man/man8/afp_acls.8.tmpl

   1 '\" t
   2 .\"     Title: afp_acls
   3 .\"    Author: [FIXME: author] [see http://docbook.sf.net/el/author]
   4 .\" Generator: DocBook XSL Stylesheets v1.74.3 <http://docbook.sf.net/>
   5 .\"      Date: 02 Feb 2009
   6 .\"    Manual: Netatalk 2.1
   7 .\"    Source: Netatalk 2.1
   8 .\"  Language: English
   9 .\"
  10 .TH "AFP_ACLS" "8" "02 Feb 2009" "Netatalk 2.1" "Netatalk 2.1"
  11 .\" -----------------------------------------------------------------
  12 .\" * set default formatting
  13 .\" -----------------------------------------------------------------
  14 .\" disable hyphenation
  15 .nh
  16 .\" disable justification (adjust text to left margin only)
  17 .ad l
  18 .\" -----------------------------------------------------------------
  19 .\" * MAIN CONTENT STARTS HERE *
  20 .\" -----------------------------------------------------------------
  21 .SH "NAME"
  22 afp_acls \- Setup and Usage Howto for ACLs with Netatalk
  23 .SH "DESCRIPTION"
  24 .PP
  25 ACL support for AFP is implemented with NFSv4 ACLs\&. Few filesystems and fewer OSes support these\&. At the time of implementation its only provided with ZFS on Solaris, Opensolaris and derived distributions\&.
  26 .SH "CONFIGURATION"
  27 .PP
  28 In order to be able to support ACLs, the following things have to be configured:
  29 .sp
  30 .RS 4
  31 .ie n \{\
  32 \h'-04' 1.\h'+01'\c
  33 .\}
  34 .el \{\
  35 .sp -1
  36 .IP "  1." 4.2
  37 .\}
  38 ZFS Volumes
  39 .sp
  40 You MUST configure two ACL parameters for any volume you want to use with Netatalk:
  41 .sp
  42 .if n \{\
  43 .RS 4
  44 .\}
  45 .nf
  46 aclinherit = passthrough
  47 aclmode = passthrough
  48 .fi
  49 .if n \{\
  50 .RE
  51 .\}
  52 .sp
  53 For an explanation of what these parameters mean and how to apply them see, your hosts ZFS documentation (e\&.g\&. man zfs)\&.
  54 .RE
  55 .sp
  56 .RS 4
  57 .ie n \{\
  58 \h'-04' 2.\h'+01'\c
  59 .\}
  60 .el \{\
  61 .sp -1
  62 .IP "  2." 4.2
  63 .\}
  64 Authentication Domain
  65 .sp
  66 Your server and the clients must be part of a security association where identity data is coming from a common source\&. ACLs in Darwin are based on UUIDs and so is the ACL specification in AFP 3\&.2\&. Therefor your source of identity data has to provide an attribute for every user and group where a UUID is stored as a ASCII string\&.
  67 .sp
  68 In other words:
  69 .sp
  70 .RS 4
  71 .ie n \{\
  72 \h'-04'\(bu\h'+03'\c
  73 .\}
  74 .el \{\
  75 .sp -1
  76 .IP \(bu 2.3
  77 .\}
  78 you need an Open Directory Server or an LDAP server where you store UUIDs in some attribute
  79 .RE
  80 .sp
  81 .RS 4
  82 .ie n \{\
  83 \h'-04'\(bu\h'+03'\c
  84 .\}
  85 .el \{\
  86 .sp -1
  87 .IP \(bu 2.3
  88 .\}
  89 your clients must be configured to use this server
  90 .RE
  91 .sp
  92 .RS 4
  93 .ie n \{\
  94 \h'-04'\(bu\h'+03'\c
  95 .\}
  96 .el \{\
  97 .sp -1
  98 .IP \(bu 2.3
  99 .\}
 100 your server should be configured to use this server via nsswitch and PAM\&.
 101 .if n \{\
 102 .sp
 103 .\}
 104 .RS 4
 105 .it 1 an-trap
 106 .nr an-no-space-flag 1
 107 .nr an-break-flag 1
 108 .br
 109 .ps +1
 110 \fBTip\fR
 111 .ps -1
 112 .br
 113 This however is not a strict requirement: if you create duplicates of every LDAP/OD user and group with identic attributes (name, uid, gid) in your local data store (/etc/[passwd|group]) ACLs will work
 114 \fIas long as user/group names/ids in the filesystem are equal to their counterparts in the LDAP/OD datastore\fR\&.
 115 .sp .5v
 116 .RE
 117 .RE
 118 .sp
 119 .RS 4
 120 .ie n \{\
 121 \h'-04'\(bu\h'+03'\c
 122 .\}
 123 .el \{\
 124 .sp -1
 125 .IP \(bu 2.3
 126 .\}
 127 configure Netatalk via afp_ldap\&.conf so that Netatalk is able to retrieve the UUID for users and groups via LDAP search queries
 128 .RE
 129 .RE
 130 .sp
 131 .RS 4
 132 .ie n \{\
 133 \h'-04' 3.\h'+01'\c
 134 .\}
 135 .el \{\
 136 .sp -1
 137 .IP "  3." 4.2
 138 .\}
 139 Netatalk Volumes
 140 .sp
 141 Finally you can add
 142 \fBoptions:acls\fR
 143 to your volume defintion to add ACL support\&. In case your volume basedir doesn\'t grant read permissions via mode (like:
 144 \fB0700 root:adm\fR) but only via ACLs, you MUST add the
 145 \fBnostat\fR
 146 option to the volume defintion\&.
 147 .RE
 148 .SH "SEE ALSO"
 149 .PP
 150 \fBafp_ldap.conf\fR(5),
 151 \fBAppleVolumes.default\fR(5)