Monter des partages SMB/CIFS sous Linux avec un fichier d'identifiants plutôt qu'un mot de passe en clair

Objectif

Monter un partage SMB Windows/Samba sous Linux sans que les identifiants figurent dans /etc/fstab ni dans la table des processus, et avec une propriété des fichiers réellement exploitable par le système local.

Prérequis

cifs-utils installé (il fournit mount.cifs ; installer aussi smbclient pour les tests). Droits root pour monter le partage et pour créer le fichier d'identifiants.

Étapes

1. Vérifier d'abord l'accessibilité et lister les partages, sans rien monter : smbclient -L //server -U username. Une demande de mot de passe suivie d'une liste de partages confirme que le serveur, le port et l'authentification sont accessibles ; un échec à ce stade est plus simple à diagnostiquer qu'un échec de montage.
2. Créer un fichier d'identifiants au lieu de placer le mot de passe sur la ligne de commande ou dans fstab :

   # /root/.smb-share-creds
   username=svcaccount
   password=the-actual-password
   domain=EXAMPLE
   

3. En restreindre immédiatement l'accès : chmod 600 /root/.smb-share-creds, et le laisser appartenir à root. Un fichier d'identifiants lisible par le groupe ou par tous annule tout l'intérêt de ne pas intégrer le mot de passe directement dans la commande.
4. Monter avec le fichier d'identifiants, en précisant explicitement la version du protocole et la propriété des fichiers :

   mount -t cifs //server/share /mnt/share \
     -o credentials=/root/.smb-share-creds,vers=3.1.1,uid=1000,gid=1000,file_mode=0640,dir_mode=0750
   

   vers= fixe explicitement le dialecte SMB (SMB1/vers=1.0 ne doit pas être utilisé avec des serveurs récents) ; uid=/gid=/file_mode=/dir_mode= définissent le propriétaire Unix et les bits de permission que chaque fichier et répertoire du montage présente localement, car les ACL SMB du serveur ne se traduisent pas directement en permissions POSIX côté client — chmod/chown sur les fichiers montés renvoient un succès mais n'ont aucun effet sur le serveur.
5. Pour un montage persistant, ajouter dans /etc/fstab les mêmes options ainsi que credentials= (jamais les options brutes username=/password=), avec _netdev, puis retester avec mount -a.

Résultat attendu

mount | grep cifs affiche le partage monté avec les uid/gid voulus, les fichiers sont lisibles et modifiables exactement comme le spécifient file_mode/dir_mode, et ni ps aux ni cat /proc/self/mountinfo ne montrent de mot de passe.

Limites et base de vérification

Options vérifiées d'après mount.cifs(8) (cifs-utils) et smbclient(1) (documentation du projet Samba). Pour annuler : umount /mnt/share ; supprimer la ligne fstab et le fichier d'identifiants si le partage est retiré.