PowerScale: OneFS: OneFS'de çapraz geçiş denetimi ve bunu zorunlu kılma
Summary: Traverse denetimi nedir, nasıl çalışır ve OneFS'de bunu nasıl uygularsınız?
Instructions
Travers denetimi
Varsayılan olarak, OneFS'de yol geçişiyle ilgili olarak aşağıdakiler doğrudur:
- Dizinde bir ACL varsa geçiş izni verilir (çapraz geçiş denetimini atlama),
- "Traverse" izni yol geçişine izin verir. Bu, kullanıcının bir "yürütme" iznine gerek kalmadan gezinmesini sağlar.
- Traverse" izni, "execute" izninden farklıdır ve yalnızca bir ACL'de bulunur
- ACL yoksa (sentetik/POSIX) açık bir yürütme izni gerekir.
- Yani, belirli bir yola geçme yeteneği, geçişe izin verilebilmesi için ana dizinde minimum "yürütme" izinleri gerektirir.
Geçiş denetimini atlama
Microsoft Windows ortamında, kullanıcıların bir dizin yoluna (\\server\root\folder\path) erişmesini sağlayan "bypass traverse checking" adlı bir GPO bulunur. Burası, ara yolların "geçiş denetimi" için "atlandığı" yerdir (geçiş/yürütme hakkının doğrulanması).
OneFS, Active Directory'de belirtilen Microsoft GPO yu zorlamaz ancak NTFS ACL aracılığıyla "çapraz geçiş denetimini atlama" özelliğini uygular.
"Geçiş Denetimini Atla" Nasıl Devre Dışı Bırakılır / Çapraz Geçiş Denetimi Nasıl Uygulanır:
Bazı kullanıcılar, her bir ara dizinde geçiş izninin denetlenmesini zorunlu kılmak için "geçiş denetimini atlama" seçeneğini devre dışı bırakmak isteyebilir. Bu, izin açıkça verilmediğinde "Erişim reddedildi" uyarısını zorunlu kılar. Bu değişiklik genel bir yapılandırma olduğundan ve kümeye erişen tüm istemcileri etkileyeceğinden hafife alınmamalıdır.
UI/CLI arayüzü aracılığıyla davranışı değiştirme özelliği 8.2 ve sonraki sürümlerde eklenmiştir. Kod düzeyinizin yönetim kılavuzuna buradan bakın: PowerScale OneFS Kılavuzları ve Belgeleri
Additional Information
Bir kümede SMB veya NFSv4 protokolleri kullanılmak isteniyorsa ilgili paylaşıma veya dışa aktarmaya giden tüm ana yollarda bunu kolaylaştırmak için belirli izinler gerekebilir. İstemci erişimi için protokolleri etkinleştirmeden ve uygulamadan önce izinlerin uygun şekilde ayarlandığından emin olmak küme yöneticilerinin sorumluluğundadır. Aksi takdirde istemciler paylaşımlara veya dışa aktarımlara erişemez. NFSv3 buna ihtiyaç duymaz.
OneFS'nin NTFS stili ACL'ler (Yalnızca Dizinler) için sahip olduğu izinler:
- traverse - Dizinde geçiş yapma hakkı. Windows'ta bu, FILE_TRAVERSE izindir.
- dir_gen_execute - Buna geçiş, std_read_dac ve std_synchronize izinleri dahildir.
Yukarıdakinin POSIX stili eşdeğeri, bir dizinin izinleri için mod bitlerindeki yürütme iznidir ("x" olarak görülür).
Aşağıdaki örneğe bakın. Burada "x" sahip (kök) ve diğerleri (herkes) için yürütme izinlerini belirtir.
# ls -led /ifs/data/test1
drwx-----x 2 root wheel 0 Apr 28 18:09 /ifs/data/test1
OWNER: user:root
GROUP: group:wheel
SYNTHETIC ACL
0: user:root allow dir_gen_read,dir_gen_write,dir_gen_execute,std_write_dac,delete_child
1: group:wheel allow std_read_dac,std_synchronize,dir_read_attr
2: everyone allow dir_gen_execute,dir_read_attr
İzinler ve kimlik doğrulamayla ilgili ayrıntılar aşağıdaki teknik raporda mevcuttur: Dell PowerScale OneFS: Kimlik Doğrulama, Kimlik Yönetimi ve Yetkilendirme