Bug 4560

Посмотри по возможности.

(In reply to comment #1)
> Посмотри по возможности.
> 

Чтож подождем...

А в консоли при этом wine что-нибудь пишет?

(In reply to comment #0)
> Система: 
> Терминальный сервер на базе Ubuntu 8.10 server; xfce4;
> WINE@Etersoft version: 1.0.10-eter25/18
> 
> Каждая база 1с находится в своем каталоге.
> Для обеспечения безопасности доступа к
> базам задаю права пользователей на
> соответсвующие каталоги с помощью функции
> setfacl.
> Сначала права на чтение каталога со всеми
> базами: 
> setfacl -m u:user:rx /srv/bases
> Затем полный доступ к каталогу с базой, в
> которой этот пользователь будет работать:
> setfacl -m u:user:rwx -R /srv/bases/base_for_user
> 
> Получается достаточно красивая схема
> разграничения доступа пользователей к
> информационным базам. 
> <b\>Иногда из-за непонятных мне причин
> пользователь не может открыть базу 1с. При
> входе в 1с базу на долю секунды выскакивает
> окно загрузки данных а затем  это окно
> исчезает</b>. В логах ничего. Симптом
> закрытия окна загрузки напоминает
> отсутствие прав доступа к данному
> каталогу, хотя при проверке прав доступа с
> помощью getfacl права на каталог выставлены
> корректно. 
> 
> Замечено, что при повторном выставлении
> прав доступа (запуска предыдущих двух
> команд), база 1с грузится нормально. Такое
> ощущение, что при повторном запуске
> снимаются какие-то блокировки. 
> 
>  Для решения данной проблемы мною придуман
> такой "костыль". Написан скрипт выставления
> прав доступа к соответствующему каталогу
> для каждого пользователя. Этот скрипт
> запускается каждые 5 минут, и при появлении
> этого "глюка" необходимо подождать 5 минут и
> продолжать работать, но это сильно
> напрягает бухгалтеров.
> 
> Очень не хочется отказываться от setfacl. Не
> понятно, кто виновник этого глюка: 1с, setfacl,
> etersoft@wine или файловая система?
> 

В консоли ничего не пишет. Просто вываливается. Может стоит запустить с ключом -дебаг?

Да, попробуйте.

Тут нужно смотреть на наследование прав.
Некоторые файлы (например, 1cv7.lck) создаются заново при запуске первой 1С,
соответственно выставленные вами ACL на него не действуют.

Надо проверить у нас, обратив особое внимание на comment 6 (что происходит с правами на файлы, которые создаёт 1С) и постараться воспроизвести проблему без WINE.

Бага висит с ноября!

Базы, я так понимаю, получаете по самбе?
В smb.conf на сервере допишите:
------------------------------
inherit owner = yes
inherit acls = yes
inherit permissions = yes
map acl inherit = yes
------------------------------
Если будет глючить, можно попробовать добавить locking = no. (хотя сомневаюсь, что это правильно).

Ну и наконец, пример с наследованием прав:
-------------------------------
[liksys@kusanagi test]$ getfacl 1/
# file: 1/
# owner: liksys
# group: liksys
user::rwx
group::rwx
mask::rwx
other::rwx
default:user::rwx
default:group::rwx
default:other::rwx

[liksys@kusanagi test]$ touch 1/1
[liksys@kusanagi test]$ getfacl 1/1
# file: 1/1
# owner: liksys
# group: liksys
user::rw-
group::rw-
other::rw-
-------------------------------

(In reply to comment #9)
> Базы, я так понимаю, получаете по самбе?
Базы лежат в локальном каталоге.

> В smb.conf на сервере допишите:
> ------------------------------
> inherit owner = yes
> inherit acls = yes
> inherit permissions = yes
> map acl inherit = yes
> ------------------------------
> Если будет глючить, можно попробовать
> добавить locking = no. (хотя сомневаюсь, что это
> правильно).
Да, сверяй советы с документацией:
You can also disable byte-range locking completely by using locking = no. This is useful for those shares that do not support locking or do not need it (such as CD-ROMs).

Не надо никому советовать отключать блокировки.

(In reply to comment #10)
> Ну и наконец, пример с наследованием прав:
> -------------------------------
> [liksys@kusanagi test]$ getfacl 1/
> # file: 1/
> # owner: liksys
Ну вот а теперь надо это проверить на терминальном сервере между двумя пользователями.

И написать документацию, как настраивать совместный доступ на терминальном сервере при использовании ACL.

По моему предположению, исходная проблема вытекала из следующего:
"Для каталогов существуют права по умолчанию. Вот их установите, и тогда все объекты которые будут создаваться в этом каталоге, будут наследовать этот дефолтный список."
http://unixforum.org/index.php?act=findpost&pid=819561

Но поскольку бага возникает лишь иногда, возможно имеет место какая-то бага с кэшированием атрибутов или что-то такое.

Вся проблема в том, что дефлолтные права могут иметь только каталоги.

И мой пример почему-то не весь вставился, а я не проверил :-/

[liksys@kusanagi test]$ mkdir 1
[liksys@kusanagi test]$ setfacl -m d:u::rwx,g::rwx,o::rwx,m::rwx 1
[liksys@kusanagi test]$ mkdir 1/dir
[liksys@kusanagi test]$ touch 1/file
[liksys@kusanagi test]$ getfacl 1/*
# file: 1/dir
# owner: liksys
# group: liksys
user::rwx
group::rwx
other::rwx
default:user::rwx
default:group::rwx
default:other::rwx

# file: 1/file
# owner: liksys
# group: liksys
user::rw-
group::rw-
other::rw-

[liksys@kusanagi test]$ la
итого 32
drwxrwxr-x.  3 liksys liksys  4096 Мар 11 21:59 .
drwx------. 54 liksys liksys 20480 Мар 11 21:54 ..
drwxrwxrwx+  3 liksys liksys  4096 Мар 11 21:59 1
[liksys@kusanagi test]$

(In reply to comment #13)
> Вся проблема в том, что дефлолтные права
> могут иметь только каталоги.
> 

Хм, извиняюсь, проблемы, собственно, нет :-)

(In reply to comment #14)
> [liksys@kusanagi test]$ setfacl -m d:u::rwx,g::rwx,o::rwx,m::rwx 1
вся соль именно в ключике d:, он задает дефолтный acl.

