docs/htmldocs/unix-permissions.html

   1 <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN">
   2 <HTML
   3 ><HEAD
   4 ><TITLE
   5 >UNIX Permission Bits and Windows NT Access Control Lists</TITLE
   6 ><META
   7 NAME="GENERATOR"
   8 CONTENT="Modular DocBook HTML Stylesheet Version 1.76b+
   9 "><LINK
  10 REL="HOME"
  11 TITLE="SAMBA Project Documentation"
  12 HREF="samba-howto-collection.html"><LINK
  13 REL="UP"
  14 TITLE="Optional configuration"
  15 HREF="optional.html"><LINK
  16 REL="PREVIOUS"
  17 TITLE="Integrating MS Windows networks with Samba"
  18 HREF="integrate-ms-networks.html"><LINK
  19 REL="NEXT"
  20 TITLE="Configuring PAM for distributed but centrally
  21 managed authentication"
  22 HREF="pam.html"></HEAD
  23 ><BODY
  24 CLASS="CHAPTER"
  25 BGCOLOR="#FFFFFF"
  26 TEXT="#000000"
  27 LINK="#0000FF"
  28 VLINK="#840084"
  29 ALINK="#0000FF"
  30 ><DIV
  31 CLASS="NAVHEADER"
  32 ><TABLE
  33 SUMMARY="Header navigation table"
  34 WIDTH="100%"
  35 BORDER="0"
  36 CELLPADDING="0"
  37 CELLSPACING="0"
  38 ><TR
  39 ><TH
  40 COLSPAN="3"
  41 ALIGN="center"
  42 >SAMBA Project Documentation</TH
  43 ></TR
  44 ><TR
  45 ><TD
  46 WIDTH="10%"
  47 ALIGN="left"
  48 VALIGN="bottom"
  49 ><A
  50 HREF="integrate-ms-networks.html"
  51 ACCESSKEY="P"
  52 >Prev</A
  53 ></TD
  54 ><TD
  55 WIDTH="80%"
  56 ALIGN="center"
  57 VALIGN="bottom"
  58 ></TD
  59 ><TD
  60 WIDTH="10%"
  61 ALIGN="right"
  62 VALIGN="bottom"
  63 ><A
  64 HREF="pam.html"
  65 ACCESSKEY="N"
  66 >Next</A
  67 ></TD
  68 ></TR
  69 ></TABLE
  70 ><HR
  71 ALIGN="LEFT"
  72 WIDTH="100%"></DIV
  73 ><DIV
  74 CLASS="CHAPTER"
  75 ><H1
  76 ><A
  77 NAME="UNIX-PERMISSIONS">Chapter 11. UNIX Permission Bits and Windows NT Access Control Lists</H1
  78 ><DIV
  79 CLASS="SECT1"
  80 ><H1
  81 CLASS="SECT1"
  82 ><A
  83 NAME="AEN1605">11.1. Viewing and changing UNIX permissions using the NT
  84         security dialogs</H1
  85 ><P
  86 >New in the Samba 2.0.4 release is the ability for Windows
  87         NT clients to use their native security settings dialog box to
  88         view and modify the underlying UNIX permissions.</P
  89 ><P
  90 >Note that this ability is careful not to compromise
  91         the security of the UNIX host Samba is running on, and
  92         still obeys all the file permission rules that a Samba
  93         administrator can set.</P
  94 ><P
  95 >In Samba 2.0.4 and above the default value of the
  96         parameter <A
  97 HREF="smb.conf.5.html#NTACLSUPPORT"
  98 TARGET="_top"
  99 ><TT
 100 CLASS="PARAMETER"
 101 ><I
 102 >       nt acl support</I
 103 ></TT
 104 ></A
 105 > has been changed from
 106         <TT
 107 CLASS="CONSTANT"
 108 >false</TT
 109 > to <TT
 110 CLASS="CONSTANT"
 111 >true</TT
 112 >, so
 113         manipulation of permissions is turned on by default.</P
 114 ></DIV
 115 ><DIV
 116 CLASS="SECT1"
 117 ><H1
 118 CLASS="SECT1"
 119 ><A
 120 NAME="AEN1614">11.2. How to view file security on a Samba share</H1
 121 ><P
 122 >From an NT 4.0 client, single-click with the right
 123         mouse button on any file or directory in a Samba mounted
 124         drive letter or UNC path. When the menu pops-up, click
 125         on the <SPAN
 126 CLASS="emphasis"
 127 ><I
 128 CLASS="EMPHASIS"
 129 >Properties</I
 130 ></SPAN
 131 > entry at the bottom of
 132         the menu. This brings up the normal file properties dialog
 133         box, but with Samba 2.0.4 this will have a new tab along the top
 134         marked <SPAN
 135 CLASS="emphasis"
 136 ><I
 137 CLASS="EMPHASIS"
 138 >Security</I
 139 ></SPAN
 140 >. Click on this tab and you
 141         will see three buttons, <SPAN
 142 CLASS="emphasis"
 143 ><I
 144 CLASS="EMPHASIS"
 145 >Permissions</I
 146 ></SPAN
 147 >,
 148         <SPAN
 149 CLASS="emphasis"
 150 ><I
 151 CLASS="EMPHASIS"
 152 >Auditing</I
 153 ></SPAN
 154 >, and <SPAN
 155 CLASS="emphasis"
 156 ><I
 157 CLASS="EMPHASIS"
 158 >Ownership</I
 159 ></SPAN
 160 >.
