docs/htmldocs/unix-permissions.html

   1 <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN">
   2 <HTML
   3 ><HEAD
   4 ><TITLE
   5 >UNIX Permission Bits and Windows NT Access Control Lists</TITLE
   6 ><META
   7 NAME="GENERATOR"
   8 CONTENT="Modular DocBook HTML Stylesheet Version 1.77"><LINK
   9 REL="HOME"
  10 TITLE="SAMBA Project Documentation"
  11 HREF="samba-howto-collection.html"><LINK
  12 REL="PREVIOUS"
  13 TITLE="Hosting a Microsoft Distributed File System tree on Samba"
  14 HREF="msdfs.html"><LINK
  15 REL="NEXT"
  16 TITLE="Printing Support in Samba 2.2.x"
  17 HREF="printing.html"></HEAD
  18 ><BODY
  19 CLASS="CHAPTER"
  20 BGCOLOR="#FFFFFF"
  21 TEXT="#000000"
  22 LINK="#0000FF"
  23 VLINK="#840084"
  24 ALINK="#0000FF"
  25 ><DIV
  26 CLASS="NAVHEADER"
  27 ><TABLE
  28 SUMMARY="Header navigation table"
  29 WIDTH="100%"
  30 BORDER="0"
  31 CELLPADDING="0"
  32 CELLSPACING="0"
  33 ><TR
  34 ><TH
  35 COLSPAN="3"
  36 ALIGN="center"
  37 >SAMBA Project Documentation</TH
  38 ></TR
  39 ><TR
  40 ><TD
  41 WIDTH="10%"
  42 ALIGN="left"
  43 VALIGN="bottom"
  44 ><A
  45 HREF="msdfs.html"
  46 ACCESSKEY="P"
  47 >Prev</A
  48 ></TD
  49 ><TD
  50 WIDTH="80%"
  51 ALIGN="center"
  52 VALIGN="bottom"
  53 ></TD
  54 ><TD
  55 WIDTH="10%"
  56 ALIGN="right"
  57 VALIGN="bottom"
  58 ><A
  59 HREF="printing.html"
  60 ACCESSKEY="N"
  61 >Next</A
  62 ></TD
  63 ></TR
  64 ></TABLE
  65 ><HR
  66 ALIGN="LEFT"
  67 WIDTH="100%"></DIV
  68 ><DIV
  69 CLASS="CHAPTER"
  70 ><H1
  71 ><A
  72 NAME="UNIX-PERMISSIONS"
  73 ></A
  74 >Chapter 5. UNIX Permission Bits and Windows NT Access Control Lists</H1
  75 ><DIV
  76 CLASS="SECT1"
  77 ><H1
  78 CLASS="SECT1"
  79 ><A
  80 NAME="AEN580"
  81 ></A
  82 >5.1. Viewing and changing UNIX permissions using the NT
  83         security dialogs</H1
  84 ><P
  85 >New in the Samba 2.0.4 release is the ability for Windows
  86         NT clients to use their native security settings dialog box to
  87         view and modify the underlying UNIX permissions.</P
  88 ><P
  89 >Note that this ability is careful not to compromise
  90         the security of the UNIX host Samba is running on, and
  91         still obeys all the file permission rules that a Samba
  92         administrator can set.</P
  93 ><P
  94 >In Samba 2.0.4 and above the default value of the
  95         parameter <A
  96 HREF="smb.conf.5.html#NTACLSUPPORT"
  97 TARGET="_top"
  98 ><TT
  99 CLASS="PARAMETER"
 100 ><I
 101 >       nt acl support</I
 102 ></TT
 103 ></A
 104 > has been changed from
 105         <TT
 106 CLASS="CONSTANT"
 107 >false</TT
 108 > to <TT
 109 CLASS="CONSTANT"
 110 >true</TT
 111 >, so
 112         manipulation of permissions is turned on by default.</P
 113 ></DIV
 114 ><DIV
 115 CLASS="SECT1"
 116 ><H1
 117 CLASS="SECT1"
 118 ><A
 119 NAME="AEN589"
 120 ></A
 121 >5.2. How to view file security on a Samba share</H1
 122 ><P
 123 >From an NT 4.0 client, single-click with the right
 124         mouse button on any file or directory in a Samba mounted
 125         drive letter or UNC path. When the menu pops-up, click
 126         on the <SPAN
 127 CLASS="emphasis"
 128 ><I
 129 CLASS="EMPHASIS"
 130 >Properties</I
 131 ></SPAN
 132 > entry at the bottom of
 133         the menu. This brings up the normal file properties dialog
 134         box, but with Samba 2.0.4 this will have a new tab along the top
 135         marked <SPAN
 136 CLASS="emphasis"
 137 ><I
 138 CLASS="EMPHASIS"
 139 >Security</I
 140 ></SPAN
 141 >. Click on this tab and you
 142         will see three buttons, <SPAN
 143 CLASS="emphasis"
 144 ><I
 145 CLASS="EMPHASIS"
 146 >Permissions</I
 147 ></SPAN
 148 >,
 149         <SPAN
 150 CLASS="emphasis"
 151 ><I
 152 CLASS="EMPHASIS"
 153 >Auditing</I
 154 ></SPAN
 155 >, and <SPAN
 156 CLASS="emphasis"
 157 ><I
 158 CLASS="EMPHASIS"
 159 >Ownership</I
 160 ></SPAN
 161 >.
