Conceptos de asignación de identidad

El servicio SMB usa el servicio de asignación de identidad para asociar identidades de Windows y Unix. Cuando el servicio SMB autentica a un usuario, utiliza el servicio de asignación de identidad para asignar la identidad de Windows del usuario a la identidad apropiada de Unix. Si no existe una identidad de Unix para un usuario de Windows, el servicio genera una identidad temporal con un UID y un GID efímeros. Estas asignaciones permiten exportar recursos compartidos y tener acceso a ellos de manera concurrente mediante clientes SMB y NFS. Mediante la asociación de las identidades de Windows y Unix, los clientes NFS y SMB pueden compartir la misma identidad y así tener acceso al mismo conjunto de archivos.

En el sistema operativo Windows, un token de acceso contiene la información de seguridad para el inicio de sesión e identifica al usuario, los grupos del usuario y los privilegios del usuario. Los administradores definen usuarios y grupos de Windows en un grupo de trabajo o en una base de datos de SAM, que se gestiona en un controlador de dominio de Active Directory. Cada usuario y cada grupo tienen un SID. El SID identifica de manera exclusiva el usuario o el grupo tanto en el host como en el dominio local, así como en todos los dominios posibles de Windows.

Unix crea credenciales de usuario basadas en la autenticación de usuario y los permisos de archivos. Los administradores definen usuarios y grupos de Unix en archivos de grupos y contraseñas locales o en un servicio de nombres o directorio, como, por ejemplo, NIS y LDAP. Cada usuario y cada grupo de Unix tienen un UID y un GID. Normalmente, el UID o el GID identifican de manera exclusiva el usuario o el grupo en un único dominio de Unix. Sin embargo, estos valores no son exclusivos en diferentes dominios.

Los nombres de Windows no distinguen entre mayúsculas y minúsculas, y los de Unix sí. Los nombres de usuario JSMITH, JSmith y jsmith son equivalentes en Windows, pero son tres nombres diferentes en Unix. La distinción entre mayúsculas y minúsculas afecta las asignaciones de nombres de manera diferente en función de la dirección de la asignación.

• Para que una asignación de Windows a Unix genere una coincidencia, el uso de mayúsculas y minúsculas del nombre de usuario de Windows debe coincidir con el uso de mayúsculas y minúsculas del nombre de usuario de Unix. Por ejemplo, solo el nombre de usuario "jsmith" de Windows coincide con el nombre de usuario "jsmith" de Unix. El nombre de usuario Jsmith de Windows no coincide.

• Cuando la asignación usa el carácter comodín "*" para asignar varios nombres de usuario, se produce una excepción del requisito de coincidencia de uso de mayúsculas y minúsculas para las asignaciones de Windows a Unix. Si el servicio de asignación de identidad encuentra una asignación que asigna el usuario de Windows *@some.domain al usuario de Unix "*", primero busca un nombre de Unix que coincida exactamente con el nombre de Windows. Si no encuentra ninguno, el servicio convierte todo el nombre de Windows a minúsculas y vuelve a buscar un nombre de Unix que coincida. Por ejemplo, el nombre de usuario "JSmith@some.domain" de Windows se asigna al nombre de usuario "jsmith" de Unix. Si, después de pasar el nombre de usuario de Windows a minúsculas, el servicio sigue sin encontrar ninguna coincidencia, no se obtiene una asignación para el usuario. Puede crear una regla para establecer coincidencias entre cadenas que difieren solo en el uso de mayúsculas y minúsculas. Por ejemplo, puede crear una asignación específica de usuario que asigne el usuario "JSmith@sun.com" de Windows al usuario "jSmith" de Unix. En todos los demás casos, el servicio asigna un identificador efímero al usuario de Windows.

• Para que se obtenga una coincidencia en una asignación de Unix a Windows, no es necesario que coincida el uso de mayúsculas y minúsculas. Por ejemplo, el nombre de usuario "jsmith" de Unix coincide con cualquier nombre de usuario de Windows que tenga las letras "JSMITH", sin importar si son mayúsculas o minúsculas.

Cuando el servicio de asignación de identidad proporciona una asignación de nombre, la almacena durante 10 minutos. Una vez transcurrido ese lapso, la asignación caduca. En ese lapso de 10 minutos, la asignación persiste aunque el servicio de asignación de identidad se reinicie. Si el servidor SMB solicita una asignación para el usuario una vez que la primera asignación caduca, el servicio vuelve a evaluar las asignaciones.

Los cambios realizados en las asignaciones o los directorios del servicio de nombres no afectan las conexiones existentes durante el período de 10 minutos de vida de la asignación. El servicio evalúa las asignaciones solamente cuando el cliente intenta conectarse a un recurso compartido y no hay una asignación vigente.

Una regla de asignación para todo el dominio establece coincidencias entre algunos de los nombres de un dominio de Windows, o todos ellos, con nombres de Unix. Los nombres de usuario de ambos lados deben coincidir exactamente (excepto por conflictos con la distinción entre mayúsculas y minúsculas, que están sujetos a las reglas ya descritas). Por ejemplo, puede crear una regla bidireccional para asociar todos los usuarios de Windows de "myDomain.com" con los usuarios de Unix que tengan el mismo nombre, y viceversa. O bien, puede crear una regla que asigne todos los usuarios de Windows en "myDomain.com" del grupo "Engineering" a los usuarios de Unix que tengan el mismo nombre. No puede crear asignaciones para todo el dominio que estén en conflicto con otras asignaciones.

Si no hay ninguna regla de asignación basada en nombres que pueda aplicarse a un usuario en particular, ese usuario recibe credenciales temporales mediante una asignación efímera, a menos que esté bloqueado por una asignación de denegación. Cuando un usuario de Windows que tiene un nombre de Unix efímero crea un archivo en el sistema, los clientes de Windows que acceden al archivo mediante SMB ven que el propietario de ese archivo es la identidad de Windows. Sin embargo, los clientes NFS ven que el archivo es propiedad de “nobody” (nadie).