Integrazione dei file system Solaris
È possibile controllare l'accesso degli utenti ai file ed alle directory sui computer SunLink Server, proteggendoli mediante l'assegnazione di autorizzazioni.
Ogni autorizzazione impostata specifica il tipo di accesso che un gruppo, un utente o altri possono avere rispetto alla directory o al file. Ad esempio, quando si imposta l'autorizzazione Lettura per il gruppo Collaboratori sul file MIE_IDEE.DOC, gli utenti in quel gruppo possono visualizzare i dati e gli attributi del file, ma non possono modificare il file o eliminarlo.
Il programma SunLink Server offre le autorizzazioni seguenti, che possono essere impostate su directory e file per utenti, gruppi ed altri:
-
Lettura (R) - Consente ai singoli utenti o ai gruppi di visualizzare il file o il contenuto di una cartella, ma non di modificarlo, eliminarlo o eseguirlo.
Nota -Nell'ambiente operativo Solaris, l'autorizzazione Lettura è molto più restrittiva dell'analoga autorizzazione in ambiente Windows NT, dove l'autorizzazione in lettura è solo cautelativa, ovvero su un client Windows NT un utente sarebbe comunque in grado di modificare un file designato di sola lettura. Nell'ambiente Solaris, l'ambiente in cui vengono memorizzati e gestiti tutti i file e le directory SunLink Server, un utente non avrebbe la possibilità di modificare un file di sola lettura. È comunque possibile ignorare le autorizzazioni Solaris più restrittive per conseguire la piena compatibilità con le autorizzazioni in Windows NT. Per istruzioni al riguardo, vedere "Impostare i criteri di integrazione dei file system Solaris".
-
Scrittura (W) - Consente a singoli utenti o a gruppi di visualizzare e modificare il file o il contenuto di una cartella.
-
Esecuzione (X) - Consente a singoli utenti o a gruppi di eseguire i programmi eseguibili, ma non di visualizzare o modificare il codice stesso.
-
Accesso completo (RWX) - Consente a singoli utenti o a gruppi di visualizzare, modificare ed eseguire qualsiasi file, directory, o programma eseguibile così designato.
-
Nessun accesso - Nega qualsiasi autorizzazione (si consegue non impostando alcuna delle autorizzazioni sopra riportate).
Le autorizzazioni vengono impostate su file e directory, ma in realtà interessano gli utenti del computer. L'ambiente operativo Solaris opera una distinzione tra le persone per le quali si applicano le autorizzazioni:
-
Utente - Se si è proprietari di un file o directory del sistema Solaris, è possibile assegnarvi autorizzazioni di accesso per se stessi. Ad esempio, per evitare che utenti non autorizzati eseguano un programma, è possibile assegnare l'autorizzazione di esecuzione solo a se stessi.
-
Gruppo - Questa impostazione, nel contesto del programma SunLink Server, non equivale alle autorizzazioni di gruppo dell'ambiente operativo Solaris. Nel file system Solaris, le autorizzazioni di gruppo concedono ad altri membri del proprio gruppo Solaris l'accesso ai file ed alle directory di cui si è proprietari. Nell'ambiente SunLink Server, tuttavia, si creano gruppi Windows NT, non gruppi Solaris, e le autorizzazioni di gruppo Solaris non interessano tali gruppi.
-
Altri - È possibile assegnare le autorizzazioni di accesso a file e directory di cui si è proprietari per tutti gli utenti del sistema Solaris diversi da se stessi e dagli utenti del proprio gruppo. A seconda delle necessità, è possibile consentire a questi altri utenti di leggere o modificare i propri file e directory, oppure impedire tale accesso. La limitazione dell'accesso ad altri non influenza il proprio accesso ai file ed alle directory.
Le autorizzazioni standard sono combinazioni di singole autorizzazioni che dipendono dalla natura dei file e delle directory e dalla costituzione dei gruppi. Per garantire un'efficace protezione di file e directory in SunLink Server, quando si impostano le autorizzazioni tenere presente quanto segue:
-
Gli utenti non possono utilizzare una directory o un file a meno che non sia stata loro concessa la relativa autorizzazione, oppure appartengano ad un gruppo a cui è stata concessa tale autorizzazione.