 162         The <SPAN
 163 CLASS="emphasis"
 164 ><I
 165 CLASS="EMPHASIS"
 166 >Auditing</I
 167 ></SPAN
 168 > button will cause either
 169         an error message <SPAN
 170 CLASS="ERRORNAME"
 171 >A requested privilege is not held
 172         by the client</SPAN
 173 > to appear if the user is not the
 174         NT Administrator, or a dialog which is intended to allow an
 175         Administrator to add auditing requirements to a file if the
 176         user is logged on as the NT Administrator. This dialog is
 177         non-functional with a Samba share at this time, as the only
 178         useful button, the <B
 179 CLASS="COMMAND"
 180 >Add</B
 181 > button will not currently
 182         allow a list of users to be seen.</P
 183 ></DIV
 184 ><DIV
 185 CLASS="SECT1"
 186 ><H1
 187 CLASS="SECT1"
 188 ><A
 189 NAME="AEN600"
 190 ></A
 191 >5.3. Viewing file ownership</H1
 192 ><P
 193 >Clicking on the <B
 194 CLASS="COMMAND"
 195 >"Ownership"</B
 196 > button
 197         brings up a dialog box telling you who owns the given file. The
 198         owner name will be of the form :</P
 199 ><P
 200 ><B
 201 CLASS="COMMAND"
 202 >"SERVER\user (Long name)"</B
 203 ></P
 204 ><P
 205 >Where <TT
 206 CLASS="REPLACEABLE"
 207 ><I
 208 >SERVER</I
 209 ></TT
 210 > is the NetBIOS name of
 211         the Samba server, <TT
 212 CLASS="REPLACEABLE"
 213 ><I
 214 >user</I
 215 ></TT
 216 > is the user name of
 217         the UNIX user who owns the file, and <TT
 218 CLASS="REPLACEABLE"
 219 ><I
 220 >(Long name)</I
 221 ></TT
 222 >
 223         is the descriptive string identifying the user (normally found in the
 224         GECOS field of the UNIX password database). Click on the <B
 225 CLASS="COMMAND"
 226 >Close
 227         </B
 228 > button to remove this dialog.</P
 229 ><P
 230 >If the parameter <TT
 231 CLASS="PARAMETER"
 232 ><I
 233 >nt acl support</I
 234 ></TT
 235 >
 236         is set to <TT
 237 CLASS="CONSTANT"
 238 >false</TT
 239 > then the file owner will
 240         be shown as the NT user <B
 241 CLASS="COMMAND"
 242 >"Everyone"</B
 243 >.</P
 244 ><P
 245 >The <B
 246 CLASS="COMMAND"
 247 >Take Ownership</B
 248 > button will not allow
 249         you to change the ownership of this file to yourself (clicking on
 250         it will display a dialog box complaining that the user you are
 251         currently logged onto the NT client cannot be found). The reason
 252         for this is that changing the ownership of a file is a privileged
 253         operation in UNIX, available only to the <SPAN
 254 CLASS="emphasis"
 255 ><I
 256 CLASS="EMPHASIS"
 257 >root</I
 258 ></SPAN
 259 >
 260         user. As clicking on this button causes NT to attempt to change
 261         the ownership of a file to the current user logged into the NT
 262         client this will not work with Samba at this time.</P
 263 ><P
 264 >There is an NT chown command that will work with Samba
 265         and allow a user with Administrator privilege connected
 266         to a Samba 2.0.4 server as root to change the ownership of
 267         files on both a local NTFS filesystem or remote mounted NTFS
 268         or Samba drive. This is available as part of the <SPAN
 269 CLASS="emphasis"
 270 ><I
 271 CLASS="EMPHASIS"
 272 >Seclib
 273         </I
 274 ></SPAN
 275 > NT security library written by Jeremy Allison of
 276         the Samba Team, available from the main Samba ftp site.</P
 277 ></DIV
 278 ><DIV
 279 CLASS="SECT1"
 280 ><H1
 281 CLASS="SECT1"
 282 ><A
 283 NAME="AEN620"
 284 ></A
 285 >5.4. Viewing file or directory permissions</H1
 286 ><P
 287 >The third button is the <B
 288 CLASS="COMMAND"
 289 >"Permissions"</B
 290 >
 291         button. Clicking on this brings up a dialog box that shows both
 292         the permissions and the UNIX owner of the file or directory.
 293         The owner is displayed in the form :</P
 294 ><P
 295 ><B
 296 CLASS="COMMAND"
 297 >"SERVER\user (Long name)"</B
 298 ></P
 299 ><P
 300 >Where <TT
 301 CLASS="REPLACEABLE"
 302 ><I
 303 >SERVER</I
 304 ></TT
 305 > is the NetBIOS name of
 306         the Samba server, <TT
 307 CLASS="REPLACEABLE"
 308 ><I
 309 >user</I
 310 ></TT
 311 > is the user name of
 312         the UNIX user who owns the file, and <TT
 313 CLASS="REPLACEABLE"
 314 ><I
 315 >(Long name)</I
 316 ></TT
 317 >
 318         is the descriptive string identifying the user (normally found in the
 319         GECOS field of the UNIX password database).</P
 320 ><P
 321 >If the parameter <TT
 322 CLASS="PARAMETER"
 323 ><I
 324 >nt acl support</I
 325 ></TT
 326 >
 327         is set to <TT
 328 CLASS="CONSTANT"
 329 >false</TT
 330 > then the file owner will
 331         be shown as the NT user <B
 332 CLASS="COMMAND"
 333 >"Everyone"</B
 334 > and the
 335         permissions will be shown as NT "Full Control".</P
 336 ><P
 337 >The permissions field is displayed differently for files
 338         and directories, so I'll describe the way file permissions
 339         are displayed first.</P
 340 ><DIV
 341 CLASS="SECT2"
 342 ><H2
 343 CLASS="SECT2"
 344 ><A
 345 NAME="AEN635"
 346 ></A
 347 >5.4.1. File Permissions</H2
 348 ><P
 349 >The standard UNIX user/group/world triple and
 350                 the corresponding "read", "write", "execute" permissions
 351                 triples are mapped by Samba into a three element NT ACL
 352                 with the 'r', 'w', and 'x' bits mapped into the corresponding
 353                 NT permissions. The UNIX world permissions are mapped into
 354                 the global NT group <B
 355 CLASS="COMMAND"
 356 >Everyone</B
 357 >, followed
 358                 by the list of permissions allowed for UNIX world. The UNIX
 359                 owner and group permissions are displayed as an NT
 360                 <B
 361 CLASS="COMMAND"
 362 >user</B
 363 > icon and an NT <B
 364 CLASS="COMMAND"
 365 >local
 366                 group</B
 367 > icon respectively followed by the list
 368                 of permissions allowed for the UNIX user and group.</P
 369 ><P
 370 >As many UNIX permission sets don't map into common
 371                 NT names such as <B
 372 CLASS="COMMAND"
 373 >"read"</B
 374 >, <B
 375 CLASS="COMMAND"
 376 >               "change"</B
 377 > or <B
 378 CLASS="COMMAND"
 379 >"full control"</B
 380 > then
 381                 usually the permissions will be prefixed by the words <B
 382 CLASS="COMMAND"
 383 >               "Special Access"</B
 384 > in the NT display list.</P
 385 ><P
 386 >But what happens if the file has no permissions allowed
 387                 for a particular UNIX user group or world component ? In order
 388                 to  allow "no permissions" to be seen and modified then Samba
 389                 overloads the NT <B
 390 CLASS="COMMAND"
 391 >"Take Ownership"</B
 392 > ACL attribute
 393                 (which has no meaning in UNIX) and reports a component with
 394                 no permissions as having the NT <B
 395 CLASS="COMMAND"
 396 >"O"</B
 397 > bit set.
