Partage Réseau · Leçon 5

Samba

Découvrez comment configurer, valider, utiliser et sécuriser un partage de fichiers Samba élémentaire.

Samba met en œuvre le protocole Server Message Block sur les systèmes de type Unix, ce qui permet aux clients Linux, Windows, macOS et autres de partager des fichiers et des imprimantes. Les déploiements modernes emploient les versions actuelles de SMB ; l’ancien terme CIFS reste visible dans les outils clients Linux, mais ne justifie pas l’activation de l’obsolète SMB1.

Planifier le partage

Avant d’installer ou de modifier Samba, définissez les clients autorisés, les identités, les besoins en lecture et en écriture, la zone réseau, le propriétaire des données, la politique de sauvegarde et la version SMB requise. Employez un répertoire dédié plutôt que d’exposer involontairement une arborescence personnelle ou système.

L’accès est contrôlé à la fois par la politique Samba et par les permissions du système de fichiers sous-jacent. Autoriser les écritures dans smb.conf ne peut pas accorder à un compte un accès qu’il ne possède pas dans le système de fichiers.

Qu’est-ce qui doit autoriser un utilisateur à écrire dans un partage Samba ?

Définir un partage élémentaire

Le fichier de configuration principal est généralement /etc/samba/smb.conf. Voici un exemple restreint :

[team]
    path = /srv/samba/team
    browseable = yes
    read
    valid users = @teamshare

Créez le répertoire et appliquez au groupe Unix une propriété et des permissions vérifiées :

$ sudo install -d -o root -g teamshare -m 2770 /srv/samba/team

Le bit set-group-ID aide les nouvelles entrées à hériter du groupe du répertoire, mais un accès collaboratif peut également nécessiter une ACL ou un masque de création soigneusement choisi. Testez les fichiers et les répertoires réellement obtenus au lieu de supposer que l’héritage suffit.

Que signifie valid users = @teamshare ?

Configurer l’identité

Dans une configuration Samba autonome, un compte nécessite généralement une identité Unix correspondante et un identifiant Samba activé :

$ sudo smbpasswd -a alice

Les déploiements avec un domaine d’annuaire utilisent une conception différente des identités. Ne placez pas les mots de passe dans l’historique du shell ni dans une configuration lisible par des utilisateurs non concernés, et ne supposez pas qu’un mot de passe Samba soit automatiquement identique à celui du compte Unix.

Que fait généralement smbpasswd -a alice sur un serveur autonome ?

Valider et appliquer la configuration

Vérifiez la configuration analysée avant de recharger les services :

$ testparm -s

Examinez les valeurs par défaut inattendues et les erreurs, puis rechargez le service Samba de la distribution par son gestionnaire de services. Les noms varient et comprennent souvent smbd.service ou smb.service. Lorsqu’il est pris en charge, un rechargement perturbe moins qu’un redémarrage, mais vérifiez tout de même l’état, les sockets en écoute, la portée du pare-feu et les journaux.

Effectuez un test depuis un client en précisant l’utilisateur :

$ smbclient //server.example.net/team -U alice

Pourquoi exécuter testparm -s avant d’appliquer une modification de Samba ?

Monter depuis Linux

Les clients Linux emploient généralement le pilote de système de fichiers cifs et ses utilitaires de montage. Évitez les mots de passe sur la ligne de commande, car les arguments peuvent apparaître dans l’historique ou lors de l’examen des processus. Employez un fichier d’identifiants lisible uniquement par root ou un mécanisme d’identification approuvé :

$ sudo mount -t cifs //server.example.net/team /mnt/team \
    -o credentials=/root/.smb-team,vers=3.1.1

Protégez le fichier d’identifiants, confirmez la version prise en charge aux deux extrémités et définissez délibérément les exigences d’UID, de GID, de permissions et de chiffrement. Après le montage, vérifiez avec findmnt, effectuez des tests de lecture et d’écriture autorisés, puis démontez après coordination avec les utilisateurs actifs.

Pourquoi éviter password=... directement dans une commande de montage ?

Leçon terminée

Vous avez terminé Samba

Vous savez maintenant configurer un partage Samba en tenant compte de la sécurité du protocole et de celle du système de fichiers.

Définir d’abord les clients, les identités, la portée réseau et la politique des données.
Restreindre le partage et aligner les permissions sous-jacentes.
Gérer les identifiants Samba avec le modèle d’identité approprié.
Valider avec testparm et effectuer un test client de bout en bout.
Protéger les identifiants du client et vérifier l’accès monté.

Conservez votre progression

Créez un compte gratuit pour enregistrer cette leçon et continuer sur n'importe quel appareil.

Créer un compte gratuit

Retour à Partage Réseau