ML Server (10.8) - Partage de fichiers - Héritage droits SMB

Bonjour,

Je sollicite votre aide pour résoudre des problèmes d'héritage de droits liés à priori à SMB. Depuis Windows, les droits du groupe ne semblent pas effectifs, seuls les droits utilisateurs semblent pris en compte.

Exemple du dossier /.../test dont le propriétaire est administrateur, le groupe est grptest.
Le dossier est partagé depuis OS X Server selon :

Utilisateur adminsitrateur (propriétaire) : Lecture et écriture
Groupe grptest (groupe principal) : Lecture et écriture
Groupe grptest : droits personnalisé
Groupe Tout le monde = Accès Interdit

Le groupe grptest contient 2 utilisateurs : user19933]user2.

Depuis un accès ssh, user1 et user2 ont accès rwx sur tous les dossiers/fichiers du dossier tests.
Depuis windows (via smb), user1 n'a accès qu'en lecture au fichiers dont le propriétaire est user2, et vis versa.

Ci dessous les droits du dossier test :

ls -led test

drwxrwx---+ 4 administrateur grptest 136 23 jan 16:12 test
0: group:grptest allow list,add_file,delete,add_subdirectory,file_inherit,directory_inherit
1: user:_spotlight inherited allow list,search,file_inherit,directory_inherit

concernant la ligne 0, c'est moi qui l'ai ajoutée après maintes recherches sur des forums. A priori celle ci permet l'héritage des ACL au sous-fichiers et sous-dossiers du dossier "tests".

Ci dessous les droits des fichiers contenus dans le dossier test :

ls -led test/*

-rw-r--r--+ 1 user2 test 9 23 jan 16:18 fichier1.txt -- créé depuis SSH
0: group:grptest inherited allow read,write,delete,append
1: user:_spotlight inherited allow read,execute

-rw-------+ 1 user1 test 7 23 jan 16:16 fichier2.txt -- créé depuis WINDOWS
0: group:grptest inherited allow read,write,delete,append
1: user:_spotlight inherited allow read,execute

-rw-r--r--+ 1 user1 test 7 23 jan 16:17 fichier3.txt -- créé depuis SSH
0: group:grptest inherited allow read,write,delete,append
1: user:_spotlight inherited allow read,execute

En espérant que vous pourrez m'aider…

Il y a un truc qui me chagrine.
Tu autorises un accès à un groupe d'utilisateurs, puis *ensuite*, tu interdis l'accès à tout le monde...
Je me demande si l'interdiction explicite n'aurait pas préemption sur l'autorisation ?
Si Windows et OS X ne font pas fonctionner SMB de la meme manière, il se peut que cela explique les divergences d'opinions entre SSH et Windows...

Si j'ai bien compris, les ACL priment sur les droits POSIX.

Lorsqu'on lit les droits d'un fichier ou dossier, on distingue un + ou un @ à la fin des droits POSIX. A quoi correspondent ces signes ?

par exemple :

-rwxrwx---+ user1 grptest ….
drwxrwx---@ user1 grptest ….

Mout a écrit:: Tu autorises un accès à un groupe d'utilisateurs, puis *ensuite*, tu interdis l'accès à tout le monde…

Il me semble que le groupe d'accès Tout le monde dont on défini les droits lors de la création du partage correspond au droits POSIX Other. Je me trompe ?

Comment forcer l'héritage POSIX/ACL sur tous les fichier et dossiers enfants d'un dossier ?

Si l'utilisateur user1 créé 2 fichiers dans le partage, l'un depuis windows via SMB et l'autre sous Mac via SMB, l'utilisateur user2 pourra :

modifier le nom des fichiers créés par user1
modifier le contenu des fichiers créés par user1 depuis Mac OS
supprimer les les fichiers créés par user1

modifier le contenu des fichiers créés par user1 depuis Windows

Entre 2 fichiers créés via partage SMB sous Mac ou sous Windows, on voit bien que les droits POSIX sautent même si Les ACL restent identiques :

-rw-r--r--+ 1 user1 admin 7 24 jan 14:57 smb_user1_mac
-rw-------+ 1 user1 admin 4 24 jan 14:59 smb_user1_win

Coté SMB, j'ai vérifié que les ACL sont prises en compte via la commande suivante :

$ sudo defaults read /Library/Preferences/SystemConfiguration/com.apple.smb.server

{
AclsEnabled = 1;
……
}

Donc au final depuis Windows se sont tout de même les droits POSIX qui priment ?

J'ai essayé de contourner le problème en montant les volumes partagés via SFTP (en utilisant dokan) depuis windows, ça fonctionne bien mais c'est moins pratique/facile de mise en oeuvre et ça double les temps d'accès aux fichiers !

» Serveur Mountain Lion et droits de partage
» [Leopard Server] partage de fichiers
» [10.4.11 Server] FTP et points de partage