Mapping di identità

I client possono accedere alle risorse di file su Oracle ZFS Storage Appliance utilizzando SMB o NFS, utilizzando ciascuno un ID utente univoco. Gli utenti di SMB/Windows sono dotati di SID (Security Descriptor), mentre gli utenti di UNIX/Linux sono dotati di UID (User ID). Gli utenti possono inoltre essere membri di gruppi identificati da SID di gruppo (per gli utenti di Windows) o GID (Group ID) per gli utenti di UNIX/Linux.

Negli ambienti in cui si accede alle risorse di file utilizzando entrambi i protocolli, è spesso opportuno stabilire equivalenze di identità nei casi in cui, ad esempio, un utente di UNIX sia equivalente a un utente di Active Directory. Questa operazione è importante per determinare i diritti di accesso alle risorse di file nell'appliance.

Esistono due tipi diversi di mapping di identità che coinvolgono servizi di directory quali Active Directory, LDAP e NIS. È necessario seguire con attenzione le procedure di sicurezza consigliate per il servizio di directory in uso.

Identity Management for UNIX

Microsoft offre una funzione denominata Identity Management for UNIX (IDMU). Questo software è disponibile per Windows Server 2003 e viene fornito con Windows Server 2003 R2 e versioni successive. Questa funzione è parte di un software precedentemente denominato Services for UNIX, quando venduto separatamente.

L'uso principale di IDMU consiste nel supportare Windows come server NIS/NFS. IDMU consente all'amministratore di specificare un numero di parametri correlati a UNIX: UID, GID, shell di login, home directory e simili per i gruppi. Questi parametri vengono resi disponibili utilizzando AD in uno schema simile ma non uguale a RFC 2307 e tramite il servizio NIS.

Quando si utilizza la modalità di mapping IDMU, il servizio di mapping di identità utilizza questi attributi UNIX per creare mapping tra le identità Windows e UNIX. Questo approccio è molto simile al mapping basato su directory, ad eccezione del fatto che il servizio di mapping di identità esegue query sullo schema di proprietà creato dal software IDMU anziché supportare uno schema personalizzato. Quando si utilizza questo approccio, non è possibile utilizzare altri mapping basati su directory.

Mapping basato su directory

Il mapping basato su directory implica l'annotazione di un oggetto LDAP o Active Directory con informazioni sulle modalità di mapping dell'identità a un'identità equivalente nella piattaforma opposta. Questi attributi aggiuntivi associati all'oggetto devono essere configurati.

Mapping basato sul nome

Il mapping basato sul nome implica la creazione di diverse regole per il mapping delle identità in base al nome. Tali regole stabiliscono le equivalenze tra identità Windows e identità UNIX.

Mapping effimero

Se per un determinato utente non è possibile utilizzare una regola di mapping basata sul nome, a tale utente vengono assegnate credenziali temporanee tramite un mapping effimero, a meno che non sia bloccato da un mapping di rifiuto. Quando un utente di Windows con un nome UNIX effimero crea un file sul sistema, i client Windows che accedono al file utilizzando SMB rilevano che il file è di proprietà di tale identità Windows. I client NFS, tuttavia, rilevano che il file è di proprietà di "nobody".