Как запретить samba-юзеру изменение директории, если на родительскую права 777?

[vkapas]

Есть задача: запретить пользователю samba переименовывать/удалять одну из дочерних директорий при условии, что на родительскую директорию у него полные права (через ACL). Такое возможно?

Почти удалось добиться желаемое с помощью sticky bit на родительскую директорию (владелец шары — отдельный системный юзер), но в этом случае пользователь samba лишается прав на изменение всех её дочерних директорий.

Слишком многого хочу?

[victor00000]

Код: [Выделить]

[user]
path=/home/user/samba/
valid users= user1 user2 user3
guest ok=yes
read only=no
create mask=700
directory mask=700

777 в /home/user/samba/
user1 user2 user3 - тди пользователи.
трёх смотрели в папки не может.
как ls /root пишет отказано.

[vkapas]

трёх смотрели в папки не может.
как ls /root пишет отказано.

Честно говоря, не понял, о чём речь.

И разве valid users влияет на доступ к определённым вложенным директориям шары?

[victor00000]

Код: [Выделить]

2:L~$
2:L~$ ls ~/samba
2:L~$
2:L~$ smbclient -N //127.0.0.1/user/ -c "mkdir user2" -U user2%1
Domain=[WORKGROUP] OS=[Windows 6.1] Server=[Samba 4.3.11-Ubuntu]
2:L~$
2:L~$ ls ~/samba
user2
2:L~$ ls ~/samba/user2
ls: невозможно открыть каталог /home/victor00000/samba/user2: Отказано в доступе
2:L~$
2:L~$ smbclient -N //127.0.0.1/user/ -c "cd user2;ls" -U user1%1
Domain=[WORKGROUP] OS=[Windows 6.1] Server=[Samba 4.3.11-Ubuntu]
NT_STATUS_ACCESS_DENIED listing \user2\*
2:L~$
2:L~$ smbclient -N //127.0.0.1/user/ -c "cd user2;ls" -U user2%1
Domain=[WORKGROUP] OS=[Windows 6.1] Server=[Samba 4.3.11-Ubuntu]
  .                                   D        0  Wed Mar  1 11:40:20 2017
  ..                                  D        0  Wed Mar  1 11:40:20 2017

961301000 blocks of size 1024. 96784388 blocks available
2:L~$
user2 клиент создать папка user2. а user1 клиенту в открыть папка user2 не может.

откуда userX?
нужно начало создать пользоватль.

Код: [Выделить]

sudo useradd user1 -s /bin/false
и пароля.

Код: [Выделить]

sudo smbpasswd -a user1


[vkapas]

victor00000, спасибо за ответ, но, по-моему, вы меня неправильно поняли.

Запрещать чтение директории не нужно, требуется запретить переименовывать и удалять директорию. При полных правах на диреторию-родителя.

Да, я знаю, как разграничивать права разным пользователями samba, и именно так сейчас у меня это работает. У директории, изменение/удаление которой нужно запретить (допустим, share/xyz), владелец уже другой; у группы пользователя Самбы (допустим, sambauser, группа — sambashare) права r-x; и при этом он может делать с директорией всё, что угодно.

(Нажмите, чтобы показать/скрыть)

[share]
   path = /home/user/share
   guest ok = no
   browseable = no
   create mask = 0660
   directory mask = 0770
   read only = no
   writable = yes
   inherit acls = yes
   inherit owner = yes
   inherit permissions = yes

(Нажмите, чтобы показать/скрыть)

$ getfacl share/
# file: share/
# owner: user
# group: user
user::rwx
user:sambauser:rwx
group::rwx
group:sambashare:r-x
mask::rwx
other::---

$ getfacl share/xyz
# file: share/xyz
# owner: user
# group: user
user::rwx
group::rwx
group:sambashare:r-x
mask::rwx
other::---