PowerScale. OneFS. Управление разрешениями Windows (ACL) из интерфейса командной строки OneFS

ls -led <path to file/folder>

# ls -led file
-rwxrwxrwx +  1 root  wheel  0 Jul  2 14:02 file
 OWNER: user:root
 GROUP: group:wheel
 0: group:Users allow file_gen_read,file_gen_write
 1: user:root allow file_gen_read,file_gen_write,std_write_dac
 2: group:wheel allow file_gen_read
 3: everyone allow file_gen_all

Изменение разрешений

Чтобы изменить разрешения в CLI, выполните следующие действия: chmod, вы должны войти в систему как root.

Существует два способа идентификации необходимых записей разрешений для помещения в список контроля доступа (ACL). По возможности рекомендуется первый.

1. Найдите или создайте файл/папку с нужными разрешениями через SMB и запустите ls -led <file or folder>. Это может быть любая запись разрешений для любого пользователя/группы, для любого файла/папки в любом Isilon, если у них есть необходимые разрешения. 
2. Просмотрите описание каждой записи разрешений из руководства для chmod (man chmod) и определите, какие из них вам нужны для вашего рабочего процесса.

Добавление новой записи разрешений для пользователя или группы

Для этого примера я использую первый способ, но команда для установки разрешений одинакова, независимо от того, определили ли вы типы разрешений, которые нужно добавить из руководства для chmod (man chmod) или просмотрев файл с нужными разрешениями.

Команда для пользователей и групп одинакова, за исключением слова 'user' заменяется на 'group' или наоборот:  chmod +a group "<domain name>\<group name>" allow <permissions to add> <file or folder>

Например, если я хочу задать запись permissions для файла, то группа пользователей выше на file2 для домена Active Directory 'AD'группа'domain users' Я бы использовал такую команду:

# chmod +a group "AD\domain users" allow file_gen_read,file_gen_write file2
# ls -led file2
-rw-rw-r-- +  1 root  wheel  0 Jul  2 14:09 file2
 OWNER: user:root
 GROUP: group:wheel
 0: group:Domain Users allow file_gen_read,file_gen_write
 1: user:root allow file_gen_read,file_gen_write,std_write_dac
 2: group:wheel allow file_gen_read
 3: everyone allow file_gen_read

Чтобы удалить запись контроля доступа, вы можете удалить всю строку для разыскиваемого пользователя или группы или типы разрешений, которые вы хотите удалить, а затем добавить новую запись с необходимыми разрешениями. Команда для удаления записи идентична команде для ее добавления, за исключением того, что вы изменили '+a' с '-a'. Например, если бы я хотел удалить запись из файла выше для пользователя root, я бы использовал эту команду:

# chmod -a user root allow file_gen_read,file_gen_write,std_write_dac file
# ls -led file
-rwxrwxrwx +  1 root  wheel  0 Jul  2 14:02 file
 OWNER: user:root
 GROUP: group:wheel
 0: group:Users allow file_gen_read,file_gen_write
 1: group:wheel allow file_gen_read
 2: everyone allow file_gen_all

Для известных групп, таких как все, не входите в группу. Например, если бы я хотел также удалить доступ на запись для всех, но оставить другие уровни доступа из файла выше, я бы использовал эту команду:

# chmod -a everyone allow file_gen_write file
# ls -led file
-rwxrwxr-x +  1 root  wheel  0 Jul  2 14:02 file
 OWNER: user:root
 GROUP: group:wheel
 0: group:Users allow file_gen_read,file_gen_write
 1: group:wheel allow file_gen_read
 2: everyone allow std_delete,std_write_dac,std_write_owner,file_read,file_read_ext_attr,execute,delete_child,file_read_attr

Чтобы включить наследование для новых файлов и папок, добавьте в запись разрешений «object_inherit' и 'container_inherit' соответственно. Например, если я хочу добавить запись для пользователей локальной группы в папку dir Чтобы предоставить полный доступ и наследование новым файлам и папкам, я бы использовал следующую команду:

# chmod +a group users allow dir_gen_all,object_inherit,container_inherit dir
# ls -led dir
drwxrwxr-x +  2 root  wheel  0 Jul  2 14:22 dir
 OWNER: user:root
 GROUP: group:wheel
 0: group:Users allow dir_gen_all,object_inherit,container_inherit
 1: user:root allow dir_gen_read,dir_gen_write,dir_gen_execute,std_write_dac,delete_child
 2: group:wheel allow dir_gen_read,dir_gen_execute
 3: everyone allow dir_gen_read,dir_gen_execute


 

Записи контроля доступа можно также редактировать с помощью идентификаторов SID, UID или GID. Ниже приведено несколько примеров, чтобы синтаксис мог это сделать.

chmod +a sid <actual SID> <target path>
chmod +a user <actual UID> <target path>
chmod +a group <actual GID> <target path>

В этой статье Microsoft описаны все типы разрешений, как описано в Windows, а подробные сведения о каждом типе разрешений см. в описании с ls led на PowerScale см. man chmod.

Разрешения на доступ к файлам и папкам

Справочные материалы: