Skip to main content
Se proporciona el idioma español mediante traducción automática para su comodidad. En caso de alguna inconsistencia, el inglés precede al español.

Obtenga información sobre cómo administrar las solicitudes de acceso de superusuario de ONTAP NFS

Colaboradores
PDF

Cuando configura políticas de exportación, debe tener en cuenta lo que desea que suceda si el sistema de almacenamiento recibe una solicitud de acceso de cliente con ID de usuario 0, lo que significa como superusuario y configure las reglas de exportación según corresponda.

En el mundo UNIX, un usuario con el ID de usuario 0 se conoce como superusuario, normalmente llamado root, que tiene derechos de acceso ilimitados en un sistema. El uso de privilegios de superusuario puede ser peligroso por varias razones, como la violación de la seguridad del sistema y de los datos.

De forma predeterminada, ONTAP asigna los clientes que presentan el ID de usuario 0 al usuario anónimo. Sin embargo, puede especificar el - superuser parámetro en las reglas de exportación para determinar cómo manejar los clientes que presentan el ID de usuario 0 en función de su tipo de seguridad. Las siguientes son opciones válidas para -superuser el parámetro:

  • any

  • none

    Este es el valor predeterminado si no se especifica -superuser el parámetro.

  • krb5

  • ntlm

  • sys

Hay dos formas diferentes de manejar los clientes que presentan el ID de usuario 0, dependiendo de la -superuser configuración del parámetro:

Si el -superuser parámetro y el tipo de seguridad del cliente…​ A continuación, el cliente…​

Coincidencia

Obtiene acceso de superusuario con ID de usuario 0.

No coinciden

Obtiene acceso como usuario anónimo con el ID de usuario especificado por el -anon parámetro y sus permisos asignados. Esto es independientemente de si el parámetro de sólo lectura o de lectura y escritura especifica la opción none.

Si un cliente se presenta con el ID de usuario 0 para acceder a un volumen con estilo de seguridad NTFS y -superuser el parámetro se establece en none, ONTAP usará la asignación de nombres para que el usuario anónimo obtenga las credenciales adecuadas.

Ejemplo

La política de exportación contiene una regla de exportación con los siguientes parámetros:

  • -protocol nfs3

  • -clientmatch 10.1.16.0/255.255.255.0

  • -rorule any

  • -rwrule krb5,ntlm

  • -anon 127

El cliente #1 tiene la dirección IP 10,1.16,207, tiene el ID de usuario 746, envía una solicitud de acceso mediante el protocolo NFSv3 y se autentica con Kerberos v5.

El cliente #2 tiene la dirección IP 10.1.16.211, tiene el ID de usuario 0, envía una solicitud de acceso con el protocolo NFSv3 y se autentica con AUTH_SYS.

El protocolo de acceso del cliente y la dirección IP coinciden con los dos clientes. El parámetro de solo lectura permite un acceso de solo lectura a todos los clientes independientemente del tipo de seguridad con el que se autentiquen. Sin embargo, sólo el cliente #1 obtiene acceso de lectura y escritura porque utilizó el tipo de seguridad aprobado Kerberos v5 para autenticar.

El cliente #2 no obtiene acceso de superusuario. En su lugar, se asigna a Anonymous porque -superuser no se especifica el parámetro. Esto significa que none asigna de forma predeterminada y automáticamente el ID de usuario 0 a anónimo. El cliente #2 sólo obtiene acceso de sólo lectura porque su tipo de seguridad no coincide con el parámetro de lectura y escritura.

Ejemplo

La política de exportación contiene una regla de exportación con los siguientes parámetros:

  • -protocol nfs3

  • -clientmatch 10.1.16.0/255.255.255.0

  • -rorule any

  • -rwrule krb5,ntlm

  • -superuser krb5

  • -anon 0

El cliente #1 tiene la dirección IP 10,1.16,207, tiene el ID de usuario 0, envía una solicitud de acceso mediante el protocolo NFSv3 y se autentica con Kerberos v5.

El cliente #2 tiene la dirección IP 10.1.16.211, tiene el ID de usuario 0, envía una solicitud de acceso con el protocolo NFSv3 y se autentica con AUTH_SYS.

El protocolo de acceso del cliente y la dirección IP coinciden con los dos clientes. El parámetro de solo lectura permite un acceso de solo lectura a todos los clientes independientemente del tipo de seguridad con el que se autentiquen. Sin embargo, sólo el cliente #1 obtiene acceso de lectura y escritura porque utilizó el tipo de seguridad aprobado Kerberos v5 para autenticar. El cliente n.o 2 no obtiene acceso de lectura/escritura.

La regla de exportación permite el acceso de superusuario para clientes con ID de usuario 0. El cliente #1 obtiene acceso de superusuario porque coincide con el ID de usuario y el tipo de seguridad para los -superuser parámetros de solo lectura y. El cliente #2 no obtiene acceso de lectura-escritura ni de superusuario porque su tipo de seguridad no coincide con el parámetro de lectura-escritura o -superuser el parámetro. En su lugar, el cliente #2 está asignado al usuario anónimo, que en este caso tiene el ID de usuario 0.