Megosztás a következőn keresztül:

Active Directory-hitelesítés engedélyezése SMB-en keresztül az Azure Fileshoz hozzáférő Linux-ügyfelek számára

  • Cikk

A támogatott lehetőségekről és szempontokról további információt az Azure Files identitásalapú hitelesítési lehetőségeinek áttekintésében talál az SMB-hozzáféréshez.

Az Azure Files a Következő módszerekkel támogatja az identitásalapú hitelesítést a Linux rendszerű virtuális gépek (VM-ek) kiszolgálói üzenetblokkján (SMB) keresztül a Kerberos hitelesítési protokoll használatával:

  • Helyszíni Windows Active Directory tartományi szolgáltatások (AD DS)
  • Microsoft Entra tartományi szolgáltatások

Az AD DS használatához szinkronizálnia kell az AD DS-t a Microsoft Entra-azonosítóval a Microsoft Entra Connect használatával.

Feljegyzés

Ez a cikk az Ubuntu-t használja a példalépésekhez. A hasonló konfigurációk rhEL- és SLES-gépeken is működnek, így Azure-fájlmegosztásokat csatlakoztathat az Active Directoryval.

A következőre érvényes:

Fájlmegosztás típusa SMB NFS
Standard szintű fájlmegosztások (GPv2), LRS/ZRS Igen, ez a cikk az LRS/ZRS standard SMB Azure-fájlmegosztásokra vonatkozik. Nem, ez a cikk nem vonatkozik az NFS Azure-fájlmegosztásokra.
Standard szintű fájlmegosztások (GPv2), GRS/GZRS Igen, ez a cikk a GRS/GZRS standard SMB Azure-fájlmegosztásokra vonatkozik. Ez a cikk nem vonatkozik az NFS Azure-fájlmegosztásokra.
Prémium fájlmegosztások (FileStorage), LRS/ZRS Igen, ez a cikk a prémium szintű SMB Azure-fájlmegosztásokra vonatkozik. Nem, ez a cikk nem vonatkozik a prémium szintű NFS Azure-fájlmegosztásokra.

Linux SMB-ügyfél korlátozásai

Nem használhat identitásalapú hitelesítést az Azure-fájlmegosztások Linux-ügyfeleken való csatlakoztatásához indításkor bejegyzések használatával fstab , mert az ügyfél nem tudja elég korán beszerezni a Kerberos-jegyet a rendszerindítási időpontban való csatlakoztatáshoz. Használhat azonban egy bejegyzést fstab , és megadhatja a noauto beállítást. Ez nem fogja csatlakoztatni a megosztást a rendszerindításkor, de lehetővé teszi a felhasználó számára, hogy kényelmesen csatlakoztatja a fájlmegosztást, miután bejelentkezett egy egyszerű csatlakoztatási paranccsal az összes paraméter nélkül. A megosztás csatlakoztatása hozzáféréskor is használható autofs .

Előfeltételek

Mielőtt engedélyezi az AD-hitelesítést SMB-en keresztül az Azure-fájlmegosztásokhoz, győződjön meg arról, hogy teljesítette az alábbi előfeltételeket.

  • Ubuntu 18.04+-t futtató Linux rendszerű virtuális gép, vagy egyenértékű RHEL vagy SLES rendszerű virtuális gép. Ha az Azure-ban fut, a virtuális gépnek rendelkeznie kell legalább egy hálózati adaptersel a Microsoft Entra Domain Servicest tartalmazó virtuális hálózaton. Helyszíni virtuális gép használata esetén az AD DS-t szinkronizálni kell a Microsoft Entra-azonosítóval.
  • Legfelső szintű felhasználó vagy felhasználói hitelesítő adatok egy teljes sudo jogosultsággal rendelkező helyi felhasználói fiókhoz (ebben az útmutatóban a localadmin).
  • A Linux rendszerű virtuális gép nem kapcsolódhat AD-tartományhoz. Ha már része egy tartománynak, először el kell hagynia a tartományt, mielőtt csatlakozhatna ehhez a tartományhoz.
  • A Microsoft Entra-bérlő teljesen konfigurálva van, a tartományi felhasználó már be van állítva.

