0

Исходные данные:

srv1 - Ubuntu 14.04 NFS server

clent1 - Ubuntu 14.04 NFS client

Оба узла введены в AD, доменная авторизация работает, uid везде одинаковые.

Что хотелось бы получить: доменный пользователь Vasya после логина на client1 мог бы смонтировать только свою папку srv1:/export/Vasya. На сколько я понимаю для этого используется NFS+Kerberos. Нормального руководства найти не удалось (или они не совместимы с руководством по вводу в AD).

Если кто решал подобную задачу прошу помочь:-)

1 ответ 1

1

Добавьте сетевую шару в /etc/fstab - тогда Вася сможет ее смонтировать. Конечно, смонтировать ее сможет и Петя - но у Пети все равно не будет доступа к файлам.

Надо понимать, что NFS - вещь довольно низкоуровневая, и не следит за тем, какой пользователь что монтирует, в принципе. На уровне NFS авторизация если и происходит - то авторизуется компьютер clent1 на сервере srv1, авторизация пользователей - это уже задача других слоев ОС.

Отсюда следствие - если client1 - не ваш компьютер (права рута не нем есть у кого-то кроме вас), то к вашей NFS-шаре ему доступ давать нельзя, ведь подменить uid при наличии прав рута - раз плюнуть.

Если требуется авторизация именно уровня пользователя, а не компьютера - используйте протокол SMB, а не NFS. Не смотря не все его недостатки, он лучше приспособлен для таких задач.

6
  • 1.) SMB не возможности использовать, только NFS 2.) Vasya пройдя аутентификация получает билет kerberos, на основании этого srv1 видит что за clent1 сидит именно vasya и разрешает ему монтирование шары.
    – al7
    Commented 31 июл. 2015 в 5:59
  • Как использовать NFS - я уже написал. Commented 31 июл. 2015 в 6:00
  • Вы описали самый простой вариант, в данном контексте он не подходит Если использовать билет kerberos то даже если Vasya получает root на clent1 и поменяет uid чужую шару смонтировать он её не сможет
    – al7
    Commented 31 июл. 2015 в 6:10
  • @PavelMayorov, nfs-сервер, насколько я понимаю, умеет отдавать export-ы только по kerberos-билетам: wiki.debian.org/NFS/Kerberos Commented 31 июл. 2015 в 6:31
  • @alexanderbarakin, al7, nfs-сервер просто не умеет проверять билет пользователя! Он проверяет лишь билет клиентского хоста. Если нужна проверка билетов пользователя - используйте другие технологии. Commented 31 июл. 2015 в 6:46

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.