简介：这份资源面向Linux运维人员与系统管理员，聚焦Samba共享目录的多用户权限控制这一常见却易踩坑的实战场景，帮助读者解决不同角色用户按需访问特定共享目录的配置难题。包内共1个doc文档，约5.03MB，以图文与配置片段结合的方式组织内容，便于对照查阅与落地实践。文档围绕用户与组创建、smb.conf全局与共享段配置、valid users与create/directory mask权限掩码、目录属主与770权限设置、服务重启与Windows客户端访问测试等环节展开，并补充防火墙端口限制、密码加密与安全更新等优化建议，可作为搭建安全灵活文件共享环境的参考手册。目前已有4517人学习下载，适合需要快速掌握Samba多用户权限配置思路与排错要点的初中级运维人员。

1. Samba 多用户权限配置：从一次“能连上但写不进”的翻车说起

很多人第一次配 Samba 共享目录，都会经历同一个场景：Windows 客户端能顺利打开\\SAMBA_SERVER\shared_folder，目录也列得出来，但一往里写文件就提示“拒绝访问”，或者 A 用户能看到 B 用户的私有目录。这不是玄学，而是 Linux 文件系统权限和 Samba 自身权限两套机制没对齐。Samba 共享目录的多用户权限设置，本质上是把「SMB 协议层的用户认证」和「Linux 底层的 uid/gid、rwx 权限」这两层同时配对，任何一层错位都会翻车。这套环境在中小企业文件服务器、实验室内部资料盘、跨平台协作目录里极其常见，装不好轻则用户互相看到不该看的文件，重则整个共享目录变成只读。这篇笔记面向正在配 Samba 多用户权限的开发者，从版本选择、安装、用户组规划、smb.conf 参数到验证排错，一步步走完。

2. 环境准备与版本选择：装 Samba 前先把系统底子摸清

2.1 发行版与 Samba 版本对照

Samba 的配置语法在不同大版本之间有差异，尤其是security、map to guest、server min protocol这几个参数。我一般会先确认发行版自带的 Samba 版本，再决定写哪套配置。下面这张表是我在几类常见系统上整理出来的对照，装之前先对号入座。

版本差异主要影响两点：一是 SMB 协议默认最低版本，新版默认禁用了 SMB1，老 Windows 客户端如果只支持 SMB1 会连不上；二是map to guest的取值行为在新版里更严格。选版本的原则很简单——用发行版仓库自带的稳定版，不要手动去编译最新源码，除非你有明确的协议兼容需求。

2.2 安装 Samba 与依赖检查

确认版本后直接装。Debian/Ubuntu 系和 RHEL 系的命令不同，装完顺手确认服务单元名，因为老系统是smb，新系统是smbd。

# Debian / Ubuntu 系 sudo apt-get update sudo apt-get install -y samba samba-common-bin # CentOS / RHEL 系 sudo yum install -y samba samba-client # 确认安装版本 smbd --version # 确认服务单元名（新系统一般是 smbd，老系统可能是 smb） systemctl list-unit-files | grep -i smb

这里samba-common-bin在 Debian 系里提供smbpasswd、testparm等工具，不装的话后面设 Samba 密码会找不到命令。smbd --version用来核对实际版本，避免仓库里装的是旧版。systemctl list-unit-files那一步是我踩过坑之后养成的习惯——有些老教程写service smb restart，但在新系统上服务名已经变成smbd，照抄会报“Unit smb.service not found”。

提示：如果你的环境里已经有别的服务占了 445 或 139 端口，装完 Samba 会起不来。装之前用ss -tlnp | grep -E '445|139'看一眼。

2.3 防火墙与 SELinux 的前置处理

这一步很多人会跳过，结果就是本机smbclient能连、Windows 连不上。防火墙要放行 Samba 相关端口，SELinux 要允许 Samba 读写共享目录。

# firewalld（CentOS/RHEL） sudo firewall-cmd --permanent --add-service=samba sudo firewall-cmd --reload # ufw（Ubuntu） sudo ufw allow samba # SELinux 放行 Samba 读写目录（仅 RHEL/CentOS 系需要） sudo setsebool -P samba_export_all_rw on

--add-service=samba会一次性放行 137/138/139/445 这几个端口，比手动逐个加端口省事。samba_export_all_rw这个布尔值控制 Samba 是否能对所有被标记的目录读写，不开的话即使smb.conf里写了writable = yes，SELinux 也会在底层拦掉，表现为“配置全对但就是写不进去”。这是 RHEL 系最典型的血泪坑之一。

3. 用户与组规划：Linux 账户和 Samba 账户是两套东西

3.1 创建 Linux 组和用户

Samba 的用户认证建立在 Linux 系统用户之上，但又不是同一个密码体系。所以第一步是先把 Linux 层的组和用户建好。按项目正文的思路，建一个users组，再往里加user1、user2。

# 创建共享组 sudo groupadd users # 创建用户并加入 users 组，-M 表示不建家目录（共享场景下通常不需要） sudo useradd -M -s /sbin/nologin -G users user1 sudo useradd -M -s /sbin/nologin -G users user2 # 确认组成员 getent group users

-M不创建家目录，因为共享目录场景下用户不需要登录 shell 和家目录。-s /sbin/nologin禁止这些账户直接 SSH 登录，只让它们走 Samba 认证，这是安全上的常见做法。getent group users用来确认两个用户确实进了组，输出里应该能看到users:x:1001:user1,user2这样的行。如果这里没加进去，后面valid users = @users就会失效。

3.2 设置 Samba 独立密码

Linux 用户建好后还没有 Samba 密码，必须用smbpasswd单独设一次。这是新手最容易混淆的点——改了 Linux 密码不等于改了 Samba 密码。

# 为每个 Samba 用户设置独立密码 sudo smbpasswd -a user1 sudo smbpasswd -a user2 # 启用账户（部分版本需要显式 enable） sudo smbpasswd -e user1 sudo smbpasswd -e user2 # 查看已注册的 Samba 用户 sudo pdbedit -L

smbpasswd -a会把用户加入 Samba 的密码数据库（默认是tdbsam后端），执行时会提示输入两次密码。-e是启用账户，有些发行版在-a之后账户默认是禁用状态，不 enable 的话认证会失败。pdbedit -L列出所有已注册的 Samba 用户，如果这里看不到 user1、user2，说明密码库没写进去，后面连接必然失败。

注意：Samba 密码和 Linux 密码是分开存储的，passwd user1改的是系统密码，不影响 Samba 登录。反过来smbpasswd改的也不影响系统登录。

3.3 共享目录的属主与权限规划

用户和组准备好之后，规划目录结构。按正文案例，为每个用户在共享目录下建独立子目录，属主设为对应用户，属组设为users，权限 770。

# 创建共享根目录 sudo mkdir -p /srv/shared_folder # 为每个用户创建独立子目录 sudo mkdir -p /srv/shared_folder/user1 sudo mkdir -p /srv/shared_folder/user2 # 设置属主和属组 sudo chown -R user1:users /srv/shared_folder/user1 sudo chown -R user2:users /srv/shared_folder/user2 # 设置权限：属主和属组可读写执行，其他人无权限 sudo chmod -R 770 /srv/shared_folder/user1 /srv/shared_folder/user2 # 共享根目录本身也要给组权限 sudo chown root:users /srv/shared_folder sudo chmod 770 /srv/shared_folder

770的含义是属主 rwx、属组 rwx、其他人无权限。这样 user1 和 user2 同属users组，理论上能互相进入对方目录——如果你要的是严格隔离，应该把权限设成700并去掉组权限，或者给每个用户单独建组。chown -R user1:users把子目录属主给 user1、属组给 users，配合 Samba 的force group参数使用效果最好。共享根目录本身也要设权限，否则用户连根目录都进不去。

4. 配置 smb.conf：全局段和共享段的关键参数

4.1 全局段参数逐项说明

/etc/samba/smb.conf分全局段[global]和共享段[共享名]。全局段决定认证方式和日志行为，先按下面这套写。

[global] workgroup = WORKGROUP server string = Samba Server %v netbios name = SAMBA_SERVER security = user map to guest = Bad User guests ok = no obey pam restrictions = yes pam password change = yes passwd program = /usr/bin/passwd %u passwd chat = *Enter\snew\s*\spassword:* %n\n *Retype\snew\s*\spassword:* %n\n *password\supdated\ssuccessfully* . log file = /var/log/samba/log.%m max log size = 1000

security = user表示用 Samba 自己的用户库认证，这是多用户权限场景的标准选择。map to guest = Bad User让认证失败的用户降级为 guest，配合guests ok = no就能拒绝匿名访问。obey pam restrictions = yes和pam password change = yes让 Samba 遵循 PAM 的账户限制，比如账户过期策略。passwd program和passwd chat定义用户从 Windows 改密码时调用的命令和交互匹配串，不配的话 Windows 端改密码会失败。log file = /var/log/samba/log.%m按客户端机器名分日志，排错时能快速定位是哪台机器出的问题。

4.2 共享段与 valid users 权限控制

全局段之后定义共享目录。核心是用valid users限定可访问的用户或组。

[shared_folder] path = /srv/shared_folder public = no browseable = yes writable = yes create mask = 0770 directory mask = 0770 valid users = @users force group = users write list = @users

path指向实际目录，必须和前面mkdir的路径一致。public = no关闭匿名访问。browseable = yes让共享在网络邻居里可见。writable = yes允许写入，但真正决定谁能写的是write list。valid users = @users表示只有users组成员能访问这个共享，@前缀代表组。force group = users强制新建文件的属组为 users，避免用户默认组不一致导致权限混乱。create mask和directory mask控制新建文件和目录的权限位，设成0770保证同组用户能读写。