 398                 This was chosen of course to make it look like a zero, meaning
 399                 zero permissions. More details on the decision behind this will
 400                 be given below.</P
 401 ></DIV
 402 ><DIV
 403 CLASS="SECT2"
 404 ><H2
 405 CLASS="SECT2"
 406 ><A
 407 NAME="AEN649"
 408 ></A
 409 >5.4.2. Directory Permissions</H2
 410 ><P
 411 >Directories on an NT NTFS file system have two
 412                 different sets of permissions. The first set of permissions
 413                 is the ACL set on the directory itself, this is usually displayed
 414                 in the first set of parentheses in the normal <B
 415 CLASS="COMMAND"
 416 >"RW"</B
 417 >
 418                 NT style. This first set of permissions is created by Samba in
 419                 exactly the same way as normal file permissions are, described
 420                 above, and is displayed in the same way.</P
 421 ><P
 422 >The second set of directory permissions has no real meaning
 423                 in the UNIX permissions world and represents the <B
 424 CLASS="COMMAND"
 425 >               "inherited"</B
 426 > permissions that any file created within
 427                 this directory would inherit.</P
 428 ><P
 429 >Samba synthesises these inherited permissions for NT by
 430                 returning as an NT ACL the UNIX permission mode that a new file
 431                 created by Samba on this share would receive.</P
 432 ></DIV
 433 ></DIV
 434 ><DIV
 435 CLASS="SECT1"
 436 ><H1
 437 CLASS="SECT1"
 438 ><A
 439 NAME="AEN656"
 440 ></A
 441 >5.5. Modifying file or directory permissions</H1
 442 ><P
 443 >Modifying file and directory permissions is as simple
 444         as changing the displayed permissions in the dialog box, and
 445         clicking the <B
 446 CLASS="COMMAND"
 447 >OK</B
 448 > button. However, there are
 449         limitations that a user needs to be aware of, and also interactions
 450         with the standard Samba permission masks and mapping of DOS
 451         attributes that need to also be taken into account.</P
 452 ><P
 453 >If the parameter <TT
 454 CLASS="PARAMETER"
 455 ><I
 456 >nt acl support</I
 457 ></TT
 458 >
 459         is set to <TT
 460 CLASS="CONSTANT"
 461 >false</TT
 462 > then any attempt to set
 463         security permissions will fail with an <B
 464 CLASS="COMMAND"
 465 >"Access Denied"
 466         </B
 467 > message.</P
 468 ><P
 469 >The first thing to note is that the <B
 470 CLASS="COMMAND"
 471 >"Add"</B
 472 >
 473         button will not return a list of users in Samba 2.0.4 (it will give
 474         an error message of <B
 475 CLASS="COMMAND"
 476 >"The remote procedure call failed
 477         and did not execute"</B
 478 >). This means that you can only
 479         manipulate the current user/group/world permissions listed in
 480         the dialog box. This actually works quite well as these are the
 481         only permissions that UNIX actually has.</P
 482 ><P
 483 >If a permission triple (either user, group, or world)
 484         is removed from the list of permissions in the NT dialog box,
 485         then when the <B
 486 CLASS="COMMAND"
 487 >"OK"</B
 488 > button is pressed it will
 489         be applied as "no permissions" on the UNIX side. If you then
 490         view the permissions again the "no permissions" entry will appear
 491         as the NT <B
 492 CLASS="COMMAND"
 493 >"O"</B
 494 > flag, as described above. This
 495         allows you to add permissions back to a file or directory once
 496         you have removed them from a triple component.</P
 497 ><P
 498 >As UNIX supports only the "r", "w" and "x" bits of
 499         an NT ACL then if other NT security attributes such as "Delete
 500         access" are selected then they will be ignored when applied on
 501         the Samba server.</P
 502 ><P
 503 >When setting permissions on a directory the second
 504         set of permissions (in the second set of parentheses) is
 505         by default applied to all files within that directory. If this
