PowerScale: OneFS: Gestione delle autorizzazioni di Windows (ACL) dall'interfaccia della riga di comando di OneFS

ls -led <path to file/folder>

# ls -led file
-rwxrwxrwx +  1 root  wheel  0 Jul  2 14:02 file
 OWNER: user:root
 GROUP: group:wheel
 0: group:Users allow file_gen_read,file_gen_write
 1: user:root allow file_gen_read,file_gen_write,std_write_dac
 2: group:wheel allow file_gen_read
 3: everyone allow file_gen_all

Modifica delle autorizzazioni

Per modificare le autorizzazioni nella CLI utilizzando chmod, è necessario aver effettuato l'accesso come root.

Esistono due modi per identificare le voci di autorizzazione desiderate da inserire nell'elenco di controllo degli accessi (ACL). Il primo è consigliato, se possibile.

1. Individuare o creare un file/una cartella con le autorizzazioni desiderate su SMB ed eseguire ls -led <file or folder>. Può trattarsi di qualsiasi voce di autorizzazione su qualsiasi utente/gruppo, su qualsiasi file/cartella su qualsiasi Isilon, purché disponga delle autorizzazioni desiderate. 
2. Visualizzare la descrizione di ciascuna voce di autorizzazione dal manuale per chmod (man chmod) e identifica quelli di cui hai bisogno per il tuo flusso di lavoro.

Aggiunta di una nuova voce di autorizzazione per un utente/gruppo

Per questo esempio, sto utilizzando il metodo uno, ma il comando per impostare le autorizzazioni è lo stesso se hai identificato i tipi di autorizzazioni da aggiungere dal manuale per chmod (man chmod) o esaminando un file con le autorizzazioni desiderate.

Il comando per utenti e gruppi è lo stesso, ad eccezione della parola 'user» è sostituito da «group' o viceversa:  chmod +a group "<domain name>\<group name>" allow <permissions to add> <file or folder>

Ad esempio, se si desidera impostare la voce delle autorizzazioni per il file, il gruppo dell'utente sopra in file2 Per il dominio Active Directory 'AD' gruppo 'domain users' Userei questo comando:

# chmod +a group "AD\domain users" allow file_gen_read,file_gen_write file2
# ls -led file2
-rw-rw-r-- +  1 root  wheel  0 Jul  2 14:09 file2
 OWNER: user:root
 GROUP: group:wheel
 0: group:Domain Users allow file_gen_read,file_gen_write
 1: user:root allow file_gen_read,file_gen_write,std_write_dac
 2: group:wheel allow file_gen_read
 3: everyone allow file_gen_read

Per rimuovere una voce di controllo dell'accesso, è possibile rimuovere l'intera riga dell'utente o del gruppo desiderato o i tipi di autorizzazione che si desidera rimuovere, quindi aggiungere una nuova voce con le autorizzazioni desiderate. Il comando per rimuovere una voce è identico all'aggiunta di una voce, tranne per il fatto che si modifica '+a' con '-a'. Ad esempio, se volessi rimuovere la voce dal file precedente per l'utente root, userei questo comando:

# chmod -a user root allow file_gen_read,file_gen_write,std_write_dac file
# ls -led file
-rwxrwxrwx +  1 root  wheel  0 Jul  2 14:02 file
 OWNER: user:root
 GROUP: group:wheel
 0: group:Users allow file_gen_read,file_gen_write
 1: group:wheel allow file_gen_read
 2: everyone allow file_gen_all

Per i gruppi ben noti come tutti, lasciare fuori il gruppo. Ad esempio, se volessi rimuovere anche l'accesso in scrittura a tutti ma lasciare gli altri livelli di accesso dal file precedente, utilizzerei questo comando:

# chmod -a everyone allow file_gen_write file
# ls -led file
-rwxrwxr-x +  1 root  wheel  0 Jul  2 14:02 file
 OWNER: user:root
 GROUP: group:wheel
 0: group:Users allow file_gen_read,file_gen_write
 1: group:wheel allow file_gen_read
 2: everyone allow std_delete,std_write_dac,std_write_owner,file_read,file_read_ext_attr,execute,delete_child,file_read_attr

Per abilitare l'ereditarietà per nuovi file e cartelle, aggiungere alla voce di autorizzazione 'object_inherit' e 'container_inherit». Ad esempio, se si desidera aggiungere una voce per gli utenti del gruppo locale in una cartella dir per concedere l'accesso completo ed ereditare a nuovi file e cartelle userei questo comando:

# chmod +a group users allow dir_gen_all,object_inherit,container_inherit dir
# ls -led dir
drwxrwxr-x +  2 root  wheel  0 Jul  2 14:22 dir
 OWNER: user:root
 GROUP: group:wheel
 0: group:Users allow dir_gen_all,object_inherit,container_inherit
 1: user:root allow dir_gen_read,dir_gen_write,dir_gen_execute,std_write_dac,delete_child
 2: group:wheel allow dir_gen_read,dir_gen_execute
 3: everyone allow dir_gen_read,dir_gen_execute


 

È inoltre possibile modificare le voci ACE utilizzando SID, UID o GID. Ecco alcuni esempi di sintassi:

chmod +a sid <actual SID> <target path>
chmod +a user <actual UID> <target path>
chmod +a group <actual GID> <target path>

Questo articolo Microsoft descrive ciascun tipo di autorizzazione come descritto da Windows, ma per informazioni dettagliate su ciascun tipo di autorizzazione come visualizzato con ls led su PowerScale vedere man chmod.

Autorizzazioni per file e cartelle

Riferimenti: