Hi Peter On Tue, Jul 24, 2001 at 08:55:44PM +0200, Peter Blancke wrote:

On Tue, 24 Jul 2001, Martin Pitsch wrote:

...

Am 24.07.01, 16:57:59, schrieb Peter Blancke

...

Auf das unter Samba freizugebende Verzeichnis

...

/server/dokumente

...

sollen von den 40 Windows-Usern des Servers 20 User nicht, 10 User nur lesend und weitere 10 User schreibend und lesend zugreifen duerfen.

...

Man könnte dies über Gruppen realisieren:

1 Gruppe die rw-rechte hat und auf das Verzeichnis zugreifen darf 1 Gruppe die w-rechte hatund auf das Verzeichnis zugreifen darf

Hmmm... Das genau scheint mir nicht zu gehen, weil ich an das Verzeichnis nur _eine_ Gruppe dranbekomme.

ja, das ist richtig, aber trenn dich mal von dem gedanken das du das komplett mit unix boardmitteln lösen willst.

Es sieht augenblicklich so aus:

/server/dokumente rwxrwx--- root doku

In der Gruppe "doku" stehen jetzt die 10 User mit Schreib- und Leserecht. Das funktioniert auch praechtig.

Aber wohin kommen jetzt die 10 mit Nur-Lese-Recht? Ich kann ja nicht den "others" das Recht "r-x" geben, dann kommen ja auch die 10 rein, die dort ueberhaupt nichts zu suchen haben.

du erzeugst 2 gruppen in die eine packst du alle 20 die was dürfen in die andere die 10 schreiberlinge, dann klärst du den rest im smb.conf, natürlich müssen die unix rechte passen es sei denn du maskierst den unix benutzer und machst die ganze berechtigung im smb.conf. [vorlagen] comment = Vorlagen fuer alle User path = /home/vorlagen read list = @gruppe1 write list = @gruppe2, user1, user2, usw writeable = Yes directory mask = 0770 guest ok = No zb. so gruppen kriegen einen @ vorangestellt, einfache user nicht. wenn das hier zu kurz ist schreib mir nochmal ne pm. MfG. Falk

Hi Martin willst Du den armen Peter vollends verwirren? On Tue, Jul 24, 2001 at 07:55:57PM +0000, Martin Pitsch wrote:

...

...

...

...

...

>>>>>>>>>>>>> Ursprüngliche Nachricht <<<<<<<<<<<<<<<<<<

Am 24.07.01, 21:12:49, schrieb Falk Sauer zum Thema Re: Samba und Benutzerrechte:

...

ja, das ist richtig, aber trenn dich mal von dem gedanken das du das komplett mit unix boardmitteln lösen willst.

Du kannst unter linux grds. Rwx auf das Verzeichnis setzen und den Eigentümer als z. B. Root.gruppe1 setzen.

wenn Du das da unten dann so lässt wie in meinem Beispiel wirst Du nicht glücklich damit, erstens ist es furchtbar undurchsichtig, zweitens lauert dabei immer wieder gern die Löschfalle. Daher sollte man in so einem Fall dann immer den owner und oder die group maskieren und wirklich einfach zu durchschauende Regeln verwenden, gerade wenn man neu ist.

Anschliessend setzt Du alle User, die auf das Verzeichnis zugreifen dürfen, in die Gruppe gruppe1. Die Rechte anschliessend unter NT / W2K, sofern dies Deine Clients sind, vergeben (Schreib oder nur leserechte mit Gruppen).

never! Rechte gibts nur auf der Samba Kiste alles andere macht die Fehlersuche zum nervenaufreibenden Glücksspiel.

Und other gibt's du nur Leserechte (chmod 775)

other sollte in so einem Fall gar nichts zu sehen bekommen, (nur für den Fall das doch mal einer ein shelluser wird im laufe der Zeit) ich bin jetzt zu müde um die ganzen anderen Argumente dagegen auch noch aufzuschreiben. MfG. Falk