 161         The <SPAN
 162 CLASS="emphasis"
 163 ><I
 164 CLASS="EMPHASIS"
 165 >Auditing</I
 166 ></SPAN
 167 > button will cause either
 168         an error message <SPAN
 169 CLASS="ERRORNAME"
 170 >A requested privilege is not held
 171         by the client</SPAN
 172 > to appear if the user is not the
 173         NT Administrator, or a dialog which is intended to allow an
 174         Administrator to add auditing requirements to a file if the
 175         user is logged on as the NT Administrator. This dialog is
 176         non-functional with a Samba share at this time, as the only
 177         useful button, the <B
 178 CLASS="COMMAND"
 179 >Add</B
 180 > button will not currently
 181         allow a list of users to be seen.</P
 182 ></DIV
 183 ><DIV
 184 CLASS="SECT1"
 185 ><H1
 186 CLASS="SECT1"
 187 ><A
 188 NAME="AEN1625">11.3. Viewing file ownership</H1
 189 ><P
 190 >Clicking on the <B
 191 CLASS="COMMAND"
 192 >"Ownership"</B
 193 > button
 194         brings up a dialog box telling you who owns the given file. The
 195         owner name will be of the form :</P
 196 ><P
 197 ><B
 198 CLASS="COMMAND"
 199 >"SERVER\user (Long name)"</B
 200 ></P
 201 ><P
 202 >Where <TT
 203 CLASS="REPLACEABLE"
 204 ><I
 205 >SERVER</I
 206 ></TT
 207 > is the NetBIOS name of
 208         the Samba server, <TT
 209 CLASS="REPLACEABLE"
 210 ><I
 211 >user</I
 212 ></TT
 213 > is the user name of
 214         the UNIX user who owns the file, and <TT
 215 CLASS="REPLACEABLE"
 216 ><I
 217 >(Long name)</I
 218 ></TT
 219 >
 220         is the descriptive string identifying the user (normally found in the
 221         GECOS field of the UNIX password database). Click on the <B
 222 CLASS="COMMAND"
 223 >Close
 224         </B
 225 > button to remove this dialog.</P
 226 ><P
 227 >If the parameter <TT
 228 CLASS="PARAMETER"
 229 ><I
 230 >nt acl support</I
 231 ></TT
 232 >
 233         is set to <TT
 234 CLASS="CONSTANT"
 235 >false</TT
 236 > then the file owner will
 237         be shown as the NT user <B
 238 CLASS="COMMAND"
 239 >"Everyone"</B
 240 >.</P
 241 ><P
 242 >The <B
 243 CLASS="COMMAND"
 244 >Take Ownership</B
 245 > button will not allow
 246         you to change the ownership of this file to yourself (clicking on
 247         it will display a dialog box complaining that the user you are
 248         currently logged onto the NT client cannot be found). The reason
 249         for this is that changing the ownership of a file is a privileged
 250         operation in UNIX, available only to the <SPAN
 251 CLASS="emphasis"
 252 ><I
 253 CLASS="EMPHASIS"
 254 >root</I
 255 ></SPAN
 256 >
 257         user. As clicking on this button causes NT to attempt to change
 258         the ownership of a file to the current user logged into the NT
 259         client this will not work with Samba at this time.</P
 260 ><P
 261 >There is an NT chown command that will work with Samba
 262         and allow a user with Administrator privilege connected
 263         to a Samba 2.0.4 server as root to change the ownership of
 264         files on both a local NTFS filesystem or remote mounted NTFS
 265         or Samba drive. This is available as part of the <SPAN
 266 CLASS="emphasis"
 267 ><I
 268 CLASS="EMPHASIS"
 269 >Seclib
 270         </I
 271 ></SPAN
 272 > NT security library written by Jeremy Allison of
 273         the Samba Team, available from the main Samba ftp site.</P
 274 ></DIV
 275 ><DIV
 276 CLASS="SECT1"
 277 ><H1
 278 CLASS="SECT1"
