PowerScale: OneFS: Administrer Windows ACL-tilladelser fra OneFS-kommandolinjegrænsefladen

ls -led <path to file/folder>

# ls -led file
-rwxrwxrwx +  1 root  wheel  0 Jul  2 14:02 file
 OWNER: user:root
 GROUP: group:wheel
 0: group:Users allow file_gen_read,file_gen_write
 1: user:root allow file_gen_read,file_gen_write,std_write_dac
 2: group:wheel allow file_gen_read
 3: everyone allow file_gen_all

Ændring af tilladelser

Sådan ændrer du tilladelser i CLI ved hjælp af chmod, skal du være logget på som root.

Der er to måder at identificere de ønskede tilladelsesposter, der skal indsættes på adgangskontrollisten (ACL). Den første anbefales, hvis det er muligt.

1. Find eller opret en fil/mappe med de ønskede tilladelser over SMB, og kør den ls -led <file or folder>. Dette kan være enhver tilladelsespost for enhver bruger/gruppe i enhver fil/mappe i enhver PowerScale-klynge, hvis de har de ønskede tilladelser. 
2. Få vist beskrivelsen af hver tilladelsespost i manualen til chmod (man chmod), og identificer, hvilke du har brug for til din arbejdsgang.

Tilføjelse af en ny tilladelsespost for en bruger/gruppe

I dette eksempel bruges metode 1, men kommandoen til angivelse af tilladelserne er den samme, uanset om du har identificeret de tilladelsestyper, der skal tilføjes i manualen for chmod (man chmod) eller ved at se på en fil med de ønskede tilladelser.

Kommandoen for brugere og grupper er den samme bortset fra ordet 'user« ændres til »group»eller omvendt:  chmod +a group "<domain name>\<group name>" allow <permissions to add> <file or folder>

Hvis du f.eks. vil angive tilladelsesposten for filen, vises brugerens gruppe ovenfor på file2 for Active Directory-domænet 'AD»gruppe«domain users' Du ville bruge denne kommando:

# chmod +a group "AD\domain users" allow file_gen_read,file_gen_write file2
# ls -led file2
-rw-rw-r-- +  1 root  wheel  0 Jul  2 14:09 file2
 OWNER: user:root
 GROUP: group:wheel
 0: group:Domain Users allow file_gen_read,file_gen_write
 1: user:root allow file_gen_read,file_gen_write,std_write_dac
 2: group:wheel allow file_gen_read
 3: everyone allow file_gen_read

Hvis du vil fjerne en adgangskontrolpost, kan du fjerne hele linjen for den ønskede bruger eller gruppe eller de tilladelsestyper, du vil fjerne. Du kan derefter tilføje en ny post med de ønskede tilladelser. Kommandoen til at fjerne en post er identisk med at tilføje en, medmindre du ændrer '+a' med '-a'. Hvis du f.eks. vil fjerne posten fra filen ovenfor for rodbrugeren, skal du bruge denne kommando:

# chmod -a user root allow file_gen_read,file_gen_write,std_write_dac file
# ls -led file
-rwxrwxrwx +  1 root  wheel  0 Jul  2 14:02 file
 OWNER: user:root
 GROUP: group:wheel
 0: group:Users allow file_gen_read,file_gen_write
 1: group:wheel allow file_gen_read
 2: everyone allow file_gen_all

For kendte grupper som alle skal du forlade gruppen. Hvis du f.eks. vil fjerne skriveadgang fra alle, men beholde de andre adgangsniveauer fra filen ovenfor, skal du bruge denne kommando:

# chmod -a everyone allow file_gen_write file
# ls -led file
-rwxrwxr-x +  1 root  wheel  0 Jul  2 14:02 file
 OWNER: user:root
 GROUP: group:wheel
 0: group:Users allow file_gen_read,file_gen_write
 1: group:wheel allow file_gen_read
 2: everyone allow std_delete,std_write_dac,std_write_owner,file_read,file_read_ext_attr,execute,delete_child,file_read_attr

For at aktivere nedarvning for nye filer og mapper skal du føje til tilladelsesposten 'object_inherit« og «container_inherit') henholdsvis. Hvis du f.eks. vil tilføje en post for de lokale gruppebrugere i en mappe dir For at give fuld adgang og nedarvning til nye filer og mapper skal du bruge denne kommando:

# chmod +a group users allow dir_gen_all,object_inherit,container_inherit dir
# ls -led dir
drwxrwxr-x +  2 root  wheel  0 Jul  2 14:22 dir
 OWNER: user:root
 GROUP: group:wheel
 0: group:Users allow dir_gen_all,object_inherit,container_inherit
 1: user:root allow dir_gen_read,dir_gen_write,dir_gen_execute,std_write_dac,delete_child
 2: group:wheel allow dir_gen_read,dir_gen_execute
 3: everyone allow dir_gen_read,dir_gen_execute

Du kan også redigere ACE'er ved hjælp af SID'er, UID'er eller GID'er. For syntaksen at gøre det, her er nogle eksempler:

chmod +a sid <actual SID> <target path>
chmod +a user <actual UID> <target path>
chmod +a group <actual GID> <target path>

Denne Microsoft-artikel beskriver hver tilladelsestype som beskrevet af Windows, men du kan få flere oplysninger om hver tilladelse ved at skrive som vist med ls led på PowerScale, se man chmod. Fil- og mappetilladelser (eksternt link)

Referencer:

• Dell PowerScale OneFS: Godkendelse, identitetsstyring og autorisation (delltechnologies.com)
• Adgangskontrollister på Dell PowerScale OneFS (delltechnologies.com)