PowerScale: OneFS: Перевірка проходження в OneFS і як її забезпечувати

Перевірка траверсу

За замовчуванням у OneFS щодо проходження шляхів справедливе наступне:   

• Якщо у каталозі існує ACL, дозвіл на проходження надається (перевірка обходу траверсу),
  • Дозвіл «Traverse» дозволяє обхід шляхів. Це дозволяє користувачу орієнтуватися без необхідності дозволу на «виконання».
  • Дозвіл «Traverse» відрізняється від дозволу «виконати» і існує лише в ACL
• Якщо ACL не існує (синтетичний/POSIX), потрібен явний дозвіл на виконання. 
  • Тобто можливість переходу на певний шлях вимагає мінімуму дозволів «виконання» у батьківському каталозі, щоб дозволити обхід.

Перевірка обхідного проходу

Середовище Microsoft Windows має GPO, який називається «перевірка обходу траверсу», який дозволяє користувачам отримувати доступ до шляху до каталогу (\\server\root\folder\path). Тут проміжні шляхи «обходяться» для «перевірки траверсу» (надається валідація права на проходження/виконання).
OneFS не застосовує GPO Microsoft, встановлений в Active Directory, але реалізує «перевірку обходу траверсу» через наявність ACL NTFS.
 

Як вимкнути «Перевірку обходу траверсу» / Як примусити перевірку траверсу:

Деякі користувачі можуть захотіти вимкнути «обходити перевірку траверсу», щоб забезпечити перевірку дозволу на траверс у кожному проміжному каталозі. Це застосовує «Доступ відхилено», якщо дозвіл не надано явно. Цю зміну не слід робити легковажно, оскільки це глобальна конфігурація, яка вплине на всіх клієнтів, які отримують доступ до кластера.


Можливість змінювати поведінку через інтерфейс UI/CLI була додана з версії 8.2 і після коду. Дивіться адміністративний посібник для вашого рівня коду тут: Посібники та документи PowerScale OneFS

Якщо є бажання використовувати протоколи SMB або NFSv4 на кластері, можуть знадобитися спеціальні дозволи для забезпечення цього на всіх батьківських шляхах, що ведуть до відповідного спільного використання або експорту. Саме адміністратори кластеру мають забезпечити відповідне налаштування дозволів перед тим, як впровадити та впровадити протоколи для доступу клієнта. Невиконання цього може призвести до того, що клієнти не зможуть отримати доступ до акцій або експорту. NFSv3 цього не вимагає.

Дозволи, які має OneFS для ACL у стилі NTFS (тільки для каталогів):

• traverse — право проходити довідник. У Windows це був би FILE_TRAVERSE дозвіл.
• dir_gen_execute - Це включає дозволи на траверс, std_read_dac та std_synchronize.

Аналогом у стилі POSIX є дозвіл на виконання (який розглядається як «x») у бітах режиму для дозволів каталогу.

Дивіться приклад нижче, де «x» позначає дозволи на виконання для власника (root) та інших (всіх).

# ls -led /ifs/data/test1
drwx-----x     2 root  wheel  0 Apr 28 18:09 /ifs/data/test1
 OWNER: user:root
 GROUP: group:wheel
 SYNTHETIC ACL
 0: user:root allow dir_gen_read,dir_gen_write,dir_gen_execute,std_write_dac,delete_child
 1: group:wheel allow std_read_dac,std_synchronize,dir_read_attr
 2: everyone allow dir_gen_execute,dir_read_attr

Деталі про дозволи та автентифікацію доступні у наступному аналітичному документі: Dell PowerScale OneFS: Автентифікація, управління ідентичністю та авторизація