 279 ><A
 280 NAME="AEN1645">11.4. Viewing file or directory permissions</H1
 281 ><P
 282 >The third button is the <B
 283 CLASS="COMMAND"
 284 >"Permissions"</B
 285 >
 286         button. Clicking on this brings up a dialog box that shows both
 287         the permissions and the UNIX owner of the file or directory.
 288         The owner is displayed in the form :</P
 289 ><P
 290 ><B
 291 CLASS="COMMAND"
 292 >"SERVER\user (Long name)"</B
 293 ></P
 294 ><P
 295 >Where <TT
 296 CLASS="REPLACEABLE"
 297 ><I
 298 >SERVER</I
 299 ></TT
 300 > is the NetBIOS name of
 301         the Samba server, <TT
 302 CLASS="REPLACEABLE"
 303 ><I
 304 >user</I
 305 ></TT
 306 > is the user name of
 307         the UNIX user who owns the file, and <TT
 308 CLASS="REPLACEABLE"
 309 ><I
 310 >(Long name)</I
 311 ></TT
 312 >
 313         is the descriptive string identifying the user (normally found in the
 314         GECOS field of the UNIX password database).</P
 315 ><P
 316 >If the parameter <TT
 317 CLASS="PARAMETER"
 318 ><I
 319 >nt acl support</I
 320 ></TT
 321 >
 322         is set to <TT
 323 CLASS="CONSTANT"
 324 >false</TT
 325 > then the file owner will
 326         be shown as the NT user <B
 327 CLASS="COMMAND"
 328 >"Everyone"</B
 329 > and the
 330         permissions will be shown as NT "Full Control".</P
 331 ><P
 332 >The permissions field is displayed differently for files
 333         and directories, so I'll describe the way file permissions
 334         are displayed first.</P
 335 ><DIV
 336 CLASS="SECT2"
 337 ><H2
 338 CLASS="SECT2"
 339 ><A
 340 NAME="AEN1660">11.4.1. File Permissions</H2
 341 ><P
 342 >The standard UNIX user/group/world triple and
 343                 the corresponding "read", "write", "execute" permissions
 344                 triples are mapped by Samba into a three element NT ACL
 345                 with the 'r', 'w', and 'x' bits mapped into the corresponding
 346                 NT permissions. The UNIX world permissions are mapped into
 347                 the global NT group <B
 348 CLASS="COMMAND"
 349 >Everyone</B
 350 >, followed
 351                 by the list of permissions allowed for UNIX world. The UNIX
 352                 owner and group permissions are displayed as an NT
 353                 <B
 354 CLASS="COMMAND"
 355 >user</B
 356 > icon and an NT <B
 357 CLASS="COMMAND"
 358 >local
 359                 group</B
 360 > icon respectively followed by the list
 361                 of permissions allowed for the UNIX user and group.</P
 362 ><P
 363 >As many UNIX permission sets don't map into common
 364                 NT names such as <B
 365 CLASS="COMMAND"
 366 >"read"</B
 367 >, <B
 368 CLASS="COMMAND"
 369 >               "change"</B
 370 > or <B
 371 CLASS="COMMAND"
 372 >"full control"</B
 373 > then
 374                 usually the permissions will be prefixed by the words <B
 375 CLASS="COMMAND"
 376 >               "Special Access"</B
 377 > in the NT display list.</P
 378 ><P
 379 >But what happens if the file has no permissions allowed
 380                 for a particular UNIX user group or world component ? In order
 381                 to  allow "no permissions" to be seen and modified then Samba
 382                 overloads the NT <B
 383 CLASS="COMMAND"
 384 >"Take Ownership"</B
 385 > ACL attribute
 386                 (which has no meaning in UNIX) and reports a component with
 387                 no permissions as having the NT <B
 388 CLASS="COMMAND"
 389 >"O"</B
 390 > bit set.
 391                 This was chosen of course to make it look like a zero, meaning
 392                 zero permissions. More details on the decision behind this will
 393                 be given below.</P
 394 ></DIV
 395 ><DIV
 396 CLASS="SECT2"
 397 ><H2
 398 CLASS="SECT2"
 399 ><A
 400 NAME="AEN1674">11.4.2. Directory Permissions</H2
 401 ><P
 402 >Directories on an NT NTFS file system have two
 403                 different sets of permissions. The first set of permissions
 404                 is the ACL set on the directory itself, this is usually displayed
 405                 in the first set of parentheses in the normal <B
 406 CLASS="COMMAND"
 407 >"RW"</B
 408 >
 409                 NT style. This first set of permissions is created by Samba in
 410                 exactly the same way as normal file permissions are, described
 411                 above, and is displayed in the same way.</P
 412 ><P
 413 >The second set of directory permissions has no real meaning
 414                 in the UNIX permissions world and represents the <B
 415 CLASS="COMMAND"
 416 >               "inherited"</B
 417 > permissions that any file created within
 418                 this directory would inherit.</P
 419 ><P
 420 >Samba synthesises these inherited permissions for NT by
 421                 returning as an NT ACL the UNIX permission mode that a new file
 422                 created by Samba on this share would receive.</P
 423 ></DIV
 424 ></DIV
 425 ><DIV
 426 CLASS="SECT1"
 427 ><H1
 428 CLASS="SECT1"
 429 ><A
 430 NAME="AEN1681">11.5. Modifying file or directory permissions</H1
 431 ><P
 432 >Modifying file and directory permissions is as simple
 433         as changing the displayed permissions in the dialog box, and
 434         clicking the <B
 435 CLASS="COMMAND"
 436 >OK</B
 437 > button. However, there are
 438         limitations that a user needs to be aware of, and also interactions
 439         with the standard Samba permission masks and mapping of DOS
 440         attributes that need to also be taken into account.</P
 441 ><P
 442 >If the parameter <TT
 443 CLASS="PARAMETER"
 444 ><I
 445 >nt acl support</I
 446 ></TT
 447 >
 448         is set to <TT
 449 CLASS="CONSTANT"
 450 >false</TT
 451 > then any attempt to set
 452         security permissions will fail with an <B
 453 CLASS="COMMAND"
 454 >"Access Denied"
 455         </B
 456 > message.</P
 457 ><P
 458 >The first thing to note is that the <B
 459 CLASS="COMMAND"
 460 >"Add"</B
 461 >
 462         button will not return a list of users in Samba 2.0.4 (it will give
 463         an error message of <B
 464 CLASS="COMMAND"
 465 >"The remote procedure call failed
 466         and did not execute"</B
 467 >). This means that you can only
 468         manipulate the current user/group/world permissions listed in
 469         the dialog box. This actually works quite well as these are the
 470         only permissions that UNIX actually has.</P
 471 ><P
 472 >If a permission triple (either user, group, or world)
 473         is removed from the list of permissions in the NT dialog box,
 474         then when the <B
 475 CLASS="COMMAND"
 476 >"OK"</B
 477 > button is pressed it will
 478         be applied as "no permissions" on the UNIX side. If you then
 479         view the permissions again the "no permissions" entry will appear
 480         as the NT <B
 481 CLASS="COMMAND"
 482 >"O"</B
 483 > flag, as described above. This
 484         allows you to add permissions back to a file or directory once
 485         you have removed them from a triple component.</P
 486 ><P
 487 >As UNIX supports only the "r", "w" and "x" bits of
 488         an NT ACL then if other NT security attributes such as "Delete
 489         access" are selected then they will be ignored when applied on
 490         the Samba server.</P
 491 ><P
 492 >When setting permissions on a directory the second
 493         set of permissions (in the second set of parentheses) is
 494         by default applied to all files within that directory. If this
 495         is not what you want you must uncheck the <B
 496 CLASS="COMMAND"
 497 >"Replace
 498         permissions on existing files"</B
 499 > checkbox in the NT
 500         dialog before clicking <B
 501 CLASS="COMMAND"
 502 >"OK"</B
 503 >.</P
 504 ><P
 505 >If you wish to remove all permissions from a
 506         user/group/world  component then you may either highlight the
 507         component and click the <B
 508 CLASS="COMMAND"
 509 >"Remove"</B
 510 > button,
 511         or set the component to only have the special <B
 512 CLASS="COMMAND"
 513 >"Take
 514         Ownership"</B
 515 > permission (displayed as <B
 516 CLASS="COMMAND"
 517 >"O"
 518         </B
 519 >) highlighted.</P
 520 ></DIV
 521 ><DIV
 522 CLASS="SECT1"
 523 ><H1
 524 CLASS="SECT1"
 525 ><A
 526 NAME="AEN1703">11.6. Interaction with the standard Samba create mask
 527         parameters</H1
 528 ><P
 529 >Note that with Samba 2.0.5 there are four new parameters
 530         to control this interaction.  These are :</P
 531 ><P
 532 ><TT
 533 CLASS="PARAMETER"
 534 ><I
 535 >security mask</I
 536 ></TT
 537 ></P
 538 ><P
 539 ><TT
 540 CLASS="PARAMETER"
 541 ><I
 542 >force security mode</I
 543 ></TT
 544 ></P
 545 ><P
 546 ><TT
 547 CLASS="PARAMETER"
 548 ><I
 549 >directory security mask</I
 550 ></TT
 551 ></P
 552 ><P
 553 ><TT
 554 CLASS="PARAMETER"
 555 ><I
 556 >force directory security mode</I
 557 ></TT
 558 ></P
 559 ><P
 560 >Once a user clicks <B
 561 CLASS="COMMAND"
 562 >"OK"</B
 563 > to apply the
 564         permissions Samba maps the given permissions into a user/group/world
 565         r/w/x triple set, and then will check the changed permissions for a
 566         file against the bits set in the <A
 567 HREF="smb.conf.5.html#SECURITYMASK"
 568 TARGET="_top"
 569 >
 570         <TT
 571 CLASS="PARAMETER"
 572 ><I
 573 >security mask</I
 574 ></TT
 575 ></A
 576 > parameter. Any bits that
 577         were changed that are not set to '1' in this parameter are left alone
 578         in the file permissions.</P
 579 ><P
 580 >Essentially, zero bits in the <TT
 581 CLASS="PARAMETER"
 582 ><I
 583 >security mask</I
 584 ></TT
 585 >
 586         mask may be treated as a set of bits the user is <SPAN
 587 CLASS="emphasis"
 588 ><I
 589 CLASS="EMPHASIS"
 590 >not</I
 591 ></SPAN
 592 >
 593         allowed to change, and one bits are those the user is allowed to change.
 594         </P
 595 ><P
 596 >If not set explicitly this parameter is set to the same value as
 597         the <A
 598 HREF="smb.conf.5.html#CREATEMASK"
 599 TARGET="_top"
 600 ><TT
 601 CLASS="PARAMETER"
 602 ><I
 603 >create mask
 604         </I
 605 ></TT
 606 ></A
 607 > parameter to provide compatibility with Samba 2.0.4
 608         where this permission change facility was introduced. To allow a user to
 609         modify all the user/group/world permissions on a file, set this parameter
 610         to 0777.</P
 611 ><P
 612 >Next Samba checks the changed permissions for a file against
 613         the bits set in the <A
 614 HREF="smb.conf.5.html#FORCESECURITYMODE"
 615 TARGET="_top"
 616 >       <TT
 617 CLASS="PARAMETER"
 618 ><I
 619 >force security mode</I
 620 ></TT
 621 ></A
 622 > parameter. Any bits
 623         that were changed that correspond to bits set to '1' in this parameter
 624         are forced to be set.</P
 625 ><P
 626 >Essentially, bits set in the <TT
 627 CLASS="PARAMETER"
 628 ><I
 629 >force security mode
 630         </I
 631 ></TT
 632 > parameter may be treated as a set of bits that, when
 633         modifying security on a file, the user has always set to be 'on'.</P
 634 ><P
 635 >If not set explicitly this parameter is set to the same value
 636         as the <A
 637 HREF="smb.conf.5.html#FORCECREATEMODE"
 638 TARGET="_top"
 639 ><TT
 640 CLASS="PARAMETER"
 641 ><I
 642 >force
 643         create mode</I
 644 ></TT
 645 ></A
 646 > parameter to provide compatibility
 647         with Samba 2.0.4 where the permission change facility was introduced.
 648         To allow a user to modify all the user/group/world permissions on a file
 649         with no restrictions set this parameter to 000.</P
 650 ><P
 651 >The <TT
 652 CLASS="PARAMETER"
 653 ><I
 654 >security mask</I
 655 ></TT
 656 > and <TT
 657 CLASS="PARAMETER"
 658 ><I
 659 >force
 660         security mode</I
 661 ></TT
 662 > parameters are applied to the change
 663         request in that order.</P
 664 ><P
 665 >For a directory Samba will perform the same operations as
 666         described above for a file except using the parameter <TT
 667 CLASS="PARAMETER"
 668 ><I
 669 >       directory security mask</I
 670 ></TT
 671 > instead of <TT
 672 CLASS="PARAMETER"
 673 ><I
 674 >security
 675         mask</I
 676 ></TT
 677 >, and <TT
 678 CLASS="PARAMETER"
 679 ><I
 680 >force directory security mode
 681         </I
 682 ></TT
 683 > parameter instead of <TT
 684 CLASS="PARAMETER"
 685 ><I
 686 >force security mode
 687         </I
 688 ></TT
 689 >.</P
 690 ><P
 691 >The <TT
 692 CLASS="PARAMETER"
 693 ><I
 694 >directory security mask</I
 695 ></TT
 696 > parameter
 697         by default is set to the same value as the <TT
 698 CLASS="PARAMETER"
 699 ><I
 700 >directory mask
 701         </I
 702 ></TT
 703 > parameter and the <TT
 704 CLASS="PARAMETER"
 705 ><I
 706 >force directory security
 707         mode</I
 708 ></TT
 709 > parameter by default is set to the same value as
 710         the <TT
 711 CLASS="PARAMETER"
 712 ><I
 713 >force directory mode</I
 714 ></TT
 715 > parameter to provide
 716         compatibility with Samba 2.0.4 where the permission change facility
 717         was introduced.</P
 718 ><P
 719 >In this way Samba enforces the permission restrictions that
 720         an administrator can set on a Samba share, whilst still allowing users
 721         to modify the permission bits within that restriction.</P
 722 ><P
 723 >If you want to set up a share that allows users full control
 724         in modifying the permission bits on their files and directories and
 725         doesn't force any particular bits to be set 'on', then set the following
 726         parameters in the <A
 727 HREF="smb.conf.5.html"
 728 TARGET="_top"
 729 ><TT
 730 CLASS="FILENAME"
 731 >smb.conf(5)
 732         </TT
 733 ></A
 734 > file in that share specific section :</P
 735 ><P
 736 ><TT
 737 CLASS="PARAMETER"
 738 ><I
 739 >security mask = 0777</I
 740 ></TT
 741 ></P
 742 ><P
 743 ><TT
 744 CLASS="PARAMETER"
 745 ><I
 746 >force security mode = 0</I
 747 ></TT
 748 ></P
 749 ><P
 750 ><TT
 751 CLASS="PARAMETER"
 752 ><I
 753 >directory security mask = 0777</I
 754 ></TT
 755 ></P
 756 ><P
 757 ><TT
 758 CLASS="PARAMETER"
 759 ><I
 760 >force directory security mode = 0</I
 761 ></TT
 762 ></P
 763 ><P
 764 >As described, in Samba 2.0.4 the parameters :</P
 765 ><P
 766 ><TT
 767 CLASS="PARAMETER"
 768 ><I
 769 >create mask</I
 770 ></TT
 771 ></P
 772 ><P
 773 ><TT
 774 CLASS="PARAMETER"
 775 ><I
 776 >force create mode</I
 777 ></TT
 778 ></P
 779 ><P
 780 ><TT
 781 CLASS="PARAMETER"
 782 ><I
 783 >directory mask</I
 784 ></TT
 785 ></P
 786 ><P
 787 ><TT
 788 CLASS="PARAMETER"
 789 ><I
 790 >force directory mode</I
 791 ></TT
 792 ></P
 793 ><P
 794 >were used instead of the parameters discussed here.</P
 795 ></DIV
 796 ><DIV
 797 CLASS="SECT1"
 798 ><H1
 799 CLASS="SECT1"
 800 ><A
 801 NAME="AEN1767">11.7. Interaction with the standard Samba file attribute
 802         mapping</H1
 803 ><P
 804 >Samba maps some of the DOS attribute bits (such as "read
 805         only") into the UNIX permissions of a file. This means there can
 806         be a conflict between the permission bits set via the security
 807         dialog and the permission bits set by the file attribute mapping.
 808         </P
 809 ><P
 810 >One way this can show up is if a file has no UNIX read access
 811         for the owner it will show up as "read only" in the standard
 812         file attributes tabbed dialog. Unfortunately this dialog is
 813         the same one that contains the security info in another tab.</P
 814 ><P
 815 >What this can mean is that if the owner changes the permissions
 816         to allow themselves read access using the security dialog, clicks
 817         <B
 818 CLASS="COMMAND"
 819 >"OK"</B
 820 > to get back to the standard attributes tab
 821         dialog, and then clicks <B
 822 CLASS="COMMAND"
 823 >"OK"</B
 824 > on that dialog, then
 825         NT will set the file permissions back to read-only (as that is what
 826         the attributes still say in the dialog). This means that after setting
 827         permissions and clicking <B
 828 CLASS="COMMAND"
 829 >"OK"</B
 830 > to get back to the
 831         attributes dialog you should always hit <B
 832 CLASS="COMMAND"
 833 >"Cancel"</B
 834 >
 835         rather than <B
 836 CLASS="COMMAND"
 837 >"OK"</B
 838 > to ensure that your changes
 839         are not overridden.</P
 840 ></DIV
 841 ></DIV
 842 ><DIV
 843 CLASS="NAVFOOTER"
 844 ><HR
 845 ALIGN="LEFT"
 846 WIDTH="100%"><TABLE
 847 SUMMARY="Footer navigation table"
 848 WIDTH="100%"
 849 BORDER="0"
 850 CELLPADDING="0"
 851 CELLSPACING="0"
 852 ><TR
 853 ><TD
 854 WIDTH="33%"
 855 ALIGN="left"
 856 VALIGN="top"
 857 ><A
 858 HREF="integrate-ms-networks.html"
 859 ACCESSKEY="P"
 860 >Prev</A
 861 ></TD
 862 ><TD
 863 WIDTH="34%"
 864 ALIGN="center"
 865 VALIGN="top"
 866 ><A
 867 HREF="samba-howto-collection.html"
 868 ACCESSKEY="H"
 869 >Home</A
 870 ></TD
 871 ><TD
 872 WIDTH="33%"
 873 ALIGN="right"
 874 VALIGN="top"
 875 ><A
 876 HREF="pam.html"
 877 ACCESSKEY="N"
 878 >Next</A
 879 ></TD
 880 ></TR
 881 ><TR
 882 ><TD
 883 WIDTH="33%"
 884 ALIGN="left"
 885 VALIGN="top"
 886 >Integrating MS Windows networks with Samba</TD
 887 ><TD
 888 WIDTH="34%"
 889 ALIGN="center"
 890 VALIGN="top"
 891 ><A
 892 HREF="optional.html"
 893 ACCESSKEY="U"
 894 >Up</A
 895 ></TD
 896 ><TD
 897 WIDTH="33%"
 898 ALIGN="right"
 899 VALIGN="top"
 900 >Configuring PAM for distributed but centrally
 901 managed authentication</TD
 902 ></TR
 903 ></TABLE
 904 ></DIV
 905 ></BODY
 906 ></HTML
 907 >