Samba 创建掩码无法正常工作

Question

该问题通常是由启用以下任一功能引起的：

map archive（所有者使用 unix 执行位）
map system（对组使用 unix 执行位）
map hidden（其他使用 unix 执行位）
inherit permissions导致 samba 忽略create mask等
还有inherit acls默认为否的

“MS-DOS 和 Unix 上的文件权限和属性”第 8 章高级磁盘共享很好地解释了上述内容。

但是，Microsoft Office 产品会导致奇怪的行为并触发错误/意外行为。即使设置了create maskand/orforce create mode并避免了上述映射或继承选项，我也看到在使用 Microsoft Office 应用程序编辑文档时设置了组执行权限。其他程序不会发生这种情况，例如使用记事本编辑 .txt 文件，权限保持正常。Office 不仅会创建文件，还会对临时文件、重命名和权限造成一些干扰。

经过大量的挖掘之后，它可能还与 Samba POSIX ACL 错误混淆了：

旧的 2007 年 Debian 错误报告“samba：误解了使用 POSIX acls 的创建模式”
“默认 ACL 的错误行为“似乎是 samba 最新的错误报告，但遗憾的是以‘已解决无效’（过早？）的形式关闭。

在 Linux 端观察到的行为

通过 Windows 资源管理器上下文菜单创建的空 Word docx 文件的扩展 ACL（尚未通过 Word 打开和保存）

$ getfacl test.docx 
# file: test.docx
# owner: tester
# group: tester
user::rw-
group::rw-
other::---

通过 MS word 2016 保存后

$ getfacl test.docx 
# file: test.docx
# owner: tester
# group: tester
user::rw-
user:tester:rw-
group::rw-
group:tester:rw-
mask::rwx

检查 Ubuntu 16.04 LTS 上的 samba 配置时，它似乎map archive默认启用，但应该使用所有者的执行位，而不是组执行位，所以这不是我的情况的原因

$ testparm -s -v 2>&1 | grep 'map archive'
map archive = Yes

在 Windows 端观察到的行为

使用 SysInternals 进程监视器并比较使用 notepad.exe 编辑 .txt 文件与使用 WINWORD.EXE 编辑 .docx 文件，办公套件做了很多花哨的操作，创建临时文件、重命名等。特别是，与 notepad.exe 不同，WINWORD.EXE 似乎会摆弄访问控制列表。如 procmon 所示

SetSecurityFile
Information:    Group, DACL

所以我怀疑这就是为什么 UNIX 组权限被 Microsoft Office 应用程序篡改的原因。

更深入的调查需要打开 Windows 文件对象安全审核才能查看到底发生了什么变化。事件 ID 4670 显示~WRD0000.tmp已应用的权限更改（我认为 Word 使用它来进行定期保存并在崩溃时进行恢复）。

Object:
    Object Server:    Security
    Object Type:    File
    Object Name:    C:\Users\<user>\Desktop\TestAudit\~WRD0000.tmp
    Handle ID:    0xfd0

Process:
    Process ID:    0x1ae4
    Process Name:    C:\Program Files\Microsoft Office\root\Office16\WINWORD.EXE

Permissions Change:
    Original Security Descriptor:
D:AI(A;ID;FA;;;SY)(A;ID;FA;;;BA)(A;ID;FA;;;S-1-5-<SID>-1001)
    New Security Descriptor:
D:(A;;0x1200a9;;;WD)(A;ID;FA;;;SY)(A;ID;FA;;;BA)(A;ID;FA;;;S-1-5-21-<SID>-1001)

SDDL（安全描述符定义语言）中的权限更改是 DACL（自由访问控制列表部分），其中似乎添加了额外的 ACE（访问控制条目）。ACE(A;;0x1200a9;;;WD)被添加到最前面。这是我的解释：

A;意思是允许访问，保持不变
;没有继承
0x1200a9;表示FILE_GENERIC_READ | FILE_EXECUTE读取和执行访问
WD指“所有人”受托人

然后，稍后，我在进程监视器中看到~WRD0000.tmp重命名为操作。因此，最终得到了 Word 出于某种原因所做的一些 ACE 更改。test.docxSetRenameInformationFiletest.docx

Answer 1