Zugriff für AD-Benutzer möglich nach ändern der Unix-Gruppe?

[FunnyDingo]

Hallo zusammen,

ich wollte unseren Web-Entwicklern das Leben etwas einfacher machen und auf unserem Web-Entwicklungssystem Samba einrichten, damit das nervige übertragen via FTP/SCP entfällt.

Des Server (OpenSuSE 11.4) befindet sich nun in der Domäne und grundsätzlich ist der Zugriff auf Shares auch möglich. Aber irgendetwas stimmt nach meinen Tests nicht mehr so richtig. Die Unix-Gruppe des Test-Verzeichnisses steht auf "users" -> Zugriff verweigert. Ändere ich die Gruppe nun auf "www" (ich möchte das, damit die Berechtigungen des Apache darüber gesteuert werden können) haben alle Domänen-Benutzer (vielleicht sogar "Jeder"?) Zugriff auf das Share.

Hat jemand einen Tipp, wie ich raus bekommen kann, warum hier jeder auf das Share zugreifen kann, wenn ich die Gruppe auf www ändere?

lg,
Funny

 

[Remidemi]

Hi

Wer ist alles in der Gruppe www?
Wie sehen die Berechtigungen auf das Share insgesamt aus?

 

[FunnyDingo]

Also laut yast sind in der Gruppe www

- testweb (lokaler Account den die Entwickler bisher für FTP/SCP benutzten)
- wwwrun

[testweb]
        comment = Freigabe für Entwickler
        inherit acls = Yes
        path = /home/testwww
        read only = No
        force user = testweb
        force group = www
        create mode = 0644
        directory mode = 0755

(Bitte nicht von Pfad irritieren lassen, im Endausbau ist dieser /home/testweb, aber zum ausprobieren wollte ich ein leeres Verzeichnis nutzen und habe daher /home/testwww angelegt)

ACLs gibts auch keine:

# file: testwww/
# owner: root
# group: www
user::rwx
group::r-x
other::---

Bin echt ratlos warum bei dieser Konfiguration jeder auf das Share zugreifen kann :-(

 

[Remidemi]

Welchen Security Mode hast du gesetzt? Kennst du dich damit aus?

Falls nicht : http://www.samba.org/samba/docs/man/Samba-HOWTO-Collection/ServerType.html#id2559114

 

[FunnyDingo]

Security Mode steht auf ADS und die Kiste ist auch Member der (W2K8-)Domäne. Theoretisch dürfte in der aktuellen Konfiguration ja noch kein Domänen-Benutzer Zugriff haben, oder?