Cloud Storage Gateway:Use Windows access control to enable access-based enumeration

Requisitos previos

Antes de empezar, asegúrese de contar con lo siguiente:

• Un recurso compartido SMB con la función de control de acceso de Windows habilitada. Para obtener más información, consulte Enable Windows access control.

• Una instancia ECS con Windows en la misma VPC que la instancia CSG. Para obtener más información, consulte Create an ECS instance.

• A continuación se muestran los usuarios de dominio creados en el controlador de dominio: Administrator, user1 y user2.

Contexto

En el sistema de archivos de Windows, los archivos y las carpetas son visibles para todos los usuarios de forma predeterminada, incluso para quienes no tienen permisos de acceso. Al habilitar ABE, el directorio compartido montado en el cliente muestra solo las carpetas a las que cada usuario tiene permiso de acceder, mientras que el directorio compartido en sí permanece visible.

ABE es adecuado para los siguientes escenarios:

• Proteger directorios confidenciales: oculte carpetas que contienen información confidencial, como datos de clientes o proyectos en desarrollo, para evitar que usuarios no autorizados vean los nombres de los directorios.

• Simplificar estructuras de directorios: en directorios compartidos grandes, muestre solo las carpetas relevantes para el usuario y reduzca el desorden visual.

En este ejemplo, la instancia ECS ejecuta Windows Server 2012 R2 Datacenter Edition.

Agregar permisos de usuario

Otorgue permisos de lectura y escritura al recurso compartido SMB desde la consola de CSG para los usuarios del dominio. Los permisos existentes del recurso compartido no se ven afectados al agregar nuevos usuarios.

1. Inicie sesión en la consola de Cloud Storage Gateway.

2. Seleccione la región donde se encuentra su puerta de enlace de archivos. En la página Gateway List, busque el archivo de destino y haga clic en él.

3. Haga clic en la pestaña Shares. En la columna Actions del recurso compartido SMB de destino, haga clic en Settings.

4. En el cuadro de diálogo SMB Share Settings, agregue Administrator, user1 y user2 a la lista Read/write Users.

5. Haga clic en Confirm.

Montar la carpeta compartida y configurar los permisos de carpeta

Monte el recurso compartido SMB en la instancia ECS con Windows. Después, configure los permisos NTFS de las carpetas para que cada usuario acceda únicamente a la carpeta designada.

1. Inicie sesión en la instancia ECS con Windows.

2. Abra Computer y haga clic en Map network drive.

3. Seleccione una letra de unidad, introduzca el destino de montaje de la instancia CSG en el cuadro Folder y haga clic en Finish.

   Puede consultar el destino de montaje en la pestaña Shares de la puerta de enlace de destino dentro de la consola de CSG.

4. En el cuadro de diálogo Windows Security, introduzca el nombre de usuario y la contraseña de Administrator, y haga clic en OK.

   Use el formato de nombre de usuario <AD domain name>\Administrator, donde <AD domain name> es el nombre de su dominio de Active Directory (AD).

5. Dentro de la carpeta compartida montada, cree dos carpetas: user1 y user2.

6. Haga clic derecho en la carpeta user1, seleccione Properties y vaya a la pestaña Security.

7. Establezca los permisos de la carpeta user1 para que solo Administrator y user1 tengan acceso:

   1. Haga clic en Advanced. En la pestaña Permissions, haga clic en Disable Inheritance, elimine los permisos de Everyone y Domain Users, y luego haga clic en Apply y OK.

   2. Haga clic en Edit. En el cuadro de diálogo de permisos, haga clic en Add, introduzca user1 y haga clic en Check Names.

   3. En el cuadro de diálogo Windows Security, introduzca el nombre de usuario y la contraseña de user1, y haga clic en OK.

      Use el formato de nombre de usuario <AD domain name>\user1.

8. Repita el paso anterior para la carpeta user2 y otorgue acceso únicamente a Administrator y user2.

Comprobar el control de acceso de Windows

1. En This PC, haga clic derecho en la carpeta compartida montada y seleccione Disconnect.

2. Una vez que se actualice la página, repita los pasos 2 y 3 de Mount the shared folder and configure folder permissions para volver a montar la carpeta compartida.

3. Conéctese a la carpeta compartida como user1, user2 y Administrator, en ese orden, y compruebe los resultados:

   • user1 solo puede ver la carpeta user1.

   • user2 solo puede ver la carpeta user2.

   • Administrator puede ver tanto la carpeta user1 como la user2.

Con esto ha habilitado la enumeración basada en acceso para la carpeta compartida mediante la función de control de acceso de Windows de Cloud Storage Gateway.