ГОСТ Р ИСО/М ЭК 17826-2015
1 При создании общего доступа к контейнеру CDMI сервер должен использовать подходящий
механизм, например вызов WmiClass.Create( ) оболочки Powershell в среде Windows или /etc/exports в
среде Unix, для ограничения разрешенных подключений от других серверов в соответствии с ин-
струкцииями в строке «hosts» свойства «exports». Синтаксис строки hosts соответствует синтаксису /
etc/exports в системе Linux, причем строка кодируется в строку JSON. Если сервер CDMI неспособен
ограничить подключения согласно указаниям в строке hosts, должна возникать ошибка, но успех или
отказ операции зависит от реализации.
2 При поступлении через сторонний протокол запроса, требующего использования имени принци
пала CDMI, необходимо запросить контроллер стороннего домена, к которому принадлежит сторонний
сервер, какому имени принципала соответствует идентификатор пользователя, пришедший в запросе.
Отказ в предоставлении имени принципала приведет к отказу в обработке запроса.
3 В списке соответствий имен пользователей для этого протокола необхдимо найти запись с име
нем приниципала. полученного от контроллера стороннего домена (подробнее об операции поиска см.
13.2.3). Если запись не найдена, запросдолжен быть отклонен. Результат поиска может храниться в той
же записи кеша, что и информация с предыдущего шага.
4 Имя принципала CDMI из первой подходящей записи из списка соответствия пользователей
протокола используется для авторизации пользовательского запроса посредством механизма безопас
ности протокола, который отвечает за доступ к объекту.
13.2.1.1 Опции
Следующие опции описывают допустимые операции над существующим контейнером.
- общесистемная опция экспорта через некоторый протокол обозначается наличием опции
cdmi_<protocol>_export в метаданных системного уровня (например, если «cdmi_nfs_export» равно
«true», возможен экспорт контейнера через NFS). Если соответствующее значение равно ’false" или не
установлено, попытки экспорта контейнера через данный протокол должны быть неуспешными;
- поддержка возможности экспорта существующего объекта-контейнера через некоторый сторон
ний протокол обозначается присутствием опции cdmi_<protocol>_export у данного контейнера. Значе
ние опции по умолчанию (если не установлено) равно «true».
13.2.1.2 Домены
Доменное имя. соответствующее каждому экспорту, должно быть задано как строка JSON в до
чернем элементе «domain» спецификации протокола экспорта. Если этот элемент отсутствует, домен
ное имя считается совпадающим с именем сервера, на котором функционирует реализация CDMI.
13.2.1.3 Кеширование
Обращение к контроллеру стороннего домена может быть довольно дорогим, особенно в случае
протоколов без запоминания состояния (например. NFS v3). когда поиск теоретически необходим почти
для каждой операции. Должна быть возможность кешировать результаты поиска. Рекомендуемое вре
мя жизни записи в кеша пользователей 30 мин. В реализациях следует использовать такое время или
меньшее, если это возможно. Сервер должен сбрасывать этот кеш в случае изменения в метаданных
экспорта, относящихся к данному протоколу. Клиент может запросить сброс кеша посредством чтения
данных о соответствии имен пользователей для одного или нескольких протоколов и последующей за
писи без изменения. Сервер должен сбросить кеши соответствия имен пользователей при обработке
запроса на перезапись (для всех протоколов, которых касается перезаписываемая информация).
Для авторизации от имени группы для операций посредством стороннего протокола должен вы
полняться аналогичный поиск. Для нахождения всех групп, к которым принадлежит данный пользова
тель. могут потребоваться более одного запроса (например, обычная ситуация, когда пользователь
NFS является членом полудесятка групп). Кеш имен групп может использоваться для снижения сто
имости таких поисков. Рекомендуемое время жизни кеша имен групп составляет 12 ч; в конкретных
реализациях это время должно быть таким или менее, если возможно. Клиент может запросить сброс
кеша посредством чтения данных о соответствии имен групп для одного или нескольких протоколов и
последующей записи без изменения. Сервердолжен сбросить кеши соответствия групп пользователей
при обработке запроса на перезапись (для всех протоколов, которых касается перезаписываемая ин
формация).
13.2.1.4 Группы
Установка соответствия имен группдля каждогостороннего протоколадолжна бытьописана в поле
groupname спецификации протокола экспорта; его синтаксис аналогичен синтаксису поля username.1
1 Данная информация требуется только при экспорте контейнера.
112