Samba多用户共享权限配置：Linux组权限与smb.conf实战指南

简介这份文档面向Linux运维人员与需要跨平台文件共享的开发者聚焦Samba共享目录的多用户权限控制这一常见难点。内容从Samba与SMB/CIFS协议基础讲起依次覆盖软件安装、用户与用户组创建、smb.conf全局与共享段配置、valid users与create/directory mask等权限参数设定以及共享目录下按用户划分子目录并配合chown、chmod完成隔离的完整思路最后给出服务重启测试与防火墙、密码加密等安全优化建议属于可直接对照操作的实战型案例。资源包内共1个doc文档压缩包约5.03MB以图文与配置片段形式呈现便于按章节查阅和复制命令。目前已有4514人学习下载适合希望快速掌握Samba多用户权限设置、减少反复试错成本的读者参考。1. Samba 共享目录的多用户权限设置为什么你配了valid users还是被拒很多人第一次配 Samba 多用户权限都会经历同一个场景smb.conf里明明写了valid users alice, bobalice能进bob一访问就弹「拒绝访问」。你去查日志log.smbd里只有一句干巴巴的NT_STATUS_ACCESS_DENIED没有更多信息。于是开始怀疑人生重启服务、改force user、把security从user改成share越改越乱。这个标题要解决的就是这件事在同一台 Linux 文件服务器上让多个系统用户通过 Samba 访问同一个共享目录但各自只能看到和修改自己该动的东西。它适合两类人一是要给小团队搭内部文件共享、又不想上域控的运维二是被「共享目录权限」反复折磨、想一次性把 Linux 权限位和 Samba 配置的对应关系搞清楚的开发者。核心不是背参数而是理解Linux 文件系统权限、Samba 用户映射、共享级配置这三层是怎么叠加的——绝大多数翻车都翻在没分清这三层谁说了算。2. 先把三层权限模型理清Linux 位、Samba 账户、共享配置谁说了算2.1 一次访问请求到底经过了几道门当客户端发起\\server\share访问时Samba 内部大致按这个顺序判断连接层客户端用什么账号认证。security user时Samba 拿这个账号去比对smbpasswd数据库独立于系统/etc/passwd。共享层这个账号是否被这个共享允许。由valid users、invalid users、read list、write list控制。文件系统层真正落到磁盘读写时Linux 内核按该账号对应的系统 UID/GID去检查目录和文件的rwx位。关键点Samba 的smbpasswd账号必须能对应到一个系统用户否则第三步没有 UID 可用直接失败。很多人只smbpasswd -a建了 Samba 账号却没建系统用户或者系统用户名和 Samba 用户名不一致就会卡在文件系统层。2.2 为什么force user是双刃剑force user xxx的作用是不管客户端用哪个账号登录落到文件系统时统统以xxx的身份读写。它能让权限问题「瞬间消失」但代价是所有写操作的文件属主都变成xxx你再也分不清谁写的审计和配额全废。我的建议是只有在共享目录是纯公共读写、且你不在乎属主归属时才用force user。要做多用户隔离就别碰它老老实实靠 Linux 组权限 create mask/directory mask。2.3 组权限才是多用户方案的地基多用户共享最稳的模型是「一个共享目录 一个专用用户组」建一个组比如smbteam把所有需要访问的用户加进这个组共享目录属主设为某个管理账号属组设为smbteam权限27702是 setgid保证新建文件继承组Samba 里用valid users smbteam放行整组。这样新增用户只需usermod -aG smbteam不用改smb.conf。下面几章就按这个模型落地。3. 从零搭一套多用户共享系统用户、组、目录、smb.conf 四步走3.1 建系统用户和专用组先建组再建用户并加入组。注意-M不建家目录、-s /sbin/nologin禁止登录 shell这是文件服务器账号的常见做法。# 建专用组 groupadd smbteam # 建两个系统用户不建家目录、不给登录 shell useradd -M -s /sbin/nologin alice useradd -M -s /sbin/nologin bob # 加入共享组 usermod -aG smbteam alice usermod -aG smbteam bob # 验证组成员 getent group smbteam逻辑说明getent group smbteam应输出类似smbteam:x:1001:alice,bob。如果这里看不到用户后面 Samba 的smbteam一定不生效。参数上-M和-s /sbin/nologin不是必须但能减少被拿来做登录跳板的风险属于我一般会加的习惯。3.2 建共享目录并设好 setgid 权限# 建目录 mkdir -p /srv/smbshare # 属主给管理账号这里用 root属组给 smbteam chown root:smbteam /srv/smbshare # 2770属主 rwx属组 rwx其他人无权限2 表示 setgid chmod 2770 /srv/smbshare # 确认 ls -ld /srv/smbshare逻辑说明2770里的2是 setgid 位作用是目录下新建的文件和子目录自动继承smbteam组而不是继承创建者的主组。没有这个位alice 建的文件属组会是 alice 的主组bob 就可能读不了。这是多用户共享里最容易被忽略、又最致命的一位。3.3 写 smb.conf 共享段[teamshare] path /srv/smbshare browseable yes writable yes valid users smbteam write list smbteam create mask 0660 directory mask 2770 force group smbteam逻辑说明与参数valid users smbteam只有该组成员能连这个共享表示组。write list smbteam允许写。若只想部分人写把这里换成具体用户名。create mask 0660新建文件权限属主和属组可读写其他人无权限。directory mask 2770新建目录带 setgid保证子目录也继承组。force group smbteam强制落到文件系统时属组为smbteam和 setgid 双保险。提示create mask是「上限」实际权限还会受客户端请求的权限和 umask 影响别指望它能把权限「提上去」它只能往下压。