# echo 'brian555' > test5[root@desktop0 smbbrian]# lltotal 3072-rw-r--r--. 1 brian brian 6 Jul 24 22:39 test1-rw-r--r--. 1 brian brian 9 Jul 24 23:02 test3-rw-r--r--. 1 brian brian 9 Jul 24 23:17 test5

结论是:

- 结论和实验2一样，只是所属者的uid1002对应上了本地用brian，所以就显示为brian了

5.以root进入到/mnt/samrob目录进行权限测试

[root@desktop0 smbrob]# echo 'rob666' > test6bash: test6: Permission denied[root@desktop0 smbrob]# cat test5brian555

结论是：

- 结论和验证2一样

6.以brian,rob,student进入到/mnt/smbbrian目录进行权限测试

[root@desktop0 ~]# su - brian[brian@desktop0 ~]$ cd /mnt/smbbrian/[brian@desktop0 smbbrian]$ echo 'brian777' > test7[brian@desktop0 smbbrian]$ lltotal 4096-rw-r--r--. 1 brian brian 6 Jul 24 22:39 test1-rw-r--r--. 1 brian brian 9 Jul 24 23:02 test3-rw-r--r--. 1 brian brian 9 Jul 24 23:17 test5-rw-r--r--. 1 brian brian 9 Jul 24 23:24 test7oot@desktop0 ~]# su - rob[rob@desktop0 ~]$ cd /mnt/smbbrian/[rob@desktop0 smbbrian]$ lltotal 4096-rw-r--r--. 1 brian brian 6 Jul 24 22:39 test1-rw-r--r--. 1 brian brian 9 Jul 24 23:02 test3-rw-r--r--. 1 brian brian 9 Jul 24 23:17 test5-rw-r--r--. 1 brian brian 9 Jul 24 23:24 test7[rob@desktop0 smbbrian]$ echo 'rob888' > test8-bash: test8: Permission denied[rob@desktop0 smbbrian]$ cat test7brian777[root@desktop0 ~]# su - student[student@desktop0 ~]$ cd /mnt/smbbrian/[student@desktop0 smbbrian]$ eche 'student111' > file1-bash: file1: Permission denied[student@desktop0 smbbrian]$ lltotal 5120-rw-r--r--. 1 brian brian 0 Jul 24 23:35 file1-rw-r--r--. 1 brian brian 6 Jul 24 22:39 test1-rw-r--r--. 1 brian brian 9 Jul 24 23:02 test3-rw-r--r--. 1 brian brian 9 Jul 24 23:17 test5-rw-r--r--. 1 brian brian 9 Jul 24 23:24 test7-rw-r--r--. 1 brian brian 0 Jul 24 23:27 test8-rw-r--r--. 1 brian brian 9 Jul 24 23:29 test9

结论是：

- brian用户因为与samba服务器端brian用户相同的uid,所以该用户对/mnt/smbbrian目录权限为可读写

- rob用户因为与samba服务器端brian用户相同的uid,所以该用户对/mnt/smbbrian目录权限为只读

- student 没有写入权限,但是有创建文件的权限(虽然提示Permission denied,但还是成功创建文件了，但是文件里没有能写入内容)

7.以brian,rob,student进入到/mnt/smbrob目录进行权限测试

[root@desktop0 ~]# su - brian[brian@desktop0 ~]$ cd /mnt/smbbrian/[brian@desktop0 smbbrian]$ echo 'brian999' > test9[brian@desktop0 smbbrian]$ lltotal 5120-rw-r--r--. 1 brian brian 6 Jul 24 22:39 test1-rw-r--r--. 1 brian brian 9 Jul 24 23:02 test3-rw-r--r--. 1 brian brian 9 Jul 24 23:17 test5-rw-r--r--. 1 brian brian 9 Jul 24 23:24 test7-rw-r--r--. 1 brian brian 0 Jul 24 23:27 test8-rw-r--r--. 1 brian brian 9 Jul 24 23:29 test9[root@desktop0 ~]# su - rob[rob@desktop0 ~]$ cd /mnt/smbrob/[rob@desktop0 smbrob]$ echp 'rob1010' > test10-bash: test10: Permission denied[rob@desktop0 smbrob]$ cat test9brian999[root@desktop0 ~]# su - student[student@desktop0 ~]$ cd /mnt/smbrob/[student@desktop0 smbrob]$ echo 'student222' > file2-bash: file2: Permission denied[student@desktop0 smbrob]$ lltotal 5120-rw-r--r--. 1 brian brian 0 Jul 24 23:35 file1-rw-r--r--. 1 brian brian 6 Jul 24 22:39 test1-rw-r--r--. 1 brian brian 9 Jul 24 23:02 test3-rw-r--r--. 1 brian brian 9 Jul 24 23:17 test5-rw-r--r--. 1 brian brian 9 Jul 24 23:24 test7-rw-r--r--. 1 brian brian 0 Jul 24 23:27 test8-rw-r--r--. 1 brian brian 9 Jul 24 23:29 test9[student@desktop0 smbrob]$ cat file1

结论是：

- brian用户因为与samba服务器端brian用户相同的uid,所以该用户对/mnt/smbbrian目录权限为可读写

- rob用户因为与samba服务器端brian用户相同的uid,所以该用户对/mnt/smbbrian目录权限为只读

- student 没有写入权限,也没有创建文件的权限,只有读权限

---

综上所述：

- 在samba服务器端,权限由共享的目录的普通权限和smb.conf配置文件共同约束

- samba服务的认证数据在samba的数据库里,而非系统用户(用smbpasswd来管理samba用户数据)

- samba服务使用uid来识别用户,而非用户名

- 在客户端,所挂载的目录权限由所挂载的用户权限来决定(本地root用户除外)