ACL в линукс, наследование разрешений

Скорее всего linux + samba

Со всем этим получается какая-то чепуха.
Если работать через самбу, то для шары указываем:

[Groupdir]
        path = /home/samba/workdir
        comment = рабочие директории
        browseable = yes
        writeable = yes
        inherit acls = yes
        guest ok = no

Начинаем раздавать права:

# pwd
/home/samba/workdir

# getfacl test/

# file: test
# owner: root
# group: root
user::rwx
group::rwx
group:Domain\040Admins:r-x
group:Domain\040Users:---
group:buhgalteria:rwx
mask::rwx
other::---
default:user::rwx
default:group::rwx
default:group:Domain\040Admins:r-x
default:group:Domain\040Users:---
default:group:buhgalteria:rwx
default:mask::rwx
default:other::---

С исходной папкой разобрались. Теперь, юзеры:

# id h
uid=1022(h) gid=513(Domain Users) группы=513(Domain Users),1006(buhgalteria)

# id b
uid=1018(b) gid=512(Domain Admins) группы=512(Domain Admins),513(Domain Users)

Когда в винде логинится юзер b, то он не может писать в папку test, но может просматривать ее содержимое. Когда то же самое делает h, то он может создать папку или файл в test/ и просматривать содержимое.
Итак, h создал файл:

# getfacl test/ff.txt 

# file: test/ff.txt
# owner: h
# group: Domain\040Users
user::rwx
group::rwx
group:Domain\040Admins:r-x
group:Domain\040Users:---
group:buhgalteria:rwx
mask::rwx
other::---

который может прочитать, но не удалить пользователь b, и папку

# getfacl test/qwer/

# file: test/qwer
# owner: h
# group: Domain\040Users
user::rwx
group::rwx
group:Domain\040Admins:r-x
group:Domain\040Users:---
group:buhgalteria:rwx
mask::rwx
other::---
default:user::rwx
default:group::rwx
default:group:Domain\040Admins:r-x
default:group:Domain\040Users:---
default:group:buhgalteria:rwx
default:mask::rwx
default:other::---

которую пользователь b не может удалить, но может открыть (что правильно) и создать в НЕЙ (!!) свою папку

# getfacl test/qwer/b/
# file: test/qwer/b
# owner: b
# group: Domain\040Admins
user::rwx
group::rwx
group:Domain\040Admins:r-x
group:Domain\040Users:---
group:buhgalteria:rwx
mask::rwx
other::---
default:user::rwx
default:group::rwx
default:group:Domain\040Admins:r-x
default:group:Domain\040Users:---
default:group:buhgalteria:rwx
default:mask::rwx
default:other::---

а также, может удалить все папки, лежащие в test/qwer/ и созданные не им, а пользователем h. Как это решить, до сих пор не понимаю. Пробовал маски менять, не помогло. Костыль в виде периодически повторяющегося скрипта

#!/bin/sh

chown root -R /home/samba/workdir/test/
chgrp root -R /home/samba/workdir/test/
chmod 0770 -R /home/samba/workdir/test/
setfacl -R -m g:buhgalteria:rwx /home/samba/workdir/test/
setfacl -R -m g:Domain\ Admins:r-x /home/samba/workdir/test/

очень не хочется использовать, т.к. получается большая дырка. Как заставить этот acl правильно работать?

Теперь, я пробую работу с acl, логинясь прямо на сервер.
Юзеры те же самые.

Создал пользователем h файл и папку:

 # getfacl test/qwer2/

# file: test/qwer2
# owner: h
# group: Domain\040Users
user::rwx
group::rwx
group:Domain\040Admins:r-x
group:Domain\040Users:---
group:buhgalteria:rwx
mask::rwx
other::---
default:user::rwx
default:group::rwx
default:group:Domain\040Admins:r-x
default:group:Domain\040Users:---
default:group:buhgalteria:rwx
default:mask::rwx
default:other::---

# getfacl test/2

# file: test/2
# owner: h
# group: Domain\040Users
user::rw-
group::rwx                      #effective:rw-
group:Domain\040Admins:r-x      #effective:r--
group:Domain\040Users:---
group:buhgalteria:rwx           #effective:rw-
mask::rw-
other::---

но тут получается еще хуже. Несмотря на то, что b не могжет удалить файл и папку, он может записывать в файл (!??) и создавать файлы-папки в qwer2/, а также спокойно удалять их, не взирая на права и маски. Почему?

Все тестовые примеры в винде создавались из контекстного меню папки, а в линуксе командами mkdir и touch. Все права, которые видны, назначены системой автоматически.