PowerScale: OneFS: Zarządzanie uprawnieniami Windows ACL z interfejsu wiersza poleceń OneFS

ls -led <path to file/folder>

# ls -led file
-rwxrwxrwx +  1 root  wheel  0 Jul  2 14:02 file
 OWNER: user:root
 GROUP: group:wheel
 0: group:Users allow file_gen_read,file_gen_write
 1: user:root allow file_gen_read,file_gen_write,std_write_dac
 2: group:wheel allow file_gen_read
 3: everyone allow file_gen_all

Zmiana uprawnień

Aby zmienić uprawnienia w interfejsie wiersza polecenia za pomocą chmod, musisz być zalogowany jako root.

Istnieją dwa sposoby identyfikowania żądanych wpisów uprawnień do umieszczenia na liście kontroli dostępu (ACL). Pierwszy jest zalecany, jeśli to możliwe.

1. Zlokalizuj lub utwórz plik/folder z żądanymi uprawnieniami przez SMB i uruchom ls -led <file or folder>. Może to być dowolny wpis uprawnienia dla dowolnego użytkownika/grupy, dowolnego pliku/folderu w dowolnym klastrze PowerScale, jeśli mają oni odpowiednie uprawnienia. 
2. Zapoznaj się z opisem każdego wpisu uprawnienia z podręcznika dla chmod (man chmod) i zidentyfikuj, które z nich są potrzebne do przepływu pracy.

Dodawanie nowego wpisu uprawnień dla użytkownika/grupy

W tym przykładzie użyto metody 1, ale polecenie ustawiania uprawnień jest takie samo, niezależnie od tego, czy zidentyfikowano typy uprawnień do dodania z podręcznika dla chmod (man chmod) lub przeglądając plik z żądanymi uprawnieniami.

Polecenie dla użytkowników i grup jest takie samo, z wyjątkiem słowa "user" zastępuje się "group" lub odwrotnie:  chmod +a group "<domain name>\<group name>" allow <permissions to add> <file or folder>

Na przykład, jeśli chcesz ustawić wpis uprawnień dla pliku, powyższa grupa użytkowników na file2 W przypadku domeny usługi Active Directory 'AD' grupa 'domain users' użyłbyś tego polecenia:

# chmod +a group "AD\domain users" allow file_gen_read,file_gen_write file2
# ls -led file2
-rw-rw-r-- +  1 root  wheel  0 Jul  2 14:09 file2
 OWNER: user:root
 GROUP: group:wheel
 0: group:Domain Users allow file_gen_read,file_gen_write
 1: user:root allow file_gen_read,file_gen_write,std_write_dac
 2: group:wheel allow file_gen_read
 3: everyone allow file_gen_read

Aby usunąć wpis kontroli dostępu, można usunąć cały wiersz dla poszukiwanego użytkownika lub grupy albo typy uprawnień, które chcesz usunąć. Następnie możesz dodać nowy wpis z żądanymi uprawnieniami. Polecenie usunięcia wpisu jest identyczne z dodaniem wpisu, z wyjątkiem zmiany '+a' z '-a'. Na przykład, jeśli chcesz usunąć wpis z powyższego pliku dla użytkownika root, użyj następującego polecenia:

# chmod -a user root allow file_gen_read,file_gen_write,std_write_dac file
# ls -led file
-rwxrwxrwx +  1 root  wheel  0 Jul  2 14:02 file
 OWNER: user:root
 GROUP: group:wheel
 0: group:Users allow file_gen_read,file_gen_write
 1: group:wheel allow file_gen_read
 2: everyone allow file_gen_all

W przypadku dobrze znanych grup, takich jak wszyscy, zostaw grupę. Na przykład, aby usunąć dostęp do zapisu wszystkim użytkownikom, ale pozostawić inne poziomy dostępu z pliku powyżej, należy użyć następującego polecenia:

# chmod -a everyone allow file_gen_write file
# ls -led file
-rwxrwxr-x +  1 root  wheel  0 Jul  2 14:02 file
 OWNER: user:root
 GROUP: group:wheel
 0: group:Users allow file_gen_read,file_gen_write
 1: group:wheel allow file_gen_read
 2: everyone allow std_delete,std_write_dac,std_write_owner,file_read,file_read_ext_attr,execute,delete_child,file_read_attr

Aby włączyć dziedziczenie dla nowych plików i folderów, dodaj do wpisu uprawnień 'object_inherit' oraz 'container_inherit" odpowiednio. Na przykład, jeśli chcesz dodać wpis dla użytkowników grupy lokalnej w folderze dir Aby przyznać pełny dostęp i dziedziczenie do nowych plików i folderów, należy użyć następującego polecenia:

# chmod +a group users allow dir_gen_all,object_inherit,container_inherit dir
# ls -led dir
drwxrwxr-x +  2 root  wheel  0 Jul  2 14:22 dir
 OWNER: user:root
 GROUP: group:wheel
 0: group:Users allow dir_gen_all,object_inherit,container_inherit
 1: user:root allow dir_gen_read,dir_gen_write,dir_gen_execute,std_write_dac,delete_child
 2: group:wheel allow dir_gen_read,dir_gen_execute
 3: everyone allow dir_gen_read,dir_gen_execute

Wpisy ACE można również edytować za pomocą identyfikatorów SID, UID lub GID. Aby składnia to zrobiła, oto kilka przykładów:

chmod +a sid <actual SID> <target path>
chmod +a user <actual UID> <target path>
chmod +a group <actual GID> <target path>

W tym artykule firmy Microsoft opisano każdy typ uprawnień zgodnie z opisem w systemie Windows, ale aby uzyskać szczegółowe informacje na temat każdego uprawnienia, wpisz je w następujący sposób: ls led na temat PowerScale zobacz man chmod. Odwołania do uprawnień do plików i folderów (łącze zewnętrzne):

• Dell PowerScale OneFS: Uwierzytelnianie, zarządzanie tożsamością i autoryzacja (delltechnologies.com)
• Listy kontroli dostępu w Dell PowerScale OneFS (delltechnologies.com)