PowerScale: OneFS: Verwalten von Windows-Berechtigungen (ACL) über die OneFS-Befehlszeilenschnittstelle

ls -led <path to file/folder>

# ls -led file
-rwxrwxrwx +  1 root  wheel  0 Jul  2 14:02 file
 OWNER: user:root
 GROUP: group:wheel
 0: group:Users allow file_gen_read,file_gen_write
 1: user:root allow file_gen_read,file_gen_write,std_write_dac
 2: group:wheel allow file_gen_read
 3: everyone allow file_gen_all

Ändern von Berechtigungen

So ändern Sie Berechtigungen in der CLI mithilfe von chmodmüssen Sie als angemeldet sein root.

Es gibt zwei Möglichkeiten, die gewünschten Berechtigungseinträge zu identifizieren, die in die Zugriffskontrollliste (Access Control List, ACL) aufgenommen werden sollen. Ersteres wird empfohlen, wenn möglich.

1. Suchen oder erstellen Sie eine Datei/einen Ordner mit den gewünschten Berechtigungen über SMB und führen Sie diese aus. ls -led <file or folder>. Dies kann ein beliebiger Berechtigungseintrag für alle NutzerInnen/Gruppen für jede Datei/jeden Ordner in einem beliebigen Isilon sein, solange diese über die gewünschten Berechtigungen verfügen. 
2. Die Beschreibung der einzelnen Berechtigungseinträge finden Sie im Handbuch für chmod (man chmod) und ermitteln Sie, welche Sie für Ihren Workflow benötigen.

Hinzufügen eines neuen Berechtigungseintrags für einen Nutzer/eine Gruppe

Für dieses Beispiel verwende ich Methode 1, aber der Befehl zum Festlegen der Berechtigungen ist derselbe, unabhängig davon, ob Sie die hinzuzufügenden Berechtigungstypen aus dem Handbuch für chmod (man chmod) oder durch Betrachten einer Datei mit den gewünschten Berechtigungen.

Der Befehl für Nutzer und Gruppen ist derselbe, mit Ausnahme des Wortes "user' wird ersetzt durch "group' oder umgekehrt:  chmod +a group "<domain name>\<group name>" allow <permissions to add> <file or folder>

Wenn ich z. B. den Berechtigungseintrag für die Datei festlegen möchte, wird die Gruppe des Benutzers oben auf file2 Für die Active Directory-Domäne 'AD' Gruppe 'domain users' Ich würde diesen Befehl verwenden:

# chmod +a group "AD\domain users" allow file_gen_read,file_gen_write file2
# ls -led file2
-rw-rw-r-- +  1 root  wheel  0 Jul  2 14:09 file2
 OWNER: user:root
 GROUP: group:wheel
 0: group:Domain Users allow file_gen_read,file_gen_write
 1: user:root allow file_gen_read,file_gen_write,std_write_dac
 2: group:wheel allow file_gen_read
 3: everyone allow file_gen_read

Um einen Zugriffskontrolleintrag zu entfernen, können Sie die gesamte Zeile für den gewünschten Nutzer oder die gewünschte Gruppe oder die Berechtigungstypen entfernen, und dann einen neuen Eintrag mit den gewünschten Berechtigungen hinzufügen. Der Befehl zum Entfernen eines Eintrags ist identisch mit dem Hinzufügen eines Eintrags, mit der Ausnahme, dass Sie '+a' mit '-a'. Wenn ich beispielsweise den Eintrag aus der obigen Datei für den Root-Benutzer entfernen möchte, würde ich diesen Befehl verwenden:

# chmod -a user root allow file_gen_read,file_gen_write,std_write_dac file
# ls -led file
-rwxrwxrwx +  1 root  wheel  0 Jul  2 14:02 file
 OWNER: user:root
 GROUP: group:wheel
 0: group:Users allow file_gen_read,file_gen_write
 1: group:wheel allow file_gen_read
 2: everyone allow file_gen_all

Für bekannte Gruppen wie "Jeder" sollten Sie die Gruppe weglassen. Wenn ich zum Beispiel auch den Schreibzugriff von allen entfernen möchte, aber die anderen Zugriffsebenen aus der obigen Datei belassen möchte, würde ich diesen Befehl verwenden:

# chmod -a everyone allow file_gen_write file
# ls -led file
-rwxrwxr-x +  1 root  wheel  0 Jul  2 14:02 file
 OWNER: user:root
 GROUP: group:wheel
 0: group:Users allow file_gen_read,file_gen_write
 1: group:wheel allow file_gen_read
 2: everyone allow std_delete,std_write_dac,std_write_owner,file_read,file_read_ext_attr,execute,delete_child,file_read_attr

Um die Vererbung für neue Dateien und Ordner zu aktivieren, fügen Sie dem Berechtigungseintrag 'object_inherit' und 'container_inherit" bzw. Wenn ich z. B. einen Eintrag für die lokalen Gruppenbenutzer in einem Ordner hinzufügen möchte dir Um vollen Zugriff zu gewähren und neue Dateien und Ordner zu erben, würde ich diesen Befehl verwenden:

# chmod +a group users allow dir_gen_all,object_inherit,container_inherit dir
# ls -led dir
drwxrwxr-x +  2 root  wheel  0 Jul  2 14:22 dir
 OWNER: user:root
 GROUP: group:wheel
 0: group:Users allow dir_gen_all,object_inherit,container_inherit
 1: user:root allow dir_gen_read,dir_gen_write,dir_gen_execute,std_write_dac,delete_child
 2: group:wheel allow dir_gen_read,dir_gen_execute
 3: everyone allow dir_gen_read,dir_gen_execute


 

Sie können ACEs auch mithilfe von SIDs, UIDs oder GIDs bearbeiten. Hier sind einige Beispiele für die entsprechende Syntax:

chmod +a sid <actual SID> <target path>
chmod +a user <actual UID> <target path>
chmod +a group <actual GID> <target path>

In diesem Microsoft-Artikel wird jeder Berechtigungstyp beschrieben, wie er von Windows beschrieben wird. Details zu den einzelnen Berechtigungstypen finden Sie in ls led Informationen zu PowerScale finden Sie unter man chmodaus.

Datei- und Ordnerberechtigungen

Referenzen: