Dans File Storage NAS, un groupe d'autorisations agit comme un pare-feu virtuel qui utilise une liste d'autorisation pour contrôler l'accès réseau à vos systèmes de fichiers. Configurez des groupes d'autorisations personnalisés avec des règles accordant différents niveaux d'accès à des adresses IP ou des blocs CIDR spécifiques selon vos scénarios.
Contexte
Par défaut, chaque compte Alibaba Cloud dispose d'un groupe d'autorisations par défaut. Ce groupe accorde à toute adresse IP au sein du VPC un accès complet en lecture/écriture au système de fichiers, sans restriction sur l'accès des utilisateurs Linux.
Le groupe d'autorisations par défaut s'applique uniquement au sein d'un VPC et n'est pas accessible depuis Internet public. Il ne peut ni être modifié ni supprimé.
Si le groupe d'autorisations par défaut ne répond pas à vos besoins, créez des groupes d'autorisations personnalisés pour accorder des niveaux d'accès spécifiques à différentes adresses IP ou blocs CIDR.
Limites
Vous pouvez créer jusqu'à 20 groupes d'autorisations par compte Alibaba Cloud dans une région.
Chaque groupe d'autorisations peut contenir jusqu'à 300 règles.
Les groupes d'autorisations sont disponibles uniquement pour le type de réseau VPC.
Procédure
Pour maximiser la sécurité des données, ajoutez des règles de groupe d'autorisations avec prudence. N'accordez l'accès qu'aux adresses IP ou blocs CIDR de confiance.
-
Créez un groupe d'autorisations.
Dans le volet de navigation de gauche, choisissez .
Dans la barre de navigation supérieure, sélectionnez une région.
Sur la page Permission Group, cliquez sur l'onglet General-purpose NAS ou Extreme NAS, puis cliquez sur Create Permission Group.
-
Dans la boîte de dialogue Create Permission Group, configurez les paramètres.
Le tableau suivant décrit les principaux paramètres.
Parameter
Description
Name
Nom du groupe d'autorisations. Le nom doit répondre aux exigences suivantes :
Doit commencer par une lettre.
Peut contenir des lettres, des chiffres, des traits de soulignement (_) et des tirets (-).
Les caractères chinois ne sont pas pris en charge.
Le nom doit être unique au sein de la région.
Network type
Seul le type VPC est pris en charge.
RemarqueDepuis le 21 novembre 2022, vous ne pouvez plus créer de groupes d'autorisations de réseau classique pour les systèmes de fichiers General-purpose NAS. Toutefois, les groupes existants de ce type créés avant cette date peuvent toujours être utilisés.
-
Ajoutez une règle au groupe d'autorisations.
-
Recherchez le groupe d'autorisations que vous avez créé. Dans la colonne Actions, cliquez sur Manage Rules. Ensuite, cliquez sur Create Rule et configurez les paramètres de la règle.
Parameter
Description
Authorization type
Type d'autorisation pour cette règle. Les valeurs valides sont IPv4 access address et IPv6 access address.
RemarqueLes adresses d'accès IPv6 sont prises en charge uniquement pour Extreme NAS.
Authorized address
Adresse IP ou bloc CIDR auquel l'accès est accordé.
Read/write permissions
Autorisations pour la source autorisée. Les valeurs valides sont Read-only et Read/Write.
User permissions
Spécifie comment mapper les identités utilisateur depuis le système Linux côté client. Ce paramètre ne s'applique pas aux systèmes de fichiers SMB et n'a aucun effet s'il est configuré.
No Anonymity : permet à l'utilisateur root d'un client d'accéder au système de fichiers avec des privilèges root.
Root User Anonymity : lorsqu'il est accédé en tant qu'utilisateur root, les requêtes sont mappées vers l'utilisateur nobody.
General Anonymity : quelle que soit l'identité utilisateur utilisée pour l'accès, toutes les requêtes sont mappées vers l'utilisateur nobody.
L'utilisateur nobody est l'utilisateur par défaut dans les systèmes Linux. Il ne peut accéder qu'au contenu public sur le serveur et se caractérise par de faibles privilèges et une sécurité élevée.
Priority
Si une source autorisée correspond à plusieurs règles, celle ayant la priorité la plus élevée (numéro le plus bas) est prioritaire. Saisissez un entier compris entre 1 et 100, où 1 représente la priorité la plus élevée.
RemarqueSi plusieurs règles ayant la même priorité mais des autorisations différentes contiennent des blocs CIDR qui se chevauchent, la règle créée en premier prend effet. Nous vous recommandons d'éviter les configurations avec des blocs CIDR qui se chevauchent.
Cliquez sur OK.
-
Connectez-vous à la console NAS.
Autres opérations
Sur la page Permission Group, vous pouvez effectuer les opérations suivantes.
|
Actions |
Description |
|
Afficher les groupes d'autorisations et leurs détails |
Affichez les détails des groupes d'autorisations dans la région actuelle, tels que leur type, le nombre de règles et le nombre de systèmes de fichiers associés. |
|
Modifier un groupe d'autorisations |
Recherchez le groupe d'autorisations cible et cliquez sur Edit pour modifier sa description. |
|
Supprimer un groupe d'autorisations |
Recherchez le groupe d'autorisations cible et cliquez sur Delete pour le supprimer. |
|
Afficher les règles du groupe d'autorisations |
Recherchez le groupe d'autorisations cible et cliquez sur Manage Rules pour afficher les règles au sein de ce groupe. |
|
Modifier une règle de groupe d'autorisations |
Cliquez sur Manage Rules, recherchez la règle cible, puis cliquez sur Edit. Vous pouvez modifier l'adresse autorisée, les autorisations de lecture/écriture, les autorisations utilisateur et la priorité. |
|
Supprimer une règle de groupe d'autorisations |
Cliquez sur Manage Rules, recherchez la règle cible, puis cliquez sur Delete pour supprimer la règle. |
Rubriques connexes
Pour protéger les données en transit, utilisez la fonctionnalité de chiffrement en transit. Elle sécurise le lien réseau entre vos instances ECS et le service NAS, protégeant ainsi les données contre le vol ou la falsification pendant la transmission. Pour obtenir des instructions détaillées, consultez la rubrique Chiffrement en transit pour les systèmes de fichiers NFS ou Chiffrement en transit pour les systèmes de fichiers SMB.