SMBCACLS(1) User Commands SMBCACLS(1)

smbcacls - تنظیم یا دریافت ACLها روی نام فایل‌ها یا دایرکتوری‌های NT

smbcacls {//server/share} {/filename} [-D|--delete=ACL] [-M|--modify=ACL] [-a|--add=ACL] [-S|--set=ACLS] [-C|--chown=USERNAME] [-G|--chgrp=GROUPNAME] [-I|--inherit=STRING] [--recurse] [--propagate-inheritance] [--save=savefile] [--restore=restorefile] [--numeric] [--sddl] [--query-security-info=INT] [--set-security-info=INT] [-t|--test-args] [--domain-sid=SID] [-x|--maximum-access] [-?|--help] [--usage] [-d|--debuglevel=DEBUGLEVEL] [--debug-stdout] [--configfile=CONFIGFILE] [--option=name=value] [-l|--log-basename=LOGFILEBASE] [--leak-report] [--leak-report-full] [-R|--name-resolve=NAME-RESOLVE-ORDER] [-O|--socket-options=SOCKETOPTIONS] [-m|--max-protocol=MAXPROTOCOL] [-n|--netbiosname=NETBIOSNAME] [--netbios-scope=SCOPE] [-W|--workgroup=WORKGROUP] [--realm=REALM] [-U|--user=[DOMAIN/]USERNAME[%PASSWORD]] [-N|--no-pass] [--password=STRING] [--pw-nt-hash] [-A|--authentication-file=FILE] [-P|--machine-pass] [--simple-bind-dn=DN] [--use-kerberos=desired|required|off] [--use-krb5-ccache=CCACHE] [--use-winbind-ccache] [--client-protection=sign|encrypt|off] [-V|--version]

این ابزار بخشی از مجموعهٔ samba(7) است.

برنامهٔ smbcacls فهرست‌های کنترل دسترسی (ACL) ویندوز NT را روی اشتراک‌های فایل SMB دستکاری می‌کند. یک ACL شامل صفر یا چند مدخل کنترل دسترسی (ACE) است که محدودیت‌های دسترسی را برای یک کاربر یا گروه خاص مشخص می‌کنند.

گزینه‌های زیر برای برنامهٔ smbcacls در دسترس هستند. ساختار ACLها در بخش ACL FORMAT شرح داده شده است.

-a|--add acl

مدخل‌های مشخص‌شده را به ACL اضافه می‌کند. مدخل‌های کنترل دسترسی موجود بدون تغییر باقی می‌مانند.

-M|--modify acl

مقدار ماسک (مجوزها) را برای ACEهای مشخص‌شده در خط فرمان تغییر می‌دهد. برای هر ACE مشخص‌شده‌ای که از قبل در ACL شیء وجود نداشته باشد، یک خطا چاپ خواهد شد.

-D|--delete acl

هرگونه ACE مشخص‌شده در خط فرمان را حذف می‌کند. برای هر ACE مشخص‌شده‌ای که از قبل در ACL شیء وجود نداشته باشد، یک خطا چاپ خواهد شد.

-S|--set acl

این دستور ACL شیء را فقط با آنچه در خط فرمان مشخص شده تنظیم می‌کند. هرگونه ACL موجود بازنویسی و پاک می‌شود. توجه داشته باشید که برای موفقیت‌آمیز بودن فراخوانی، ACL مشخص‌شده باید حداقل شامل revision، type، owner و group باشد.

-C|--chown name

مالک یک فایل یا دایرکتوری را می‌توان با استفاده از گزینهٔ -C به نام داده‌شده تغییر داد. این نام می‌تواند یک SID به صورت S-1-x-y-z یا نامی باشد که از طریق سرور مشخص‌شده در آرگومان نخست تحلیل و تطبیق داده می‌شود.

این دستور یک میان‌بر برای -M OWNER:name است.

-G|--chgrp name

گروه مالک یک فایل یا دایرکتوری را می‌توان با استفاده از گزینهٔ -G به نام داده‌شده تغییر داد. این نام می‌تواند یک SID به صورت S-1-x-y-z یا نامی باشد که از طریق سرور مشخص‌شده در آرگومان نخست تحلیل و تطبیق داده می‌شود.

این دستور یک میان‌بر برای -M GROUP:name است.