Zusammenfassung und Loesungsweg fuer u. a. Problem: (Der finale Loesungs-Schuss steht ganz unten) ==================================================== Hallo Bernd, Falk, Guenther und Martin (alphabet. sortiert;-) Danke erst einmal fuer die vielen Anregungen und Loesungsvorschlaege, die ich von Euch erhalten habe. Dass ich mich erst heute zu diesem Thema zurueckmelde, hat einen einfachen Grund: Ich habe hier keinen Windows-Rechner stehen und immer beim Kunden ausprobieren, war mir dann zu doof. So habe ich heute anlaesslich eines ekelhaft-schwuelen Wetters mal einen Win-PC hochgezogen, um endlich fuer das angegebene Problem eine Loesung zu finden. Das Problem formulierte ich wie folgt: Am 24.07.01, 16:57:59, schrieb Peter Blancke

Auf das unter Samba freizugebende Verzeichnis /server/dokumente sollen von den 40 Windows-Usern des Servers 20 User nicht, 10 User nur lesend und weitere 10 User schreibend und lesend zugreifen duerfen.

Der erste "Schubs ins Kreuz" kam von Dir, Falko.

ja, das ist richtig, aber trenn dich mal von dem gedanken das du das komplett mit unix boardmitteln lösen willst.

In der Tat, das habe ich dann auch getan und bin dann endlich zu dem Entschluss gekommen, dass - ausser fuer Home-Freigaben - tatsaechlich die Schaltung der Verzeichnisse/Dateien auf einen "unverfaenglichen" User mit anschliessender Zusammenfassung von Read- bzw. Read-/Write-Rechten in Gruppen der gangbarste Weg sei. Als den "unverfaenglichen" User habe ich dann nobody/nogroup gewaehlt. Danke, Falko, auch fuer den Tipp mit den Gruppendefinitionen und dem vorangestellten @-Zeichen. Das hat mir weitergeholfen. Dann hatte Martin folgenden Tipp:

Du kannst unter Linux grds. Rwx auf das Verzeichnis setzen und den Eigentuemer als z. B. Root.gruppe1 setzen.

Ich weiss zwar nicht, was "grds." ist, aber so bin ich dann vorgegangen. Das Verzeichnis /server/dokumente hat jetzt bei mir als Eigentuemer "root.nogroup" und als Rechte drwxrwx--- Eine andere Idee von Dir, Martin, habe ich dann allerdings verworfen:

Die Rechte anschliessend unter NT / W2K, sofern dies Deine Clients sind, vergeben (Schreib oder nur leserechte mit Gruppen).

Noe. Die Rechte werden bei mir hier ausschliesslich ueber den Linux-Server geregelt. Da will ich doch nichts an anderen Muehlen einstellen muessen. Und noch eine Idee von Dir verworfen:

Und other gibt's du nur Leserechte (chmod 775)

