คุณ somdej บรรเลงไปก่อนนะครับ
หลังวันที่ 6 ไปแล้ว ผมจะพอมีเวลา แล้วจะมาช่วยชี้แจงเสริมให้เข้าใจกันแจ่มแจ้งในเรื่อง
force create mode
force directory mode
create mask
directory mask
force group
force user
ทั้ง 6 ตัวนี้ให้จนกำหนดกันเป็นครับ
ทั้ง 6 ตัวนี้ มีประโยชน์มากครับ และเป็น Feature ที่ Original Server Message Block (SMB) ของ Micro$oft ดันไม่มี
ทั้ง 6 Feature นี้ เป็นส่วนหนึ่งของ Feature ที่ทีม SAMBA กำหนดขึ้นมาแล้วทำให้ SAMBA เหนือกว่า SMB Service ที่มาจาก Windows แท้ๆ ครับ
Feature อื่นก็ยังมีอีกที่ดีๆ
6 ตัวนี้แค่ส่วนหนึ่งเท่านั้น

ตอนนี้ขอตัวก่อน

มาแล้วครับ ตามสัญญา รอหน่อยไม่ว่ากันนะครับ
จะมาอธิบายวิธีการใช้

- directory mask และ create mask
- force directory mode และ force create mode
- froce user และ force group

ใน samba.conf ให้เข้าใจกันและกำหนดกันได้ครับ

อืมมม์.... เริ่มยังไงดีล่ะ... หาจุดเริ่มยากเหมือนกันแฮะ....

เริ่มที่ directory mask และ create mask เป็น global variable ครับ
จะใช้กำหนดใน [global] ของไฟล์ samba.conf
ที่ว่า มันเป็น global variable หมายถึงว่า การกำหนดค่านี้ จะมีผลกับทุกๆ ไฟล์และไดเร็คทอรี่ที่เปิิดแชร์เอาไว้
ทีนี้... มันมีผลอย่างไร มันมีผลร่วมกับ force directory mode และ force create mode ครับ
เช่นว่า ถ้ากำหนด directory mask = 700
กำหนด create mask = 600 ไว้
ขอให้นึกเป็นเลขฐานสองนะครับ
directory mask = 700 ก็คือ 0000 0111 0000 0000
แบ่งออกเป็็น 4 ส่วนนะครับ ได้เป็น
0000
0111
0000
0000
ชุดแรกชุด เป็น Reserved ครับ ไม่ใช้
ชุดที่สองคือ 0111 ก็คือบิตที่กำหนด permission ของ owner นั่นเอง
ชุดที่สามคือ 0000 ก็คือบิตที่กำหนด permission ของ group owner นั่นเอง
ชุดที่สี่คือ 0000 ก็คือบิตที่กำหนด permission ของ other นั่นเอง
อันนี้ใช้ความเข้าใจเดียวกับ *nix permission นั่นเอง
หากใครอ่านแล้วงง ขอให้ศึกษาเรื่อง File และ Directory permission ของตระกูล *nix นะครับ (Unix, Linux, Xenix ฯลฯ)
แล้วมันมีผลอะไรหรือ? มันเป็น mask ครับ แปลว่า หน้ากาก
หมายความว่า ไฟล์ทุกไฟล์ที่ถูกสร้างขึ้นใหม่ผ่าน SAMBA หรือถูกอ่านจาก Server ส่งไปให้ Client โดย SAMBA เมื่ออ่านแล้ว ค่า Permission ที่อ่านได้จาก Harddisk ของระบบบน Server จริงจะเป็นอะไรก็ตามที จะถูกนำมา mask กับค่า create mask ก่อนเสมอครับ
ทำให้ไฟล์นั้นๆ Client จะเห็น Permission ตามค่าหลังจากที่ mask bit แล้ว ไม่ใช่ค่าของ File permission บน Harddisk ของ Server จริงๆ
ส่วน directory mask ก็ทำนองเดียวกันครับ
ดังนั้น กรณีอย่างที่ยกตัวอย่าง ค่า Directory permission ของทุกๆ ไดเร็คทอรี่ที่แชร์ไว้
จะถูก SAMBA นำมาทำ bit mask กับ 0x0700 ก่อนเสมอ แล้ว Client จะได้ค่า permission หลังจาก mask แล้วไป

