简介这份资源面向Linux运维人员与系统管理员聚焦Samba共享目录的多用户权限控制这一常见却易踩坑的实战场景帮助读者解决不同角色用户按需访问特定共享目录的配置难题。包内共1个doc文档约5.03MB以图文与配置片段结合的方式组织内容便于对照查阅与落地实践。文档围绕用户与组创建、smb.conf全局与共享段配置、valid users与create/directory mask权限掩码、目录属主与770权限设置、服务重启与Windows客户端访问测试等环节展开并补充防火墙端口限制、密码加密与安全更新等优化建议可作为搭建安全灵活文件共享环境的参考手册。目前已有4517人学习下载适合需要快速掌握Samba多用户权限配置思路与排错要点的初中级运维人员。1. Samba 多用户权限配置从一次“能连上但写不进”的翻车说起很多人第一次配 Samba 共享目录都会经历同一个场景Windows 客户端能顺利打开\\SAMBA_SERVER\shared_folder目录也列得出来但一往里写文件就提示“拒绝访问”或者 A 用户能看到 B 用户的私有目录。这不是玄学而是 Linux 文件系统权限和 Samba 自身权限两套机制没对齐。Samba 共享目录的多用户权限设置本质上是把「SMB 协议层的用户认证」和「Linux 底层的 uid/gid、rwx 权限」这两层同时配对任何一层错位都会翻车。这套环境在中小企业文件服务器、实验室内部资料盘、跨平台协作目录里极其常见装不好轻则用户互相看到不该看的文件重则整个共享目录变成只读。这篇笔记面向正在配 Samba 多用户权限的开发者从版本选择、安装、用户组规划、smb.conf 参数到验证排错一步步走完。2. 环境准备与版本选择装 Samba 前先把系统底子摸清2.1 发行版与 Samba 版本对照Samba 的配置语法在不同大版本之间有差异尤其是security、map to guest、server min protocol这几个参数。我一般会先确认发行版自带的 Samba 版本再决定写哪套配置。下面这张表是我在几类常见系统上整理出来的对照装之前先对号入座。发行版安装命令默认 Samba 版本区间配置文件路径Debian / Ubuntu 20.04apt-get install samba4.11 ~ 4.15/etc/samba/smb.confCentOS 7 / RHEL 7yum install samba4.10 左右/etc/samba/smb.confCentOS 8 / RHEL 8dnf install samba4.12 ~ 4.14/etc/samba/smb.confUbuntu 22.04apt-get install samba4.15 ~ 4.17/etc/samba/smb.conf版本差异主要影响两点一是 SMB 协议默认最低版本新版默认禁用了 SMB1老 Windows 客户端如果只支持 SMB1 会连不上二是map to guest的取值行为在新版里更严格。选版本的原则很简单——用发行版仓库自带的稳定版不要手动去编译最新源码除非你有明确的协议兼容需求。2.2 安装 Samba 与依赖检查确认版本后直接装。Debian/Ubuntu 系和 RHEL 系的命令不同装完顺手确认服务单元名因为老系统是smb新系统是smbd。# Debian / Ubuntu 系 sudo apt-get update sudo apt-get install -y samba samba-common-bin # CentOS / RHEL 系 sudo yum install -y samba samba-client # 确认安装版本 smbd --version # 确认服务单元名新系统一般是 smbd老系统可能是 smb systemctl list-unit-files | grep -i smb这里samba-common-bin在 Debian 系里提供smbpasswd、testparm等工具不装的话后面设 Samba 密码会找不到命令。smbd --version用来核对实际版本避免仓库里装的是旧版。systemctl list-unit-files那一步是我踩过坑之后养成的习惯——有些老教程写service smb restart但在新系统上服务名已经变成smbd照抄会报“Unit smb.service not found”。提示如果你的环境里已经有别的服务占了 445 或 139 端口装完 Samba 会起不来。装之前用ss -tlnp | grep -E 445|139看一眼。2.3 防火墙与 SELinux 的前置处理这一步很多人会跳过结果就是本机smbclient能连、Windows 连不上。防火墙要放行 Samba 相关端口SELinux 要允许 Samba 读写共享目录。# firewalldCentOS/RHEL sudo firewall-cmd --permanent --add-servicesamba sudo firewall-cmd --reload # ufwUbuntu sudo ufw allow samba # SELinux 放行 Samba 读写目录仅 RHEL/CentOS 系需要 sudo setsebool -P samba_export_all_rw on--add-servicesamba会一次性放行 137/138/139/445 这几个端口比手动逐个加端口省事。samba_export_all_rw这个布尔值控制 Samba 是否能对所有被标记的目录读写不开的话即使smb.conf里写了writable yesSELinux 也会在底层拦掉表现为“配置全对但就是写不进去”。这是 RHEL 系最典型的血泪坑之一。3. 用户与组规划Linux 账户和 Samba 账户是两套东西3.1 创建 Linux 组和用户Samba 的用户认证建立在 Linux 系统用户之上但又不是同一个密码体系。所以第一步是先把 Linux 层的组和用户建好。