(In reply to comment #16)
> (In reply to comment #14)
> > [liksys@kusanagi test]$ setfacl -m d:u::rwx,g::rwx,o::rwx,m::rwx 1
> вся соль именно в ключике d:, он задает
> дефолтный acl.
> 

Выставил права с ключиком d: . Будем ждать глюков. Первый день теста пошел... 

Багу закроем после получения положительного отзыва о работе
и создания раздела в документации об использовании ACL при
совместном доступе.

Как получить документацию для редактирования:
http://wiki.etersoft.ru/support/writedocs

(In reply to comment #18)
> Багу закроем после получения
> положительного отзыва о работе
> и создания раздела в документации об
> использовании ACL при
> совместном доступе.
> 
> Как получить документацию для
> редактирования:
> http://wiki.etersoft.ru/support/writedocs
> 

Прошла неделя. У бухгалтеров пропало "моргание" окна запуска 1С. Я ни разу не включал скрипт перепрописывания прав доступа к базам. Заметил, что если использовать доступ к базам без ACL, то глюк появляется. Считаю, что использование ACL c ключом 'd', это обязательная опция при внедрении на сервере терминалов, т.к. убирает проблемы блокировок на временные файлы в каталоге с базой. Багу считаю ликвидированной. Спасибо.

> Прошла неделя. У бухгалтеров пропало
> "моргание" окна запуска 1С. Я ни разу не
> включал скрипт перепрописывания прав
> доступа к базам. Заметил, что если
> использовать доступ к базам без ACL, то глюк
> появляется. Считаю, что использование ACL c
> ключом 'd', это обязательная опция при
> внедрении на сервере терминалов, т.к.
> убирает проблемы блокировок на временные
> файлы в каталоге с базой. Багу считаю
> ликвидированной. Спасибо.

Не могли бы вы детально описать иерархию баз и какие права выставляли? Чтобы мы на будущее имели пример использования 1C+ACL

(In reply to comment #20)
> > Прошла неделя. У бухгалтеров пропало
> > "моргание" окна запуска 1С. Я ни разу не
> > включал скрипт перепрописывания прав
> > доступа к базам. Заметил, что если
> > использовать доступ к базам без ACL, то глюк
> > появляется. Считаю, что использование ACL c
> > ключом 'd', это обязательная опция при
> > внедрении на сервере терминалов, т.к.
> > убирает проблемы блокировок на временные
> > файлы в каталоге с базой. Багу считаю
> > ликвидированной. Спасибо.
> 
> Не могли бы вы детально описать иерархию
> баз и какие права выставляли? Чтобы мы на
> будущее имели пример использования 1C+ACL
> 

Есть семь каталогов. В каждом из каталогов размещается база данных 1с одного из подразделений нашей фирмы. Главный бухгалтер должен иметь доступ ко всем базам. Бухгалтеры подразделений только к базам своих подразделений.
Каждый бухгалтер авторизуется своим логином\паролем. Аккаунты для авторизации на NX-сервере заведены в host-системе, как реальные пользователи со своими домашними каталогами в \home\...
Для того, чтобы каталоги с базами были видны в окружении wine. Устанавливаем линки, как написано в мануале.
Итак, необходимо распределить права по доступу к семи каталогам с базами 1с:
1) Главнму бухгалтеру рекурсивно выдаем полный доступ ко всем семи каталогам.
   setfacl -m u:glavbuh:rwx -R /srv/bases
!!! не забываем ключик d !!!
   setfacl -m d:u:glavbuh:rwx -R /srv/bases

2) Для того, чтобы в 1С можно было выбрать каталог с конкретной базой, сначала ВСЕМ!!!НЕ РЕКУРСИВНО!!! выставляем права на чтение на каталог, в котором расположены наши семь папочек с базами:
setfacl -m u:user1:rx /srv/bases
setfacl -m u:user2:rx /srv/bases
           .
           .
           .
setfacl -m u:userN:rx /srv/bases

3) Для каждого конкретного бухгалтера  РЕКУРСИВНО выставляем полныые права на нужный каталог. НЕ ЗАБЫВАЕМ КЛЮЧ "d": 
setfacl -m d:u:user1:rwx -R /srv/bases/base_for_user1
setfacl -m d:u:user2:rwx -R /srv/bases/base_for_user2
             .
             .
             .
setfacl -m d:u:userN:rwx -R /srv/bases/base_for_userN

4) Логинимся на сервер. Запускаем 1С. Жмем "добавить базу". Заходим в каталог с базами. Видим, что выбрать можно только разрешенные базы. 

В процессе эксплуотации сервера терминалов пришлось перейти с XFCE 4 на GNOME.
Т.к. в XFCE не решаема проблемма с фокусом модальных окон - "Прыгает фокус". В гноме - всё хорошо, но он гораздо больше ест ресурсов.

Если, что-то еще интересует, могу добавить.

Спасибо, все вполне подробно описано)

http://kb.etersoft.ru/Пример_использования_1C_и_ACL

Задокументировал решение. Ошибку можно закрывать.