-I|--inherit allow|remove|copy

جعبه‌انتخاب «Allow inheritable permissions» ویندوز را با استفاده از گزینهٔ -I تنظیم یا لغو می‌کند. برای فعال‌سازی آن مقدار allow را ارسال کنید. برای لغو فعال‌سازی، یکی از مقادیر remove یا copy را ارسال نمایید. مقدار remove تمام ACEهای موروثی را حذف می‌کند. مقدار copy از تمام ACEهای موروثی رونوشت برمی‌دارد.

--propagate-inheritance

افزودن، تغییر، حذف یا تنظیم ACEها روی کل یک درخت دایرکتوری بر اساس پرچم‌های وراثت. برای جزئیات به بخش INHERITANCE مراجعه کنید.

--save savefile

فهرست‌های DACL فایل یا پوشهٔ مشخص‌شده را در قالب sddl برای استفادهٔ بعدی با restore ذخیره می‌کند. مجوزهای SACL، مالک یا برچسب‌های یکپارچگی ذخیره نمی‌شوند.

--restore savefile

فهرست‌های DACL ذخیره‌شده را روی فایل‌های درون دایرکتوری اعمال می‌کند.

--recurse

مشخص می‌کند که عملیات روی دایرکتوری و تمام فایل‌ها/دایرکتوری‌های زیرین انجام گیرد. (فقط برای گزینهٔ save اعمال می‌شود)

--numeric

این گزینه تمام اطلاعات ACL را در قالب عددی نمایش می‌دهد. پیش‌فرض، تبدیل SIDها به نام و نوع ACE و ماسک‌ها به قالبی از رشته‌های خوانا است.

-m|--max-protocol PROTOCOL_NAME

به کاربر اجازه می‌دهد بالاترین سطح پروتکل SMB را که smbcacls برای اتصال به سرور استفاده خواهد کرد، انتخاب کند. به‌طور پیش‌فرض این مقدار روی NT1 تنظیم شده که بالاترین پروتکل موجود SMB1 است. برای اتصال با استفاده از پروتکل SMB2 یا SMB3، به ترتیب از رشته‌های SMB2 یا SMB3 استفاده کنید. توجه داشته باشید که برای اتصال به سرور Windows 2012 با ارتباطات رمزگذاری‌شده، تعیین max-protocol با مقدار SMB3 الزامی است.

-t|--test-args

در عمل کاری انجام نمی‌دهد، فقط صحت و درستی آرگومان‌ها را بررسی می‌کند.

--query-security-info FLAGS

پرچم‌های security-info برای پرس‌وجوها.

--set-security-info FLAGS

پرچم‌های security-info برای تنظیمات.

--sddl

خروجی و ورودی دادن ACLها در قالب sddl.

--domain-sid SID

شناسهٔ SID مورد استفاده برای پردازش sddl.

-x|--maximum-access

هنگام نمایش یک ACL، افزون بر آن، حداکثر مجوزهای مؤثر را نیز از سرور پرس‌وجو می‌کند. توجه داشته باشید که این ویژگی فقط در نسخهٔ ۲ یا بالاتر از پروتکل SMB پشتیبانی می‌شود.

-?|--help

چاپ خلاصه‌ای از گزینه‌های خط فرمان.

--usage

نمایش پیام مختصر نحوهٔ استفاده.

-d|--debuglevel=level

level یک عدد صحیح از 0 تا 10 است. در صورت عدم تعیین این پارامتر، مقدار پیش‌فرض برای برنامه‌های کلاینت 1 است.

هرچه این مقدار بالاتر باشد، جزئیات بیشتری دربارهٔ فعالیت‌های سرور در فایل‌های لاگ ثبت خواهد شد. در سطح 0، فقط خطاهای حیاتی و هشدارهای جدی ثبت می‌شوند. سطح 1 سطحی معقول برای استفادهٔ روزمره است - مقدار کمی اطلاعات دربارهٔ عملیات انجام‌شده تولید می‌کند.

سطوح بالاتر از 1 مقادیر قابل توجهی داده‌های لاگ تولید می‌کنند و فقط باید هنگام بررسی یک مشکل استفاده شوند. سطوح بالاتر از 3 تنها برای توسعه‌دهندگان طراحی شده‌اند و حجم عظیمی از داده‌های لاگ تولید می‌کنند که اغلب بسیار مبهم هستند.

توجه داشته باشید که تعیین این پارامتر در اینجا، مقدار پارامتر log level را در فایل /etc/samba/smb.conf لغو کرده و بازنویسی می‌کند.

--debug-stdout

خروجی رفع اشکال (debug) را به STDOUT هدایت می‌کند. به‌طور پیش‌فرض، همهٔ برنامه‌های کلاینت لاگ را به STDERR می‌فرستند. --configfile=<configuration file>;
فایل مشخص‌شده حاوی جزئیات پیکربندی مورد نیاز کلاینت است. اطلاعات این فایل می‌تواند برای کلاینت و سرور عمومی باشد یا تنها گزینه‌های مختص کلاینت مانند client smb encrypt را فراهم کند. برای اطلاعات بیشتر /etc/samba/smb.conf را ببینید. نام پیش‌فرض فایل پیکربندی در زمان کامپایل تعیین می‌شود.

--option=<name>=<value>

گزینه smb.conf(5) با نام "<name>" را از طریق خط فرمان به مقدار "<value>" تنظیم می‌کند. این گزینه مقادیر پیش‌فرض زمان کامپایل و گزینه‌های خوانده‌شده از فایل پیکربندی را لغو و بازنویسی می‌کند. اگر یک نام یا یک مقدار شامل فاصله باشد، کل عبارت --option=name=value را داخل علامت نقل‌قول قرار دهید.

-l|--log-basename=logdirectory

نام دایرکتوری پایه برای فایل‌های گزارش/اشکال‌زدایی (log/debug). پسوند ".progname" پیوست خواهد شد (مانند log.smbclient، log.smbd و غیره). فایل لاگ هرگز توسط کلاینت حذف نمی‌شود.

--leak-report

فعال‌سازی گزارش نشت حافظه talloc در زمان خروج.

--leak-report-full

فعال‌سازی گزارش کامل نشت حافظه talloc در زمان خروج.

-V|--version

شماره نسخه برنامه را چاپ می‌کند.

-R|--name-resolve=NAME-RESOLVE-ORDER

این گزینه برای تعیین سرویس‌های نام‌گذاری و ترتیبی که باید بر اساس آن نام‌های میزبان به نشانی‌های IP تفکیک شوند به کار می‌رود. این گزینه رشته‌ای از گزینه‌های مختلف تفکیک نام را که با فاصله جدا شده‌اند دریافت می‌کند. بهترین حالت این است که کل عبارت --name-resolve=NAME-RESOLVE-ORDER درون علامت نقل‌قول قرار گیرد.

گزینه‌ها عبارتند از: "lmhosts"، "host"، "wins" و "bcast". آن‌ها موجب تفکیک نام‌ها به شرح زیر می‌شوند:

•lmhosts: جستجوی یک نشانی IP در فایل lmhosts سامبا. اگر خط موجود در lmhosts نوع نام متصل به نام NetBIOS نداشته باشد (برای جزئیات lmhosts(5) را ببینید)، در این صورت هر نوع نامی برای جستجو تطبیق داده می‌شود.
•host: انجام تفکیک استاندارد نام میزبان به نشانی IP، با استفاده از فایل /etc/hosts سیستم، NIS یا جستجوهای DNS. این روش تفکیک نام وابسته به سیستم‌عامل است؛ برای مثال در IRIX یا Solaris ممکن است توسط فایل /etc/nsswitch.conf کنترل شود. توجه داشته باشید که این روش تنها در صورتی استفاده می‌شود که نوع نام NetBIOS مورد پرس‌وجو، نوع نام 0x20 (سرور) باشد؛ در غیر این صورت نادیده گرفته می‌شود.
•wins: پرس‌وجوی یک نام با نشانی IP فهرست‌شده در پارامتر wins server. اگر هیچ سرور WINS مشخص نشده باشد، این روش نادیده گرفته خواهد شد.
•bcast: انجام یک انتشار همگانی (broadcast) روی هر یک از رابط‌های محلی شناخته‌شده که در پارامتر interfaces فهرست شده‌اند. این روش کمترین قابلیت اطمینان را در میان روش‌های تفکیک نام دارد، زیرا وابسته به قرار داشتن میزبان مقصد در زیرشبکه‌ای است که به صورت محلی متصل باشد.
اگر این پارامتر تنظیم نشود، ترتیب تفکیک نام تعریف‌شده در پارامتر فایل /etc/samba/smb.conf (name resolve order) استفاده خواهد شد.

ترتیب پیش‌فرض عبارت است از lmhosts, host, wins, bcast. بدون این پارامتر یا هرگونه مدخل در پارامتر name resolve order در فایل /etc/samba/smb.conf، روش‌های تفکیک نام با همین ترتیب امتحان خواهند شد.

-O|--socket-options=SOCKETOPTIONS

گزینه‌های سوکت TCP برای اعمال روی سوکت کلاینت. برای فهرست گزینه‌های معتبر، پارامتر socket options را در صفحه راهنمای /etc/samba/smb.conf ببینید.

-m|--max-protocol=MAXPROTOCOL

مقدار این پارامتر (یک رشته) بالاترین سطح پروتکلی است که توسط کلاینت پشتیبانی خواهد شد.

توجه داشته باشید که تعیین این پارامتر در اینجا، پارامتر client max protocol را در فایل /etc/samba/smb.conf لغو و جایگزین خواهد کرد.

-n|--netbiosname=NETBIOSNAME

این گزینه به شما اجازه می‌دهد نام NetBIOS که Samba برای خود استفاده می‌کند را لغو و بازنویسی کنید. این کار هم‌ارز با تنظیم پارامتر netbios name در فایل /etc/samba/smb.conf است. با این حال، تنظیمات خط فرمان نسبت به تنظیمات در /etc/samba/smb.conf اولویت خواهد داشت.

--netbios-scope=SCOPE

این گزینه دامنه NetBIOS (یا NetBIOS scope) را مشخص می‌کند که nmblookup هنگام تولید نام‌های NetBIOS برای برقراری ارتباط از آن استفاده خواهد کرد. برای جزئیات درباره استفاده از دامنه‌های NetBIOS، فایل‌های rfc1001.txt و rfc1002.txt را ببینید. دامنه‌های NetBIOS بسیار به‌ندرت استفاده می‌شوند؛ تنها در صورتی این پارامتر را تنظیم کنید که مدیر سیستمی باشید که مسئول تمام سیستم‌های NetBIOS طرف ارتباط است.

-W|--workgroup=WORKGROUP

تنظیم دامنه SMB برای نام کاربری. این گزینه دامنه پیش‌فرض را که در smb.conf تعریف شده است لغو و جایگزین می‌کند. اگر دامنه مشخص‌شده با نام NetBIOS سرور یکسان باشد، موجب می‌شود کلاینت با استفاده از SAM محلی سرور (در مقابل SAM دامنه) وارد شود.

توجه داشته باشید که تعیین این پارامتر در اینجا، پارامتر workgroup را در فایل /etc/samba/smb.conf لغو و جایگزین خواهد کرد.

-r|--realm=REALM

تنظیم قلمرو (realm) برای دامنه.

توجه داشته باشید که تعیین این پارامتر در اینجا، پارامتر realm را در فایل /etc/samba/smb.conf لغو و جایگزین خواهد کرد.

-U|--user=[DOMAIN\]USERNAME[%PASSWORD]

نام کاربری SMB یا نام کاربری و گذرواژه را تعیین می‌کند.

اگر %PASSWORD مشخص نشود، از کاربر درخواست خواهد شد. کلاینت ابتدا متغیر محیطی USER (که مجاز است گذرواژه را نیز به شکل جداشده با یک % در بر داشته باشد) و سپس متغیر LOGNAME (که مجاز به داشتن گذرواژه نیست) را بررسی خواهد کرد و در صورت وجود هر یک، مقدار آن استفاده می‌شود. اگر این متغیرهای محیطی یافت نشوند، ممکن است نام کاربری موجود در حافظه پنهان اعتبارنامه‌های Kerberos استفاده شود.

گزینه سوم استفاده از فایل اعتبارنامه‌ها است که حاوی متن خام (plaintext) نام کاربری و گذرواژه باشد. این گزینه عمدتاً برای اسکریپت‌هایی فراهم شده که در آن‌ها مدیر مایل نیست اعتبارنامه‌ها را در خط فرمان یا از طریق متغیرهای محیطی منتقل کند. در صورت استفاده از این روش، اطمینان حاصل کنید که مجوزهای روی فایل، دسترسی کاربران ناخواسته را محدود می‌کند. برای جزئیات بیشتر گزینه -A را ببینید. در مورد قرار دادن گذرواژه‌ها در اسکریپت‌ها یا ارسال مقادیر ارائه‌شده توسط کاربر به خط فرمان احتیاط کنید. از نظر امنیتی بهتر است اجازه دهید ابزار کلاینت Samba در صورت نیاز گذرواژه را بپرسد، یا گذرواژه را یک‌بار با kinit دریافت کنید.

اگرچه Samba تلاش خواهد کرد گذرواژه را از عنوان فرایند (همان‌طور که در ps دیده می‌شود) پاک کند، اما این عمل پس از راه‌اندازی رخ می‌دهد و بنابراین مستعد شرایط رقابتی (race condition) است.

-N|--no-pass

در صورت تعیین، این پارامتر درخواست معمول گذرواژه از طرف کلاینت به کاربر را لغو می‌کند. این گزینه هنگام دسترسی به سرویسی که نیازی به گذرواژه ندارد کاربردی است.

مگر اینکه گذرواژه‌ای در خط فرمان مشخص شده باشد یا این پارامتر تعیین شده باشد، کلاینت درخواست گذرواژه خواهد کرد.

اگر گذرواژه‌ای در خط فرمان مشخص شده باشد و این گزینه نیز تعیین شده باشد، گذرواژه موجود در خط فرمان بدون هشدار نادیده گرفته می‌شود و هیچ گذرواژه‌ای استفاده نخواهد شد.

--password

گذرواژه را در خط فرمان مشخص می‌کند.

در مورد قرار دادن گذرواژه‌ها در اسکریپت‌ها یا ارسال مقادیر ارائه‌شده توسط کاربر به خط فرمان احتیاط کنید. از نظر امنیتی بهتر است اجازه دهید ابزار کلاینت Samba در صورت نیاز گذرواژه را بپرسد، یا گذرواژه را یک‌بار با kinit دریافت کنید.

اگر --password مشخص نشود، این ابزار متغیر محیطی PASSWD را بررسی می‌کند و پس از آن به سراغ PASSWD_FD می‌رود که انتظار می‌رود شامل شماره یک توصیف‌گر فایل (FD) باز باشد.

در نهایت، متغیر PASSWD_FILE (شامل مسیر فایلی که باید باز شود) را بررسی خواهد کرد. این فایل تنها باید حاوی گذرواژه باشد. اطمینان حاصل کنید که دسترسی‌های فایل، دسترسی کاربران غیرمجاز را محدود کرده باشد!

اگرچه Samba تلاش خواهد کرد گذرواژه را از عنوان فرایند (همان‌طور که در ps دیده می‌شود) پاک کند، اما این عمل پس از راه‌اندازی رخ می‌دهد و بنابراین مستعد شرایط رقابتی (race condition) است.

--pw-nt-hash

گذرواژه ارائه‌شده یک هش NT (NT hash) است.

-A|--authentication-file=filename

این گزینه به شما اجازه می‌دهد فایلی را مشخص کنید که نام کاربری و گذرواژه مورد استفاده در اتصال از آن خوانده شود. قالب فایل به شرح زیر است: 
username = <value>
password = <value>
domain   = <value>

اطمینان حاصل کنید که دسترسی‌های فایل، دسترسی کاربران غیرمجاز را محدود کرده باشد!

-P|--machine-pass

از گذرواژه ذخیره‌شده حساب ماشین (machine account) استفاده می‌کند.

--simple-bind-dn=DN

شناسه متمایز (DN) مورد استفاده برای یک اتصال ساده (simple bind).

--use-kerberos=desired|required|off

این پارامتر تعیین می‌کند که آیا ابزارهای کلاینت Samba برای احراز هویت با استفاده از Kerberos تلاش کنند یا خیر. برای احراز هویت Kerberos هنگام اتصال به یک سرویس، باید به‌جای آدرس‌های IP از نام‌های DNS استفاده کنید. به‌طور پیش‌فرض ابزارهای کلاینت Samba تلاش می‌کنند از حافظه موقت اعتبارنامه (ccache) پیش‌فرض Kerberos استفاده کنند. در صورتی که ccache وجود نداشته باشد یا گزینه -U|--user مشخص شده باشد، کلاینت‌ها درخواست ورود گذرواژه می‌کنند و یک بلیت Kerberos را (از طریق kinit) برای شما دریافت خواهند کرد. اگر می‌خواهید از یک حافظه موقت اعتبارنامه جایگزین برای Kerberos استفاده کنید، گزینه --use-krb5-ccache را به کار ببرید.

