File Storage NAS:Descripción general de NFS ACL

Contexto

Cuando varios usuarios y grupos comparten un sistema de archivos, los administradores necesitan un control detallado sobre quién puede acceder a archivos y directorios específicos. File Storage NAS ofrece NFS ACL (incluidas NFSv4 ACL y POSIX ACL) para este propósito. Una ACL es una lista de entradas de control de acceso (ACE) que definen los permisos de un archivo o directorio.

Si monta un sistema de archivos con NFSv4 ACL mediante NFSv3, las ACL se convierten a POSIX ACL, y viceversa. Sin embargo, ambos tipos de ACL no son totalmente compatibles entre sí, y la interoperabilidad entre mode y las ACL es limitada. Además, los montajes NFSv3 no admiten bloqueos. Si utiliza NFSv4 ACL, monte el sistema únicamente con el protocolo NFSv4 y evite usar mode y POSIX ACL. Features.

Habilite NFS ACL desde la consola o mediante la API. Configure the NFS ACL feature.

POSIX ACL

POSIX ACL amplía el modelo de permisos estándar mode. Le permite establecer permisos para usuarios y grupos específicos, más allá de las clases de propietario, grupo y otros. También admite la herencia de permisos.

Cada ACE especifica los permisos de lectura, escritura y ejecución para un usuario o grupo.

Una ACE contiene un tipo de etiqueta, un calificador opcional y un conjunto de permisos, con el formato default:type:permissions.

• default: ACE de herencia de directorio

  Indica una ACE de herencia para un directorio. Solo los directorios admiten este tipo de ACE.

• type: tipo de etiqueta de la ACE

  Una ACE POSIX debe tener exactamente uno de seis tipos. Cada tipo se representa con un solo carácter.

  Tipo	Identificador	Descripción
  ACL_USER_OBJ	user:	El propietario del archivo.
  ACL_USER	user:uid	Un usuario específico. Por ejemplo: user:admin.
  ACL_GROUP_OBJ	group:	El grupo propietario del archivo.
  ACL_GROUP	group:gid	Un grupo de usuarios específico. Por ejemplo: group:players.
  ACL_MASK	mask:	Los permisos máximos para las ACE que aplican a usuarios específicos, al grupo propietario y a grupos de usuarios específicos.
  ACL_OTHER	other:	Otros usuarios.

• Permisos

  Permiso	Descripción
  r	Permiso de lectura.
  w	Permiso de escritura.
  x	Permiso para ejecutar un archivo o entrar a un directorio.
  -	Ningún permiso.

  Para más detalles sobre POSIX ACL, consulte: acl - Linux man page.

NFSv4 ACL

NFSv4 ACL ofrece un control de permisos más granular que POSIX ACL.

El formato de ACE para una NFSv4 ACL es type:flags:principal:permissions.

• Tipo de ACE

  Cada ACE de NFSv4 debe tener exactamente uno de cuatro tipos, representados por un solo carácter.

  Tipo	Identificador	Descripción
  Allow	A	Permitir. Otorga los permisos especificados.
  Deny	D	Denegar. Deniega los permisos especificados.
  Audit	U	Auditoría. Registra cualquier acceso que requiera los permisos especificados. Requiere una o ambas marcas de acceso exitoso y acceso con errores. Solo algunos sistemas admiten este tipo.
  Alarm	L	Alarma. Genera una alarma del sistema ante cualquier acceso que requiera los permisos especificados. Requiere una o ambas marcas de acceso exitoso y acceso con errores. Solo algunos sistemas admiten este tipo.

• Marcas

  Las ACE tienen tres categorías de marcas: de grupo, de herencia y administrativas.

