Спасибо. Направление вроде и правильное, но:

create mask и directory mask при включённом в samba наследовании (inherit permissions), увы, игнорируются, о чём прямо сказано в мане;

права rw- из default при работе через samba наследуются как-то странно, та же маска на файл зачем-то устанавливается в rwx. (А учитывая, что добавлять default нужно на каждого пользователя, в моём случае проще оставить как есть.)

$ getfacl .
# file: .
# owner: user
# group: user
user::rwx
user:ivanov:rwx
group::rwx
mask::rwx
other::---
default:user::rw-
default:user:ivanov:rw-
default:group::rw-
default:mask::rw-
default:other::---
$ getfacl ./dir
# file: dir
# owner: user
# group: user
user::rwx
user:user:rwx
user:ivanov:rw-
group::rw-
group:user:rw-
mask::rwx
other::---
default:user::rwx
default:user:user:rwx
default:user:ivanov:rw-
default:group::rw-
default:group:user:rw-
default:mask::rwx
default:other::---
$ getfacl ./file
# file: file
# owner: user
# group: user
user::rw-
user:user:rw-
user:ivanov:rw-
group::rw-
group:user:rw-
mask::rwx
other::---