Skip to main content
Die deutsche Sprachversion wurde als Serviceleistung für Sie durch maschinelle Übersetzung erstellt. Bei eventuellen Unstimmigkeiten hat die englische Sprachversion Vorrang.

Informationen zur Verwaltung von ONTAP NFS Superuser-Zugriffsanfragen

Beitragende netapp-aherbin netapp-barbe
Änderungen vorschlagen
PDFs

Bei der Konfiguration von Exportrichtlinien ist zu berücksichtigen, was geschehen soll, wenn das Speichersystem eine Client-Zugriffsanfrage mit der Benutzer-ID 0, also als Superuser, erhält, und die Exportregeln entsprechend einzurichten.

In der UNIX-Welt wird ein Benutzer mit der Benutzer-ID 0 als Superuser bezeichnet, üblicherweise root genannt, der über uneingeschränkte Zugriffsrechte auf einem System verfügt. Die Nutzung von Superuser-Rechten kann aus verschiedenen Gründen gefährlich sein, unter anderem wegen einer Gefährdung der System- und Datensicherheit.

Standardmäßig ordnet ONTAP Clients mit der Benutzer-ID 0 dem anonymen Benutzer zu. Es kann jedoch der - superuser Parameter in Exportregeln angegeben werden, um festzulegen, wie Clients mit der Benutzer-ID 0 abhängig vom Sicherheitstyp behandelt werden. Die folgenden Optionen sind für den -superuser Parameter gültig:

  • any

  • none

    Dies ist die Standardeinstellung, wenn Sie den -superuser Parameter nicht angeben.

  • krb5

  • ntlm

  • sys

Es gibt zwei verschiedene Vorgehensweisen zur Behandlung von Clients mit der Benutzer-ID 0, abhängig von der `-superuser`Parameterkonfiguration:

Wenn der -superuser Parameter und der Sicherheitstyp des Clients…​ Dann der Client…​

Übereinstimmen

Erhält Superuser-Zugriff mit der Benutzer-ID 0.

Nicht übereinstimmen

Gewährt Zugriff als anonymer Benutzer mit der durch den -anon Parameter angegebenen Benutzer-ID und den zugehörigen Berechtigungen. Dies gilt unabhängig davon, ob der Parameter „Nur lesen“ oder „Lesen/Schreiben“ die Option none angibt.

Wenn sich ein Client mit der Benutzer-ID 0 meldet, um auf ein Volume mit NTFS-Sicherheitsstil zuzugreifen und der -superuser Parameter auf none gesetzt ist, verwendet ONTAP die Namenszuordnung für den anonymen Benutzer, um die richtigen Anmeldeinformationen zu erhalten.

Beispiel

Die Exportrichtlinie enthält eine Exportregel mit folgenden Parametern:

  • -protocol nfs3

  • -clientmatch 10.1.16.0/255.255.255.0

  • -rorule any

  • -rwrule krb5,ntlm

  • -anon 127

Client #1 hat die IP-Adresse 10.1.16.207, die Benutzer-ID 746, sendet eine Zugriffsanfrage über das NFSv3-Protokoll und wurde mit Kerberos v5 authentifiziert.

Client #2 hat die IP-Adresse 10.1.16.211, hat die Benutzer-ID 0, sendet eine Zugriffsanfrage mit dem NFSv3-Protokoll und wurde mit AUTH_SYS authentifiziert.

Das Clientzugriffsprotokoll und die IP-Adresse stimmen für beide Clients überein. Der Parameter „Schreibgeschützt“ ermöglicht allen Clients Lesezugriff, unabhängig vom Sicherheitstyp, mit dem sie sich authentifiziert haben. Allerdings erhält nur Client #1 Lese- und Schreibzugriff, da er sich mit dem genehmigten Sicherheitstyp Kerberos v5 authentifiziert hat.

Client #2 erhält keinen Superuser-Zugriff. Stattdessen wird er auf anonym abgebildet, da der -superuser Parameter nicht angegeben ist. Das bedeutet, dass standardmäßig none verwendet wird und die Benutzer-ID 0 automatisch auf anonym abgebildet wird. Client #2 erhält außerdem nur Lesezugriff, da sein Sicherheitstyp nicht mit dem Read-Write-Parameter übereinstimmt.

Beispiel

Die Exportrichtlinie enthält eine Exportregel mit folgenden Parametern:

  • -protocol nfs3

  • -clientmatch 10.1.16.0/255.255.255.0

  • -rorule any

  • -rwrule krb5,ntlm

  • -superuser krb5

  • -anon 0

Client #1 hat die IP-Adresse 10.1.16.207, die Benutzer-ID 0, sendet eine Zugriffsanfrage über das NFSv3-Protokoll und wurde mit Kerberos v5 authentifiziert.

Client #2 hat die IP-Adresse 10.1.16.211, hat die Benutzer-ID 0, sendet eine Zugriffsanfrage mit dem NFSv3-Protokoll und wurde mit AUTH_SYS authentifiziert.

Das Clientzugriffsprotokoll und die IP-Adresse stimmen für beide Clients überein. Der Parameter „Schreibgeschützt“ ermöglicht allen Clients Lesezugriff, unabhängig vom Sicherheitstyp, mit dem sie sich authentifiziert haben. Allerdings erhält nur Client #1 Lese- und Schreibzugriff, da er sich mit dem genehmigten Sicherheitstyp Kerberos v5 authentifiziert hat. Client #2 erhält keinen Lese- und Schreibzugriff.

Die Exportregel erlaubt Superuser-Zugriff für Clients mit der Benutzer-ID 0. Client #1 erhält Superuser-Zugriff, da Benutzer-ID und Sicherheitstyp sowohl für die Read-only- als auch die -superuser Parameter übereinstimmen. Client #2 erhält weder Lese-/Schreib- noch Superuser-Zugriff, da sein Sicherheitstyp weder mit dem Read-write-Parameter noch mit dem -superuser Parameter übereinstimmt. Stattdessen wird Client #2 dem anonymen Benutzer zugeordnet, der in diesem Fall die Benutzer-ID 0 hat.