提示：valid users和write list是两个不同维度的控制。valid users管“能不能进”，write list管“能不能写”。只配valid users不配write list时，writable = yes会让所有 valid users 都能写；要精细控制就两个都写。

4.3 用 testparm 校验配置语法

改完smb.conf不要急着重启，先用testparm检查语法。这个工具会解析配置并报出错误行。

# 校验配置文件语法 sudo testparm -s # 只看某个共享段的最终生效参数 sudo testparm -s --section-name=shared_folder

testparm -s会输出 Samba 实际解析后的完整配置，如果某一行写错，它会直接指出行号和问题。--section-name用来单独看某个共享段的最终参数，排查“我明明写了但没生效”这类问题时特别有用——因为 Samba 有大量默认值，你写的可能被别的参数覆盖了。这一步能挡掉大部分低级错误，比如拼写错误、段名重复、参数值非法。

5. 避坑与排查：多用户权限最常见的五个翻车点

5.1 能连上但写不进去

现象：Windows 能打开共享目录，能看到文件，但新建文件提示拒绝访问。原因通常是 Linux 目录权限和 Samba 写入权限没对齐。先看目录属主属组和权限位，再看write list是否包含该用户。解决：确认chmod 770且属组是users，smb.conf里write list = @users，然后systemctl restart smbd。RHEL 系还要确认setsebool -P samba_export_all_rw on已执行。

5.2 用户能看到别人的私有目录

现象：user1 登录后能进入 user2 的子目录。原因是两个用户同属users组，而子目录权限是770，组权限开放了。解决：要么把子目录权限改成700去掉组权限，要么给每个用户建独立组并调整valid users。如果业务上需要组内共享，那这个现象是正常的，要提前和用户说清楚。

5.3 认证失败但密码没错

现象：smbpasswd -a设了密码，Windows 登录还是提示密码错误。原因通常是 Samba 账户没启用，或者security模式不对。解决：pdbedit -L确认用户已注册，smbpasswd -e user1显式启用，检查smb.conf里security = user没被改成share或ads。还有一种情况是 Windows 缓存了旧凭据，用net use * /delete清一下再连。

5.4 服务重启后配置没生效

现象：改了smb.conf，systemctl restart smbd也执行了，但行为没变。原因是服务名写错或只重启了smbd没重启nmbd。解决：新系统用systemctl restart smbd nmbd，老系统用service smb restart。重启后用testparm -s确认配置被正确加载，再看systemctl status smbd有没有报错。

5.5 日志里全是权限拒绝

现象：/var/log/samba/log.<客户端名>里大量Permission denied。原因是 SELinux 或 AppArmor 拦截。解决：RHEL 系查ausearch -m avc -ts recent看 SELinux 拒绝记录，用setsebool放行；Ubuntu 系查dmesg | grep -i apparmor，必要时调整 AppArmor 配置。这一步是最后的手段，先排除前四个坑再动安全模块。

6. 验证跑通：从本机 smbclient 到 Windows 实测

配置改完、服务重启后，别急着让用户连，自己先在本机用smbclient走一遍认证和读写，确认服务端没问题，再去 Windows 端验证。

# 本机列出共享 smbclient -L localhost -U user1 # 以 user1 身份连接共享并测试写入 smbclient //localhost/shared_folder -U user1 # 进入交互后执行： # smb: \> mkdir test_dir # smb: \> put /etc/hostname test_file # smb: \> ls # smb: \> quit # 检查实际落盘文件的属主和权限 ls -l /srv/shared_folder/user1/

smbclient -L列出共享清单，确认shared_folder在列。连接后mkdir和put测试写权限，ls确认文件可见。退出后到服务端ls -l看落盘文件的属主是不是 user1、属组是不是 users、权限是不是 770 附近。如果属组不对，说明force group没生效；如果权限不对，检查create mask。

本机通过后，到 Windows 客户端按Win+R输入\\SAMBA_SERVER\shared_folder，用 user1 的 Samba 密码登录。能进、能建文件、能删自己的文件，再用 user2 登录确认看不到 user1 的私有内容（如果做了隔离）。最后用testparm -s再跑一次，把最终生效的配置留档。

从那以后我每次配完 Samba 多用户权限，都强制走一遍「testparm 校验 → smbclient 本机读写 → Windows 实测 → 日志复查」这四步，不再凭感觉说“应该好了”。希望帮到你。

本文还有配套的精品资源，点击获取