Montar compartilhamentos SMB/CIFS no Linux com um arquivo de credenciais, sem embutir a senha

Objetivo

Montar um compartilhamento SMB do Windows/Samba no Linux mantendo as credenciais fora do /etc/fstab e da tabela de processos, e com uma propriedade de arquivos que o sistema local consiga de fato usar.

Pré-requisitos

cifs-utils instalado (fornece o mount.cifs; instale também o smbclient para testes). Acesso root para montar e para criar o arquivo de credenciais.

Passos

1. Antes de montar qualquer coisa, teste a acessibilidade e liste os compartilhamentos: smbclient -L //server -U username. Se o comando pedir a senha e depois mostrar a lista de compartilhamentos, o servidor, a porta e a autenticação estão acessíveis; falhas nesta etapa são mais fáceis de diagnosticar do que uma montagem que falhou.
2. Crie um arquivo de credenciais em vez de colocar a senha na linha de comando ou no fstab:

   # /root/.smb-share-creds
   username=svcaccount
   password=the-actual-password
   domain=EXAMPLE
   

3. Restrinja o acesso imediatamente: chmod 600 /root/.smb-share-creds, mantendo o root como proprietário; um arquivo de credenciais legível por todos ou pelo grupo anula todo o objetivo de não embutir a senha diretamente.
4. Monte usando o arquivo de credenciais, com versão do protocolo e propriedade explícitas:

   mount -t cifs //server/share /mnt/share \
     -o credentials=/root/.smb-share-creds,vers=3.1.1,uid=1000,gid=1000,file_mode=0640,dir_mode=0750
   

   vers= fixa explicitamente o dialeto SMB (o SMB1/vers=1.0 não deve ser usado com servidores modernos). uid=/gid=/file_mode=/dir_mode= definem a propriedade Unix e os bits de permissão que cada arquivo e diretório da montagem exibe localmente, pois as ACLs SMB do servidor não se traduzem diretamente em permissões POSIX no cliente — chmod/chown nos arquivos montados retornam sucesso, mas não têm efeito no servidor.
5. Para uma montagem persistente, adicione ao /etc/fstab as mesmas opções, incluindo credentials= (nunca as opções username=/password= em texto puro) e _netdev, e teste novamente com mount -a.

Resultado esperado

mount | grep cifs mostra o compartilhamento montado com o uid/gid pretendido, os arquivos podem ser lidos e gravados exatamente como file_mode/dir_mode especificam, e ps aux ou cat /proc/self/mountinfo não mostram a senha em lugar nenhum.

Limites e base de verificação

Opções verificadas em mount.cifs(8) (cifs-utils) e smbclient(1) (documentação do projeto Samba). Para desfazer: umount /mnt/share; remova a linha do fstab e o arquivo de credenciais se o compartilhamento for desativado.