-
Le autorizzazioni sono cumulative, ad eccezione del fatto che impostando un'autorizzazione Nessun accesso, ovvero non indicando alcuna autorizzazione di Lettura, Scrittura o Esecuzione su un file o una directory, si annullano tutte le altre autorizzazioni. Ad esempio, se il gruppo Collaboratori presenta l'autorizzazione Scrittura per un file, mentre al gruppo Finanza è stata concessa solo l'autorizzazione Lettura e l'utente Gianni è membro di entrambi i gruppi, a Gianni saranno concesse le autorizzazioni Lettura e Scrittura. Tuttavia, se si rimuove l'unica autorizzazione concessa al gruppo Finanza per il file, rendendone così impossibile l'accesso, Gianni non sarà in grado di utilizzare il file, anche se è membro di un gruppo che ha accesso al file.
-
Quando si creano file e sottodirectory in una directory di SunLink Server, questi ereditano le autorizzazioni dalla directory. Ad esempio, se si aggiunge un file ad una directory con autorizzazione Scrittura per il gruppo Collaboratori ed autorizzazione Lettura per il gruppo Finanza, le stesse autorizzazioni si applicheranno al file.
-
L'utente che crea un file o una directory è normalmente il proprietario di quel file o di quella directory, pur essendo possibile modificare l'impostazione predefinita. Il proprietario può controllare l'accesso al file o alla directory cambiando le autorizzazioni impostate su questi ultimi.
-
Il modo più semplice per amministrare la protezione è impostare le autorizzazioni per i gruppi, non per i singoli utenti. Solitamente, un utente ha bisogno di avere accesso a molti file. Se l'utente è membro di un gruppo che ha accesso ai file, è possibile terminare la concessione dell'accesso all'utente rimuovendo quest'ultimo dal gruppo, invece di cambiare le autorizzazioni su ogni singolo file. Si noti che l'impostazione di un'autorizzazione per un singolo utente non prevale sull'accesso concesso all'utente tramite i gruppi a cui l'utente appartiene.
Nota -Quando si copiano file o directory di SunLink Server, le autorizzazioni di protezione impostate vengono eliminate, in aggiunta alla proprietà ed alle informazioni di controllo. I file ereditano un nuovo gruppo di autorizzazioni dalla directory in cui vengono copiati. Se la nuova directory non specifica le autorizzazioni per i file, solo il proprietario dei file (la persona che ha copiato i file) sarà autorizzato ad utilizzarli.
Nell'ambiente Windows NT, oltre ai file ed alle directory, anche le condivisioni presentano proprie autorizzazioni. In caso di conflitti di autorizzazione tra file, directory e condivisioni, i client vedono le autorizzazioni più restrittive tra i gruppi in conflitto.
Proprietari di file e directory
Ogni file e directory ha un proprietario. Il proprietario controlla l'impostazione delle autorizzazioni sul file o sulla directory e può concedere autorizzazioni ad altri.
Quando si crea un file o una directory, la persona che esegue tale operazione ne diviene automaticamente il proprietario. Solitamente sono gli amministratori che creano la maggior parte dei file sui server di rete, ad esempio quando installano applicazioni sul server. Pertanto, la maggior parte dei file su un server sarà di proprietà degli amministratori, ad eccezione dei file di dati creati dagli utenti e dei file nelle home directory degli utenti.
È possibile trasferire la proprietà nei modi seguenti:
-
Il proprietario corrente può concedere una facoltà di proprietà implicita ad altri utenti, impostando l'autorizzazione Scrittura sui file o directory per Gruppo o Altri. In questo modo si consente ad altre persone di copiare il file e di "ereditare" la proprietà della copia.
-
Un amministratore può assumere la proprietà di qualsiasi file sul computer in qualsiasi momento. Ad esempio, se un dipendente lascia improvvisamente l'azienda, l'amministratore può assumere il controllo dei file del dipendente, indipendentemente dalle autorizzazioni impostate.