3.4 建 Samba 账号并重启服务# 为系统用户建 Samba 密码用户名必须和系统用户一致 smbpasswd -a alice smbpasswd -a bob # 启用账号 smbpasswd -e alice smbpasswd -e bob # 检查配置语法 testparm # 重启服务 systemctl restart smbd systemctl enable smbd逻辑说明smbpasswd -a的用户名必须和系统用户名完全一致否则第三步文件系统层找不到 UID。testparm会打印解析后的配置并提示语法问题改完smb.conf必跑。重启后从客户端用 alice、bob 分别登录各自建一个文件再用ls -l看属主属组是否符合预期。4. 多用户隔离进阶子目录分权、只读账号与写列表的组合4.1 用子目录 组实现「公共区 私有区」一个共享里想同时有公共读写区和每人私有区常见做法是在共享根下建子目录各自设权限mkdir -p /srv/smbshare/public /srv/smbshare/alice /srv/smbshare/bob # 公共区全组可读写 chown root:smbteam /srv/smbshare/public chmod 2770 /srv/smbshare/public # 私有区只有本人可进 chown alice:smbteam /srv/smbshare/alice chmod 2700 /srv/smbshare/alice chown bob:smbteam /srv/smbshare/bob chmod 2700 /srv/smbshare/bob逻辑说明私有区用2700属组虽然还是smbteam但组权限位是0所以同组其他人进不去。这样只用一个 Samba 共享就能实现「公共 私有」的目录结构客户端体验也更简单。4.2 只读账号怎么写想加一个只能看不能改的账号比如审计用途[teamshare] path /srv/smbshare valid users smbteam, auditor read only yes write list smbteam逻辑说明read only yes让共享默认只读write list再把写权限单独开给smbteam。auditor不在写列表里就只能读。注意auditor同样要有系统用户和 Samba 账号且要能通过文件系统层的读权限检查——如果目录是2770auditor不在smbteam组里就读不了需要单独给它读权限或加进组但靠write list限制写。4.3 用include拆分多共享配置共享一多smb.conf会变得很长。常见做法是把每个共享拆成独立文件用include引入# 主配置末尾 include /etc/samba/conf.d/*.conf# /etc/samba/conf.d/teamshare.conf [teamshare] path /srv/smbshare valid users smbteam writable yes create mask 0660 directory mask 2770逻辑说明拆分后每个共享独立维护改一个不影响其他。include支持通配符注意文件权限别让普通用户可写否则等于把配置权交出去了。5. 避坑与排查多用户 Samba 最常见的 5 个翻车现场5.1 现象bob 登录成功但访问目录被拒原因Samba 认证过了但文件系统层 bob 对目录没有x进入权限。目录的x位是「能否进入/穿越」没有它连ls都不行。解决ls -ld看目录权限确认 bob 所属组在属组里且有x。用namei -l /srv/smbshare逐级检查路径上每一层目录的权限父目录缺x也会被拒。5.2 现象alice 建的文件 bob 改不了原因目录没设 setgidalice 新建文件属组是 alice 的主组不是smbteambob 作为同组用户没有组写权限。解决目录改chmod 2770并在smb.conf里加force group smbteam和directory mask 2770。已存在的文件用chgrp -R smbteam批量修正。5.3 现象改了smb.conf不生效原因没重启或重载smbd或者改错了配置文件位置有些发行版主配置不在/etc/samba/smb.conf。解决testparm确认实际加载的配置路径和内容然后systemctl reload smbd部分改动需restart。testparm输出的Loaded services file就是真正生效的文件。5.4 现象Windows 客户端提示「多重连接到服务器…不允许」原因同一客户端已用账号 A 连过再用账号 B 连同一服务器Windows 会复用已有会话导致认证冲突。解决客户端net use * /delete清掉现有连接再重连或换用不同主机名/IP 访问。这是客户端行为不是服务端配置问题别去改smb.conf。5.5 现象日志里只有ACCESS_DENIED看不出原因原因默认日志级别太低。解决临时提高日志级别排查[global] log level 3 log file /var/log/samba/log.%m%m按客户端主机名分文件方便定位是哪台机器。排查完记得调回默认高日志级别会拖慢性能、撑爆磁盘。6. 验证与收尾用smbclient在本地把权限跑一遍再交付配完别急着让同事连先在服务器本地用smbclient自测能省掉大量来回沟通。# 以 alice 身份连接并列出共享 smbclient -L localhost -U alice # 进入共享建文件、建目录、看权限 smbclient //localhost/teamshare -U alice # 进入交互后 # smb: \ mkdir testdir # smb: \ put /etc/hostname testfile # smb: \ ls逻辑说明smbclient -L验证账号能否枚举共享进入交互后建目录和文件再回到 shell 用ls -l /srv/smbshare看属主属组和权限位是否符合create mask/directory mask预期。然后用 bob 重复一遍重点验证 bob 能否修改 alice 建的文件——这才是多用户共享的核心验收点。一个我踩过的坑曾经图省事用force user nobody让所有写操作都成功结果某天要追查一个误删文件是谁干的ls -l里全是nobody彻底抓瞎。从那以后我给自己定了条规矩——只要共享涉及多个人就绝不用force user抹掉身份宁可多花十分钟把组权限和 mask 配对。权限这东西配的时候嫌麻烦出事的时候它就是唯一的后悔药。希望帮到你。本文还有配套的精品资源点击获取