Visão geral da administração delegada de ZFS

A administração delegada ZFS permite distribuir permissões refinadas a usuários específicos, grupos ou a todos. São suportados dois tipos de permissões delegadas:

• Permissões individuais podem ser delegadas explicitamente como create, destroy, mount, snapshot, a assim por diante.

• Os grupos de permissões denominados conjuntos de permissões podem ser definidos. Um conjunto de permissões pode ser atualizado mais tarde e todos os consumidores deste conjunto adquirem automaticamente a alteração. Os conjuntos de permissões começam com o caractere @ e estão limitados a 64 caracteres de extensão. Depois do símbolo @, os caracteres restantes no nome do conjunto apresentam as mesmas restrições que os nomes de um sistema de arquivos ZFS normal.

A administração delegada ZFS fornece recursos semelhantes ao modelo de segurança RBAC. O modelo de delegação do ZFS oferece as seguintes vantagens na administração de pools de armazenamento e sistemas de arquivos ZFS:

• As permissões seguem o pool de armazenamento do ZFS sempre que um pool for migrado.

• Oferece herança dinâmica, onde é possível controlar como as permissões se propagam pelos sistemas de arquivos.

• Pode ser configurado de forma que somente o criador de um sistema de arquivos possa destruir tal sistema de arquivos.

• É possível delegar permissões para sistemas de arquivos específicos. Os sistemas de arquivos recém-criados podem adquirir automaticamente as permissões.

• Fornece administração do NFS simples. Por exemplo, um usuário com permissões explícitas pode criar um instantâneo sobre o NFS no diretório .zfs/snapshot apropriado.

Considere o uso da administração delegada para distribuir tarefas do ZFS. Para obter informações sobre a utilização do RBAC para gerenciar tarefas de administração gerais do Oracle Solaris, consulte Parte III, Roles, Rights Profiles, and Privileges, no System Administration Guide: Security Services.

Desativando permissões delegadas do ZFS

É possível controlar os recursos de administração delegados utilizando a propriedade delegation do pool. Por exemplo:

# zpool get delegation users
NAME  PROPERTY    VALUE       SOURCE
users  delegation  on          default
# zpool set delegation=off users
# zpool get delegation users
NAME  PROPERTY    VALUE       SOURCE
users  delegation  off         local

Por padrão, a propriedade delegation é habilitada.