本文介绍如何通过Samba服务实现NFS文件系统以SMB协议进行文件共享，并通过POSIX ACL控制权限。
背景信息
在Linux服务器上挂载NFS文件系统后，可以使用Samba服务将此文件系统以SMB协议共享给其他Windows用户使用。在Samba服务中，可以创建用户并拥有Windows端的用户名和密码，也拥有Linux端的用户名（与Windows端的用户名相同）和密码（可以与Windows端不同）。Samba端可以设置valid
users字段控制哪些用户/群组可以访问或者读写该文件系统。对于文件级别的访问控制，Samba服务会将POSIX ACL转化为SMB权限，来控制某个用户/群组的访问权限，具体介绍可参见Setting up a Share Using POSIX ACLs。
说明 目前，ACL功能只支持华北 3（张家口）、华北 5（呼和浩特）、亚太东南 2（悉尼）、亚太东南 3（吉隆坡）和美国西部 1（硅谷）地域，并且需要通过提交
工单申请后才能使用。
操作步骤
本步骤以CentOS操作系统为例，介绍如何设置POSIX ACL，并以Samba进行输出。其他的Linux操作系统的流程类似，命令稍有不同。
- 安装Samba服务。
- 创建Samba用户。
本文假设创建普通用户player，属于普通用户群组players；管理员admini，属于管理员群组adminis；另外再创建一个用户anonym，属于anonym_group群组。
- 创建用户和群组。
sudo useradd player
sudo groupadd players
sudo usermod -g players player
sudo useradd admini
sudo groupadd adminis
sudo usermod -g adminis admini
sudo useradd anonym
sudo groupadd anonym_group
sudo usermod -g anonym_group anonym
- 为Samba用户创建SMB挂载密码。
sudo smbpasswd -a player
sudo smbpasswd -a admini
sudo smbpasswd -a anonym
- 配置smb.conf配置文件。
安装Samba完成后，
/etc/samba/smb.conf是默认的配置文件。打开
/etc/samba/smb.conf，进行如下配置，重要参数说明如下所示，更多smb.conf配置选项请参见
The configuration file for the Samba suite。
- path = /mnt/nfs3：/mnt/nfs3为挂载的目标地址，请根据实际情况替换。
- valid users：用于控制可以访问文件系统的用户或群组，请根据实际情况替换。
[global]
server string = Samba Alibaba NAS NFS Server
server role = standalone server
min protocol = SMB2_10
log file = /var/log/samba/%m
log level = 2
valid users = @players, @adminis, @anonym_group
writable = yes
[nfs3]
comment = Secure File Server Share
path = /mnt/nfs3
- 启动Samba服务端Smbd。
sudo systemctl enable smb.service
sudo systemctl enable nmb.service
您也可以执行以下命令启动Samba服务端Smbd。
sudo systemctl restart smb.service
sudo systemctl restart nmb.service
- 在Windows系统中验证Samba服务。
使用
net use命令挂载Samba nfsv3文件系统。
net use * \\samba-IP\nfs3 <password> /user:<user>
挂载成功后，player、admini、anonym三个用户都可以访问该文件系统，并创建和读写目录/文件。
- 对NAS NFSv3文件系统设置POSIX ACL权限。
sudo umask 777
sudo mkdir dir0
sudo setfacl -m g:players:r-x dir0
sudo setfacl -m g:adminis:rwx dir0
sudo setfacl -m u::--- dir0
sudo setfacl -m g::--x dir0
sudo setfacl -m o::--- dir0
sudo setfacl -d -m g:players:r-x dir0
sudo setfacl -d -m g:adminis:rwx dir0
sudo setfacl -d -m u::--- dir0
sudo setfacl -d -m g::--x dir0
sudo setfacl -d -m o::--- dir0
- 在Windows系统中验证ACL设置结果。
- 使用admini身份挂载Samba nfsv3文件系统，在目录dir0下可以创建文件和子目录。
- 使用player身份挂载Samba nfsv3文件系统，在目录dir0下无法创建文件和子目录，但可以打开及读取文件和子目录。
- 使用anonym身份挂载Samba nfsv3文件系统，无法访问目录dir0下的文件和子目录。
Samba + NAS POSIX ACL的特性
- NFS文件系统的POSIX ACL会被转化为SMB ACL在Windows系统的安全标签中显示。
- 可以在SMB端设置SMB ACL并转化为POSIX ACL存入NFS文件系统。
- 如果SMB ACL无法转化为POSIX ACL，例如在POSIX ACL中没有Deny，或者权限超过了rwx的表达能力，修改会被忽略，不起作用。
- 建议只在NFS端设置ACL，SMB端只作为客户端使用。
- NAS NFSv3不支持锁，如果SMB端和NFS端同时有多个客户端进行读写操作，可能有一致性问题。如果有这类需求请使用Samba + NAS NFSv4 ACL。
评论