按项目正文的思路建一个users组再往里加user1、user2。# 创建共享组 sudo groupadd users # 创建用户并加入 users 组-M 表示不建家目录共享场景下通常不需要 sudo useradd -M -s /sbin/nologin -G users user1 sudo useradd -M -s /sbin/nologin -G users user2 # 确认组成员 getent group users-M不创建家目录因为共享目录场景下用户不需要登录 shell 和家目录。-s /sbin/nologin禁止这些账户直接 SSH 登录只让它们走 Samba 认证这是安全上的常见做法。getent group users用来确认两个用户确实进了组输出里应该能看到users:x:1001:user1,user2这样的行。如果这里没加进去后面valid users users就会失效。3.2 设置 Samba 独立密码Linux 用户建好后还没有 Samba 密码必须用smbpasswd单独设一次。这是新手最容易混淆的点——改了 Linux 密码不等于改了 Samba 密码。# 为每个 Samba 用户设置独立密码 sudo smbpasswd -a user1 sudo smbpasswd -a user2 # 启用账户部分版本需要显式 enable sudo smbpasswd -e user1 sudo smbpasswd -e user2 # 查看已注册的 Samba 用户 sudo pdbedit -Lsmbpasswd -a会把用户加入 Samba 的密码数据库默认是tdbsam后端执行时会提示输入两次密码。-e是启用账户有些发行版在-a之后账户默认是禁用状态不 enable 的话认证会失败。pdbedit -L列出所有已注册的 Samba 用户如果这里看不到 user1、user2说明密码库没写进去后面连接必然失败。注意Samba 密码和 Linux 密码是分开存储的passwd user1改的是系统密码不影响 Samba 登录。反过来smbpasswd改的也不影响系统登录。3.3 共享目录的属主与权限规划用户和组准备好之后规划目录结构。按正文案例为每个用户在共享目录下建独立子目录属主设为对应用户属组设为users权限 770。# 创建共享根目录 sudo mkdir -p /srv/shared_folder # 为每个用户创建独立子目录 sudo mkdir -p /srv/shared_folder/user1 sudo mkdir -p /srv/shared_folder/user2 # 设置属主和属组 sudo chown -R user1:users /srv/shared_folder/user1 sudo chown -R user2:users /srv/shared_folder/user2 # 设置权限属主和属组可读写执行其他人无权限 sudo chmod -R 770 /srv/shared_folder/user1 /srv/shared_folder/user2 # 共享根目录本身也要给组权限 sudo chown root:users /srv/shared_folder sudo chmod 770 /srv/shared_folder770的含义是属主 rwx、属组 rwx、其他人无权限。这样 user1 和 user2 同属users组理论上能互相进入对方目录——如果你要的是严格隔离应该把权限设成700并去掉组权限或者给每个用户单独建组。chown -R user1:users把子目录属主给 user1、属组给 users配合 Samba 的force group参数使用效果最好。共享根目录本身也要设权限否则用户连根目录都进不去。4. 配置 smb.conf全局段和共享段的关键参数4.1 全局段参数逐项说明/etc/samba/smb.conf分全局段[global]和共享段[共享名]。全局段决定认证方式和日志行为先按下面这套写。[global] workgroup WORKGROUP server string Samba Server %v netbios name SAMBA_SERVER security user map to guest Bad User guests ok no obey pam restrictions yes pam password change yes passwd program /usr/bin/passwd %u passwd chat *Enter\snew\s*\spassword:* %n\n *Retype\snew\s*\spassword:* %n\n *password\supdated\ssuccessfully* . log file /var/log/samba/log.%m max log size 1000security user表示用 Samba 自己的用户库认证这是多用户权限场景的标准选择。map to guest Bad User让认证失败的用户降级为 guest配合guests ok no就能拒绝匿名访问。obey pam restrictions yes和pam password change yes让 Samba 遵循 PAM 的账户限制比如账户过期策略。passwd program和passwd chat定义用户从 Windows 改密码时调用的命令和交互匹配串不配的话 Windows 端改密码会失败。log file /var/log/samba/log.%m按客户端机器名分日志排错时能快速定位是哪台机器出的问题。4.2 共享段与 valid users 权限控制全局段之后定义共享目录。核心是用valid users限定可访问的用户或组。