Delegación de permisos de ZFS

Utilice el comando zfs allow para delegar permisos en conjuntos de datos ZFS a usuarios que no sean root de las maneras siguientes:

• Los permisos individuales se pueden delegar a un grupo, un usuario o a todo el mundo.

• Los grupos de permisos individuales se pueden delegar como conjunto de permisos a un grupo, un usuario o a todo el mundo.

• Los permisos se pueden delegar localmente sólo al conjunto de datos actual o a todos los elementos descendientes de dicho conjunto de datos.

En la tabla siguiente figuran las operaciones que se pueden delegar y los permisos dependientes que se necesitan para efectuar las operaciones delegadas.

Puede delegar el siguiente conjunto de permisos, pero un permiso puede estar limitado a acceso, lectura o cambio:

• groupquota

• groupused

• userprop

• userquota

• userused

Además, puede delegar la administración de las siguientes propiedades de ZFS a usuarios que no sean root:

• aclinherit

• atime

• canmount

• casesensitivity

• checksum

• compression

• copies

• devices

• exec

• logbias

• mountpoint

• nbmand

• normalization

• primarycache

• quota

• readonly

• recordsize

• refquota

• refreservation

• reservation

• rstchown

• secondarycache

• setuid

• shareiscsi

• sharenfs

• sharesmb

• snapdir

• sync

• utf8only

• version

• volblocksize

• volsize

• vscan

• xattr

• zoned

Algunas de estas propiedades sólo se pueden establecer al crear el conjunto de datos. Para obtener una descripción de estas propiedades, consulte Introducción a las propiedades de ZFS.

Delegación de permisos de ZFS (zfs allow)

La sintaxis zfs allow es la siguiente:

zfs allow -[ldugecs] everyone|user|group[,...] perm|@setname,...] filesystem| volume

La siguiente sintaxis de zfs allow (en negrita) identifica a quién se delegan los permisos:

zfs allow [-uge]|user|group|everyone [,...] filesystem | volume

Se pueden especificar varias entidades en una lista separada por comas. Si no se especifican opciones de -uge, el argumento se interpreta de forma preferente como la palabra clave everyone, después como nombre de usuario y, en último lugar, como grupo de nombre. Para especificar un usuario o grupo denominado “everyone”, utilice la opción -u o -g. Para especificar un grupo con el mismo nombre que un usuario, utilice la opción -g. La opción -c delega permisos de create-time.

La siguiente sintaxis de zfs allow (en negrita) identifica cómo se especifican los permisos y conjuntos de permisos:

zfs allow [-s] ... perm|@setname [,...] filesystem | volume

Se pueden especificar varios permisos en una lista separada por comas. Los nombres de permisos son los mismos que las propiedades y los subcomandos de ZFS. Para obtener más información, consulte la sección anterior.

Los permisos se pueden agregar a conjuntos de permisos y los identifica la opción -s. Otros comandos de zfs allow pueden utilizar conjuntos de permisos para el sistema de archivos especificado y sus elementos descendientes. Los conjuntos de permisos se evalúan dinámicamente, por lo tanto los cambios que haya en un conjunto se actualizan de manera inmediata. Los conjuntos de permisos siguen los mismos requisitos de denominación que los sistemas de archivos ZFS; sin embargo, el nombre debe comenzar con el signo de arroba (@) y tener un máximo de 64 caracteres.

La siguiente sintaxis de zfs allow (en negrita) identifica cómo se delegan los permisos:

zfs allow [-ld] ... ... filesystem | volume

La opción -l indica que los permisos se conceden para el conjunto de datos especificado pero no a los elementos descendientes, a menos que también se especifique la opción -d. La opción -d indica que los permisos se conceden a los conjuntos de datos descendientes y no a este conjunto de datos, a menos que también se especifique la opción -l. Si no se especifica ninguna de las opciones, los permisos se conceden para el volumen o sistema de archivos y todos sus elementos descendientes.

Eliminación de permisos delegados de ZFS (zfs unallow)

Mediante el comando zfs unallow se pueden eliminar los permisos que se han delegado.

Por ejemplo, suponga que ha delegado los permisos create, destroy, mount y snapshot de la forma siguiente:

# zfs allow cindy create,destroy,mount,snapshot tank/home/cindy
# zfs allow tank/home/cindy
---- Permissions on tank/home/cindy ----------------------------------
Local+Descendent permissions:
        user cindy create,destroy,mount,snapshot

Para eliminar estos permisos, deberá utilizar la siguiente sintaxis:

# zfs unallow cindy tank/home/cindy
# zfs allow tank/home/cindy