 506         is not what you want you must uncheck the <B
 507 CLASS="COMMAND"
 508 >"Replace
 509         permissions on existing files"</B
 510 > checkbox in the NT
 511         dialog before clicking <B
 512 CLASS="COMMAND"
 513 >"OK"</B
 514 >.</P
 515 ><P
 516 >If you wish to remove all permissions from a
 517         user/group/world  component then you may either highlight the
 518         component and click the <B
 519 CLASS="COMMAND"
 520 >"Remove"</B
 521 > button,
 522         or set the component to only have the special <B
 523 CLASS="COMMAND"
 524 >"Take
 525         Ownership"</B
 526 > permission (displayed as <B
 527 CLASS="COMMAND"
 528 >"O"
 529         </B
 530 >) highlighted.</P
 531 ></DIV
 532 ><DIV
 533 CLASS="SECT1"
 534 ><H1
 535 CLASS="SECT1"
 536 ><A
 537 NAME="AEN678"
 538 ></A
 539 >5.6. Interaction with the standard Samba create mask
 540         parameters</H1
 541 ><P
 542 >Note that with Samba 2.0.5 there are four new parameters
 543         to control this interaction.  These are :</P
 544 ><P
 545 ><TT
 546 CLASS="PARAMETER"
 547 ><I
 548 >security mask</I
 549 ></TT
 550 ></P
 551 ><P
 552 ><TT
 553 CLASS="PARAMETER"
 554 ><I
 555 >force security mode</I
 556 ></TT
 557 ></P
 558 ><P
 559 ><TT
 560 CLASS="PARAMETER"
 561 ><I
 562 >directory security mask</I
 563 ></TT
 564 ></P
 565 ><P
 566 ><TT
 567 CLASS="PARAMETER"
 568 ><I
 569 >force directory security mode</I
 570 ></TT
 571 ></P
 572 ><P
 573 >Once a user clicks <B
 574 CLASS="COMMAND"
 575 >"OK"</B
 576 > to apply the
 577         permissions Samba maps the given permissions into a user/group/world
 578         r/w/x triple set, and then will check the changed permissions for a
 579         file against the bits set in the <A
 580 HREF="smb.conf.5.html#SECURITYMASK"
 581 TARGET="_top"
 582 >
 583         <TT
 584 CLASS="PARAMETER"
 585 ><I
 586 >security mask</I
 587 ></TT
 588 ></A
 589 > parameter. Any bits that
 590         were changed that are not set to '1' in this parameter are left alone
 591         in the file permissions.</P
 592 ><P
 593 >Essentially, zero bits in the <TT
 594 CLASS="PARAMETER"
 595 ><I
 596 >security mask</I
 597 ></TT
 598 >
 599         mask may be treated as a set of bits the user is <SPAN
 600 CLASS="emphasis"
 601 ><I
 602 CLASS="EMPHASIS"
 603 >not</I
 604 ></SPAN
 605 >
 606         allowed to change, and one bits are those the user is allowed to change.
 607         </P
 608 ><P
 609 >If not set explicitly this parameter is set to the same value as
 610         the <A
 611 HREF="smb.conf.5.html#CREATEMASK"
 612 TARGET="_top"
 613 ><TT
 614 CLASS="PARAMETER"
 615 ><I
 616 >create mask
 617         </I
 618 ></TT
 619 ></A
 620 > parameter to provide compatibility with Samba 2.0.4
 621         where this permission change facility was introduced. To allow a user to
 622         modify all the user/group/world permissions on a file, set this parameter
 623         to 0777.</P
 624 ><P
 625 >Next Samba checks the changed permissions for a file against
 626         the bits set in the <A
 627 HREF="smb.conf.5.html#FORCESECURITYMODE"
 628 TARGET="_top"
 629 >       <TT
 630 CLASS="PARAMETER"
 631 ><I
 632 >force security mode</I
 633 ></TT
 634 ></A
 635 > parameter. Any bits
 636         that were changed that correspond to bits set to '1' in this parameter
 637         are forced to be set.</P
 638 ><P
 639 >Essentially, bits set in the <TT
 640 CLASS="PARAMETER"
 641 ><I
 642 >force security mode
 643         </I
 644 ></TT
 645 > parameter may be treated as a set of bits that, when
 646         modifying security on a file, the user has always set to be 'on'.</P
 647 ><P
 648 >If not set explicitly this parameter is set to the same value
 649         as the <A
 650 HREF="smb.conf.5.html#FORCECREATEMODE"
 651 TARGET="_top"
 652 ><TT
 653 CLASS="PARAMETER"
 654 ><I
 655 >force
 656         create mode</I
 657 ></TT
 658 ></A
 659 > parameter to provide compatibility
 660         with Samba 2.0.4 where the permission change facility was introduced.