A samba csomag telepítése nem feltétlenül szükséges, de hasznos eszközöket biztosít, és automatikusan más csomagokat is tartalmaz, például samba-common és smbclient. A telepítéshez futtassa az alábbi parancsokat. Ha a telepítés során bármilyen bemeneti értéket kér, hagyja üresen őket.

sudo apt update -y
sudo apt install samba winbind libpam-winbind libnss-winbind krb5-config krb5-user keyutils cifs-utils

Az wbinfo eszköz a samba csomag része. Hitelesítés és hibakeresés céljából hasznos lehet, például ellenőrizheti, hogy a tartományvezérlő elérhető-e, ellenőrizheti, hogy a gép milyen tartományhoz csatlakozik, és információkat kereshet a felhasználókról.

Győződjön meg arról, hogy a Linux-gazdagép megtartja a tartománykiszolgálóval szinkronizált időt. Tekintse meg a Linux-disztribúció dokumentációját. Bizonyos disztribúciók esetén ezt rendszeralapú időszinkronizálással teheti meg. Szerkessze /etc/systemd/timesyncd.conf kedvenc szövegszerkesztőjével a következőket:

[Time]
NTP=onpremaadint.com
FallbackNTP=ntp.ubuntu.com

Ezután indítsa újra a szolgáltatást:

sudo systemctl restart systemd-timesyncd.service

Az AD Kerberos-hitelesítés engedélyezése

Kövesse az alábbi lépéseket az AD Kerberos-hitelesítés engedélyezéséhez. Ez a Samba-dokumentáció hasznos lehet hivatkozásként.

Győződjön meg arról, hogy a tartománykiszolgáló elérhető és felderíthető

  1. Győződjön meg arról, hogy a megadott DNS-kiszolgálók tartalmazzák a tartománykiszolgáló IP-címeit.
systemd-resolve --status

Global 
          DNSSEC NTA: 10.in-addr.arpa
                      16.172.in-addr.arpa
                      168.192.in-addr.arpa
                      17.172.in-addr.arpa
                      18.172.in-addr.arpa
                      19.172.in-addr.arpa
                      20.172.in-addr.arpa
                      21.172.in-addr.arpa
                      22.172.in-addr.arpa
                      23.172.in-addr.arpa
                      24.172.in-addr.arpa
                      25.172.in-addr.arpa
                      26.172.in-addr.arpa
                      27.172.in-addr.arpa
                      28.172.in-addr.arpa
                      29.172.in-addr.arpa
                      30.172.in-addr.arpa
                      31.172.in-addr.arpa
                      corp
                      d.f.ip6.arpa
                      home
                      internal
                      intranet
                      lan
                      local
                      private
                      test 

Link 2 (eth0) 
      Current Scopes: DNS 
       LLMNR setting: yes 
MulticastDNS setting: no 
      DNSSEC setting: no 
    DNSSEC supported: no 
         DNS Servers: 10.0.2.5 
                      10.0.2.4 
                      10.0.0.41
          DNS Domain: domain1.contoso.com

  1. Ha a parancs működött, hagyja ki a következő lépéseket, és folytassa a következő szakaszra.

  2. Ha nem működik, győződjön meg arról, hogy a tartománykiszolgáló IP-címei pingelnek.

ping 10.0.2.5

PING 10.0.2.5 (10.0.2.5) 56(84) bytes of data.
64 bytes from 10.0.2.5: icmp_seq=1 ttl=128 time=0.898 ms
64 bytes from 10.0.2.5: icmp_seq=2 ttl=128 time=0.946 ms

^C 

--- 10.0.2.5 ping statistics --- 
2 packets transmitted, 2 received, 0% packet loss, time 1002ms
rtt min/avg/max/mdev = 0.898/0.922/0.946/0.024 ms

  1. Ha a pingelés nem működik, térjen vissza az előfeltételekhez, és győződjön meg arról, hogy a virtuális gép olyan virtuális hálózaton van, amely hozzáfér a Microsoft Entra-bérlőhöz.

  2. Ha az IP-címek pingelnek, de a DNS-kiszolgálók nem jelennek meg automatikusan, manuálisan is hozzáadhatja a DNS-kiszolgálókat. Szerkesztés /etc/netplan/50-cloud-init.yaml a kedvenc szövegszerkesztőjével.

