Présentation de l'administration déléguée de ZFS

L'administration déléguée de ZFS vous permet de distribuer des autorisations précises à des utilisateurs ou à des groupes spécifiques, voire à tous les utilisateurs. Deux types d'autorisations déléguées sont prises en charge :

• Les autorisations individuelles suivantes peuvent être explicitement déléguées : autorisation de création (create), autorisation de destruction (destroy), autorisation de montage (mount), autorisation de créer des instantanés (snapshot), etc.

• Des groupes d'autorisations appelés jeux d'autorisations peuvent être définis. Si un jeu d'autorisations est modifié, tout utilisateur de ce jeu de d'autorisations est automatiquement affecté par ces modifications. Les jeux d'autorisations commencent par le symbole @ et sont limités à 64 caractères. Les caractères suivant le symbole @ dans le nom de jeu ont les mêmes restrictions que ceux des noms de systèmes de fichiers ZFS standard.

L'administration déléguée de ZFS offre des fonctions similaires au modèle de sécurité RBAC. La délégation ZFS offre les avantages suivants pour la gestion des pools de stockage et systèmes de fichiers ZFS :

• Les autorisations sont transférées avec le pool de stockage ZFS lorsqu'un pool est migré.

• L'héritage dynamique vous permet de contrôler la propagation des autorisations dans les systèmes de fichiers.

• Il est possible de définir une configuration de manière à ce que seul le créateur d'un système de fichiers puisse détruire celui-ci.

• Les autorisations peuvent être déléguées à des systèmes de fichiers spécifiques. Tout nouveau système de fichiers peut automatiquement récupérer des autorisations.

• Simplifie l'administration de systèmes de fichiers en réseau (NFS, Network File System). Un utilisateur disposant d'autorisations explicites peut par exemple créer un instantané sur un système NFS dans le répertoire .zfs/snapshot approprié.

Considérez l'utilisation de l'administration déléguée pour la répartition des tâches ZFS. Pour plus d'informations sur l'utilisation de RBAC pour gérer les tâches d'administration générales dans Oracle Solaris, reportez-vous à la section Partie III, Rôles, profils de droits et privilèges du manuel Administration d’Oracle Solaris 11.1 : Services de sécurité.

Désactivation des droits délégués de ZFS

La propriété delegation du pool permet de contrôler les fonctions d'administration déléguées. Par exemple :

# zpool get delegation users
NAME  PROPERTY    VALUE       SOURCE
users  delegation  on          default
# zpool set delegation=off users
# zpool get delegation users
NAME  PROPERTY    VALUE       SOURCE
users  delegation  off         local

Par défaut, la propriété delegation est activée.