Như chúng ta đã biết, khi người dùng truy cập dữ liệu cụm OneFS qua các giao thức khác nhau, việc thực thi quyền cuối cùng sẽ diễn ra trên hệ thống tệp OneFS. Trong OneFS, điều này đạt được thông qua việc triển khai Danh sách kiểm soát truy cập (ACL), cung cấp quyền kiểm soát chi tiết trên các thư mục và tệp. Trong bài viết này, chúng ta sẽ xem xét những điều cơ bản của OneFS ACL.

ACL OneFS

OneFS cung cấp một không gian tên duy nhất cho truy cập đa giao thức và có biểu diễn ACL nội bộ riêng để thực hiện kiểm soát truy cập. ACL nội bộ được trình bày dưới dạng chế độ xem cụ thể theo giao thức của các quyền để NFS xuất hiển thị các bit chế độ POSIX cho NFSv3 và ACL cho NFSv4 và SMB. 

Khi kết nối với cụm PowerScale bằng SSH, bạn có thể quản lý không chỉ các bit chế độ POSIX mà còn cả ACL bằng các công cụ UNIX chuẩn như  lệnh chmod  . Ngoài ra, bạn có thể chỉnh sửa chính sách ACL thông qua giao diện quản trị web để cấu hình quản lý quyền OneFS cho các mạng kết hợp hệ thống Windows và UNIX.

Thiết kế OneFS ACL bắt nguồn từ Windows NTFS ACL. Do đó, nhiều định nghĩa khái niệm và hoạt động của nó tương tự như Windows NTFS ACL, chẳng hạn như quyền ACE và kế thừa.

ACL tổng hợp OneFS và ACL thực tế

Để cung cấp quyền truy cập tệp xuyên giao thức một cách liền mạch, OneFS lưu trữ một biểu diễn nội bộ về quyền của đối tượng hệ thống tệp. Biểu diễn nội bộ có thể chứa thông tin từ các bit chế độ POSIX hoặc ACL. 

OneFS có hai loại ACL để đáp ứng các tình huống khác nhau:

• OneFS Synthetic ACL : Theo chính sách ACL mặc định, nếu không có mục ACL có thể kế thừa nào tồn tại trên thư mục cha – chẳng hạn như khi tệp hoặc thư mục được tạo thông qua phiên NFS hoặc SSH trên OneFS trong thư mục cha – thì thư mục sẽ chỉ chứa quyền bit chế độ POSIX. OneFS sử dụng biểu diễn nội bộ để tạo OneFS Synthetic ACL, đây là cấu trúc trong bộ nhớ xấp xỉ các bit chế độ POSIX của tệp hoặc thư mục cho máy khách SMB hoặc NFSv4. 
• OneFS real ACL : Theo chính sách ACL mặc định, khi một tệp hoặc thư mục được tạo thông qua SMB hoặc khi ACL tổng hợp của tệp hoặc thư mục được sửa đổi thông qua máy khách NFSv4 hoặc SMB, OneFS real ACL được khởi tạo và lưu trữ trên đĩa. OneFS real ACL cũng có thể được khởi tạo bằng  công cụ lệnh chmod nâng cao của OneFS với tùy chọn +a , -a hoặc  =a để sửa đổi ACL. 

Mục nhập kiểm soát truy cập OneFS

Ngược lại với Windows DACL và NFSv4 ACL, mục nhập kiểm soát truy cập OneFS ACL (ACE) bổ sung thêm một loại danh tính. OneFS ACE chứa thông tin sau:

• Tên danh tính : Tên của người dùng hoặc nhóm
• Loại ACE : Loại ACE (cho phép hoặc từ chối)
• Quyền ACE và cờ kế thừa : Danh sách các quyền và cờ kế thừa được phân tách bằng dấu phẩy

Quyền OneFS ACE

Tương tự như cấp độ quyền của Windows, OneFS chia quyền thành ba loại sau:

• Quyền ACE tiêu chuẩn : Những quyền này áp dụng cho bất kỳ đối tượng nào trong hệ thống tệp
• Quyền ACE chung : Những quyền này được ánh xạ tới một nhóm các quyền cụ thể
• Quyền ACE cố định : Đây là các quyền cụ thể cho các đối tượng hệ thống tệp

Các quyền ACE chuẩn có thể xuất hiện đối với một đối tượng hệ thống tệp được hiển thị trong bảng sau:

Các quyền ACE chung có thể xuất hiện đối với một đối tượng hệ thống tệp được hiển thị trong bảng sau:

Các quyền ACE không đổi có thể xuất hiện cho một đối tượng hệ thống tệp được hiển thị trong bảng sau:

Kế thừa ACL OneFS

Kế thừa cho phép phân lớp hoặc ghi đè quyền khi cần trong hệ thống phân cấp đối tượng và cho phép quản lý quyền đơn giản hơn. Ngữ nghĩa của kế thừa OneFS ACL giống với kế thừa Windows ACL và sẽ quen thuộc với những người am hiểu về kế thừa Windows NTFS ACL. Bảng sau đây hiển thị các cờ kế thừa ACE được định nghĩa trong OneFS:

Tác giả : Lieven Lin