URL: https://www.opennet.ru/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID14
Нить номер: 2740
[ Назад ]
Исходное сообщение
"Samba Domain Member on lxc - File serving with acl"
Отправлено neuch , 09-Фев-21 15:17 
Здравствуйте.

К Контроллеру Домена (ДК), работающему под самбой, Активной Директории (АД), приджойнен самба член из Виртуальной машины под lxc.

Этот член домена должен работать как файловый сервер использую windows ACL
lxc настроена на файловую систему: zfs
самба версия у члена: 4.12
бэкэнд: winbind 'ad'

Все настраивалось согласно самба вики. Расшаренная папка читается на виндовом клиенте и файлы и папки туда записываются.
НО НЕ работает очень нужное, - это возможность устанавливать разрешения на файлы/папки с Windows клиента. При попытке - Explorer виндоса говорит, что отсутствуют нужные права.
Кажется, что как то не верно ведет себя тема с SeDiskOperatorPrivilege?! Но я не знаю, что именно, все было сделано по мануалу и разрешение такое установлено для группы Unix Admins.

Пользователь от имени которого пытаюсь менять разрешения имеет uidNumber (rfc2307) атрибут в АД,
прайм группа (Domain Users) имеет gidNumber как и группа специально созданная для шары Unix Admins,
компьютер с которого пытаюсь менять разрешения имеет uidNumber
Навряд-ли дело в этих атрибутах. Я использовал так же winbind 'rid' бэкэнд - такая же проблема.

Все, что я нашел на самом высоком уровне логирования: какой от из модулей говорит, что отказано в доступе, в момент применения разрешений.

Пожалуйста, кто делал что-то подобное отзовитесь. Хотя бы узнать, что это действительно может работать?!

Содержание
Сообщения в этом обсуждении
"Samba Domain Member on lxc - File serving with acl"
Отправлено tonys , 11-Фев-21 11:55 
lxc вручную настроен или из под, например, Proxmox?


"Samba Domain Member on lxc - File serving with acl"
Отправлено neuch , 11-Фев-21 14:19 
> lxc вручную настроен или из под, например, Proxmox?

lxc работает под lxd

Как выяснилось, проблема решается изменением конфигурации контейнера на привилегированный.
Эта проблема, что-то из темы того, что пространство имен security.* может быть использовано только root юзером.
Контейнеры lxc используют ресурсы хоста, в том числе, как я понимаю, файловую систему. Упрощенно, из-за механизма работы непривилегированных контейнеров в них нет реального root юзера, который имел бы возможность изменять атрибуты security.*

К сожалению, так и не понятно (для меня по крайней мере), можно ли обойти это и использовать непривилегированные контейнеры. В целом использование привилегированных контейнеров не безопасно, но в моем случае это не является критичным.

Если кто-то все же знает, как это можно провернуть, буду безмерно счастлив принять эти сведения :)

"Samba Domain Member on lxc - File serving with acl"
Отправлено stalker37 , 12-Фев-21 16:01 
>> lxc вручную настроен или из под, например, Proxmox?
> lxc работает под lxd
> Как выяснилось, проблема решается изменением конфигурации контейнера на привилегированный.

https://linuxcontainers.org/lxc/getting-started/

Creating unprivileged containers as a user


Как-то так...