Samba: права доступа

[cx]

Доброго времени суток!

Проблема проста и банальна: есть PDC на Самбе + XP-шная сеть (классический и наиболее распространённый вариант); есть группа пользователей staff; есть для них шара.

Вопрос: как можно настроить права доступа так, чтобы любой юзер из группы staff мог читать "чужие" документы, но не смог бы их удалять и редактировать?

Вроде задача проста и должна бы решаться стандартными правами доступа, но...:

Код: Выделить всё

/staff - 0770 root:staff
/staff/шара - 0770 rector:staff

Код: Выделить всё

#smb.conf
[шара]
    comment = Documents
    path = /staff/шара
    public = yes
    printable = no
    writeable = yes
    write list = @staff
    # valid users = @staff
    create mask = 640
    directory mask = 750

Чужие документы и читаются и удаляются, согласно правам на /staff/шара, игнорируя права файлов (только чтение для группы)

Какие будут мысли?

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[serge]

Код: Выделить всё

create mode = 644
directory mode = 755

[serge]

Чужие документы и читаются и удаляются, согласно правам на /staff/шара, игнорируя права файлов (только чтение для группы)

А вот тут неправда получаеться. Не пользователь удалить файл, если не имеет на это прав. Запрещающие права на ФС перекрывают разрешающие права в самбе.

[cx]

Тёзка, ты не прав!
Т.е. теоретически оно так и должно быть, но на практике получатся, как я написал:

/staff - root:staff 0770 (иначе группа не сможет писать)
/staff/documents - наша шара - rector:staff 0770 (ректор может удалять в папке всё)

в smb.conf:

Код: Выделить всё

create mask = 640
directory mask = 750

Прошу юзера создать файл. Смотрю права: ola:staff 0640
Создаю файл от себя (для проверки). Смотрю права: admin:staff 0640

По идее я НЕ ДОЛЖЕН удалить файл юзера, поскольку моя группа имеет право только на его чтение.
Но! Поскольку на директории /staff/documents стоит 0770, то файл преспокойно удаляется.

И ещё: в чём разница между

Код: Выделить всё

create mode = 644
directory mode = 755

и

Код: Выделить всё

create mask = 640
directory mask = 750

????

[cx]

Всё вылечилось установкой на родительскую директорию Sticky bit

Всем спасибо! Ответившему в особенности!