# This file is generated from information provided by the datasource.  Changes
# to it will not persist across an instance reboot.  To disable cloud-init's
# network configuration capabilities, write a file
# /etc/cloud/cloud.cfg.d/99-disable-network-config.cfg with the following:
# network: {config: disabled}
network:
    ethernets:
        eth0:
            dhcp4: true
            dhcp4-overrides:
                route-metric: 100
            dhcp6: false
            match:
                macaddress: 00:22:48:03:6b:c5
            set-name: eth0
            nameservers:
                addresses: [10.0.2.5, 10.0.2.4]
    version: 2

Ezután alkalmazza a módosításokat:

sudo netplan --debug apply
  1. A Winbind feltételezi, hogy a DHCP-kiszolgáló naprakészen tartja a tartomány DNS-rekordjait. Ez azonban nem igaz az Azure DHCP-hez. Az ügyfél DDNS-frissítésekre való beállításához használja ezt az útmutatót egy hálózati szkript létrehozásához. Íme egy példaszkript, amely a következő helyen /etc/dhcp/dhclient-exit-hooks.d/ddns-updateél: .
#!/bin/sh 

# only execute on the primary nic
if [ "$interface" != "eth0" ]
then
    return
fi 

# When you have a new IP, perform nsupdate
if [ "$reason" = BOUND ] || [ "$reason" = RENEW ] ||
   [ "$reason" = REBIND ] || [ "$reason" = REBOOT ]
then
   host=`hostname -f`
   nsupdatecmds=/var/tmp/nsupdatecmds
     echo "update delete $host a" > $nsupdatecmds
     echo "update add $host 3600 a $new_ip_address" >> $nsupdatecmds
     echo "send" >> $nsupdatecmds

     nsupdate $nsupdatecmds
fi

Csatlakozzon a Microsoft Entra Domain Services szolgáltatáshoz, és győződjön meg arról, hogy a szolgáltatások felderíthetők

  1. Győződjön meg arról, hogy a tartománynév alapján pingelheti a tartománykiszolgálót.
ping contosodomain.contoso.com

PING contosodomain.contoso.com (10.0.2.4) 56(84) bytes of data.
64 bytes from pwe-oqarc11l568.internal.cloudapp.net (10.0.2.4): icmp_seq=1 ttl=128 time=1.41 ms
64 bytes from pwe-oqarc11l568.internal.cloudapp.net (10.0.2.4): icmp_seq=2 ttl=128 time=1.02 ms
64 bytes from pwe-oqarc11l568.internal.cloudapp.net (10.0.2.4): icmp_seq=3 ttl=128 time=0.740 ms
64 bytes from pwe-oqarc11l568.internal.cloudapp.net (10.0.2.4): icmp_seq=4 ttl=128 time=0.925 ms 

^C 

--- contosodomain.contoso.com ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3016ms
rtt min/avg/max/mdev = 0.740/1.026/1.419/0.248 ms
  1. Győződjön meg arról, hogy felfedezheti a Microsoft Entra-szolgáltatásokat a hálózaton.
nslookup
> set type=SRV
> _ldap._tcp.contosodomain.contoso.com.

Server:         127.0.0.53
Address:        127.0.0.53#53

Non-authoritative answer: 

_ldap._tcp.contosodomain.contoso.com service = 0 100 389 pwe-oqarc11l568.contosodomain.contoso.com.
_ldap._tcp.contosodomain.contoso.com service = 0 100 389 hxt4yo--jb9q529.contosodomain.contoso.com.

Állomásnév és teljes tartománynév (FQDN) beállítása

  1. A szövegszerkesztővel frissítse a fájlt a /etc/hosts végső teljes tartománynévvel (a tartományhoz való csatlakozás után) és a gazdagép aliasával. Az IP-cím egyelőre nem számít, mert ez a sor elsősorban a rövid gazdagépnév teljes tartománynévre történő fordítására szolgál. További részletekért lásd : Samba beállítása tartománytagként.
127.0.0.1       contosovm.contosodomain.contoso.com contosovm
#cmd=sudo vim /etc/hosts   
#then enter this value instead of localhost "ubuntvm.contosodomain.contoso.com UbuntuVM"
  1. Most meg kell oldania a gazdagép nevét. Egyelőre figyelmen kívül hagyhatja a feloldott IP-címet. A rövid állomásnévnek az FQDN-nek kell feloldódnia.
getent hosts contosovm

127.0.0.1       contosovm.contosodomain.contoso.com contosovm

dnsdomainname

contosodomain.contoso.com

hostname -f

contosovm.contosodomain.contoso.com

Feljegyzés

Egyes disztribúciók esetében a hostnamectl parancs futtatásához az -f állomásnév frissítése szükséges:

hostnamectl set-hostname contosovm.contosodomain.contoso.com

A krb5.conf beállítása

  1. Konfigurálja /etc/krb5.conf úgy, hogy a kerberosi kulcsterjesztési központ (KDC) és a tartománykiszolgáló kapcsolatfelvétele hitelesítés céljából történjen. További információt a MIT Kerberos dokumentációjában talál. Íme egy mintafájl /etc/krb5.conf .
[libdefaults]
        default_realm = CONTOSODOMAIN.CONTOSO.COM
        dns_lookup_realm = false
        dns_lookup_kdc = true

Az smb.conf beállítása

  1. Azonosítsa a elérési smb.confutat.
sudo smbd -b | grep "CONFIGFILE"

   CONFIGFILE: /etc/samba/smb.conf
  1. Módosítsa az SMB-konfigurációt úgy, hogy tartománytagként működjön. További információ: A samba beállítása tartománytagként. Íme egy mintafájl smb.conf .