Nota -Sebbene un amministratore possa assumere la proprietà, egli non può trasferire la proprietà ad altri. Questa restrizione mantiene l'amministratore responsabile.
L'amministratore può inoltre assumere la proprietà dei file utilizzando il comando net perms. Per ulteriori informazioni, digitare net help perms dal prompt dei comandi di SunLink Server.
Oltre ai file ed alle directory, anche i processi dei computer hanno un proprietario. Un processo si avvia ogni volta che si esegue un programma ed il processo è noto al sistema mediante un identificatore univoco. Nell'ambiente Solaris, questo identificare è detto PID (Process Identifier, ovvero numero di identificazione del processo).
Diversamente dalla proprietà di file o directory, tuttavia, la "proprietà" dei processi cambia ogni volta che il programma viene eseguito. Mentre un programma eseguibile, ad esempio un foglio di calcolo, appartiene originariamente alla persona che lo ha installato in rete, la relativa proprietà del PID a livello di utente o gruppo cambia quando una persona lo esegue. Il processo del foglio di calcolo, di proprietà dell'utente root al momento dell'installazione, sarà ora di proprietà dell'utente e del gruppo dell'utente al momento della sua esecuzione. Poiché tale cambiamento di proprietà del processo presenta delle implicazioni a livello di protezione, il programma SunLink Server consente di regolarlo.
Il blocco dei file è un altro aspetto rilevante per la protezione, in modo particolare in ambienti eterogenei con Windows NT e Solaris. Mentre il software SunLink Server conferisce la stessa protezione della funzionalità di blocco file sui file e sulle directory di rete conferita da Windows NT, i file bloccati potrebbero ancora risultare accessibili direttamente da un account computer Solaris. Il software SunLink Server consente di precludere tale evenienza, anche se non è previsto nell'impostazione predefinita, in quanto potrebbe determinare un calo delle prestazioni. Se la rete include utenti che accedono ai file da entrambi i tipi di client di rete Windows NT e Solaris, si consiglia di modificare quest'impostazione per garantire il blocco dei file di Windows NT da account Solaris. Vedere "Impostare i criteri di integrazione dei file system Solaris".
Nota -
Durante l'installazione di SunLink Server, gli utenti e i gruppi che saranno associati al programma SunLink Server sono stati aggiunti ai file locali delle password e dei gruppi del sistema. Se il sito utilizza un servizio di denominazione Solaris, ad esempio NIS o NIS+ nell'ambiente Solaris, si raccomanda di inserire le informazioni sui gruppi nelle mappe del servizio di denominazione. Quando si creano file da un computer con Windows NT Workstation e si scrive in una directory sul sistema Solaris, il proprietario è l'utente che crea il file ed il gruppo predefinito è DOS---. Mentre le informazioni sugli utenti sono, di fatto, richiamate dalle mappe del servizio di denominazione, le informazioni sui gruppi vengono correttamente visualizzate solo se l'elencazione del file avviene sullo stesso sistema SunLink Server (impostazione predefinita lookup: files nis). Se questi file vengono visualizzati da un altro sistema Solaris, l'identificatore del gruppo non verrà risolto correttamente. Inserendo le informazioni sui gruppi nelle mappe del servizio di denominazione, sarà possibile avere una coerenza tra i file locali del sistema e le mappe.
Protezione di SunLink Server Manager
Un'altra considerazione sulla protezione riguarda i privilegi degli utenti ad amministrare il programma SunLink Server tramite lo strumento SunLink Server Manager. È possibile scegliere impostazioni che influenzano la protezione sulle sessioni successive di SunLink Server Manager. L'integrità dei dati utilizza firme a chiave pubblica per proteggere i dati trasferiti tra il server e il client. L'autenticazione avviene dietro le quinte ed implica il ricontrollo delle credenziali ad ogni transazione. Vedere "Impostare la protezione per le transazioni di SunLink Server Manager".
- © 2010, Oracle Corporation and/or its affiliates