UNIXのファイルとフォルダに対する複雑な権限の指定
職場では、データ管理とセキュリティを担当するグループを管理しています。標準のユーザー/グループ/ワールドrwxだけでなく、ファイルやフォルダーに対する複雑なアクセス許可を指定する必要があります。調査によると、これは、NFSv4を実行しているファイラーの拡張ファイル属性（setfacl、getfaclコマンド）を使用して実行できます。作業中のファイラーはNFSv3を実行しています。ITグループに変換について尋ねると、主張を実証するためのデータやタイムラインを提供せずにNFSv4にアップグレードするには、常に「遅すぎる、難しすぎる、安全でない、安定していないなど」と答えます。その結果、directoryAにはgroupAが表示できるファイルがあり、directoryBにはgroupBが表示できるファイルがあるデータの複数のコピーが作成されることになります。
私はいくつかのことを考えていました：
- 主張は本当ですか？拡張ファイル属性を有効にしたNFSv3からNFSv4への変換は、パフォーマンスに深刻な影響を与えますか？他に考慮すべき項目はありますか？たとえば、一部のアプリケーションは、これらの拡張ファイル属性を適切に解釈するようにコーディングされていない可能性があると思います。
- NFSv4のACLの他に、複雑なアクセス許可を適用するための別のソリューションまたは方法はありますか？稼働中のマシンの大部分は、SLES11またはSLES12のいずれかを実行しています。
あなたが提供できるどんな助けや方向性にも感謝します...ありがとう！
回答
NFS 4ははるかに安全で、確かに安定しており、よく思い出せば2003年から利用できます。新しいバージョン、4.1と4.2もあります。高度な機能を有効にしない場合、アップグレードは非常に簡単です。
udpとtcpを使用しているため、nfs3ではパフォーマンスが少し向上する可能性があります。nfs4はtcpのみです。しかし、それはほとんどのシナリオでそれほど大きな違いにはなりません。tcpでは、パケットが失われると、udpとは異なり、これらの失われたパケットのみが再送信されるため、実際には補償できます。nfs 4にも委任があり、パフォーマンスを向上させることができます。暗号化はパフォーマンスに大きな影響を与える可能性がありますが、それは選択です。nfs4でより高いセキュリティ標準を使用することは必須ではありませんが、必要に応じて利用できます。
nfsv4を使用したアプリケーションの非互換性については実際にはわかりません。ファイルのコピー移動操作やビデオストリーミングに問題なく使用しました。代替手段がないことがnfsv4を生み出したと思いますが、これについて明確な答えを出すことはできません。SMB / CIFSを使用できます。これはWindowsプロトコルであるため、ネイティブの代替手段とは見なしませんが、UNIX / Linuxの実装は優れています。Linuxサーバーとクライアントにnfsv4よりも実装する方が大きな課題になると思いますが。
ITチームがv4への切り替えに消極的である理由は、OSの互換性とサポートである可能性があります。サーバーとクライアントの両方がv4をサポートする必要があります。おそらく、古いOS、たとえばSPのないSLES 11があり、SuSEでサポートされておらず、設定の変更を避けたいと考えています。
nfsv3とv4の両方を使用して共有するオプションもあります。v4に完全に切り替える前に、いくつかのディレクトリでテストすることができます。