Samba с группами активных каталогов со специальным символом

У меня проблемы с группами Samba и Active Directory, которые содержат специальные символы, такие как "@" (пробел).

Например, у меня есть группа с именем: " name.surname city_allusers@domain.com ", я делю долю в Samba:

[share_city]
    path = /data/share_city
    create mask = 0660
    directory mask = 2771
    force create mode = 0660
    create mode = 0660
    browseable = Yes
    browsable = Yes
    recycle:repository = .RecycleBin$/%U
    vfs object = recycle:repository recycle:keeptree
    write list = @"name.surname city_allusers@domain.com"
    recycle:keeptree = yes
    recycle:versions = yes
    recycle:touch = no
    recycle:exclude = *.tmp|*.temp|*.obj|~$*
    recycle:exclude_dir = /tmp|/temp|/cache
    recycle:maxsize = 1073741824
    recycle:noversions = *.mdb
    admin users = adminad

С smbclient я могу подключиться, чтобы поделиться: => ls в порядке

smb: \> ls
.                                   D        0  Fri Nov 25 18:55:31 2011
..                                  D        0  Fri Nov 25 17:34:39 2011
test3                               D        0  Fri Nov 25 18:55:31 2011
    56569 blocks of size 8388608. 52263 blocks available

=> Mkdir не работает

smb: \> mkdir test4
NT_STATUS_MEDIA_WRITE_PROTECTED making remote directory \test4

Так что, если я тестирую с доступом к системе все, что работает, и наследование ACL работает также

И с группами в одном активном каталоге, который не содержит символов, все работает хорошо.

Возможно ли то, что я пытаюсь сделать?

1 ответ

С точки зрения AD, очень мало символов, которые запрещены для имен групп / участников безопасности. В частности, символ @ разрешен. Запрещенные символы включают в себя:

ведущий космос; замыкающий пробел; и любой из следующих символов:

# , + " \ < > ;  

Однако, если вы хотите, чтобы имя "Pre-Windows 2000" совпадало с CN, вы не можете использовать:

/ \ [ ] : ; | = , + * ? < > "  

Обратите внимание, что на практике AD позволит вам создавать группы с символом хеша (#). Также обратите внимание, что атрибут "samAccountName" является именем "Pre-Windows 2000", поэтому большинство людей будут придерживаться этого списка запрещенных символов.

Дополнительная информация:

Имена объектов Active Directory
http://technet.microsoft.com/en-us/library/cc776019%28WS.10%29.aspx

Другие вопросы по тегам