توجه داشته باشید که مشخص کردن این پارامتر در اینجا، پارامتر client use kerberos در فایل /etc/samba/smb.conf را بازنویسی و جایگزین خواهد کرد.

--use-krb5-ccache=CCACHE

محل حافظه موقت اعتبارنامه (credential cache) را برای احراز هویت Kerberos مشخص می‌کند.

این گزینه مقدار --use-kerberos=required را اجباری خواهد کرد.

--use-winbind-ccache

تلاش برای استفاده از حافظه موقت اعتبارنامه ارائه‌شده توسط winbind.

--client-protection=sign|encrypt|off

سطح حفاظت اتصالی را که ابزار کلاینت باید استفاده کند، تنظیم می‌کند.

توجه داشته باشید که مشخص کردن این پارامتر در اینجا، پارامتر client protection در فایل /etc/samba/smb.conf را بازنویسی و جایگزین خواهد کرد.

در صورتی که به کنترل دقیق‌تری نیاز دارید می‌توانید از موارد زیر استفاده کنید: --option=clientsmbencrypt=OPTION، --option=clientipcsigning=OPTION، --option=clientsigning=OPTION.

قالب یک ACL شامل یک یا چند مدخل است که با کاما یا خط جدید از هم جدا شده‌اند. هر مدخل ACL یکی از موارد زیر است:

REVISION:<revision number>
OWNER:<sid or name>
GROUP:<sid or name>
ACL:<sid or name>:<type>/<flags>/<mask>

بیت‌های کنترلی مربوط به توارث خودکار

•OD - "Owner Defaulted" - نشان می‌دهد که SID مالکِ توصیف‌گر امنیت، توسط یک سازوکار پیش‌فرض ارائه شده است.
•GD - "Group Defaulted" - نشان می‌دهد که SID گروهِ توصیف‌گر امنیت، توسط یک سازوکار پیش‌فرض ارائه شده است.
•DP - "DACL Present" - نشان‌دهنده یک توصیف‌گر امنیت است که دارای فهرست کنترل دسترسی اختیاری (DACL) می‌باشد.
•DD - "DACL Defaulted" - نشان‌دهنده یک توصیف‌گر امنیت با DACL پیش‌فرض است.
•SP - "SACL Present" - نشان‌دهنده یک توصیف‌گر امنیت است که دارای فهرست کنترل دسترسی سیستمی (SACL) می‌باشد.
•SD - "SACL Defaulted" - یک سازوکار پیش‌فرض، به جای ارائه‌دهنده اصلی توصیف‌گر امنیت، SACL را ارائه داده است.
•DT - "DACL Trusted"
•SS - "Server Security"
•DR - "DACL Inheritance Required" - نشان‌دهنده یک توصیف‌گر امنیت الزامی است که در آن DACL برای پشتیبانی از انتشار خودکار مدخل‌های کنترل دسترسیِ قابل توارث (ACEها) به اشیاء فرزند موجود تنظیم شده است.
•SR - "SACL Inheritance Required" - نشان‌دهنده یک توصیف‌گر امنیت الزامی است که در آن SACL برای پشتیبانی از انتشار خودکار ACEهای قابل توارث به اشیاء فرزند موجود تنظیم شده است.
•DI - "DACL Auto Inherited" - نشان‌دهنده یک توصیف‌گر امنیت است که در آن DACL برای پشتیبانی از انتشار خودکار مدخل‌های کنترل دسترسیِ قابل توارث (ACEها) به اشیاء فرزند موجود تنظیم شده است.
•SI - "SACL Auto Inherited" - نشان‌دهنده یک توصیف‌گر امنیت است که در آن SACL برای پشتیبانی از انتشار خودکار ACEهای قابل توارث به اشیاء فرزند موجود تنظیم شده است.
•PD - "DACL Protected" - از تغییر DACL توصیف‌گر امنیت توسط ACEهای قابل توارث جلوگیری می‌کند.
•PS - «SACL Protected» - از تغییر یافتن SACL مربوط به توصیف‌گر امنیت توسط ACEهای ارث‌پذیر جلوگیری می‌کند.
•RM - «RM Control Valid» - نشان می‌دهد که کنترل مدیر منابع (resource manager) معتبر است.
•SR - «Self Relative» - نشان‌دهنده یک توصیف‌گر امنیت خودارجاع (self-relative) است.

نگارش (revision) مربوط به ACL، نگارش درونی ACL در Windows NT را برای توصیف‌گر امنیت مشخص می‌کند. اگر مشخص نشود، مقدار پیش‌فرض آن ۱ است. استفاده از مقادیری غیر از ۱ ممکن است رفتارهای غیرعادی ایجاد کند.

مالک (owner) و گروه (group)، شناسه‌های SID مالک و گروه را برای شیء مشخص می‌کنند. اگر یک SID در قالب S-1-x-y-z مشخص شود، از همان استفاده می‌شود؛ در غیر این صورت، نام مشخص‌شده با استفاده از کارسازی که فایل یا دایرکتوری در آن قرار دارد حل می‌شود.

عناصر ACE با پیشوند «ACL:» مشخص می‌شوند و مجوزهای اعطاشده به یک SID را تعریف می‌کنند. مقدار SID باز هم می‌تواند در قالب S-1-x-y-z یا به‌صورت یک نام مشخص شود که در این حالت، توسط کارسازی که فایل یا دایرکتوری روی آن قرار دارد حل می‌شود. مقادیر type، flags و mask نوع دسترسی اعطاشده به SID را تعیین می‌کنند.

مقدار type می‌تواند ALLOWED یا DENIED باشد تا دسترسی به SID را مجاز یا منع کند.

فیلد flags مشخص می‌کند که هنگام انجام توارث، با ACE چگونه رفتار شود. smbcacls هنگامی که با --propagate-inheritance اجرا شود، از این پرچم‌ها استفاده می‌کند.

پرچم‌ها را می‌توان به‌صورت مقادیر ده‌دهی یا شانزده‌شانزدهی، یا با نام‌های مستعار مربوطه (XX) که با خط عمودی «|» از هم جدا شده‌اند، تعیین کرد.

•(OI) توارث شیء (Object Inherit) 0x1
•(CI) توارث ظرف (Container Inherit) 0x2
•(NP) عدم انتشار توارث (No Propagate Inherit) 0x4
•(IO) فقط توارث (Inherit Only) 0x8
•(I) ACE به ارث برده شده است (ACE was inherited) 0x10

ماسک مقداری است که حق دسترسی اعطاشده به SID را بیان می‌کند. این مقدار می‌تواند به‌صورت ده‌دهی یا شانزده‌شانزدهی، یا با استفاده از یکی از رشته‌های متنی زیر که با مجوزهای فایل NT با همین نام مطابقت دارند، ارائه شود.

•R - مجاز کردن دسترسی خواندن
•W - مجاز کردن دسترسی نوشتن
•X - مجوز اجرا روی شیء
•D - حذف شیء
•P - تغییر مجوزها
•O - در دست گرفتن مالکیت

مجوزهای ترکیبی زیر می‌توانند مشخص شوند:

•READ - معادل مجوزهای 'RX'
•CHANGE - معادل مجوزهای 'RXWD'
•FULL - معادل مجوزهای 'RWXDPO'

پرچم‌های وراثت مختص هر ACE را می‌توان در فیلد پرچم‌های ACE تعیین کرد. به‌طور پیش‌فرض، ACEهای قابل‌توارث، مانند آن‌هایی که برای وراثت شیء (OI) یا وراثت ظرف (CI) نشانه‌گذاری شده‌اند، به زیرفایل‌ها یا پوشه‌ها انتشار نمی‌یابند. با این حال، با مشخص کردن آرگومان --propagate-inheritance این‌گونه ACEها به‌طور خودکار بر اساس برخی قواعد وراثت منتشر می‌شوند.