แล้ว... มันมีประโยชน์อะไร? มีครับ มีมากเลย...
สมมุติว่าคุณแชร์ไว้ไดเร็คทอรี่หนึ่ง เปิดให้ group หนึ่งเข้าอ่านเขียนได้อิสระ
ก็ยังจะเกิดปัญหาคือ ไฟล์หรือไดเร็คทอรี่ที่ถูกสร้างขึ้นโดย User ใด User หนึ่ง
จะมี Owner เป็นของ User นั้น และ Group เป็นของ User นั้นๆ
คนอื่นเปิดไม่ได้ และถึงแม้จะบังคับไว้ให้ force create mode เป็น 777 หรือ 666 ก็อาจมีปัญหาอื่น
คือ group อื่นคุณต้องการให้อ่านได้อย่างเดียว ดังนั้น ถ้าไปกำหนด force create mode เป็น 777 หรือ 666 แล้ว จะทำให้ User ใน group อื่น ทั้งอ่านได้ เขียนได้ และ execute ได้ด้วย
สำหรับ force.... เดี๋ยวจะได้อธิบายต่อไปภายหลังครับ
....mask ก็เลยมีมาเพื่อการนี้ ทำให้มันซิกแซกได้อย่างชาญฉลาดขึ้นอีก
เมื่อกำหนด create mask เป็็น 700 แล้ว นั่นหมายความว่า คนอื่น Access เข้ามา
จะได้รับ permission เป็น owner และสามารถอ่านเขียนได้ เพราะได้ Owner permission เป็น 7 ปัญหาก็จะหมดไป

มันอธิบายลำบากพอสมควรนะครับ ต้องอาศัยความเข้าใจพื้นฐานเรื่อง File และ Directory permission เป็นอย่างดีเลย ถ้างงยังไง ขอให้ไปศึกษาเพิ่มเติมนะครับ

ทีนี้... มาที่ force directory mode และ force create mode บ้าง อันนี้อธิบายง่ายหน่อย
force ทั้ง 4 ตัว เป็น local variable นะครับ จะใช้กำหนดในแต่ละ share directory ไปต่างหาก
ไม่มีผลข้ามไปยังแชร์อื่นๆ ต้องกำหนดกันเป็นตัวๆ ไปเลย
force directory mode คือ บังคับครับ บังคับให้ directory ย่อยทุก subdirectory ที่ถูกสร้างโดย client ผ่าน samba ภายใต้แชร์นั้นๆ มี permission ตามนั้น เช่นถ้ากำหนด force directory mode ไว้เป็น 770 แล้ว samba ก็จะสร้าง directory จริงบน harddisk ของ Server โดยมี permission เป็น 0x0770 นั่นเองครับ
ส่วน force create mode ก็เหมือนกันครับ แต่ใช้กำหนด File permission ที่ถูกสร้างผ่าน samba นั่นเอง
อีก 2 ตัวคือ force group กับ force user ก็เหมือนกันครับ อ่านมาถึงตรงนี้ก็น่าจะเดาออกกันแล้ว
force group ไม่ต้องมี @ นำหน้าชื่อ group นะครับ สามารถใส่ชื่อ group ได้เลย และได้เพียง group เดียวเท่านั้น เช่น
force group = staff
ส่วน force user ก็ได้ชื่อเดียวเช่นกัน
นอกจากนี้ ทั้งสองตัวยังสามารถใช้เป็นค่า group id หรือ user id ได้ด้วยครับ

ตรง force เนี่ย เป็นสิ่งที่ SMB Protocol ของแท้ของ M$ ไม่มีเลยครับ ไม่มีแม้แต่ Feature ที่คล้ายๆ ก็ไม่มี ทำให้ M$ Windows ไม่ยืดหยุ่นในเรื่องนี้ ไม่สามารถจำกัดตีสโคบ Permission ได้ละเอียดเท่า SAMBA ครับ