  Marca	Identificador	Descripción
  group	g	Especifica un grupo de usuarios.
  directory-inherit	d	ACE de herencia de directorio. Los subdirectorios recién creados heredan la ACE.
  file-inherit	f	ACE de herencia de archivo. Los archivos recién creados heredan la ACE del directorio principal, pero se eliminan sus marcas de herencia. Los subdirectorios recién creados heredan la ACE del directorio principal. Si no se especifica también directory-inherit en la ACE principal, se añade inherit-only a la ACE heredada.
  inherit-only	i	La ACE no se considera durante las comprobaciones de permisos, pero se puede heredar. No obstante, la marca inherit-only se elimina de la ACE heredada.
  no-propagate-inherit	n	Los subdirectorios recién creados heredan la ACE, pero se eliminan sus marcas de herencia.
  successful-access	S	En las ACE de tipo Audit o Alarm, esta marca activa la acción especificada cuando un intento de acceso que coincide con los permisos resulta exitoso.
  failed-access	F	En las ACE de tipo Audit o Alarm, esta marca activa la acción especificada cuando se deniega un intento de acceso que coincide con los permisos.

• Principal

  Es el principal que puede realizar operaciones en un archivo. Incluye OWNER@, GROUP@, EVERYONE@ o un principal específico.

• Permisos

  Nota

  • Los permisos mínimos predeterminados para el principal OWNER@ son tTnNcCy. No se permiten permisos inferiores a estos.

  • Los permisos mínimos predeterminados para los principales GROUP@ y EVERYONE@ son tncy. No se permiten permisos inferiores a estos.

  Permisos de NFSv4 ACL para archivos

  Permiso	Descripción	Notas
  r	Leer datos del archivo.	Ninguna.
  w	Escribir o crear un archivo.	Solo surte efecto si también está presente el permiso a. No es válido si se especifica por sí solo.
  a	Agregar datos a un archivo.	Solo surte efecto si también está presente el permiso w. No es válido si se especifica por sí solo.
  x	Ejecutar un archivo.	Solo surte efecto si también está presente el permiso r. No es válido si se especifica por sí solo.
  d	Eliminar un archivo.	El permiso d en un archivo no tiene efecto. Un usuario con permisos wx en el directorio principal puede eliminar el archivo, sin importar el permiso d del archivo.
  D	-	No se puede establecer el permiso D en un archivo. El cliente filtra la operación nfs4_setfacl D.
  t	Leer atributos del archivo.	Uno de los permisos mínimos predeterminados (tncy). Este permiso no se puede eliminar.
  T	Modificar atributos del archivo.	Ninguna.
  n	Leer los atributos con nombre de un archivo.	Uno de los permisos mínimos predeterminados (tncy). Este permiso no se puede eliminar.
  N	Modificar los atributos con nombre de un archivo.	File Storage NAS no admite configurar atributos con nombre. El permiso N no tiene efecto.
  c	Leer la ACL de un archivo.	Uno de los permisos mínimos predeterminados (tncy). Este permiso no se puede eliminar.
  C	Modificar la ACL de un archivo.	Ninguna.
  o	Modificar el propietario de un archivo.	Un usuario con el permiso o puede cambiar el propietario del archivo a sí mismo, pero no a otro usuario, a menos que el usuario actual sea root.
  y	Permitir acceso sincrónico.	Uno de los permisos mínimos predeterminados (tncy). Este permiso no se puede eliminar.

  Permisos de NFSv4 ACL para directorios

  Permiso	Descripción	Notas
  r	Listar el contenido del directorio.	Ninguna.
  w	Crear archivos o directorios.	El permiso w no tiene efecto. Su funcionalidad está incluida en el permiso D, que solo surte efecto si también está presente el permiso x.
  a	Crear subdirectorios.	El permiso a no tiene efecto. Su funcionalidad está incluida en el permiso D, que solo surte efecto si también está presente el permiso x.
  x	Entrar a un directorio.	Ninguna.
  d	Eliminar un directorio.	El permiso d no tiene efecto. Un usuario con permisos wx en el directorio principal puede eliminar el directorio actual, sin importar el permiso d del propio directorio.
  D	Eliminar archivos secundarios y subdirectorios.	Solo surte efecto si también está presente el permiso x. No es válido si se especifica por sí solo.
  t	Leer atributos del directorio.	Uno de los permisos mínimos predeterminados (tncy). Este permiso no se puede eliminar.
  T	Modificar atributos del directorio.	Ninguna.
  n	Leer los atributos con nombre de un directorio.	Uno de los permisos mínimos predeterminados (tncy). Este permiso no se puede eliminar.
  N	Modificar los atributos con nombre de un directorio.	File Storage NAS no admite configurar atributos con nombre. El permiso N no tiene efecto.
  c	Leer la ACL de un directorio.	Uno de los permisos mínimos predeterminados (tncy). Este permiso no se puede eliminar.
  C	Modificar la ACL de un directorio.	Ninguna.
  o	Modificar el propietario de un directorio.	Un usuario con el permiso o puede cambiar el propietario del directorio a sí mismo, pero no a otro usuario, a menos que el usuario actual sea root.
  y	Permitir acceso sincrónico.	Uno de los permisos mínimos predeterminados (tncy). Este permiso no se puede eliminar.