Noe. Das auch nicht. Die Leute kommen naemlich auch ueber Telnet/SSH an den Rechner heran, sollen sie auch. Und dann habe ich ja wieder das Problem, dass die dann doch in die Verzeichnisse hineinschauen koennen und sich das Zeug dort herausholen. Nein und niemals nein. Das bleibt bei 0770. Auch Deine Ideen, Guenther, mit "unter nt mit security manager" und "2k mit mcc" usw. habe ich verworfen. Ich will doch die Zugriffe ausschliesslich auf dem Linux-Server einstellen und absichern. Alles andere ist mir da viel zu unsicher. Martin, Dein Argument mit der "Loeschfalle" und das "t-Bit" habe ich nicht ganz verstanden. Mit allen meinen Experimenten ist meine unten aufgefuehrte Loesung so, dass tatsaechlich Loeschen durch Unbekannte weder ueber die Samba-Freigaben noch direkt auf der Konsole moeglich ist. Das habe ich eben gerade noch ausfuehrlich getestet. Bernd, vielen Dank fuer Deine ausfuehrlichen Anmerkungen. Ueberhaupt: Ich habe immer viel Freude an Deinen ausfuehrlichen Beitraegen. Danke - mal so nebenbei - fuer soviel Geduld und Muehe! (Das darf ja auch mal erwaehnt werden) Du fragst, was ich mit "Schreiben" meine. Ich meine mit "Schreiben" in einem Verzeichnis: Dateien und Verzeichnisse anlegen, Dateien und Verzeichnisse umbenennen, Dateien veraendern, Dateien und Verzeichnisse loeschen. So, wie ich es in meiner Aufgabenstellung postulierte. So, jetzt kommt hier aber das Ergebnis meiner Untersuchungen. Ich habe in /etc/group zwei Gruppen angelegt: In die erste Gruppe "doku_write" habe ich alle User angelegt, die in meinem Verzeichnis /server/dokumente Schreib- und Leserechte haben sollen. In die Gruppe "docu_read" habe ich alle User angelegt, die nur Leserechte haben sollen. Alle anderen User gehoeren diesen beiden Gruppen definitiv _nicht_ an. Das Verzeichnis /server/dokumente hat die oben angegebenen Rechte und Benutzereintraege. Das Share in der /etc/smb.conf habe ich nun wie folgt angelegt: [doku] comment = Dokumentenverzeichnis path = /server/dokumente force user = nobody force group = nogroup writeable = no valid users = +doku_read, +doku_write read list = +doku_read write list = +doku_write browseable = yes create mask = 0000 force create mode = 0770 directory mask = 0000 force directory mode = 0770 guest ok = no Ich erzwinge also fuer alle Vorgaenge die Zugriffsrechte von "nobody.nogroup" und verhindere somit schon einmal die Einsichtnahme in das Verzeichnis auf der Shell durch Unbefugte. Die angegebenen erzwungenen Rechte 0770 sind eigentlich schon zu viel, 0700 sollte auch reichen, aber ich habe jetzt keine Lust, das noch auszuprobieren, weil ich gleich in den Biergarten gehen moechte. Mit den Eintraegen "read list" und "write list" setze ich die gewuenschten und oben beschriebenen Zugriffsmoeglichkeiten. Dabei habe ich festgestellt, dass User, die diesen beiden Gruppen nicht angehoeren, dennoch mit Read-Rechten arbeiten konnten. Ich benutze hier Samba 2.0.7. Ist das dort vielleicht ein Fehler? Durch Einfuegen des Eintrags "valid users" habe ich dann endlich den Rest derjenigen, die ich hier nicht sehen moechte, ausgesperrt. Die sehen zwar das Share noch in der Netzwerkumgebung, werden aber - nach Anwahl - aufgefordert, ein Passwort einzugeben. Und da ist dann wirklich Schluss, weil da nichts mehr weiter geht. Es waere schoener gewesen, dass die das Share erst gar nicht sehen wuerden, aber wenn ich "browseable" auf "no" stelle, sehen es auch die berechtigten User nicht mehr. Das ist dumm. So, das war ein schoenes Stueck Arbeit und eine Menge neuer Erfahrungen mit Samba. Montag geht es zum Kunden und dann kann ich dessen Sicherheitswuensche befriedigen. Fuer Ergaenzungen und weiteren Anregungen bin ich zur Zeit sehr empfaenglich. Herzlichen Dank an alle an der Diskussion Beteiligten! Gruss Peter Blancke -- Nachtwaechter ist der Wahnsinn, weil er wacht...

Moin Peter, moin Bernd, * Bernd Brodesser schrieb am 29 Jul 2001:

* Peter Blancke schrieb am 29.Jul.2001:

...

Und noch eine Idee von Dir verworfen:

...

...

Und other gibt's du nur Leserechte (chmod 775)

...

Noe. Das auch nicht. Die Leute kommen naemlich auch ueber Telnet/SSH an den Rechner heran, sollen sie auch. Und dann habe ich ja wieder das Problem, dass die dann doch in die Verzeichnisse hineinschauen koennen und sich das Zeug dort herausholen. Nein und niemals nein. Das bleibt bei 0770.

Wenn eines der übergeordneten Verzeichnisse die Rechte 0770 hat, dann kann keiner, der nicht der Besitzer dieses übergeordneten Verzeichnisses, oder zu dessen Gruppe gehört, an irgend ein untergeordnetes Verzeichnis heran. Völlig egal, ob über Samba, Telnet, SSH oder auch wenn er direkt an der Kiste sitzt.

Genau. Um in das Verzeichnis _wechseln_ zu dürfen, nicht es _lesen_ zu dürfen, gibst du ihnen nur Ausführ-Rechte (--x), also kriegst du als Rechte 0771. Dann können sie in untergeordnete Ordner wechseln, aber das eigentliche Verzeichnis nicht lesen. Gruß, Sebastian -- Do not meddle in the affairs of Wizards, for they are subtle and quick to anger. Sebastian Helms - http://www.helms.sh - mailto:mail@helms.sh (PGP welcome) SuSE-Linux-Mailinglisten-FAQ: http://www.helms.sh/faq/