•پرچم‌های ACE قابل‌توارث (OI)(OI) تنها می‌توانند بر روی پوشه‌ها اعمال شوند.
•هر ACE قابل‌توارثی که به زیرفایل‌ها یا پوشه‌ها اعمال شود، با پرچم به ارث رسیده (I) نشانه‌گذاری می‌شود. ACE(های) قابل‌توارث بر روی پوشه‌ها اعمال می‌گردند، مگر این‌که پرچم عدم انتشار (NP) تنظیم شده باشد.
•هنگامی که یک ACE که تنها پرچم (OI) آن فعال است به یک پوشهٔ فرزند منتشر می‌شود، پرچم فقط-وراثت (IO) نیز اعمال می‌گردد. این امر نشان می‌دهد که مجوزهای مرتبط با این ACE بر روی خود پوشه اعمال نمی‌شوند (تنها بر روی فایل‌های فرزند آن اعمال می‌شوند). هنگام اعمال ACE به یک فایل فرزند، ACE به‌صورت عادی به ارث برده می‌شود.
•هنگامی که یک ACE که تنها پرچم (CI) آن فعال است به یک فایل فرزند منتشر می‌شود، هیچ تأثیری ندارد؛ اما وقتی به یک پوشهٔ فرزند منتشر شود، به‌صورت عادی به ارث برده می‌شود.
•هنگامی که یک ACE دارای هر دو پرچم (OI) و (CI) باشد، این ACE به‌صورت عادی توسط هر دو مورد پوشه‌ها و فایل‌ها به ارث برده می‌شود.

(OI)(READ) به پوشهٔ والد افزوده شد

+-parent/        (OI)(READ)
| +-file.1       (I)(READ)
| +-nested/      (OI)(IO)(I)(READ)
  |   +-file.2   (I)(READ)

(CI)(READ) به پوشهٔ والد افزوده شد

+-parent/        (CI)(READ)
| +-file.1
| +-nested/      (CI)(I)(READ)
  |   +-file.2

(OI)(CI)(READ) به پوشهٔ والد افزوده شد

+-parent/        (OI)(CI)(READ)
| +-file.1       (I)(READ)
| +-nested/      (OI)(CI)(I)(READ)
  |   +-file.2   (I)(READ)

(OI)(NP)(READ) به پوشهٔ والد افزوده شد

+-oi_dir/        (OI)(NP)(READ)
| +-file.1       (I)(READ)
| +-nested/
|   +-file.2

(CI)(NP)(READ) به پوشهٔ والد افزوده شد

+-oi_dir/        (CI)(NP)(READ)
| +-file.1
| +-nested/      (I)(READ)
|   +-file.2
(OI)(CI)(NP)(READ) به پوشهٔ والد افزوده شد 
+-parent/        (CI)(OI)(NP)(READ)
| +-file.1       (I)(READ)
| +-nested/      (I)(READ)
|   +-file.2

فایل‌ها و پوشه‌های دارای ACLهای محافظت‌شده، اجازهٔ مجوزهای قابل‌توارث (تنظیم‌شده با -I) را نمی‌دهند. چنین اشیائی ACEهایی را که با (CI) یا (OI) برای توارث نشانه‌گذاری شده‌اند، دریافت نخواهند کرد.

برنامهٔ smbcacls وضعیت خروج را بسته به موفقیت یا عدم موفقیت عملیات انجام‌شده تنظیم می‌کند. وضعیت خروج می‌تواند یکی از مقادیر زیر باشد.

اگر عملیات با موفقیت انجام شود، smbcacls وضعیت خروج 0 را برمی‌گرداند. اگر smbcacls نتواند به سرور مشخص‌شده متصل شود، یا در دریافت یا تنظیم ACLها خطایی رخ دهد، وضعیت خروج 1 بازگردانده می‌شود. اگر در تجزیهٔ هر یک از آرگومان‌های خط فرمان خطایی رخ دهد، وضعیت خروج 2 بازگردانده می‌شود.

این صفحهٔ راهنما بخشی از نسخهٔ 4.24.6 مجموعهٔ Samba است.

نرم‌افزار اصلی Samba و ابزارهای مرتبط با آن توسط Andrew Tridgell ساخته شدند. Samba اکنون توسط Samba Team به عنوان یک پروژهٔ متن‌باز، به شیوه‌ای مشابه توسعهٔ هستهٔ Linux توسعه می‌یابد.

smbcacls توسط Andrew Tridgell و Tim Potter نوشته شده است.

تبدیل به DocBook برای Samba 2.2 توسط Gerald Carter انجام شد. تبدیل به DocBook XML 4.2 برای Samba 3.0 توسط Alexander Bokovoy انجام گرفت.

08/16/2026 Samba 4.24.6