ГОСТ Р ИСО/МЭК 17826-2015
Так как автоматическое установление имен не соответствует строгим стандартам безопасности,
сервер должен перекрыть эти встроенные записи, соответствующие одному или нескольким супер
пользователям.
П р и м е р - Суперпользователь отображается в nobody, а всем прочим пользователям в домене
NFS соответствует то же имя, что и в домене CDMI.
PUT /MyContainer НТТР/1.1
Host: cloud.example.com
Accept: application/vnd.org.snia.cdmi.container+json
Content-Type: application/vnd.org.snia.cdmi.container+json X-CDMI-Specification-Version: 1.0
{
«exports» : {«nfs» : {
«usermap» : {
{ «nobody», «<•», «root» },
{ «’», «<->», «’» }
}
}
)198}
Соответствие разрешений
К сожалению, установки разрешений файловых протоколов, невозможно отобразить напря
мую. Например, и NFSv4 ACL, и Windows ACL. и POSIX ACL, и параметры NFSv3 позволяют вы
ражать условия безопасности, которые невозможно представить в трех других механизмах, за ис
ключением NFSv3. в котором набор параметров безопасности наименьший. Таким образом, главная
задача состоит в построении соответствия между CDMI ACL. где можно указать самые разные раз
решения. и более ограниченными в этом смысле системами, например, NFSv3, для отображения
пользователям.
Так как существует несколько различных возможностей установить соответствия между разреше
ниями/ACL и CDMI ACL, настоящий стандарт не устанавливает единой рекомендации. Тем не менее,
конкретные способы установления соответствия имен пользователей и групп между доменами должны
следовать механизму, описанному в 13.2.3.
13.2.3 Правила синтаксиса и проверки соответствия имон и групповых имон
Грамматика BNF для установления соответствия имен выглядит следующим образом:
name_mapping_list = protocol protocol mapping_list
protocol = «edmi» | «nfs» | «cifs» | «Idap»
mappingjist = name mapping_operator name
name = pattern | utf8_name | quoted_utf8_name
quoted_utf8_name = « utf8_name «
utf8_name = «допустимая последовательность utf8 символов, не включающая к,’ЛУ,:Д?>
pattern = <utf8_name> * | *
mapping_operator = «<--» | «<->» | «->»
Запись соответствия имен состоит из пары имен, разделенных оператором направления. Так как
большинство сред используют одинаковые имена пользователей и групп в административных доме
нах, наиболее распространен картирующий оператор « * <--> * «, который устанавливает соответствие
каждого имени такому же имени стороннего протокола, и наоборот. Рекомендуется делать эту запись
единственной записью списка соответствия по умолчанию и последней записью сложных списков со
ответствия.
CDMI специфицирует соответствие по шаблонам имен, но требуется лишь совпадение префикса.
Символ « * » на конце символьной строки замещает произвольное число любых непробельных симво
лов.
Проверка соответствия имен должна проводиться по порядку, если найдено соответствие, воз
вращается найденный результат, и другие проверки не проводятся.
Если соответствия не найдено, результат зависит от системы. Тем не менее, рекомендуется, что
бы серверы либо запрещали доступ, либо относили бы пользователя к «анонимному» («anonymous»)
или его эквиваленту в целевом протоколе. Кроме того, рекомендуется создавать запись для специаль
ного пользователя «EVERYONE@».
114