SMB/CIFS-Freigaben unter Linux mit Credentials-Datei einbinden, statt das Passwort einzubetten

Ziel

Eine Windows-/Samba-SMB-Freigabe unter Linux einbinden, sodass die Zugangsdaten weder in /etc/fstab noch in der Prozesstabelle auftauchen und die Dateibesitzverhältnisse vom lokalen System tatsächlich verwendet werden können.

Voraussetzungen

cifs-utils ist installiert (liefert mount.cifs; für Tests zusätzlich smbclient installieren). Root-Rechte zum Einbinden und zum Anlegen der Credentials-Datei.

Schritte

1. Zuerst Erreichbarkeit prüfen und Freigaben auflisten, ohne etwas einzubinden: smbclient -L //server -U username. Erscheint nach der Passwortabfrage eine Liste der Freigaben, sind Server, Port und Authentifizierung erreichbar; Fehler lassen sich hier günstiger diagnostizieren als bei einem fehlgeschlagenen Mount.
2. Eine Credentials-Datei anlegen, statt das Passwort in der Kommandozeile oder in fstab anzugeben:

   # /root/.smb-share-creds
   username=svcaccount
   password=the-actual-password
   domain=EXAMPLE
   

3. Die Datei sofort absichern: chmod 600 /root/.smb-share-creds, Besitzer bleibt root. Eine für alle oder für die Gruppe lesbare Credentials-Datei hebt den ganzen Zweck auf, das Passwort nicht direkt anzugeben.
4. Mit der Credentials-Datei sowie ausdrücklicher Protokollversion und Besitzangaben einbinden:

   mount -t cifs //server/share /mnt/share \
     -o credentials=/root/.smb-share-creds,vers=3.1.1,uid=1000,gid=1000,file_mode=0640,dir_mode=0750
   

   vers= legt den SMB-Dialekt explizit fest (SMB1/vers=1.0 sollte gegenüber modernen Servern nicht verwendet werden). uid=/gid=/file_mode=/dir_mode= bestimmen die Unix-Besitzer und Berechtigungsbits, die jede Datei und jedes Verzeichnis des Mounts lokal meldet, denn SMB-ACLs auf dem Server lassen sich nicht direkt in POSIX-Berechtigungen auf dem Client übersetzen. chmod/chown auf den eingebundenen Dateien melden zwar Erfolg, haben aber auf dem Server keine Wirkung.
5. Für einen dauerhaften Mount dieselben Optionen samt credentials= in /etc/fstab eintragen (dort niemals die Rohoptionen username=/password=), dazu _netdev setzen, und anschliessend mit mount -a erneut testen.

Erwartetes Ergebnis

mount | grep cifs zeigt die Freigabe mit den vorgesehenen Werten für uid/gid; Dateien sind genau so les- und schreibbar, wie file_mode/dir_mode es festlegen; und ps aux oder cat /proc/self/mountinfo zeigen nirgends ein Passwort.

Grenzen und Prüfbasis

Die Optionen wurden anhand von mount.cifs(8) (cifs-utils) und smbclient(1) (Dokumentation des Samba-Projekts) geprüft. Rückgängig machen: umount /mnt/share; bei Aufgabe der Freigabe zusätzlich die fstab-Zeile und die Credentials-Datei entfernen.