  Para más detalles sobre NFSv4 ACL, consulte: nfs4_acl - Linux man page.

Directrices para POSIX ACL

• Configuración de ACL

  • Utilice la herencia (default) para aplicar la misma ACL a un árbol de subdirectorios. Así evitará configurarla en cada archivo o directorio.

  • Use setfacl -R con precaución. Si lo ejecuta en árboles de directorios grandes, genera presión sobre los metadatos y degrada el rendimiento.

  • Planifique los grupos de usuarios y los permisos antes de configurar las ACL. Gestione el acceso mediante las membresías de grupo; así podrá ajustar los permisos cambiando los grupos en lugar de modificar las ACL. Configure siempre las ACL para grupos, no para usuarios individuales.

  • Si utiliza POSIX ACL en varios clientes, asegúrese de que los UID y GID coincidan para los mismos usuarios y grupos. NAS identifica a los principales por su UID o GID, no por su nombre.

• Uso de ACL

  • El sistema examina todas las ACE durante cada comprobación de permisos. Minimice la cantidad de ACE para evitar que el rendimiento disminuya.

• Configuración de permisos para «otros»

  • Minimice los permisos de «otros», ya que aplican a todos los usuarios. Otorgar a «otros» más acceso que a una ACE específica genera un riesgo de seguridad.

  • Ejecute umask 777 antes de su código para establecer el mode de creación en 000. De esta forma minimizará los permisos predeterminados. umask and default mode.

  • Una vez habilitada POSIX ACL, la clase «otros» del modo de archivo se trata como «todos» durante las comprobaciones de permisos.

Directrices para NFSv4 ACL

• Configuración de ACL

  • Configure las ACL mediante UID o GID, como UID 1001.

  • Utilice la herencia para aplicar la misma ACL a un árbol de subdirectorios. Así evitará configurarla en cada archivo o directorio.

  • Use nfs4_setfacl -R con precaución. Si lo ejecuta en árboles de directorios grandes, genera presión sobre los metadatos y degrada el rendimiento.

• Uso de ACL

  • El sistema examina todas las ACE durante cada comprobación de permisos. Minimice la cantidad de ACE para evitar que el rendimiento disminuya.

• Configuración de permisos de ACL

  • Después de adoptar NFSv4 ACL, evite usar mode.

  • El comando nfs4_setfacl admite las opciones -a, -x y -m. Sin embargo, nfs4_setfacl -e <file> ofrece una experiencia de edición interactiva más intuitiva.

  • Los permisos de escritura muy detallados pueden provocar errores inesperados. Por ejemplo, otorgar w sin a podría bloquear las escrituras. Ocurre algo similar con las modificaciones de directorios. Utilice W mayúscula con nfs4_setfacl para establecer los permisos de escritura. nfs4_setfacl expande W al conjunto completo de escritura: wadT para archivos y wadTD para directorios.

  • Planifique los grupos de usuarios y los permisos antes de configurar las ACL. Gestione el acceso mediante las membresías de grupo; así podrá ajustar los permisos cambiando los grupos en lugar de modificar las ACL. Configure siempre las ACL para grupos, no para usuarios individuales.

  • NAS solo admite ACE de tipo Allow para NFSv4 ACL, no de tipo Deny. Minimice los permisos de «everyone», ya que un acceso excesivo para este principal genera vulnerabilidades de seguridad.

Configurar NFS ACL

Después de habilitar NFS ACL, utilice POSIX ACL o NFSv4 ACL para gestionar los permisos de archivos y directorios.

• Sistemas de archivos NFSv3: Manage permissions by using POSIX ACL.

• Sistemas de archivos NFSv4: Manage permissions by using NFSv4 ACL.