企业官网建设流程全解析

简介：这份文档面向需要在Linux环境下搭建文件共享服务的运维人员与系统管理员，聚焦Samba共享目录的多用户权限控制这一常见难点，帮助读者理清从用户与组规划到共享目录隔离的完整配置思路。资源包共1个doc文件，约5.03MB，以Word文档形式系统整理了Samba基础概念、安装方式、用户与组创建、smb.conf全局与共享段配置、目录属主与权限设定、服务重启测试及安全优化等环节，并配有可直接参考的命令与配置片段。已有4521人学习，适合希望快速掌握valid users、create mask、directory mask等关键参数用法，并落地多用户按角色访问共享目录的中级读者对照实践与查漏补缺。

1. Samba 多用户共享：为什么“能连上”和“权限对”是两回事

很多人第一次配 Samba，卡在的不是装不上，而是“Windows 能打开共享，但 A 用户能翻到 B 用户的目录”。这背后是 SMB/CIFS 协议层认证和 Linux 文件系统权限两层机制在同时起作用，任何一层没对齐，权限就会漏。Samba 共享目录的多用户权限设置，本质是把「Samba 账号 → Linux 系统账号 → 组 → 目录属主与 mode → 共享段参数」这五件事串成一条链，链上任何一环松了，都会出现“看着能访问、实际越权”的玄学现象。这份案例把链条拆成可复现的步骤，适合正在给实验室、小团队或某公司内网搭文件服务器的运维和开发，尤其是被“共享盘里互相能看到工资表”这类问题折腾过的人。

2. 先把账号和组铺好：Samba 用户不是 Linux 用户的影子

2.1 为什么必须同时有 Linux 用户和 Samba 用户

Samba 的security = user模式下，客户端登录时先由 Samba 做 SMB 层认证，认证通过后，Samba 会以对应的 Linux 系统用户身份去读写文件。也就是说，Samba 账号负责“你能不能进门”，Linux 账号负责“进门后你能碰哪些柜子”。只建 Samba 用户不建 Linux 用户，或者只建 Linux 用户不执行smbpasswd，都会在连接阶段或读写阶段翻车。常见做法是：先建 Linux 组和用户，再用smbpasswd -a把同一个用户名注册进 Samba 密码库，两边用户名保持一致，后面排错时少一层映射困惑。

2.2 建组、建用户、设 Samba 密码的完整命令

下面这组命令以 Debian/Ubuntu 为例，CentOS/RHEL 把apt-get换成yum即可。假设组名为teamshare，用户为alice、bob、carol，其中carol是只读访客。

# 1. 创建共享组 sudo groupadd teamshare # 2. 创建 Linux 用户，-G 附加组，-m 建家目录，-s 指定不可登录 shell 更安全 sudo useradd -m -G teamshare -s /usr/sbin/nologin alice sudo useradd -m -G teamshare -s /usr/sbin/nologin bob sudo useradd -m -G teamshare -s /usr/sbin/nologin carol # 3. 给每个用户设置 Linux 密码（用于本地身份，不用于 SMB 登录） sudo passwd alice sudo passwd bob sudo passwd carol # 4. 注册为 Samba 用户并设置 SMB 密码 sudo smbpasswd -a alice sudo smbpasswd -a bob sudo smbpasswd -a carol # 5. 确认 Samba 用户列表 sudo pdbedit -L

逻辑说明：useradd -G teamshare让用户拥有附加组，后面目录的组权限才能生效；-s /usr/sbin/nologin禁止这些账号 SSH 登录，降低被拿来做跳板的概率。smbpasswd -a是往 Samba 自己的密码数据库写记录，和/etc/shadow是两套东西，所以第 3 步和第 4 步不能互相替代。pdbedit -L用来确认 Samba 侧到底认了哪些账号，排错时先看这一条，比盲改smb.conf有效。

提示：如果pdbedit -L里看不到某个用户，先检查smbpasswd -a是否报错，再检查该用户名在/etc/passwd中是否存在，顺序不要反。

2.3 目录骨架和属主怎么定

共享根目录不要直接给 777，那是给自己埋雷。推荐结构是“一个公共可写区 + 每人一个私有子目录”，公共区靠组权限控制，私有区靠属主控制。

# 共享根目录，属主 root，组 teamshare，权限 2770 sudo mkdir -p /srv/teamshare sudo chown root:teamshare /srv/teamshare sudo chmod 2770 /srv/teamshare # 公共交换区，组内可写，setgid 保证新建文件继承组 sudo mkdir -p /srv/teamshare/public sudo chown root:teamshare /srv/teamshare/public sudo chmod 2770 /srv/teamshare/public # 每人私有目录，属主是本人，组 teamshare，权限 2770 sudo mkdir -p /srv/teamshare/alice /srv/teamshare/bob /srv/teamshare/carol sudo chown alice:teamshare /srv/teamshare/alice sudo chown bob:teamshare /srv/teamshare/bob sudo chown carol:teamshare /srv/teamshare/carol sudo chmod 2770 /srv/teamshare/alice /srv/teamshare/bob /srv/teamshare/carol

参数说明：2770里的首位2是 setgid 位，作用是目录下新建的文件和子目录自动继承父目录的组，避免“alice 建的文件组变成 alice 私有组，bob 就写不进去”的经典问题。770表示属主和组可读写执行，其他人无权限。私有目录虽然组也是teamshare，但配合后面的共享段参数，可以让非属主在 Samba 层被挡住，形成“系统层同组、Samba 层隔离”的双保险。

3. smb.conf 怎么写：共享段参数才是权限的闸门

3.1 全局段的最小可用配置

/etc/samba/smb.conf的[global]段决定认证方式和日志行为。下面这份是偏保守的写法，适合内网小规模多用户场景。

[global] workgroup = WORKGROUP server string = File Server %v netbios name = FILESRV security = user map to guest = Bad User guest ok = no obey pam restrictions = yes unix password sync = yes passwd program = /usr/bin/passwd %u passwd chat = *Enter\snew\s*\spassword:* %n\n *Retype\snew\s*\spassword:* %n\n *password\supdated\ssuccessfully* . log file = /var/log/samba/log.%m max log size = 1000 logging = file server min protocol = SMB2

逐项说明：security = user表示用 Samba 用户库认证；map to guest = Bad User把认证失败的用户映射为 guest，配合guest ok = no可以避免匿名访问，但保留“错误用户不会直接报协议错”的兼容性；obey pam restrictions = yes让 Samba 尊重 PAM 的账号限制；unix password sync和passwd program这一组用于让 SMB 改密同步到 Linux 密码，是否启用看团队习惯，不启用也不影响共享读写；server min protocol = SMB2是近几年比较常见的收紧项，老客户端如果连不上，先怀疑这一条，而不是先怀疑权限。

3.2 公共共享段：组内可写、访客只读

公共区用两个共享段实现“组内可写”和“访客只读”，比在一个段里用复杂参数硬掰更清晰。

[public] path = /srv/teamshare/public browseable = yes writable = yes guest ok = no valid users = @teamshare write list = @teamshare create mask = 0660 directory mask = 2770 force group = teamshare [public-ro] path = /srv/teamshare/public browseable = yes writable = no guest ok = yes read only = yes create mask = 0440 directory mask = 0550

参数说明：valid users = @teamshare是访问白名单，只有该组成员能进；write list = @teamshare明确可写名单，和writable = yes配合时以更细的名单为准；force group = teamshare让新建文件强制落到共享组，减少组继承异常；create mask和directory mask是 Samba 层对新建文件/目录权限的掩码，它和 Linux 的 umask 共同作用，最终权限是两者“取更严”的结果。public-ro段给访客只读，guest ok = yes配合全局的map to guest，适合放一些公共文档，但不要把这个段指到可写目录上。

3.3 私有目录段：用变量做“一人一段”的隔离

给每个用户单独写一个共享段当然可以，但用户一多就难维护。更常见的做法是用%U变量做一个模板段，让每个用户登录后只看到自己的目录。

[homes] comment = Home Directories browseable = no writable = yes valid users = %S create mask = 0600 directory mask = 0700 [private] path = /srv/teamshare/%U browseable = yes writable = yes valid users = %U create mask = 0600 directory mask = 0700 force user = %U

逻辑说明：%U在会话建立后替换为当前 Samba 用户名，valid users = %U表示只有本人能访问该段；path = /srv/teamshare/%U要求目录名和用户名严格一致，前面建目录时已经按这个规则铺好；force user = %U让文件操作以本人身份执行，避免出现“目录属主是 alice，但文件被写成 root”的怪权限。[homes]是 Samba 内置的家目录共享，valid users = %S中的%S是当前服务名，在家目录场景下等价于当前用户，两者选一个用即可，不要同时开两个指向同一路径的段，否则客户端会看到重复入口。

注意：%U依赖用户名和目录名一致，如果团队里有大小写混用或带点号的用户名，先在测试机上验证替换结果，再上生产。

3.4 改完配置先做语法检查再重启

# 语法检查，输出 OK 才继续 sudo testparm -s # 重启服务（不同发行版服务名略有差异） sudo systemctl restart smbd sudo systemctl restart nmbd # 查看服务状态和最近日志 sudo systemctl status smbd --no-pager sudo tail -n 50 /var/log/samba/log.smbd

testparm -s会把生效配置打印出来，重点看有没有拼写错误导致的段被忽略；log.%m按客户端主机名分文件，排错时先定位到具体客户端日志，比翻大日志快。重启后不要急着让用户连，先在服务器本机用smbclient -L localhost -U alice看共享列表是否正常，这一步能把“服务没起来”和“权限不对”分开。

4. 验证与排错：从客户端视角确认权限真的生效

4.1 用 smbclient 做四组对照测试

图形界面点两下看不出越权，命令行对照更可靠。准备四个测试：组内用户读公共区、组内用户写公共区、组外用户访问公共区、用户访问他人私有目录。

# 1. alice 列出共享 smbclient -L //127.0.0.1 -U alice%'AliceSmbPass' # 2. alice 在公共区建文件 smbclient //127.0.0.1/public -U alice%'AliceSmbPass' -c 'put /etc/hostname alice_test.txt; ls' # 3. 用一个不在 teamshare 组的账号访问公共区，应当被拒 smbclient //127.0.0.1/public -U outsider%'OutsiderPass' -c 'ls' # 4. alice 尝试进入 bob 的私有目录，应当被拒 smbclient //127.0.0.1/private -U alice%'AliceSmbPass' -c 'ls'

预期结果：第 1 组能列出public、public-ro、private等段；第 2 组上传成功且ls能看到文件；第 3 组返回NT_STATUS_ACCESS_DENIED或登录失败；第 4 组因为valid users = %U被拒。如果第 4 组居然能进，优先检查是不是客户端缓存了旧会话，换一个干净会话或重启客户端工作站再试，不要一上来就改配置。

4.2 权限不对时按这个顺序查

排错顺序建议固定为：Samba 用户是否存在 → 共享段是否被testparm识别 →valid users是否匹配 → Linux 目录属主和 mode 是否允许 → SELinux/AppArmor 是否拦截 → 客户端是否缓存。这个顺序能把“认证失败”“授权失败”“文件系统拒绝”“安全模块拒绝”四类问题分开。常见的一个误区是看到Permission denied就去chmod 777，结果越权问题没解决，反而把隔离打穿了。

4.3 新建文件权限和预期不一致时看两个掩码

Samba 的create mask和 Linux 的 umask 是叠加关系，最终权限取交集。比如create mask = 0660，而服务进程 umask 是0022，新建文件可能是0640，组写位被 umask 拿掉了。处理方式是在共享段里显式写create mask和force group，必要时在[global]里调整umask，但不要为了省事把 mask 放到0777。另一个容易忽略的点是directory mask = 2770里的 setgid 位，如果目录已经存在且没有 setgid，Samba 新建子目录的继承行为会和预期不同，建目录时就把位设好，比事后补更稳。

5. 避坑清单：五个真实翻车现场

5.1 现象：Windows 提示“无法访问，可能没有权限”，Linux 本地却正常

原因：Samba 用户没注册或密码库不同步，SMB 层认证就没过，根本没走到文件系统。解决：在服务器上执行pdbedit -L确认用户存在，再用smbpasswd -a重设一次；如果最近改过 Linux 密码且开了unix password sync，检查passwd chat是否匹配当前系统的改密提示语，匹配不上就关掉同步，改用手动维护。

