Sambaで基本read-only、一部ユーザのみwritableにしたい

Question

環境

• CentOS7.7
• Samba4.9.1
• Windows Server 2012R2

やりたいこと

• /home/shared/test 以下をSambaで共有
• 基本read-only。メンテナンスするユーザのみ書き込み可能にしたい。
• ユーザはlinux上で作らずAD(Win2012)のユーザを使用

やってみたこと

下記でADドメイン内のユーザがフルアクセス可能な状態です。読み書きフル解放状態。
wbinfo -u で正常にドメインユーザが取得できる状態。

#smb.conf
[global]
        dos charset = CP932
        idmap gid = 16777216-33554431
        idmap uid = 16777216-33554431
        printcap name = /dev/null
        realm = AD-DOMAIN
        security = ADS
        template shell = /sbin/nologin
        workgroup = AD-DOMAIN
        idmap config * : range = 16777216-33554431
        idmap config * : backend = tdb

[test]
        create mask = 0777
        directory mask = 0777
        force create mode = 0777
        force directory mode = 0777
        path = /home/shared/test

AD-DOMAIN\taro,AD-DOMAIN\jiro,AD-DOMAIN\eigyogroupだけ書き込み可能にするつもりで、
下記に設定変更してみました。

#smb.conf
[test]
   ;下記を足してもtaroは書き込めない
   read only = no
   write list = AD-DOMAIN+taro,AD-DOMAIN+jiro,@AD-DOMAIN+eigyogroup

発生している問題・エラーメッセージ

結果、Windows10からアクセスし、書き込もうとすると、

タイトル「対象のフォルダーへのアクセスは拒否されました」
内容「この操作を実行するアクセス許可が必要です。」

というダイアログがでて書き込みに失敗します。
全ユーザがリードオンリーになっている状態です。

基本リードオンリーのままで、
taro, jiroおよび eigyogoup所属メンバーのみ書き込み可能にするのはどうすればよいでしょうか。

Comments

[TaichiYanagiya]

"ls -ld /home/shared/test/" でディレクトリのパーミッションはどうなっていますか？
あと、SELinux は有効でしょうか？

[irakoon]

/home/shared/test # ls -ld
drwxrwxrwx 1261 AD-DOMAIN\taro AD-DOMAIN\eigyogroup 94208 4月 18 14:26 .

SELinuxは無効です。

よろしくお願いいたします。

Answer 1

ディレクトリのパーミッション、SELinux は問題なさそうですね。

read only = no で全ユーザーが書き込みできるはずですが、log level を上げてみると何かわかりませんでしょうか。

また、write list のドメイン、ユーザーの区切りは「\」ではないでしょうか。

write list = AD-DOMAIN\taro, AD-DOMAIN\jiro, @AD-DOMAIN\eigyogroup

Comments

[TaichiYanagiya]

あと、/home/, /home/shared/ のパーミッションも念のため確認ください。

[irakoon]

write list のドメイン、ユーザーの区切り文字を「+」から「\」に変更したところ、望み通りの挙動に落ち着きました。
ありがとうございます。