ส่วน mask เนี่ย ก็เป็นสิ่งที่ Windows ไม่มี แต่ *nix มีก็เพื่อแก้ปัญหาให้ Permission มันเข้ากันได้กับ SMB ของแท้ด้วยประการหนึ่ง
แล้วมันก็ดันได้ประโยชน์ประการอื่นด้วยขึ้นมา ทำให้การแชร์ของ SAMBA ซิกแซกได้มาก
รวมทั้งเมื่อต้องแชร์ร่วมกับอย่างอื่นเช่น NFS หรือ FTP หรืออื่นๆ ปัญหาเรื่อง Permission ก็จะหมดไป
ในขณะที่ Security ยังสมบูรณ์ดีอยู่ แต่กรณีของ M$ Windows ถ้าจะทำให้ Permission หลวมขึ้น
คือหมายถึงว่า Directory หนึ่งๆ แชร์หลาย User หลาย Group แล้วยังได้หลาย Service ด้วย
Security ก็จะหลวมทันที
ตรงนี้ ต้องอาศัยความรู้ในเรื่อง File และ Directory permission ของทั้ง 2 OS เป็นอย่างดีนะครับ จึงจะสามารถทำความเข้าใจได้อย่างถ่องแท้
หรือบางท่านอาจอาศัยประสบการณ์ก็พอจะเข้าใจได้แล้ว เพราะบางท่านอาจจะเคยเจอปัญหาแล้ว แต่ไม่เข้าใจว่าเกิดอะไรขึ้น
บางท่านอาจเคย Config M$ Windows ได้ดั่งใจแล้ว แต่ดันมีช่องโหว่ที่ไม่รู้จะอุดอย่างไร โดยเฉพาะเมื่อ Access ต่าง Service กัน แล้วพอมาปรับเปลี่ยนลองใช้ *nix ก็เจอปัญหาคือ ไม่สามารถทำให้ Permission มีความ Compatible กับ Configuration เดิมของ Windows Server ตัวเดิมได้ ทำให้ migrate (แทนที่) กันไม่ได้ 100%
แต่... ถ้าท่านไหนปรับแต่งบน *nix โดยใช้เทคนิคและคุณสมบัติเฉพาะตัวของ SAMBA และ *nix ได้แล้ว สามารถซิกแซกจนยืดหยุ่น ได้ดั่งใจแล้ว ถ้าท่านจะกลับไป Config Windows ให้ได้ Compatible 100% บ้างล่ะก็ อันนี้ล่ะ เห็นทีจะลำบากครับ
สำหรับปัจจุบันวันนี้ 12 กค. 2549 นี้ M$ Windows ไม่ว่าตัวไหนๆ ก็ยังทำไม่ได้ 100% ครับ

วันนี้ขอเท่านี้นะครับ ผมรู้สึกว่า ผมอธิบายได้ไม่ดีเลย
ดูแล้ว ยังเข้าใจได้ยาก โดยเฉพาะถ้าเป็นมือใหม่นี่ บอกลาได้เลยที่จะเข้าใจได้ทันที
แต่ผมก็พยายามที่สุดแล้วนะครับ
ถ้าใครเข้าใจแล้ว คนอื่นยังสงสัย และคุณสามารถอธิบายได้เป็นที่เข้าใจง่ายกว่าผม ก็ช่วยอธิบายกันด้วยนะครับ
แจมได้ตามสบายครับ

ต้องการ rwx แบบ Windows 2000 ACL เนี่ย เป็นกรณีที่มีไม่บ่อยนะครับ เพราะ Delete attribute นั้น OS อื่นไม่ให้ความสำคัญเลยก็เพราะ ถึงไม่ Delete grant ก็ตาม ไฟล์ก็ยังเสียหายโดยถูก Reset เป็น 0 ไบต์ได้โดย Write attribute อยู่ดี
จากคำถามที่ต้องการ ทำได้ประมาณหนึ่งครับ คืองี้....
ถ้ายกเว้นกรณีแบ่ง User ออกเป็น 2 group ออก เหลือแค่กรณีทำให้ Share นั้นๆ เป็น rwx แบบ Windows 2000 ACL ล่ะ ทำได้ครับ
ผมยังไม่เคยลองทำเลยนะครับ เพราะยังไม่เคยมีคนถามและยังไม่เคยเจอไซท์งานไหนใช้เลย แต่เคยศึกษาผ่านตามาครับ เมื่อครั้งประมาณ SAMBA อยู่ที่ Version 2 ต้นๆ Feature นี้ (SAMBA ACL) ถูกบรรจุไว้ใน Roadmap ด้วย แต่ปัจจุบันยังไม่คืบหน้าไปไหน เพราะ Vote เรียกร้องคะแนนไม่กี่สิบคนเองครับ จึงถูกละเลยโดยทีม SAMBA ไม่ให้ความสำคัญไป
วิธีทำ 3 วิธีที่เคยผ่านตามา ผมจะเล่าเท่าที่จำได้นะครับ รายละเอียดลงลึกในการทำนี่ จำได้ไม่ชัดเจนแน่นอนครับ เพราะแค่เคยผ่านตา ไม่ได้ลองทำ