Feljegyzés

Ez a példa a Microsoft Entra Domain Services szolgáltatásra mutat, amelynek beállítását backend = rid javasoljuk az idmap konfigurálásakor. Előfordulhat, hogy a helyszíni AD DS-felhasználók inkább egy másik azonosítótérkép-háttérrendszert választanak.

[global]
   workgroup = CONTOSODOMAIN
   security = ADS
   realm = CONTOSODOMAIN.CONTOSO.COM

   winbind refresh tickets = Yes
   vfs objects = acl_xattr
   map acl inherit = Yes
   store dos attributes = Yes

   dedicated keytab file = /etc/krb5.keytab
   kerberos method = secrets and keytab

   winbind use default domain = Yes 

   load printers = No
   printing = bsd
   printcap name = /dev/null
   disable spoolss = Yes

   log file = /var/log/samba/log.%m
   log level = 1

   idmap config * : backend = tdb
   idmap config * : range = 3000-7999

   idmap config CONTOSODOMAIN : backend = rid
   idmap config CONTOSODOMAIN : range = 10000-999999

   template shell = /bin/bash
   template homedir = /home/%U
  1. Kényszerítse a winbindet a módosított konfigurációs fájl újbóli betöltésére.
sudo smbcontrol all reload-config

Csatlakozás a tartományhoz

  1. net ads join A parancs használatával csatlakozzon a gazdagéphez a Microsoft Entra Domain Services tartományhoz. Ha a parancs hibát jelez, tekintse meg a samba tartománytagok hibaelhárítását a probléma megoldásához.
sudo net ads join -U contososmbadmin    # user  - garead

Enter contososmbadmin's password:

Using short domain name -- CONTOSODOMAIN
Joined 'CONTOSOVM' to dns domain 'contosodomain.contoso.com'
  1. Győződjön meg arról, hogy a DNS-rekord létezik ehhez a gazdagéphez a tartománykiszolgálón.
nslookup contosovm.contosodomain.contoso.com 10.0.2.5

Server:         10.0.2.5
Address:        10.0.2.5#53

Name:   contosovm.contosodomain.contoso.com
Address: 10.0.0.8

Ha a felhasználók aktívan bejelentkeznek az ügyfélgépekre vagy virtuális gépekre, és hozzáférnek az Azure-fájlmegosztásokhoz, be kell állítania az nsswitch.conf fájlt, és konfigurálnia kell a PAM-t a winbindhez. Ha a hozzáférés olyan felhasználói fiók vagy számítógépfiók által képviselt alkalmazásokra korlátozódik, amelyekhez Kerberos-hitelesítés szükséges a fájlmegosztás eléréséhez, akkor kihagyhatja ezeket a lépéseket.

Az nsswitch.conf beállítása

  1. Most, hogy a gazdagép csatlakozott a tartományhoz, winbind kódtárakat kell elhelyeznie a felhasználók és csoportok keresésekor keresendő helyeken. Ehhez frissítse a passwd és a group bejegyzések a nsswitch.conf. A szövegszerkesztő használatával szerkessze /etc/nsswitch.conf és adja hozzá a következő bejegyzéseket:
passwd:         compat systemd winbind
group:          compat systemd winbind
  1. Engedélyezze, hogy a winbind szolgáltatás automatikusan újrainduljon.
sudo systemctl enable winbind

Synchronizing state of winbind.service with SysV service script with /lib/systemd/systemd-sysv-install.
Executing: /lib/systemd/systemd-sysv-install enable winbind
  1. Ezután indítsa újra a szolgáltatást.
sudo systemctl restart winbind
sudo systemctl status winbind

winbind.service - Samba Winbind Daemon
   Loaded: loaded (/lib/systemd/system/winbind.service; enabled; vendor preset: enabled)
   Active: active (running) since Fri 2020-04-24 09:34:31 UTC; 10s ago
     Docs: man:winbindd(8)
           man:samba(7)
           man:smb.conf(5)
 Main PID: 27349 (winbindd)
   Status: "winbindd: ready to serve connections..."
    Tasks: 2 (limit: 4915)
   CGroup: /system.slice/winbind.service
           ├─27349 /usr/sbin/winbindd --foreground --no-process-group
           └─27351 /usr/sbin/winbindd --foreground --no-process-group

Apr 24 09:34:31 contosovm systemd[1]: Starting Samba Winbind Daemon...
Apr 24 09:34:31 contosovm winbindd[27349]: [2020/04/24 09:34:31.724211,  0] ../source3/winbindd/winbindd_cache.c:3170(initialize_winbindd_cache)
Apr 24 09:34:31 contosovm winbindd[27349]:   initialize_winbindd_cache: clearing cache and re-creating with version number 2
Apr 24 09:34:31 contosovm winbindd[27349]: [2020/04/24 09:34:31.725486,  0] ../lib/util/become_daemon.c:124(daemon_ready)
Apr 24 09:34:31 contosovm systemd[1]: Started Samba Winbind Daemon.
Apr 24 09:34:31 contosovm winbindd[27349]:   STATUS=daemon 'winbindd' finished starting up and ready to serve connections
  1. Győződjön meg arról, hogy a rendszer felderíti a tartomány felhasználóit és csoportjait.
getent passwd contososmbadmin

contososmbadmin:*:12604:10513::/home/contososmbadmin:/bin/bash

getent group 'domain users'

domain users:x:10513:

Ha a fentiek nem működnek, ellenőrizze, hogy a tartományvezérlő elérhető-e a wbinfo eszközzel:

wbinfo --ping-dc

PAM konfigurálása winbindhez

  1. A winbindet a hitelesítési verembe kell helyeznie, hogy a rendszer a winbinden keresztül hitelesítse a tartományi felhasználókat a PAM (Pluggable Authentication Module) konfigurálásával a winbindhez. A második parancs biztosítja, hogy a rendszer első bejelentkezésekor létrejön a homedir egy tartományi felhasználó számára.
sudo pam-auth-update --enable winbind
sudo pam-auth-update --enable mkhomedir
  1. Győződjön meg arról, hogy a PAM hitelesítési konfigurációja a következő argumentumokkal rendelkezik:/etc/pam.d/common-auth
grep pam_winbind.so /etc/pam.d/common-auth

auth    [success=1 default=ignore]      pam_winbind.so krb5_auth krb5_ccache_type=FILE cached_login try_first_pass
  1. Most már tartományfelhasználóként is bejelentkezhet ebbe a rendszerbe, akár ssh, su, akár bármilyen más hitelesítési eszköz használatával.
su - contososmbadmin
Password:

Creating directory '/home/contososmbadmin'.
contososmbadmin@contosovm:~$ pwd
/home/contososmbadmin
contososmbadmin@contosovm:~$ id
uid=12604(contososmbadmin) gid=10513(domain users) groups=10513(domain users),10520(group policy creator owners),10572(denied rodc password replication group),11102(dnsadmins),11104(aad dc administrators),11164(group-readwrite),11165(fileshareallaccess),12604(contososmbadmin)

Konfiguráció ellenőrzése

Annak ellenőrzéséhez, hogy az ügyfélszámítógép csatlakozik-e a tartományhoz, keresse meg az ügyfél teljes tartománynevét a tartományvezérlőn, és keresse meg az adott ügyfélhez tartozó DNS-bejegyzést. Sok esetben megegyezik azzal a tartománynévvel, <dnsserver> amelyhez az ügyfél csatlakozik.

nslookup <clientname> <dnsserver>

Ezután a klist paranccsal tekintheti meg a jegyeket a Kerberos-gyorsítótárban. A következőhöz hasonló bejegyzésnek krbtgt kell kezdődnie:

krbtgt/CONTOSODOMAIN.CONTOSO.COM@CONTOSODOMAIN.CONTOSO.COM

Ha nem konfigurálta a PAM-t a winbindhez, előfordulhat, klist hogy nem jeleníti meg a jegybejegyzést. Ebben az esetben manuálisan hitelesítheti a felhasználót a jegyek lekéréséhez:

wbinfo -K contososmbadmin

A parancsot szkript részeként is futtathatja:

wbinfo -K 'contososmbadmin%SUPERSECRETPASSWORD'

A fájlmegosztás csatlakoztatása

Miután engedélyezte az AD (vagy Microsoft Entra ID) Kerberos-hitelesítést és a linuxos virtuális gép tartományhoz való csatlakozását, csatlakoztathatja a fájlmegosztást.

