File Storage NAS:ACL SMB untuk Penyimpanan File NAS

Izin direktori root default

• Rasional Desain Izin Default

  • Entri ACL SYSTEM dan Administrators selaras dengan izin Windows NTFS untuk memastikan aplikasi yang memerlukan hak istimewa administrator dapat berjalan dengan benar. Setelah Anda mengintegrasikan dengan RAM, hal ini juga memungkinkan pemberian hak istimewa administrator kepada super admin.

  • Izin CREATOR OWNER mengaktifkan pewarisan, yang juga selaras dengan izin Windows NTFS.

  • Anda dapat mengonfigurasi pengaturan ACL SMB untuk menetapkan Allow Anonymous Access ke Off. Hal ini mencegah akses oleh identitas Everyone dan hanya mengizinkan pengguna yang telah diautentikasi domain untuk mengakses sistem file.

• Kompatibilitas dengan Kebiasaan Pengguna yang Sudah Ada

  • Untuk mendukung pengguna yang tidak menggunakan domain AD, identitas Everyone diberikan Full Control atas file dan folder yang dibuat sebelum fitur AD diaktifkan. Hal ini memastikan pengguna tersebut tidak terganggu. Pengguna tanpa domain AD dapat memasang sistem file sebagai Everyone melalui protokol NTLM dan mengakses konten yang dimiliki oleh Everyone.

  • File atau folder yang dibuat oleh pengguna AD baru tidak mewarisi izin dari Everyone. Oleh karena itu, pengguna tanpa domain AD tidak dapat mengakses sumber daya baru ini. Hanya pembuat dan administrator yang dapat mengaksesnya.

  • Pengguna AD dapat mengakses file dan folder yang dibuat oleh pengguna tanpa domain AD (yaitu, sebagai Everyone).

Fitur ACL SMB

Pemasangan dengan beberapa identitas tidak didukung

Akses darurat (break-glass access)

Jika pengguna jahat menghapus izin administrator dan pengguna lain sehingga file atau folder menjadi tidak dapat diakses, Anda harus memasang sistem file dengan identitas administrator untuk memulihkan izin tersebut.

Integrasi Cygwin

Cygwin menyediakan lingkungan kompatibel POSIX yang berjalan di Windows untuk menjalankan aplikasi POSIX. Setelah Anda mengaktifkan ACL SMB, identifier keamanan pengguna (SID), SID kelompok, dan DACL Windows diterjemahkan menjadi UID POSIX, GID POSIX, dan ACL POSIX di Cygwin. Untuk detail lebih lanjut mengenai terjemahan ini, lihat Cygwin ntsec.html.

• Tambahkan opsi noacl ke /etc/fstab.

  # /etc/fstab
  #
  #    File ini dibaca sekali oleh proses pertama dalam pohon proses Cygwin.
  #    Untuk menerapkan perubahan, restart semua proses Cygwin.  Untuk deskripsi
  #    lihat https://cygwin.com/cygwin-ug-net/using.html#mount-table
  
  # Ini adalah default anyway:
  none /cygdrive cygdrive binary,noacl,posix=0,user 0 0

  Saat opsi noacl ditambahkan, Cygwin tidak melakukan terjemahan ACL yang kompleks. Sebagai gantinya, Cygwin menerapkan mode default ke file dan folder baru. USER dan GROUP diatur ke username dan kelompok pengguna login Windows saat ini. Aturan dasarnya sebagai berikut:

  • Mode default, UID, dan GID untuk folder adalah 755.

    drwxr-xr-x 1 cat Domain Users 0 Jul 25 06:18 dir

  • Mode default, UID, dan GID untuk file adalah 644.

    -rw-r--r-- 1 cat Domain Users 0 Jul 25 06:42 file

  • Mode untuk file dapat berupa 644 atau 444.

    Jika mode-nya 444, file tersebut memiliki atribut DOS Read-only yang diaktifkan. Opsi noacl hanya menerjemahkan atribut DOS Read-only file tersebut.

  • Perintah chmod tidak dapat mengubah izin folder, tetapi dapat mengubah mode file menjadi 644 atau 444.

  • Perintah chown dan chgrp tidak berpengaruh.

  • Perintah getfacl dan setfacl tidak didukung.

  • Karena izin folder di client selalu ditampilkan sebagai 755 dan izin file hanya ditampilkan sebagai 644 atau 444, client mungkin menunjukkan bahwa akses diizinkan, tetapi server akan menolak permintaan tersebut.

• Gunakan opsi acl di /etc/fstab

  Secara default, sistem file SMB dipasang dengan izin Everyone, yang sesuai dengan OTHER di Cygwin. Saat membuat file atau folder, Cygwin berperilaku seperti Linux dan secara otomatis menjalankan operasi chmod untuk menetapkan mode default. Karena izin OTHER default untuk folder adalah r-x dan untuk file adalah r--, Everyone hanya memiliki izin r-x atau r--. Akibatnya, Everyone tidak dapat membuat file baru di folder baru, dan file baru bersifat read-only untuk Everyone.

  Oleh karena itu, kami sangat menyarankan menggunakan opsi noacl alih-alih opsi acl saat bekerja dengan Cygwin.

AD dan ACL pada sistem Linux

• Saat Anda memasang sistem file di Linux menggunakan mount -t cifs, Anda dapat menentukan identitas pengguna domain untuk pemasangan, serta GID file, UID, mode file, dan mode direktori.

• Saat menggunakan sistem file, client melakukan pemeriksaan izin POSIX dasar berdasarkan UID, GID yang dipasang, dan identitas pengguna yang login.

• Di server file, terlepas dari UID atau GID pengguna Linux, operasi dipetakan ke identitas pengguna domain yang sesuai. Pengguna root Linux tidak memiliki hak istimewa administrator; ia hanya memiliki izin pengguna domain tersebut. Perintah izin Linux seperti chmod, chown, chgrp, getfacl, dan setfacl tidak berpengaruh.

Untuk informasi lebih lanjut, lihat Memasang dan menggunakan sistem file SMB sebagai pengguna AD pada client Linux.

Cara kerja

Penyimpanan File NAS mendukung manajemen pengguna dan kontrol akses sistem file menggunakan pengontrol domain AD yang berlokasi di virtual private cloud (VPC) atau pusat data lokal Anda. Hal ini mengintegrasikan otentikasi pengguna dan kontrol akses untuk lingkungan cloud hibrida. Layanan SMB untuk Penyimpanan File NAS menggunakan Kerberos untuk mengotentikasi pengguna AD terhadap pengontrol domain AD Anda, baik yang ditempatkan di lokasi maupun di Alibaba Cloud. Pengguna dapat terhubung ke dan mengakses sistem file SMB sebagai pengguna domain dari server Windows atau Linux yang telah bergabung ke domain. Server file mengenali identitas domain pengguna untuk menerapkan kontrol akses tingkat direktori dan tingkat file.

Proses berikut menguraikan cara kerja otentikasi identitas dan kontrol akses dengan ACL SMB:

1. Buat file keytab. Untuk informasi lebih lanjut, lihat Gabungkan titik pemasangan SMB ke domain AD.

2. Aktifkan fitur ACL AD SMB dan unggah file keytab untuk menggabungkan titik pemasangan SMB ke domain AD. Untuk informasi lebih lanjut, lihat Langkah 2: Unggah file keytab.

   Setelah file keytab diunggah, informasinya disimpan ke sistem file Penyimpanan File NAS. Titik pemasangan SMB kini telah bergabung ke domain AD, dan Anda dapat memasang serta menggunakan sistem file SMB sebagai pengguna AD. Untuk informasi lebih lanjut, lihat Memasang dan menggunakan sistem file SMB sebagai pengguna AD pada client Windows atau Memasang dan menggunakan sistem file SMB sebagai pengguna AD pada client Linux.

3. Mengotentikasi pengguna dan mengontrol akses dari client.

   Saat pengguna mencoba terhubung ke sistem file SMB dari VM di VPC atau aplikasi di pusat data lokal, sistem terlebih dahulu memvalidasi koneksi menggunakan grup izin. Grup izin mengontrol konektivitas dan akses client berdasarkan aturannya. Selanjutnya, otentikasi pengguna dan kontrol akses berlangsung sebagai berikut:

   1. Setelah koneksi ke sistem file terbentuk, client dan server melakukan negosiasi protokol otentikasi melalui SMB.

   2. Server file memeriksa konfigurasi sistem file untuk memverifikasi bahwa otentikasi Kerberos diaktifkan.

   3. Client mengirim permintaan ke pengontrol domain AD (di VPC atau pusat data Anda) untuk mengakses layanan sistem file Alibaba Cloud.

   4. Pengontrol domain AD mengotentikasi pengguna, mengenkripsi informasi pengguna dengan kunci akun layanan untuk layanan sistem file, lalu mengembalikan informasi terenkripsi tersebut ke client.

   5. Client mengirim informasi pengguna terenkripsi ke server file SMB dalam permintaan SMB Session Setup.

   6. Server file mendekripsi informasi pengguna menggunakan file keytab yang disediakan untuk sistem file tersebut.

      Catatan

      Semua permintaan akses berikutnya dalam session ini diberi otorisasi sebagai pengguna ini.

   7. Jika otentikasi berhasil, server file mengembalikan tanggapan sukses ke client. Jika tidak, server file menolak permintaan Session Setup.

   8. Aplikasi mengirim permintaan akses file (seperti baca, tulis, dan lainnya) ke server file.

   9. Server file mengembalikan hasil akses ke client.

      Server file menerapkan kontrol akses. Berdasarkan informasi pengguna dalam session dan izin ACL yang dikonfigurasi pada direktori atau file, server akan mengizinkan atau menolak akses.