Montar recursos compartidos SMB/CIFS en Linux con un archivo de credenciales en lugar de incrustar la contraseña

Objetivo

Montar un recurso compartido SMB de Windows/Samba en Linux manteniendo las credenciales fuera de /etc/fstab y de la tabla de procesos, y con una propiedad de archivos que el sistema local pueda usar realmente.

Requisitos previos

Tener instalado cifs-utils (proporciona mount.cifs; instala también smbclient para las pruebas). Se necesita root para montar y para crear el archivo de credenciales.

Pasos

1. Comprueba primero la conectividad y lista los recursos compartidos, sin montar nada: smbclient -L //server -U username. Si se solicita una contraseña y a continuación aparece la lista de recursos, el servidor, el puerto y la autenticación son accesibles; los fallos en este punto son más fáciles de diagnosticar que un montaje fallido.
2. Crea un archivo de credenciales en lugar de poner la contraseña en la línea de comandos o en fstab:

   # /root/.smb-share-creds
   username=svcaccount
   password=the-actual-password
   domain=EXAMPLE
   

3. Restríngelo de inmediato: chmod 600 /root/.smb-share-creds, y mantén root como propietario; un archivo de credenciales legible por todos o por el grupo anula todo el sentido de no incrustar la contraseña en la línea de montaje.
4. Monta con el archivo de credenciales, indicando de forma explícita la versión del protocolo y la propiedad:

   mount -t cifs //server/share /mnt/share \
     -o credentials=/root/.smb-share-creds,vers=3.1.1,uid=1000,gid=1000,file_mode=0640,dir_mode=0750
   

   vers= fija explícitamente el dialecto SMB (no debe usarse SMB1/vers=1.0 con servidores modernos); uid=/gid=/file_mode=/dir_mode= establecen la propiedad Unix y los bits de permisos que cada archivo y directorio del montaje muestra en local, ya que las ACL de SMB del servidor no se traducen directamente en permisos POSIX en el cliente: chmod/chown sobre los archivos montados devuelven éxito, pero no tienen efecto en el servidor.
5. Para un montaje persistente, añade a /etc/fstab las mismas opciones junto con credentials= (nunca las opciones username=/password= directamente) y _netdev, y vuelve a probar con mount -a.

Resultado esperado

mount | grep cifs muestra el recurso montado con los uid/gid previstos, los archivos se pueden leer y escribir exactamente como especifican file_mode/dir_mode, y ni ps aux ni cat /proc/self/mountinfo muestran la contraseña en ningún lugar.

Límites y base de verificación

Opciones verificadas con mount.cifs(8) (cifs-utils) y smbclient(1) (documentación del proyecto Samba). Para deshacerlo: umount /mnt/share; elimina la línea de fstab y el archivo de credenciales si el recurso compartido deja de usarse.