Részletes csatlakoztatási utasításokért tekintse meg az Azure-fájlmegosztás igény szerinti csatlakoztatásával történő csatlakoztatását ismertető cikket.

A Kerberos biztonságának engedélyezéséhez használja az alábbi további csatlakoztatási lehetőséget az összes hozzáférés-vezérlési modellel: sec=krb5. Ha a sec=krb5 használatban van, meg kell adni a felhasználónevet és a jelszót.

Feljegyzés

Ez a funkció csak olyan kiszolgáló által kényszerített hozzáférés-vezérlési modellt támogat, amely módbitek nélküli NT ACL-eket használ. Az NT ACL-eket frissítő Linux-eszközök minimálisak, ezért frissítse az ACL-eket a Windowson keresztül. Az ügyfél által kényszerített hozzáférés-vezérlési (modefromsid,idsfromsid) és ügyfél által lefordított hozzáférés-vezérlési (cifsacl) modellek jelenleg nem támogatottak.

Egyéb csatlakoztatási lehetőségek

Egyfelhasználós és többfelhasználós csatlakoztatás

Egyfelhasználós csatlakoztatási használati esetben a csatlakoztatási pontot az AD-tartomány egyetlen felhasználója éri el, és nem osztja meg a tartomány többi felhasználójával. Minden fájlhozzáférés annak a felhasználónak a környezetében történik, akinek a krb5 hitelesítő adatait használták a fájlmegosztás csatlakoztatásához. A helyi rendszer bármely felhasználója, aki hozzáfér a csatlakoztatási ponthoz, megszemélyesíti a felhasználót.

Többfelhasználós csatlakoztatás esetén még mindig van egy csatlakoztatási pont, de több AD-felhasználó is hozzáférhet ugyanahhoz a csatlakoztatási ponthoz. Olyan esetekben, amikor ugyanazon ügyfél több felhasználója is hozzáfér ugyanahhoz a megosztáshoz, és a rendszer a Kerberoshoz van konfigurálva, és a csatlakoztatási sec=krb5lehetőséget használja multiuser .

Fájlengedélyek

A fájlengedélyek számítanak, különösen akkor, ha a Linux- és a Windows-ügyfelek is hozzáférnek a fájlmegosztáshoz. Ha fájlengedélyeket szeretne DACLs-ekre konvertálni a fájlokon, használjon egy alapértelmezett csatlakoztatási beállítást, például file_mode=<>,dir_mode=<>. A file_mode és dir_mode megadott fájlengedélyek csak az ügyfélen belül lesznek érvényesítve. A kiszolgáló a hozzáférés-vezérlést a fájl vagy a könyvtár biztonsági leírója alapján kényszeríti ki.

Fájl tulajdonjoga

A fájl tulajdonjoga fontos, különösen akkor, ha a Linux- és a Windows-ügyfelek is hozzáférnek a fájlmegosztáshoz. A következő csatlakoztatási lehetőségek egyikével konvertálhatja a fájl tulajdonjogi UID-jének/GID-jének tulajdonosi/csoportazonosítóját a DACL fájlban:

  • Alapértelmezett, például uid=<>,gid=<>
  • UID/GID-leképezés konfigurálása RFC2307 és Active Directory használatával (nss_winbind vagy nss_sssd)

Fájlattribútum-gyorsítótár mosódása

A teljesítmény akkor is fontos, ha a fájlattribútumok nem mindig pontosak. Az actimeo alapértelmezett értéke 1 (másodperc), ami azt jelenti, hogy a fájlattribútumok újra le lesznek kérve a kiszolgálóról, ha a gyorsítótárazott attribútumok 1 másodpercnél régebbiek. Az érték 60-ra való növelése azt jelenti, hogy az attribútumok gyorsítótárazása legalább 1 percig tart. A legtöbb használati esetben a 30-at javasoljuk ehhez a beállításhoz (actimeo=30).

Az újabb kernelek esetében érdemes részletesebben beállítani az actimeo funkcióit. A könyvtárbejegyzések újraértékelésének gyorsítótárazására az acdirmax és az acregmax használható a fájl metaadatainak gyorsítótárazására, például acdirmax=60,acregmax=5.

Következő lépés

Az SMB-fájlmegosztás linuxos csatlakoztatásáról további információt a következő témakörben talál: