File Storage NAS:File Storage NAS の SMB ACL

デフォルトのルートディレクトリ権限

• デフォルト権限の設計思想

  • SYSTEM および Administrators の ACL エントリは Windows NTFS 権限に準拠しており、管理者権限を必要とするアプリケーションが正しく実行されることを保証します。Resource Access Management (RAM) と連携した後、これによりスーパー管理者に管理者権限を付与することもできます。

  • CREATOR OWNER 権限は継承を有効にし、これも Windows NTFS 権限に準拠しています。

  • SMB ACL の設定で 匿名アクセスを許可 を なし に設定できます。これにより、Everyone ID によるアクセスが防止され、ドメイン認証済みユーザーのみがファイルシステムにアクセスできるようになります。

• 既存のユーザーの利用習慣との互換性

  • AD ドメインを使用しないユーザーをサポートするため、AD 機能が有効になる前に作成されたファイルとフォルダーには、Everyone ID にフルコントロールが付与されます。これにより、これらのユーザーが影響を受けないようにします。AD ドメインを持たないユーザーは、NTLM プロトコルを介して Everyone としてファイルシステムをマウントし、Everyone が所有するコンテンツにアクセスできます。

  • 新しい AD ユーザーによって作成されたファイルやフォルダーは、Everyone から権限を継承しません。そのため、AD ドメインを持たないユーザーはこれらの新しいリソースにアクセスできません。作成者と管理者のみがアクセスできます。

  • AD ユーザーは、AD ドメインを持たないユーザー (つまり Everyone として) によって作成されたファイルやフォルダーにアクセスできます。

SMB ACL の機能

複数 ID でのマウントは非サポート

緊急アクセス

悪意のあるユーザーが管理者や他のユーザーの権限を削除し、ファイルやフォルダーにアクセスできなくなった場合、管理者 ID でファイルシステムをマウントして権限を復元する必要があります。

Cygwin との連携

Cygwin は、Windows 上で POSIX アプリケーションを実行するための POSIX 互換環境を提供します。SMB ACL を有効にすると、ユーザーのセキュリティ識別子 (SID)、グループ SID、および Windows の随意アクセス制御リスト (DACL) は、Cygwin 内で POSIX のユーザー ID (UID)、グループ ID (GID)、および POSIX ACL に変換されます。この変換の詳細については、「Cygwin ntsec.html」をご参照ください。

• /etc/fstab に `noacl` オプションを追加します (次の図を参照)。

  `noacl` オプションが追加されると、Cygwin は複雑な ACL 変換を実行しません。代わりに、新しいファイルとフォルダーにデフォルトのモードを適用します。USER と GROUP は、現在の Windows ログインユーザーのユーザー名とグループに設定されます。基本的なルールは次のとおりです：

  • フォルダーのデフォルトのモード、UID、GID は 755 です。

    drwxr-xr-x 1 cat Domain Users 0 Jul 25 06:18 dir

  • ファイルのデフォルトのモード、UID、GID は 644 です。

    -rw-r--r-- 1 cat Domain Users 0 Jul 25 06:42 file

  • ファイルのモードは 644 または 444 にすることができます。

    モードが 444 の場合、ファイルには DOS の読み取り専用属性が設定されます。`noacl` オプションは、ファイルの DOS 読み取り専用属性のみを変換します。

  • chmod コマンドはフォルダーの権限を変更できませんが、ファイルモードを 644 または 444 に変更することはできます。

  • chown および chgrp コマンドは効果がありません。

  • getfacl および setfacl コマンドはサポートされていません。

  • クライアント上のフォルダー権限は常に 755 と表示され、ファイル権限は 644 または 444 としか表示されないため、クライアントはアクセスが許可されていると示すかもしれませんが、サーバーはリクエストを拒否します。

• /etc/fstab で `acl` オプションを使用する

  デフォルトでは、SMB ファイルシステムは Everyone 権限でマウントされます。これは Cygwin の OTHER に対応します。ファイルまたはフォルダーを作成する際、Cygwin は Linux のように動作し、自動的に chmod 操作を実行してデフォルトモードを設定します。フォルダーのデフォルトの OTHER 権限は r-x、ファイルのデフォルトの OTHER 権限は r-- であるため、Everyone は r-x または r-- 権限しか持ちません。その結果、Everyone は新しいフォルダーに新しいファイルを作成できず、新しいファイルは Everyone にとって読み取り専用になります。