5.2 现象：组内用户能进公共区，但新建文件别人改不了

原因：目录没有 setgid，或者共享段没写force group，新建文件落到了用户私有组。解决：对共享目录执行chmod 2770，在共享段加force group = teamshare，并确认create mask至少包含组读写位。改完后让用户重新建文件测试，旧文件需要手动chgrp修正。

5.3 现象：私有目录段所有人都能进

原因：valid users = %U写成了valid users = @teamshare，或者path用了固定路径而不是%U。解决：检查testparm -s输出里该段的实际值，确认变量没有被引号或转义破坏；同时确认没有另一个更宽松的共享段指向同一路径，Samba 按段匹配，客户端可能连到了另一个入口。

5.4 现象：重启服务后客户端仍看到旧共享或旧权限

原因：客户端 SMB 会话缓存，或者服务器上nmbd没重启导致浏览列表没刷新。解决：客户端断开重连或重启工作站；服务器侧同时重启smbd和nmbd；测试时尽量用smbclient新会话，避免被图形界面的缓存误导。

5.5 现象：日志里大量NT_STATUS_ACCESS_DENIED，但配置看着都对

原因：SELinux 或 AppArmor 拦截了 Samba 对非标准路径的访问，或者上级目录缺少执行位。解决：先看audit.log或dmesg是否有拒绝记录；确认/srv/teamshare每一级父目录对teamshare组至少有x位；如果是 SELinux，用ls -Z看上下文，按发行版文档给共享目录打正确标签，不要直接关安全模块。

6. 进阶：用 include 和脚本把多用户配置管起来

用户一多，手写共享段会失控。我一般把每个共享拆成独立文件，用include挂进主配置，再用一个小脚本做“建用户 + 建目录 + 写段 + 重载”的流水线。这样新增一个用户只跑一条命令，权限模板不会走样。

#!/usr/bin/env bash # add_share_user.sh —— 用法: ./add_share_user.sh <username> set -euo pipefail USER_NAME="$1" GROUP_NAME="teamshare" BASE_DIR="/srv/teamshare" CONF_DIR="/etc/samba/conf.d" # 1. 建组（已存在则忽略）和用户 getent group "$GROUP_NAME" >/dev/null || groupadd "$GROUP_NAME" id "$USER_NAME" >/dev/null 2>&1 || useradd -m -G "$GROUP_NAME" -s /usr/sbin/nologin "$USER_NAME" # 2. 建私有目录并设权限 mkdir -p "${BASE_DIR}/${USER_NAME}" chown "${USER_NAME}:${GROUP_NAME}" "${BASE_DIR}/${USER_NAME}" chmod 2770 "${BASE_DIR}/${USER_NAME}" # 3. 生成独立共享段 cat > "${CONF_DIR}/${USER_NAME}.conf" <<EOF [private-${USER_NAME}] path = ${BASE_DIR}/${USER_NAME} browseable = yes writable = yes valid users = ${USER_NAME} create mask = 0600 directory mask = 0700 force user = ${USER_NAME} EOF # 4. 语法检查后重载 testparm -s >/dev/null systemctl reload smbd echo "done: ${USER_NAME}"

逻辑说明：脚本把“系统账号、目录、共享段”三件事绑在一次执行里，避免手工漏步；每个用户一个.conf文件，主配置里只需一行include = /etc/samba/conf.d/*.conf，回滚时删文件即可。参数上，set -euo pipefail让任何一步失败就停，防止半成品状态；systemctl reload smbd比restart温和，已建立的会话不受影响。验证方法是在测试机上跑一遍脚本，然后用testparm -s | grep -A6 "private-"确认段被正确加载，再用smbclient做一次越权对照。从那以后我每次加共享用户都强制走一遍脚本和四组对照测试，宁可多花五分钟，也不让“共享盘里互相看得见”这种事再发生一次。希望帮到你。

本文还有配套的精品资源，点击获取