PowerScale: OneFS: Administrere Windows-tillatelser (ACL) fra OneFS-kommandolinjegrensesnittet

ls -led <path to file/folder>

# ls -led file
-rwxrwxrwx +  1 root  wheel  0 Jul  2 14:02 file
 OWNER: user:root
 GROUP: group:wheel
 0: group:Users allow file_gen_read,file_gen_write
 1: user:root allow file_gen_read,file_gen_write,std_write_dac
 2: group:wheel allow file_gen_read
 3: everyone allow file_gen_all

Endre tillatelser

Slik endrer du tillatelser i CLI ved hjelp av chmod, må du være logget inn som root.

Det finnes to måter å identifisere de ønskede tillatelsesoppføringene som skal plasseres i tilgangskontrollisten (ACL). Den første anbefales hvis mulig.

1. Finn eller opprett en fil / mappe med de ønskede tillatelsene over SMB og kjør ls -led <file or folder>. Dette kan være en hvilken som helst tillatelsesoppføring på hvilken som helst bruker / gruppe på hvilken som helst fil / mappe på hvilken som helst Isilon så lenge de har de ønskede tillatelsene. 
2. Se beskrivelsen av hver tillatelsesoppføring fra håndboken for chmod (man chmod) og identifiser hvilke du trenger for arbeidsflyten.

Legge til en ny tillatelsesoppføring for en bruker/gruppe

I dette eksemplet bruker jeg metode én, men kommandoen for å angi tillatelsene er den samme enten du identifiserte tillatelsestypene du vil legge til fra håndboken for chmod (man chmod) eller ved å se på en fil med de ønskede tillatelsene.

Kommandoen for brukere og grupper er den samme bortsett fra ordet 'user' erstattes med 'group' eller omvendt:  chmod +a group "<domain name>\<group name>" allow <permissions to add> <file or folder>

Hvis jeg for eksempel vil angi tillatelsesoppføringen for filen, vil brukerens gruppe ovenfor file2 For Active Directory-domenet 'AD'gruppe'domain users'Jeg vil bruke denne kommandoen:

# chmod +a group "AD\domain users" allow file_gen_read,file_gen_write file2
# ls -led file2
-rw-rw-r-- +  1 root  wheel  0 Jul  2 14:09 file2
 OWNER: user:root
 GROUP: group:wheel
 0: group:Domain Users allow file_gen_read,file_gen_write
 1: user:root allow file_gen_read,file_gen_write,std_write_dac
 2: group:wheel allow file_gen_read
 3: everyone allow file_gen_read

Hvis du vil fjerne en tilgangskontrolloppføring, kan du fjerne hele linjen for ønsket bruker eller gruppe eller tillatelsestypene du vil fjerne, og deretter legge til en ny oppføring med de ønskede tillatelsene. Kommandoen for å fjerne en oppføring er identisk med å legge til en, bortsett fra at du endrer '+a' med '-a'. For eksempel, hvis jeg ønsket å fjerne oppføringen fra filen ovenfor for rotbrukeren, ville jeg bruke denne kommandoen:

# chmod -a user root allow file_gen_read,file_gen_write,std_write_dac file
# ls -led file
-rwxrwxrwx +  1 root  wheel  0 Jul  2 14:02 file
 OWNER: user:root
 GROUP: group:wheel
 0: group:Users allow file_gen_read,file_gen_write
 1: group:wheel allow file_gen_read
 2: everyone allow file_gen_all

For kjente grupper som alle, la av gruppen. Hvis jeg for eksempel også vil fjerne skrivetilgang fra alle, men la de andre tilgangsnivåene være fra filen ovenfor, vil jeg bruke denne kommandoen:

# chmod -a everyone allow file_gen_write file
# ls -led file
-rwxrwxr-x +  1 root  wheel  0 Jul  2 14:02 file
 OWNER: user:root
 GROUP: group:wheel
 0: group:Users allow file_gen_read,file_gen_write
 1: group:wheel allow file_gen_read
 2: everyone allow std_delete,std_write_dac,std_write_owner,file_read,file_read_ext_attr,execute,delete_child,file_read_attr

For å aktivere arv for nye filer og mapper, legg til tillatelsesoppføringen 'object_inherit' og 'container_inherit'henholdsvis. Hvis jeg for eksempel vil legge til en oppføring for de lokale gruppebrukerne i en mappe dir For å gi full tilgang og arve til nye filer og mapper ville jeg bruke denne kommandoen:

# chmod +a group users allow dir_gen_all,object_inherit,container_inherit dir
# ls -led dir
drwxrwxr-x +  2 root  wheel  0 Jul  2 14:22 dir
 OWNER: user:root
 GROUP: group:wheel
 0: group:Users allow dir_gen_all,object_inherit,container_inherit
 1: user:root allow dir_gen_read,dir_gen_write,dir_gen_execute,std_write_dac,delete_child
 2: group:wheel allow dir_gen_read,dir_gen_execute
 3: everyone allow dir_gen_read,dir_gen_execute


 

Du kan også redigere ACEer ved hjelp av SIDer, UIDer eller GIDer. For syntaksen å gjøre det, her er noen eksempler:

chmod +a sid <actual SID> <target path>
chmod +a user <actual UID> <target path>
chmod +a group <actual GID> <target path>

Denne Microsoft-artikkelen beskriver hver tillatelsestype som beskrevet av Windows, men for detaljer om hver tillatelsestype som vist med ls led på PowerScale kan du se man chmod.

Fil- og mappetillatelser

Referanser: