ほかのユーザーのファイルのアクセス許可を変更したい

ほかのユーザーのファイルのアクセス許可を変更したい

　Linuxのファイルシステム（ext3など）ではファイルのアクセス権（パーミションやACL）／所有者変更に関して、WindowsのNTFSと仕様が大きく異なります。

　例えば、ファイルのアクセス権や所有者を変更できるのはファイルの所有者とrootのみになり、ファイルの更新権があるだけではアクセス権を変更できません。

　また、あるユーザーが作成したファイルは、同じグループで書き込み権限があるユーザーでも、アクセス許可やオーナーを変更できない場合があります。ファイルを作成したユーザーが部署を異動してしまえば、これは問題です。

　これを回避するには、ファイルへの書き込み権限を持つユーザーが、そのファイルのアクセス許可変更を可能とする「dos filemode」パラメーターを利用します。以前は「acl group control」パラメーターがこの設定に利用されていましたが、「dos filemode」に統一されたようです。今後のためにも「dos filemode」を利用しましょう。

dos filemode = yes（デフォルトno）

　上記により、ファイルアクセス許可の変更権限を書き込み権限があるすべてのユーザーに与える（ディレクトリは除きます）ことができます。

　図3では、testuser02と同じ書き込み権限を持つsalesグループのtestuser04が、testuser02の作成したファイルの所有権を取得しています。rootユーザーに依頼しなくても、この種のアクセス許可変更が可能となります。
 

共有フォルダ上の管理者グループ（admin users）の指定

　共有フォルダへの共有アクセス許可（ファイルシステムのアクセス許可ではありません）の設定では、「valid users」パラメーターを利用していますが、このパラメーターに管理者ユーザーを追加しても、ファイルシステム上のアクセス許可が無いためファイルアクセスに制限があります。

　通常のWindowsサーバーでは信頼するドメインのAdministrator権限があれば、ファイルに対するアクセス許可はフルコントロールで可能ですが、Sambaの場合は明示的に設定を行わないと、ドメインのAdministratorまたはDomain Adminsのメンバーであっても、管理者として管理しきれない部分があります。

　もちろん、Sambaが動作するLinuxのrootユーザーであればファイルへのアクセスは可能ですが、ファイルアクセス許可の調整やバックアップの度にLinuxへログインするのは手間ですので、admin usersパラメーターで管理者権限があるユーザーまたはグループを指定できます。

admin users = +“EXAMPLE_domain admins”
※[winbind separator = _]の記述例

　上のように設定した場合は、EXAMPLEドメインのdomain usersグループのユーザーは、ファイルアクセス権の調整や、ファイルのバックアップ、リストアなどが可能となります。

　「admin users」パラメーターはグローバルに設定し、すべての共有フォルダに反映させることもできますし、共有フォルダごとに管理者グループを個別指定することも可能です。

　共有に設定する主なパラメーターは以上で、Webに公開されているドキュメントは古くなっているものもありますので、ご利用の環境でsmb.confのman pageを確認してください。

　次回は、Sambaだけの閉じた設定ではなく、Active Directoryとの関連パラメーター、利用するファイルシステムオプション、OpenLDAPのパラメーターを紹介していきます。