 661         To allow a user to modify all the user/group/world permissions on a file
 662         with no restrictions set this parameter to 000.</P
 663 ><P
 664 >The <TT
 665 CLASS="PARAMETER"
 666 ><I
 667 >security mask</I
 668 ></TT
 669 > and <TT
 670 CLASS="PARAMETER"
 671 ><I
 672 >force
 673         security mode</I
 674 ></TT
 675 > parameters are applied to the change
 676         request in that order.</P
 677 ><P
 678 >For a directory Samba will perform the same operations as
 679         described above for a file except using the parameter <TT
 680 CLASS="PARAMETER"
 681 ><I
 682 >       directory security mask</I
 683 ></TT
 684 > instead of <TT
 685 CLASS="PARAMETER"
 686 ><I
 687 >security
 688         mask</I
 689 ></TT
 690 >, and <TT
 691 CLASS="PARAMETER"
 692 ><I
 693 >force directory security mode
 694         </I
 695 ></TT
 696 > parameter instead of <TT
 697 CLASS="PARAMETER"
 698 ><I
 699 >force security mode
 700         </I
 701 ></TT
 702 >.</P
 703 ><P
 704 >The <TT
 705 CLASS="PARAMETER"
 706 ><I
 707 >directory security mask</I
 708 ></TT
 709 > parameter
 710         by default is set to the same value as the <TT
 711 CLASS="PARAMETER"
 712 ><I
 713 >directory mask
 714         </I
 715 ></TT
 716 > parameter and the <TT
 717 CLASS="PARAMETER"
 718 ><I
 719 >force directory security
 720         mode</I
 721 ></TT
 722 > parameter by default is set to the same value as
 723         the <TT
 724 CLASS="PARAMETER"
 725 ><I
 726 >force directory mode</I
 727 ></TT
 728 > parameter to provide
 729         compatibility with Samba 2.0.4 where the permission change facility
 730         was introduced.</P
 731 ><P
 732 >In this way Samba enforces the permission restrictions that
 733         an administrator can set on a Samba share, whilst still allowing users
 734         to modify the permission bits within that restriction.</P
 735 ><P
 736 >If you want to set up a share that allows users full control
 737         in modifying the permission bits on their files and directories and
 738         doesn't force any particular bits to be set 'on', then set the following
 739         parameters in the <A
 740 HREF="smb.conf.5.html"
 741 TARGET="_top"
 742 ><TT
 743 CLASS="FILENAME"
 744 >smb.conf(5)
 745         </TT
 746 ></A
 747 > file in that share specific section :</P
 748 ><P
 749 ><TT
 750 CLASS="PARAMETER"
 751 ><I
 752 >security mask = 0777</I
 753 ></TT
 754 ></P
 755 ><P
 756 ><TT
 757 CLASS="PARAMETER"
 758 ><I
 759 >force security mode = 0</I
 760 ></TT
 761 ></P
 762 ><P
 763 ><TT
 764 CLASS="PARAMETER"
 765 ><I
 766 >directory security mask = 0777</I
 767 ></TT
 768 ></P
 769 ><P
 770 ><TT
 771 CLASS="PARAMETER"
 772 ><I
 773 >force directory security mode = 0</I
 774 ></TT
 775 ></P
 776 ><P
 777 >As described, in Samba 2.0.4 the parameters :</P
 778 ><P
 779 ><TT
 780 CLASS="PARAMETER"
 781 ><I
 782 >create mask</I
 783 ></TT
 784 ></P
 785 ><P
 786 ><TT
 787 CLASS="PARAMETER"
 788 ><I
 789 >force create mode</I
 790 ></TT
 791 ></P
 792 ><P
 793 ><TT
 794 CLASS="PARAMETER"
 795 ><I
 796 >directory mask</I
 797 ></TT
 798 ></P
 799 ><P
 800 ><TT
 801 CLASS="PARAMETER"
 802 ><I
 803 >force directory mode</I
 804 ></TT
 805 ></P
 806 ><P
 807 >were used instead of the parameters discussed here.</P
 808 ></DIV
 809 ><DIV
 810 CLASS="SECT1"
 811 ><H1
 812 CLASS="SECT1"
 813 ><A
 814 NAME="AEN742"
 815 ></A
 816 >5.7. Interaction with the standard Samba file attribute
 817         mapping</H1
 818 ><P
 819 >Samba maps some of the DOS attribute bits (such as "read
 820         only") into the UNIX permissions of a file. This means there can
 821         be a conflict between the permission bits set via the security
 822         dialog and the permission bits set by the file attribute mapping.
