Маска ACL, назначаемая, когда член группы создает файлы / каталоги на сервере Samba из Windows, эффективно делает их доступными только для чтения

Домашние каталоги используются Samba, работающей на CentOS 6.3, со следующей конфигурацией:

[homes]
        comment = Home Directories
        read only = No
        inherit acls = Yes
        inherit owner = Yes
        browseable = No
        csc policy = disable

Сервер Samba присоединен к домену активного каталога, в котором пользователь яблоко является членом группы администраторы домена и пользователь бананабар является членом группы пользователи домена. Рабочий стол бананабар перенаправлен на \\ самба \ бананабар \ Рабочий стол который имеет следующие ACE:

# file: Desktop/
# owner: bananabar
# group: domain\040users
user::rwx
group::r-x
group:domain\040admins:rwx
mask::rwx
other::r-x
default:user::rwx
default:group::r-x
default:group:domain\040admins:rwx
default:mask::rwx
default:other::r-x

когда бананабар создает файл / каталог на своем рабочем столе, они создаются со следующими ACE:

# file: New Folder by bananabar
# owner: bananabar
# group: domain\040users
user::rwx
group::r-x
group:domain\040admins:rwx
mask::rwx
other::r-x
default:user::rwx
default:group::r-x
default:group:domain\040admins:rwx
default:mask::rwx
default:other::r-x

# file: New Text Document by bananabar.txt
# owner: bananabar
# group: domain\040users
user::rwx
group::r-x
group:domain\040admins:rwx
mask::rwx
other::r--

С другой стороны, когда яблоко создает файлы / каталоги в \\ самба \ бананабар \ Рабочий стол, они создаются со следующими ACE:

# file: New Folder by applefoo
# owner: bananabar
# group: domain\040users
user::rwx
group::r-x
group:domain\040admins:rwx      #effective:r-x
mask::r-x
other::r-x
default:user::rwx
default:group::r-x
default:group:domain\040admins:rwx
default:mask::rwx
default:other::r-x

# file: New Text Document by applefoo.txt
# owner: bananabar
# group: domain\040users
user::rwx
group::r-x      #effective:r--
group:domain\040admins:rwx      #effective:r--
mask::r--
other::r--

Единственная разница между ними - это маска, в которой файлы / каталоги, созданные яблоко фактически доступны только для чтения для группы администраторы домена. Как я могу получить яблоко для создания файлов / каталогов с теми же ACE, что и бананабар? Маски назначает Samba или за это отвечает Windows? Это происходит независимо от того, создаю ли я их в Windows XP, Windows 7 или Windows Server 2008 R2.