Usando Samba - Permisos de Ficheros y Atributos en MS-DOS y Unix

DOS nunca fue diseñado para ser un sistema operativo multiusuario ni de red. Unix, por el contrario, fue diseñado con ese propósito desde el principio. Consecuentemente, existen inconsistencias y lagunas o huecos entre los dos sistemas de archivos que Samba no sólo es consciente, sino que también proporciona soluciones para ellos. Uno de los mayores obstáculos es cómo Unix y DOS manejan los permisos de archivos.

Echemos un vistazo a cómo asigna Unix los permisos. Todos los archivos Unix tienen bits de lectura, escritura y ejecución para tres clasificaciones de usuarios: propietario (owner), grupo (group), y resto de usuarios (world). Estos permisos son visibles a la izquierda de los archivos cuando se ejecuta un comando ls -al sobre un directorio Unix. Por ejemplo:

-rwxr--r-- 1 tom users 2014 Apr 13 14:11 access.conf
 

Windows, por el contrarioo, tiene cuatro bits principales que usa con cualquier tipo de fichero: sólo lectura (read-only), de sistema (system), oculto (hidden), y archivo (archive). Puedes ver estos bits haciendo doble click con el botón derecho del ratón sobre el fichero y seleccionando el elemento de menú 'Propiedades'. Deberías ver algo similar a lo que muestra la Figura 5.6.^5.1.

Figure: Propiedades de Archivos DOS y Windows.

A continuación, la definición de cada uno de estos bits:

Read-only (Sólo Lectura)

Los contenidos del archivo pueden ser leídos por un usuario pero no pueden ser sobreescritos.

System (de Sistema)

Este archivo cumple un propósito muy específico, requerido por el sistema operativo.

Hidden (Oculto)

Este archivo ha sido marcado para hacerlo invisible al usuario, a menos que el sistema esté configurado para que aún así sea visible.

Archive (Archivo)

Este archivo ha sido modificado desde la última copia DOS que se hizo de él.

Consecuentemente, no hay uso para ninguno de los tres bits de ejecutable de Unix que están presentes en un archivo que se encuentra en un recurso compartido a través de Samba. Los archivos DOS, sin embargo, tienen sus propios atributos que necesitan ser preservados cuando estos son almacenados en un entorno Unix: los bits de archivo (archive), sistema (system), y oculto (hidden). Samba puede preservar estos bits mediante la reutilización de los bits de permisos de ejecución del archivo en el lado Unix -si lo hemos configurado para que lo haga, claro-. Mapear estos bits, sin embargo, tiene un desafortunado 'efecto secundario': si un usuario Windows almacena un fichero en un recurso compartido por Samba, y tú lo ves desde el lado Unix con el comando ls -al, algunos de los bits de permisos de ejecución no significarán lo que crees que deberían significar.

Tres opciones en Samba deciden si los bits serán o no mapeados: map archive, map system , y map hidden. Estas opciones mapean los atributos archivo (archive), sistema (system), y oculto (hidden) contra los bits de permiso de ejecución del propietario (owner), grupo (group) y resto de usuarios (world) del archivo, respectivamente. Puedes añadir estas opciones al recurso [data], estableciendo cada uno de sus valores como sigue:

[data]
   path = /home/samba/data
   browseable = yes
   guest ok = yes
   writeable = yes
   map archive = yes
   map system = yes
   map hidden = yes
 

Tras esto, intenta crear un archivo en el recurso desde Unix -por ejemplo, hello.java- y cambia los permisos del fichero a 755. Con estas opciones activadasd, deberías poder chequear los permisos en la parte de Windows y verías que cada uno de los tres valores aparece marcado en la caja de diálogo de Propiedades del archivo. ¿Y qué pasa con el atributo de sólo lectura? Por defecto, Samba 2.0 establece esto cuando un archivo no tiene configurado el bit de permiso de escritura para el propietario en la parte Unix. En otras palabras, puedes configurar este bit cambiando los permisos del fichero a 555.

Deberíamos advertirte que el valor por defecto para la opción map archive es yes, mientras que las otras dos opciones tienen un valor por defecto de no. Esto es así porque muchos programas no trabajarían correctamente si el bit de archivo no se almacena correctamente para archivos DOS y Windows. Los atributos de sistema (system) y oculto (hidden), sin embargo, no son críticos para la operatividad de los programas, así que quedan a la discreción del administrador del sistema.

La figura 5.7. resume los bits de permisos de Unix e ilustra cómo mapea Samba estos bits a atributos DOS. Advierte que los bits de grupo y del resto de usuarios de lectura/escritura no se traducen directamente a atributos DOS, pero ellos todavía retienen sus definiciones originales Unix en el servidor Samba.

Figure: Cómo Samba y Unix ven los permisos de un archivo.

Creación de Máscaras

Samba tiene varias opciones para ayudarnos con la creación de máscaras. La crecación (o eliminación) de máscaras de archivos ayudan a definir los permisos que un archivo o directorio recibirá en el momento de ser creado. En Unix, esto significa que puedes controlar qué permisos no va a tener un archivo o directorio cuando este sea creado. Para archivos accesibles desde Windows, esto significa que puedes desactivar los atributos de sólo lectura, archivo, sistema y oculto de un archivo.

Por ejemplo, la opción create mask forzará que los permisos de un archivo creado por un cliente Windows sean, como mucho,744:

[data]
   path = /home/samba/data
   browseable = yes
   guest ok = yes
   writeable = yes
   create mask = 744
 

mientras que la opción directory mask que mostramos a continuación forzará los permisos de un recién creado directorio a, como mucho, 755:

[data]
   path = /home/samba/data
   browseable = yes
   guest ok = yes
   writeable = yes
   directory mask = 755
 

Alternativamente, también puedes forzar varios bits con las opciones force create mode y force directory mode. Estas opciones realizarán un 'OR lógico' contra las máscaras de creación de fichero y directorio, garantizando que estos bits especificados siempre serán establecidos. Podrías establecer estas opciones globalmente para asegurarte de que los permisos de grupo y resto de usuarios de lectura/escritura han sido establecidos apropiadamente para los nuevos archivos o directorios en cada recurso.

Siguiendo la misma filosofía, si quisieras explícitamente establecer los atributos de usuario y grupo de un fichero de Unix que se ha creado desde la parte Windows, puedes usar las opciones force user y force group. Por ejemplo:

[data]
   path = /home/samba/data
   browseable = yes
   guest ok = yes
   writeable = yes
   create mask = 744
   directory mask = 755
   force user = joe
   force group = accounting
 

Estas opciones actualmente asignan un usuario y grupo Unix estáticos a cada conexión que se realizae a un recurso compartido. Sin embargo, esto ocurre después de que el cliente haya realizado la autentificación; esto no permite acceso libre a un recurso. Estas opciones son frecuentemente usadas por sus capacidades de asignar un determinado usuario y gruop a cada nuevo fichero o directorio que es creado en un recurso. Usa estas opciones con discreción.

Finalmente, una de las capacidades de Unix que DOS no tiene es la habilidad de eliminar un fichero de sólo lectura desde un directorio con permisos de escritura. En Unix, si un directorio es escribible, un fichero de sólo lectura en ese directorio aún puede ser eliminado. Esto te permitiría eliminar ficheros en cualquiera de tus directorios, aunque el archivo hubiera sido depositado por algún otro usuario.

Los sistemas de archivos DOS no están diseñados para múltiples usuarios, y por eso sus diseñadores decidieron que 'sólo lectura' significa 'proteger contra cambios accidentales, incluyendo la eliminación', más que 'proteger contra algún otro usuario en una máquina de un usuario'. Así que los diseñadores del DOS prohibieron la eliminación de un fichero de sólo lectura. Aún hoy día, los sistemas de archivos Windows exhiben la esta característica.

Normalmente, esto no es un problema. Los programas Windows no intentarán eliminar ficheros de sólo lectura porque ellos saben que esa es una mala idea. Sin embargo, un número de programas de control de código fuente -que primero fueron escritos para Unix- funcionan en Windows y requieren la habilidad de eliminar ficheros de sólo lectura. Samba permite esta característica con la opción delete readonly. Para activar esta funcionalidad, establece la opción a yes:

[data]
   path = /home/samba/data
   browseable = yes
   guest ok = yes
   writeable = yes
   create mask = 744
   directory mask = 755
   force user = joe
   force group = accounting
   delete readonly = yes
 

Opciones de Permisos de Ficheros y Directorios

Las opciones de permisos de ficheros y directorios están resumidas en la Tabla 5.5; cada opción se decribe en detalle.

...^5.1

El checkbox de sistema estará probablemente inhabilitado para tu archivo. No te preocupes por ello -todavía deberías poder ver cuándo la caja está marcada y cuándo no-. Figura 5.6: Propiedades de Archivos DOS y Windows.