 823         </P
 824 ><P
 825 >One way this can show up is if a file has no UNIX read access
 826         for the owner it will show up as "read only" in the standard
 827         file attributes tabbed dialog. Unfortunately this dialog is
 828         the same one that contains the security info in another tab.</P
 829 ><P
 830 >What this can mean is that if the owner changes the permissions
 831         to allow themselves read access using the security dialog, clicks
 832         <B
 833 CLASS="COMMAND"
 834 >"OK"</B
 835 > to get back to the standard attributes tab
 836         dialog, and then clicks <B
 837 CLASS="COMMAND"
 838 >"OK"</B
 839 > on that dialog, then
 840         NT will set the file permissions back to read-only (as that is what
 841         the attributes still say in the dialog). This means that after setting
 842         permissions and clicking <B
 843 CLASS="COMMAND"
 844 >"OK"</B
 845 > to get back to the
 846         attributes dialog you should always hit <B
 847 CLASS="COMMAND"
 848 >"Cancel"</B
 849 >
 850         rather than <B
 851 CLASS="COMMAND"
 852 >"OK"</B
 853 > to ensure that your changes
 854         are not overridden.</P
 855 ></DIV
 856 ></DIV
 857 ><DIV
 858 CLASS="NAVFOOTER"
 859 ><HR
 860 ALIGN="LEFT"
 861 WIDTH="100%"><TABLE
 862 SUMMARY="Footer navigation table"
 863 WIDTH="100%"
 864 BORDER="0"
 865 CELLPADDING="0"
 866 CELLSPACING="0"
 867 ><TR
 868 ><TD
 869 WIDTH="33%"
 870 ALIGN="left"
 871 VALIGN="top"
 872 ><A
 873 HREF="msdfs.html"
 874 ACCESSKEY="P"
 875 >Prev</A
 876 ></TD
 877 ><TD
 878 WIDTH="34%"
 879 ALIGN="center"
 880 VALIGN="top"
 881 ><A
 882 HREF="samba-howto-collection.html"
 883 ACCESSKEY="H"
 884 >Home</A
 885 ></TD
 886 ><TD
 887 WIDTH="33%"
 888 ALIGN="right"
 889 VALIGN="top"
 890 ><A
 891 HREF="printing.html"
 892 ACCESSKEY="N"
 893 >Next</A
 894 ></TD
 895 ></TR
 896 ><TR
 897 ><TD
 898 WIDTH="33%"
 899 ALIGN="left"
 900 VALIGN="top"
 901 >Hosting a Microsoft Distributed File System tree on Samba</TD
 902 ><TD
 903 WIDTH="34%"
 904 ALIGN="center"
 905 VALIGN="top"
 906 >&nbsp;</TD
 907 ><TD
 908 WIDTH="33%"
 909 ALIGN="right"
 910 VALIGN="top"
 911 >Printing Support in Samba 2.2.x</TD
 912 ></TR
 913 ></TABLE
 914 ></DIV
 915 ></BODY
 916 ></HTML
 917 >