  したがって、Cygwin を使用する場合は、`acl` オプションの代わりに `noacl` オプションを使用することを強く推奨します。

Linux システムにおける AD と ACL

• Linux 上で mount -t cifs を使用してファイルシステムをマウントする場合、マウント用のドメインユーザー ID、およびファイルの GID、UID、ファイルモード、ディレクトリモードを指定できます。

• ファイルシステムを使用する際、クライアントはマウントされた UID、GID、およびログインしているユーザーの ID に基づいて、基本的な POSIX 権限チェックを実行します。

• ファイルサーバー上では、Linux ユーザーの UID や GID に関係なく、操作は対応するドメインユーザー ID にマッピングされます。Linux の root ユーザーは管理者権限を持たず、そのドメインユーザーの権限のみを持ちます。chmod、chown、chgrp、getfacl、setfacl などの Linux 権限コマンドは効果がありません。

詳細については、「Linux クライアントで AD ユーザーとして SMB ファイルシステムをマウントして使用する」をご参照ください。

仕組み

File Storage NAS は、お客様の Virtual Private Cloud (VPC) またはオンプレミスデータセンターにある AD ドメインコントローラーを使用して、ユーザー管理とファイルシステムのアクセス制御をサポートします。これにより、ハイブリッドクラウド環境のユーザー認証とアクセス制御が統合されます。File Storage NAS の SMB サービスは、Kerberos を使用して、オンプレミスまたは Alibaba Cloud にデプロイされているかどうかにかかわらず、お客様の AD ドメインコントローラーに対して AD ユーザーを認証します。ユーザーは、ドメインに参加済みの Windows または Linux サーバーからドメインユーザーとして SMB ファイルシステムに接続し、アクセスできます。ファイルサーバーは、ユーザーのドメイン ID を認識して、ディレクトリレベルおよびファイルレベルのアクセス制御を強制します。

次のプロセスは、SMB ACL を使用した ID 認証とアクセス制御の仕組みの概要です：

1. keytab ファイルを生成します。詳細については、「SMB マウントターゲットを AD ドメインに参加させる」をご参照ください。

2. SMB AD ACL 機能を有効にし、keytab ファイルをアップロードして SMB マウントターゲットを AD ドメインに参加させます。詳細については、「ステップ 2: keytab ファイルのアップロード」をご参照ください。

   keytab ファイルがアップロードされると、その情報は File Storage NAS ファイルシステムに保存されます。これで SMB マウントターゲットは AD ドメインに参加し、AD ユーザーとして SMB ファイルシステムをマウントして使用できます。詳細については、「Windows クライアントで AD ユーザーとして SMB ファイルシステムをマウントして使用する」または「Linux クライアントで AD ユーザーとして SMB ファイルシステムをマウントして使用する」をご参照ください。

3. クライアントからのユーザー認証とアクセス制御。

   ユーザーが VPC 内の VM またはオンプレミスデータセンターのアプリケーションから SMB ファイルシステムに接続しようとすると、システムはまず権限グループを使用して接続を検証します。権限グループは、そのルールに基づいてクライアントの接続性とアクセスを制御します。その後、ユーザー認証とアクセス制御は次のように進みます：

   1. ファイルシステムへの接続が確立された後、クライアントとサーバーは SMB を介して認証プロトコルをネゴシエートします。

   2. ファイルサーバは、ファイルシステムの構成をチェックして、Kerberos 認証が有効になっていることを確認します。

   3. クライアントは、AD ドメインコントローラー (お客様の VPC またはデータセンター内) に、Alibaba Cloud ファイルシステムサービスへのアクセスリクエストを送信します。

   4. AD ドメインコントローラーはユーザーを認証し、ファイルシステムサービスのサービスアカウントキーでユーザー情報を暗号化して、暗号化された情報をクライアントに返します。

   5. クライアントは、暗号化されたユーザー情報を SMB セッションセットアップリクエストで SMB ファイルサーバーに送信します。

   6. ファイルサーバーは、ファイルシステム用に提供された keytab ファイルを使用してユーザー情報を復号します。

      説明

      このセッション内の後続のすべてのアクセスリクエストは、このユーザーとして承認されます。

   7. 認証が成功した場合、ファイルサーバーは成功応答をクライアントに返します。それ以外の場合、ファイルサーバーはセッションセットアップリクエストを拒否します。

   8. アプリケーションは、ファイルアクセスリクエスト (読み取り、書き込みなど) をファイルサーバーに送信します。

   9. ファイルサーバーは、アクセス結果をクライアントに返します。

      ファイルサーバーはアクセス制御を強制します。セッション内のユーザー情報と、ディレクトリまたはファイルに設定された ACL 権限に基づいて、サーバーはアクセスを許可または拒否します。