ГОСТ Р ИСО/МЭК 17826-2015
При сериализации контейнеров в JSON массив children должен быть последним элементом кано
нического формата сериализации JSON для эффективной десериализации в потоковом режиме.
16 Метаданные
16.1 Управление доступом
Управление доступом предоставляет механизмы, позволяющие авторизовывать и либо раз
решать. либо запрещать различные способы доступа к объектам и контейнерам. CDMI™ использует
известный механизм списков контроля доступа (Access Control List. ACL), определенный в стандарте
NFSv4 (см. RFC 3530). ACL представляют собой списки записей, предоставляющих или запрещающих
доступ, которые называются записи управления доступом (access control entry. АСЕ).
16.1.1 Структуры ACL и АСЕ
ACL представляет собой упорядоченный список АСЕ. Существуют два типа АСЕ в модели CDMI:
ALLOW и DENY. Запись ALLOW разрешает некоторый тип доступа соответствующему принципалу
(пользователю или группе пользователей, представленными идентификаторами); наоборот, запись
DENY запрещает принципалу какой-то тип доступа. Например. DENY может запрещать запись мета
данных или ACL в объект, но не запрещать любые другие формы доступа. Однако, если другая запись
АСЕ ALLOW разрешает запись в объект, принципалу разрешено записывать данные объекта, но ничего
больше.
АСЕ включают четыре поля; type. who. flags и access_mask. см. RFC 3530. Поля type, flags и
access_mask должны быть либо строковым представлением целого беззнакового числа в шестнадцате
ричной записи, либо списком строковых битовых масок из таблиц 112.114 115. разделенных запятыми.
16.1.2 Типы АСЕ
В таблице 112 приведены типы АСЕ. согласно NFSv4.
Т а б л и ц а 112-Типы АСЕ
Строковая форма
Описание
Константа
Битовая маска
0x00000000
"ALLOW*
•DENY"
Предоставляет принципалу права доступа
Запрещает принципалу доступ
CDMI_ACE_ACCESS_ALLOW
CDMI_ACE_ACCESS_DENY
0x00000001
’AUDIT"Создает запись-отчет, когда принципал пы CDMI_ACE_SYSTEM_AUDIT
0x00000002
тается осуществить определенный доступ
П р и м е ч а н и е - Строковые формы могут быть безопасно сокращены, так как они локальны для структу
ры АСЕ, в отличие от относительно глобальных констант.
Порядок АСЕ вACL задается клиентом. Сервер недолжен задавать какой-либо порядок, идолжен
хранить и анализировать записи АСЕ в порядке, заданном клиентом.
16.1.3 Поле Who
Особые идентификаторы «who» должны интерпретировать универсально, а не в контексте дан
ного внешнего домена безопасности (см. таблицу 113). Некоторые из этих идентификаторов могут не
доступны для клиентов, когда клиент CDMI получает доступ к серверу, но они могут быть
значимыми, когда локальный процесс получает доступ к файлу. CDMI должен предоставить
возможность показы вать и изменять эти разрешения, даже если ни один из методов доступа на
сервере не использует эти идентификаторы.
Т а б л и ц а 113 - Идентификаторы Who
Идентификаторы
Описание
"OWNER@"
"GROUP®"
"EVERYONE®!"
"ANONYMOUS@"
Владелец файла
Группа, ассоциированная с файлом
Любой принципал
Доступ без аутентификации
"AUTHENTICATED©"
"ADMINISTRATOR©"
"ADMINUSERS@"
Любой аутентифицированный пользователь (противоположность ANONYMOUS)
Пользователь со статусом администратора, например, root
Группа, члены которой имеют права администратора
123