PowerScale: OneFS: Administrer Windows-tilladelser (ACL) fra OneFS-kommandolinjegrænsefladen

ls -led <path to file/folder>

# ls -led file
-rwxrwxrwx +  1 root  wheel  0 Jul  2 14:02 file
 OWNER: user:root
 GROUP: group:wheel
 0: group:Users allow file_gen_read,file_gen_write
 1: user:root allow file_gen_read,file_gen_write,std_write_dac
 2: group:wheel allow file_gen_read
 3: everyone allow file_gen_all

Ændring af tilladelser

Sådan ændrer du tilladelser i CLI ved hjælp af chmod, skal du være logget på som root.

Der er to måder at identificere de ønskede tilladelsesposter, der skal indsættes på adgangskontrollisten (ACL). Den første anbefales, hvis det er muligt.

1. Find eller opret en fil/mappe med de ønskede tilladelser over SMB, og kør den ls -led <file or folder>. Dette kan være enhver tilladelsespost på enhver bruger/gruppe på enhver fil/mappe på enhver Isilon, så længe de har de ønskede tilladelser. 
2. Få vist beskrivelsen af hver tilladelsespost i manualen til chmod (man chmod), og identificer, hvilke du har brug for til din arbejdsgang.

Tilføjelse af en ny tilladelsespost for en bruger/gruppe

I dette eksempel bruger jeg metode et, men kommandoen til indstilling af tilladelserne er den samme, uanset om du har identificeret de tilladelsestyper, der skal tilføjes fra manualen til chmod (man chmod) eller ved at se på en fil med de ønskede tilladelser.

Kommandoen for brugere og grupper er den samme bortset fra ordet 'user« ændres til »group') eller omvendt:  chmod +a group "<domain name>\<group name>" allow <permissions to add> <file or folder>

Hvis jeg f.eks. vil angive tilladelsesposten for filen, vil brugerens gruppe ovenfor på file2 for Active Directory-domænet 'AD»gruppe«domain users' Jeg ville bruge denne kommando:

# chmod +a group "AD\domain users" allow file_gen_read,file_gen_write file2
# ls -led file2
-rw-rw-r-- +  1 root  wheel  0 Jul  2 14:09 file2
 OWNER: user:root
 GROUP: group:wheel
 0: group:Domain Users allow file_gen_read,file_gen_write
 1: user:root allow file_gen_read,file_gen_write,std_write_dac
 2: group:wheel allow file_gen_read
 3: everyone allow file_gen_read

Hvis du vil fjerne en adgangskontrolpost, kan du fjerne hele linjen for den ønskede bruger eller gruppe eller de tilladelsestyper, du vil fjerne, og derefter tilføje en ny post med de ønskede tilladelser. Kommandoen til at fjerne en post er identisk med at tilføje en, medmindre du ændrer '+a' med '-a'. Hvis jeg f.eks. ville fjerne posten fra filen ovenfor for rodbrugeren, ville jeg bruge denne kommando:

# chmod -a user root allow file_gen_read,file_gen_write,std_write_dac file
# ls -led file
-rwxrwxrwx +  1 root  wheel  0 Jul  2 14:02 file
 OWNER: user:root
 GROUP: group:wheel
 0: group:Users allow file_gen_read,file_gen_write
 1: group:wheel allow file_gen_read
 2: everyone allow file_gen_all

For kendte grupper som alle skal du forlade gruppen. For eksempel, hvis jeg også ville fjerne skriveadgang fra alle, men forlade de andre adgangsniveauer fra filen ovenfor, ville jeg bruge denne kommando:

# chmod -a everyone allow file_gen_write file
# ls -led file
-rwxrwxr-x +  1 root  wheel  0 Jul  2 14:02 file
 OWNER: user:root
 GROUP: group:wheel
 0: group:Users allow file_gen_read,file_gen_write
 1: group:wheel allow file_gen_read
 2: everyone allow std_delete,std_write_dac,std_write_owner,file_read,file_read_ext_attr,execute,delete_child,file_read_attr

For at aktivere nedarvning for nye filer og mapper skal du føje til tilladelsesposten 'object_inherit« og «container_inherit') henholdsvis. Hvis jeg f.eks. vil tilføje en post for brugere af den lokale gruppe i en mappe dir for at give fuld adgang og nedarve til nye filer og mapper ville jeg bruge denne kommando:

# chmod +a group users allow dir_gen_all,object_inherit,container_inherit dir
# ls -led dir
drwxrwxr-x +  2 root  wheel  0 Jul  2 14:22 dir
 OWNER: user:root
 GROUP: group:wheel
 0: group:Users allow dir_gen_all,object_inherit,container_inherit
 1: user:root allow dir_gen_read,dir_gen_write,dir_gen_execute,std_write_dac,delete_child
 2: group:wheel allow dir_gen_read,dir_gen_execute
 3: everyone allow dir_gen_read,dir_gen_execute


 

Du kan også redigere ACE'er ved hjælp af SID'er, UID'er eller GID'er. For syntaksen at gøre det, her er nogle eksempler:

chmod +a sid <actual SID> <target path>
chmod +a user <actual UID> <target path>
chmod +a group <actual GID> <target path>

Denne Microsoft-artikel beskriver hver tilladelsestype som beskrevet af Windows, men for detaljer om hver tilladelsestype som vist med ls led på PowerScale, se man chmod.

Fil- og mappetilladelser

Referencer: