setfacl - wie muss es? (bzw. so richtig verstanden?)

[ObiTobi]

Hallo,

wohl durch einen Fehler meinerseits habe ich sehr viele Rechte versaut.
Mein NAS war schon immer so konfiguriert, dass man sowohl von Windows (SMB), Mac (AFP), Linux (NFSv4) auf die gleichen Shares zugreifen konnte. Ich hatte es damals mit 100% Sicherheit über die Shell gemacht. Setzen der Rechte über Windows Server hatte irgendwie nie wirklich funktioniert (FreeNAS 9.10.2-U2) hängt an Windows 2008R2 Domain-Controller

Also ich lese die Manpage zu setfacl aber so richtig "bang" will es nicht. Bevor ich dann weiter experimentiere, ich wollte jetzt folgendes tun

1. Ins betroffene Verzeichnis (Share wechseln)
2. find . -exec setfacl -b '{} ';' (damit alle ACLS entfernt werden)
3. find . -type d -exec chmod 700 '{}' ';' (Nur owner hat rechte)
4. find . -type f -exec chmod 600 '{}' ';' (wie oben)

5. find . -type f -exec setfacl -m owner@:full_set:allow,goup@:full_set:deny,g:domänen-admins:full_set:allow,g:fotografie:modify_set:allow '{} ';'
6. cd ../
7. find fotografie -type d -exec setfacl -m owner@:full_set:fd:allow,group@:full_set:fd:deny, g:domänen-admins:full_set:fd:allow,g:fotografie:modify_set:fd:allow '{}' ';'

Mit 5 und 7 will ich erreichen, dass der Owner, Gruppe: Domänen-Admins alles dürfen, Gruppe fotografie darf die ACLs und Owner nicht setzen, sonst alles. Gruppe "wheel" darf nichts
Passt das wirklich?
Ach ja - wenn neue Verzeichnisse und Dateien angelegt werden, dann werden die ACLS wegen :fd: übernommen (oder?)

 

[ObiTobi]

Ich habe es mit einem Verzeichnis/ Share getestet. So richtig wie ich es mir vorgestellt habe funktioniert es dann doch nicht und ich weiß nicht warum :(

Also mit den o.g Vorgehensweise angefangen.
Dann auf einer Windows Maschine mich mit einem User angemeldet der zu der Gruppe "fotografie" gehört aber nicht zu "Domänen-Admins". Wenn der user jetzt Verzeichnisse oder Dateien erstellt, dann ist er der Owner.
An sich dachte bzw. habe ich erwartet, dass so etwas nicht passieren wird, da die Gruppe eben den Owner nicht setzen darf.

Wo liegt also mein Denkfehler?