[shared_folder] path /srv/shared_folder public no browseable yes writable yes create mask 0770 directory mask 0770 valid users users force group users write list userspath指向实际目录必须和前面mkdir的路径一致。public no关闭匿名访问。browseable yes让共享在网络邻居里可见。writable yes允许写入但真正决定谁能写的是write list。valid users users表示只有users组成员能访问这个共享前缀代表组。force group users强制新建文件的属组为 users避免用户默认组不一致导致权限混乱。create mask和directory mask控制新建文件和目录的权限位设成0770保证同组用户能读写。提示valid users和write list是两个不同维度的控制。valid users管“能不能进”write list管“能不能写”。只配valid users不配write list时writable yes会让所有 valid users 都能写要精细控制就两个都写。4.3 用 testparm 校验配置语法改完smb.conf不要急着重启先用testparm检查语法。这个工具会解析配置并报出错误行。# 校验配置文件语法 sudo testparm -s # 只看某个共享段的最终生效参数 sudo testparm -s --section-nameshared_foldertestparm -s会输出 Samba 实际解析后的完整配置如果某一行写错它会直接指出行号和问题。--section-name用来单独看某个共享段的最终参数排查“我明明写了但没生效”这类问题时特别有用——因为 Samba 有大量默认值你写的可能被别的参数覆盖了。这一步能挡掉大部分低级错误比如拼写错误、段名重复、参数值非法。5. 避坑与排查多用户权限最常见的五个翻车点5.1 能连上但写不进去现象Windows 能打开共享目录能看到文件但新建文件提示拒绝访问。原因通常是 Linux 目录权限和 Samba 写入权限没对齐。先看目录属主属组和权限位再看write list是否包含该用户。解决确认chmod 770且属组是userssmb.conf里write list users然后systemctl restart smbd。RHEL 系还要确认setsebool -P samba_export_all_rw on已执行。5.2 用户能看到别人的私有目录现象user1 登录后能进入 user2 的子目录。原因是两个用户同属users组而子目录权限是770组权限开放了。解决要么把子目录权限改成700去掉组权限要么给每个用户建独立组并调整valid users。如果业务上需要组内共享那这个现象是正常的要提前和用户说清楚。5.3 认证失败但密码没错现象smbpasswd -a设了密码Windows 登录还是提示密码错误。原因通常是 Samba 账户没启用或者security模式不对。解决pdbedit -L确认用户已注册smbpasswd -e user1显式启用检查smb.conf里security user没被改成share或ads。还有一种情况是 Windows 缓存了旧凭据用net use * /delete清一下再连。5.4 服务重启后配置没生效现象改了smb.confsystemctl restart smbd也执行了但行为没变。原因是服务名写错或只重启了smbd没重启nmbd。解决新系统用systemctl restart smbd nmbd老系统用service smb restart。重启后用testparm -s确认配置被正确加载再看systemctl status smbd有没有报错。5.5 日志里全是权限拒绝现象/var/log/samba/log.客户端名里大量Permission denied。原因是 SELinux 或 AppArmor 拦截。解决RHEL 系查ausearch -m avc -ts recent看 SELinux 拒绝记录用setsebool放行Ubuntu 系查dmesg | grep -i apparmor必要时调整 AppArmor 配置。这一步是最后的手段先排除前四个坑再动安全模块。6. 验证跑通从本机 smbclient 到 Windows 实测配置改完、服务重启后别急着让用户连自己先在本机用smbclient走一遍认证和读写确认服务端没问题再去 Windows 端验证。# 本机列出共享 smbclient -L localhost -U user1 # 以 user1 身份连接共享并测试写入 smbclient //localhost/shared_folder -U user1 # 进入交互后执行 # smb: \ mkdir test_dir # smb: \ put /etc/hostname test_file # smb: \ ls # smb: \ quit # 检查实际落盘文件的属主和权限 ls -l /srv/shared_folder/user1/smbclient -L列出共享清单确认shared_folder在列。连接后mkdir和put测试写权限ls确认文件可见。退出后到服务端ls -l看落盘文件的属主是不是 user1、属组是不是 users、权限是不是 770 附近。如果属组不对说明force group没生效如果权限不对检查create mask。本机通过后到 Windows 客户端按WinR输入\\SAMBA_SERVER\shared_folder用 user1 的 Samba 密码登录。能进、能建文件、能删自己的文件再用 user2 登录确认看不到 user1 的私有内容如果做了隔离。最后用testparm -s再跑一次把最终生效的配置留档。从那以后我每次配完 Samba 多用户权限都强制走一遍「testparm 校验 → smbclient 本机读写 → Windows 实测 → 日志复查」这四步不再凭感觉说“应该好了”。希望帮到你。本文还有配套的精品资源点击获取