1) SAMBA Plugin
2) แก้ไขใน Source code ของ SAMBA แล้ว Compile ใหม่ (ผมถนัดวิธีนี้ครับ รู้สึกง่ายที่สุด)
3) แก้ไข ACL ของ OS ครับ แล้ว Compile kernel ใหม่ เท่ากับยกหน้าที่นี้ให้ OS จัดการไป คนที่ทำแบบนี้เรียก Special permission โดยอาศัย 4 บิตบนของ Permission word ที่ Reserved ไว้มาใช้งานครับ

ขยายความ วิธีที่ 1 ผมเคยพบบน Internet คนที่ต้องการ Delete grant ใช้วิธีเขียน Plugin แล้วใส่เข้าไปใน samba.conf ใน [global]
คลับคล้ายคลับคลาว่าจะเป็นทำนองว่า root exec = rm .... -rf อะไรนี่แหละครับ
จากความจำด้วยการสังเกตุในขณะที่ผมกำลังรับสารนี้อยู่นั้น เข้าใจว่า rm นี่คือ remove คล้ายๆ กับว่า เวลาสั่ง Delete เนี่ย SAMBA เอาไป Execute คำสั่ง rm พื้นฐานของ OS เพื่อการลบไฟล์
คนที่ทำเป็น plugin ใช้ Concept คือ เขียน Script ของตนขึ้นมา แล้วเข้าไปเสียบแทนที่จุดที่ SAMBA จะเรียก rm มาทำงาน โดยการเสียบแทนที่นี้ ดูเหมือนจะใช้แค่วิธี Config ใน samba.conf ได้
คนที่เขียน Script ขึ้น ก็เขียนให้ไปตรวจสอบชื่อ User เองต่างหาก ถ้าลบได้ก็ไปเรียก rm ทำงานตามปกติ ถ้าไม่ได้ก็ไม่ทำอะไร แล้วให้ exit เป็น 1

วิธีที่ 2 เป็นวิธีที่ผมถนัดครับ คงไม่ต้องอธิบายกัน เพราะแก้ไข Code ของ SAMBA เลยตรงๆ ข้อเสียก็คือ เวลา Upgrade SAMBA ก็ต้องแก้ไข Code ของ Version ใหม่ด้วยทุกครั้งที่ Upgrade (อาศัยไม่ได้ Upgrade พร่ำเพรื่อน่ะครับ) แล้ว Compile ใหม่ด้วย --with-acl-support ออพชั่น วิธีนี้ดูเหมือนกำปั้นทุบดินสำหรับหลายๆ คน แต่สำหรับผม ผมรู้สึกว่ามันเป็นทางออกของทุกข้อจำกัด เพราะเราทำได้เองน่ะครับ

วิธีที่ 3 อันนี้เด็ดขาดเลยครับ เพราะแก้ไขที่ Kernel เลย มีผลไปทั่วเลยเลย เท่ากับเพิ่ม Permission bit ของ OS ขึ้นมาเลยนั่นเอง (มีคนทำ pacth ไว้ที่ http://acl.bestbits.at ด้วยครับ ลองไปชมดู)

แต่... นั่นคือ ผมสมมุติว่า ตัดความต้องการเรื่องแบ่งเป็น 2 group ที่สามารถ Delete ได้และไม่ได้ออกไปนะครับ
แต่ถ้าไม่ตัดล่ะ นั่นแหละ ที่ผมยังนึกไม่ออกครับ
มันเท่ากับตัว SAMBA เองต้องมี Feature ทำนอง Delete list = user @group ขึ้นมาด้วยเสียมากกว่า
ซึ่ง ถ้าต้องการเช่นนั้น ถ้าสมมุติว่าเป็นผมทำ ผมก็ใช้วิธีไปเล่นที่ Source code ของ SAMBA แน่นอนครับ
ไม่ใช่แค่แก้ไขเสียด้วย แต่ต้องเป็นเพิ่มเติมด้วยเชียวครับ

