Skip to main content
Die deutsche Sprachversion wurde als Serviceleistung für Sie durch maschinelle Übersetzung erstellt. Bei eventuellen Unstimmigkeiten hat die englische Sprachversion Vorrang.

Wie ONTAP Sicherheitstypen die Zugangsstufen für NFS-Clients bestimmen

Beitragende netapp-barbe netapp-aherbin
Änderungen vorschlagen
PDFs

Der Sicherheitstyp, mit dem sich der Client authentifiziert hat, spielt eine besondere Rolle bei den Exportregeln. Es ist wichtig zu verstehen, wie der Sicherheitstyp die Zugangsstufen des Clients auf ein Volume oder einen Qtree bestimmt.

Die drei möglichen Zugangsstufen sind wie folgt:

  1. Nur lesbar

  2. Lese-Schreib

  3. Superuser (für Clients mit Benutzer-ID 0)

Da die Zugangsstufe nach Sicherheitstyp in dieser Reihenfolge ausgewertet wird, sind beim Erstellen von Zugangsstufenparametern in Exportregeln die folgenden Regeln zu beachten:

Damit ein Client die Zugangsstufe erhält…​ Diese Zugriffsparameter müssen dem Sicherheitstyp des Clients entsprechen…​

Normaler Benutzer, nur Lesezugriff

Schreibgeschützt (-rorule)

Normaler Benutzer Lese-/Schreibzugriff

Schreibgeschützt (-rorule) und Lese-/Schreibzugriff (-rwrule)

Superuser schreibgeschützt

Schreibgeschützt (-rorule) und -superuser

Superuser Lese-/Schreibzugriff

Schreibgeschützt (-rorule) und Schreib-/Lesezugriff (-rwrule) und -superuser

Folgende Sicherheitstypen sind für jeden dieser drei Zugriffsparameter gültig:

  • any

  • none

  • never

    Dieser Sicherheitstyp ist für die Verwendung mit dem -superuser Parameter nicht gültig.

  • krb5

  • krb5i

  • krb5p

  • ntlm

  • sys

Beim Abgleich des Sicherheitstyps eines Clients mit jedem der drei Zugriffsparameter ergeben sich drei mögliche Ergebnisse:

Wenn der Sicherheitstyp des Clients…​ Dann der Client…​

Entspricht dem im Zugriffsparameter angegebenen Wert.

Erhält Zugriff auf diese Ebene mit seiner eigenen Benutzer-ID.

Stimmt nicht mit dem angegebenen Wert überein, aber der Zugriffsparameter enthält die Option none.

Erhält Zugriff auf diese Ebene, jedoch als anonymer Benutzer mit der durch den -anon Parameter angegebenen Benutzer-ID.

Stimmt nicht mit dem angegebenen Wert überein und der Zugriffsparameter enthält die Option none nicht.

Er erhält keinen Zugriff auf diese Ebene. Dies gilt nicht für den -superuser Parameter, da dieser immer none enthält, auch wenn er nicht angegeben ist.
Beispiel

Die Exportrichtlinie enthält eine Exportregel mit folgenden Parametern:

  • -protocol nfs3

  • -clientmatch 10.1.16.0/255.255.255.0

  • -rorule any

  • -rwrule sys,krb5

  • -superuser krb5

Client #1 hat die IP-Adresse 10.1.16.207, die Benutzer-ID 0, sendet eine Zugriffsanfrage über das NFSv3-Protokoll und wurde mit Kerberos v5 authentifiziert.

Client #2 hat die IP-Adresse 10.1.16.211, hat die Benutzer-ID 0, sendet eine Zugriffsanfrage mit dem NFSv3-Protokoll und wurde mit AUTH_SYS authentifiziert.

Client #3 hat die IP-Adresse 10.1.16.234, hat die Benutzer-ID 0, sendet eine Zugriffsanfrage über das NFSv3-Protokoll und hat sich nicht authentifiziert (AUTH_NONE).

Das Clientzugriffsprotokoll und die IP-Adresse stimmen bei allen drei Clients überein. Der Parameter „Schreibgeschützt“ ermöglicht allen Clients unabhängig vom Sicherheitstyp Lesezugriff. Der Parameter „Lese-/Schreibzugriff“ ermöglicht Clients mit eigener Benutzer-ID, die sich mit AUTH_SYS oder Kerberos v5 authentifiziert haben, Lese- und Schreibzugriff. Der Parameter „Superuser“ ermöglicht Clients mit Benutzer-ID 0, die sich mit Kerberos v5 authentifiziert haben, Superuser-Zugriff.

Daher erhält Client #1 Lese- und Schreibzugriff mit Superuser-Rechten, da er alle drei Zugriffsparameter erfüllt. Client #2 erhält Lese- und Schreibzugriff, aber keinen Superuser-Zugriff. Client #3 erhält nur Lesezugriff, aber keinen Superuser-Zugriff.