specificando permessi complessi su file e cartelle in unix

Aug 23 2020

Al lavoro gestisco un gruppo responsabile della gestione e della sicurezza dei dati. Abbiamo bisogno di specificare permessi complessi su file e cartelle oltre al semplice user / group / world rwx standard. La ricerca mostra che questo può essere fatto con attributi di file estesi (comandi setfacl, getfacl) su filer che eseguono NFSv4. I filer al lavoro eseguono NFSv3. Ogni volta che chiedo al gruppo IT in merito alla conversione, rispondono sempre con "è troppo lento, troppo difficile, non sicuro o stabile, ecc." Per eseguire l'aggiornamento a NFSv4 senza fornire dati o scadenze per convalidare le affermazioni. Di conseguenza, finiamo per creare più copie di dati in cui directoryA ha file che il gruppoA può visualizzare e directoryB ha file che il gruppoB può visualizzare.

Mi stavo chiedendo un paio di cose:

  1. le affermazioni sono vere? La conversione da NFSv3 a NFSv4 con attributi di file estesi abilitati influisce gravemente sulle prestazioni? ci sono altri elementi da considerare? ad esempio, presumo che alcune applicazioni potrebbero non essere codificate per interpretare correttamente questi attributi di file estesi.
  2. Oltre ad ACL su NFSv4, esiste un'altra soluzione o metodo per applicare autorizzazioni complesse? la maggior parte delle macchine al lavoro esegue SLES11 o SLES12.

Apprezza qualsiasi aiuto o direzione che puoi offrire ... grazie!

Risposte

1 Krackout Aug 23 2020 at 16:43

NFS 4 può essere molto più sicuro ed è sicuramente stabile, disponibile dal 2003 se ricordo bene. Ci sono anche versioni più recenti, 4.1 e 4.2. È abbastanza facile aggiornare, se non abiliti nessuna delle funzionalità avanzate.

  1. Le prestazioni potrebbero essere leggermente migliori su nfs 3, grazie all'utilizzo di udp & tcp; nfs 4 è solo tcp. Ma questo non fa davvero una grande differenza nella maggior parte degli scenari. In realtà può essere compensato, perché in tcp quando i pacchetti vengono persi solo questi pacchetti persi vengono ritrasmessi, contrariamente a udp. C'è anche la delega su nfs 4, che può migliorare le prestazioni. La crittografia può influire molto sulle prestazioni, ma questa è una scelta, non è obbligatorio utilizzare standard di sicurezza più elevati su nfs 4, ma sono disponibili se necessario.
    Non posso davvero dire sulle incompatibilità delle applicazioni usando nfs v4. L'ho usato per operazioni di copia-spostamento di file e streaming video senza problemi.

  2. Non posso darti una risposta definitiva su questo, anche se penso che l'assenza di alternative abbia dato vita a nfs v4. È possibile utilizzare SMB / CIFS; Non lo considero un'alternativa nativa perché è un protocollo Windows, tuttavia l'implementazione UNIX / Linux è eccellente. Anche se suppongo che sarebbe una sfida più grande implementarlo su server e client Linux rispetto a nfs v4.

Un motivo per cui il tuo team IT è riluttante a passare alla v4 potrebbe essere la compatibilità e il supporto del sistema operativo: sia i server che i client devono supportarlo. Forse ci sono sistemi operativi più vecchi, ad esempio SLES 11 senza SP, che non sono supportati da SuSE e preferiscono evitare di modificare le impostazioni su di essi.

C'è anche la possibilità di condividere utilizzando sia nfs v3 che v4. È possibile testarlo su alcune directory prima di passare completamente alla v4.