ผมไม่เคยลองกับกรณีนี้นะครับ
หวังว่าที่บอกไปคงจะพอเป็น Guideline ได้นะครับ
ว่างๆ ผมจะทดลองดูครับ
กะว่าจะลองค้นคว้าเรื่องทำแบบ plugin ดูก่อน แล้วลองแก้ไข Source code ดูด้วย ว่าจะแก้ไข/เพิ่มเติมมากน้อยแค่ไหน ถ้าไม่มาก ก็น่าจะเป็นวิธีที่ดีครับ จะเพิ่มให้มี delete list เหมือน read list กับ write list ขึ้น และอาจมี deleteable ให้เหมือน writeable ด้วย ถ้าแก้ไข/เพิ่มเติมแล้วดูจะเข้าท่าดี จะได้ Deliver ไปให้ SAMBA Team พิจารณา Patch เข้าไปใน CVS ปัจจุบันด้วย ก็น่าจะดีครับ

ที่คุณจักนันท์ตอบมานั้นเยี่ยมมากเลยครับ ทั้ง 3 วิธีนั้นผมคงทำไม่ได้หรอกครับเพราะเรื่องลีนุกซ์และแซมบ้าผมก็แค่ผู้ใช้ธรรมดาคนหนึ่ง ไม่ได้มีความรู้อะไรมากมาย ที่ใช้ได้ก็อาศัยอ่านศึกษาจากหนังสือและบนอินเตอร์เน็ตนี่แหละครับ ยังไงถ้าทำแบบวิธีที่3 ได้ คือ เพิ่มให้มี delete list เหมือน read list กับ write list ขึ้น คงจะดีไม่น้อยครับ ส่วน veto files นี่ผมยังไม่ได้ลองดูครับ ไม่ทราบต้องเขียนอย่างไรครับ เขียนเหมือนกับ hide files หรือเปล่าครับ ผมลองใช้ hide files ดูแล้วโปรแกรมทำงานไม่ได้ เช่น hied files = /*.dbf/ พอรันโปรแกรมแล้วทำงานไม่เวิร์คคือมันจะมองไม่เห็นดาต้าเบส .dbf เลยครับเช่น โปรแกรม Express เป็นต้น
ยังไงก็ขอบคุณคุณจักนันท์มาก ๆ ครับที่กรุณาตอบให้ความกระจ่าง ผมคงรอความหวังตรง delete list คงจะใช้งานง่ายดีไม่น้อย...

SIS 5 มีปัญหาเรื่อง samba เรากำลังแก้ไข และจะเปิดให้ upgrade เพื่อแก้ bug ตัวนี้ในเร็ววันนี้ครับ และจะแก้ถาวร ใน 5.01 ครับ

ตอนนี้ ถ้าใครต้องการด่วนต้องแก้มือเองนิดหน่อยครับ

ถ้าต้องการรายละเอียดละก็ วันหลังจะมาใส่ให้ครับ :)

ตามที่คุณ hosp20 เคยถามไว้ ที่ว่าอยากได้คุณสมบัติแบบ Windows 2000 ACL ซึ่งสามารถแก้ไขไฟล์ได้ แต่ลบไม่ได้ ตอนนี้ Linux Kernel 2.6.18-1.2869 (ปัจจุบัน ณ วันที่พิมพ์อยู่นี่) ใช้ร่วมกับ SAMBA 3.0.22 ขึ้นไป สามารถทำได้แล้วนะครับ

ในที่สุด Feature ก็มาแล้ว

ส่วนที่คุณ udolnop ฝากไว้ สามารถจัดการได้ด้วย corn ครับ บรรทัดเดียว จบเลย ลองศึกษาดูครับ

มาช้ายังดีกว่าไม่มา... ที่จริง ผมว่าก็ไม่ช้านะ ประมาณครึ่งปีเอง