View a markdown version of this page

Verwendung von Windows-ACLs zur Beschränkung des SMB-Dateifreigabezugriffs - AWS Storage Gateway
Aktivierung von Windows-ACLs auf einer neuen SMB-DateifreigabeAktivierung von Windows-ACLs auf einer vorhandenen SMB-DateifreigabeEinschränkungen bei der Verwendung von Windows-ACLs

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verwendung von Windows-ACLs zur Beschränkung des SMB-Dateifreigabezugriffs

Amazon S3 File Gateway unterstützt zwei verschiedene Methoden zur Steuerung des Zugriffs auf Dateien und Verzeichnisse, die über eine SMB-Dateifreigabe gespeichert werden: POSIX-Berechtigungen oder Windows-ACLs.

In diesem Abschnitt wird beschrieben, wie Microsoft Windows-Zugriffskontrolllisten (ACLs) auf SMB-Dateifreigaben verwendet werden, die Microsoft Active Directory (AD) zur Authentifizierung verwenden. Durch die Verwendung von Windows-ACLs können Sie fein abgestimmte Berechtigungen für Dateien und Ordner in Ihrer SMB-Dateifreigabe festlegen.

Im Folgenden finden Sie einige wichtige Merkmale von Windows-ACLs auf SMB-Dateifreigaben:

  • Windows-ACLs werden standardmäßig für SMB-Dateifreigaben ausgewählt, wenn Ihr File-Gateway einer Active Directory-Domäne beigetreten ist.

  • Wenn ACLs aktiviert sind, werden die ACL-Informationen in den Amazon S3-Objektmetadaten gespeichert.

  • Die Gateway bewahrt bis zu 10 ACLs pro Datei oder Ordner auf.

  • Wenn Sie eine SMB-Dateifreigabe mit aktivierten ACLs verwenden, um auf S3-Objekte zuzugreifen, die außerhalb Ihres Gateways erstellt wurden, erben die Objekte die ACLs aus dem übergeordneten Ordner.

Anmerkung

Die Standard-Stamm-ACL für eine SMB-Dateifreigabe bietet allen vollständigen Zugriff, Sie können die Berechtigungen der Stamm-ACL aber ändern. Sie können Root-ACLs zum Steuern des Zugriffs auf die Dateifreigabe verwenden. Sie können festlegen, wer die Dateifreigabe mounten (das Laufwerk zuordnen) kann und welche Berechtigungen der Benutzer rekursiv für die Dateien und Ordner in der Dateifreigabe erhält. Wir empfehlen jedoch, dass Sie diese Berechtigung im Ordner der obersten Ebene im S3-Bucket festlegen, sodass Ihre ACL dauerhaft gespeichert wird.

Sie können Windows-ACLs aktivieren, wenn Sie mithilfe der API-Operation eine neue SMB-Dateifreigabe erstellen. CreateSMBFileShare Oder Sie können Windows-ACLs für eine vorhandene SMB-Dateifreigabe mithilfe des API-Vorgangs aktivieren. UpdateSMBFileShare

Aktivierung von Windows-ACLs auf einer neuen SMB-Dateifreigabe

Gehen Sie wie folgt vor, um Windows-ACLs auf einer neuen SMB-Dateifreigabe zu aktivieren.

So aktivieren Sie Windows-ACLs beim Erstellen einer neuen SMB-Dateifreigabe

  1. Erstellen Sie ein File Gateway, sofern noch nicht geschehen. Weitere Informationen finden Sie unter Erstellen Sie Ihr Gateway.

  2. Wenn das Gateway keiner Domäne beigetreten ist, fügen Sie es einer Domäne hinzu. Weitere Informationen finden Sie unter Verwenden von Active Directory zur Authentifizierung von Benutzern.

  3. Erstellen Sie eine SMB-Dateifreigabe Die Ausgabe des obigen Befehls sieht in etwa folgendermaßen aus (JSON format).

  4. Aktivieren Sie Windows-ACLs auf der Dateifreigabe von der Storage Gateway-Konsole aus.

    Gehen Sie wie folgt vor, um die Storage Gateway Console zu verwenden:

    1. Wählen Sie die Dateifreigabe aus und klicken Sie auf Edit file share (Dateifreigabe bearbeiten).

    2. Wählen Sie für die Option „File/directory Zugriffskontrolle durch“ die Option „Windows-Zugriffskontrollliste“ aus.

  5. (Optional) Fügen Sie dem einen Admin-Benutzer hinzu AdminUsersList, wenn Sie möchten, dass der Admin-Benutzer die Rechte hat, ACLs für alle Dateien und Ordner in der Dateifreigabe zu aktualisieren.

    Anmerkung

    Wenn Sie in den Einstellungen der SMB-Dateifreigabe die Listen „Zulässige Benutzer“ und „Verweigerte Benutzer“ und „Gruppen“ konfiguriert haben, gewähren ACLs keinen Zugriff, der diese Listen außer Kraft setzt.

    Die Listen zugelassener und verweigerter Benutzer und Gruppen werden vor den ACLs ausgewertet und steuern, welche Benutzer die Dateifreigabe bereitstellen oder darauf zugreifen können. Wenn Benutzer oder Gruppen in die Liste der zulässigen Benutzer oder Gruppen aufgenommen werden, gilt die Liste als aktiv, und nur diese Benutzer können die Dateifreigabe bereitstellen.

    Nachdem ein Benutzer eine Dateifreigabe bereitgestellt hat, bieten ACLs dann einen detaillierteren Schutz, der steuert, auf welche bestimmten Dateien oder Ordner der Benutzer zugreifen kann.

  6. Aktualisieren Sie die ACLs für die übergeordneten Ordner unter dem Stammverzeichnis. Hierzu konfigurieren Sie mithilfe von Windows-Explorer die ACLs in den Ordnern in der SMB-Dateifreigabe.

    Anmerkung

    Wenn Sie die ACLs im Stammverzeichnis und nicht im übergeordneten Ordner unter Root konfigurieren, bleiben die ACL-Berechtigungen in Amazon S3 nicht erhalten.

    Wir empfehlen Ihnen, ACLs im Ordner der obersten Ebene unter dem Stammverzeichnis Ihrer Dateifreigabe festzulegen, anstatt ACLs direkt im Stammverzeichnis der Dateifreigabe festzulegen. Bei diesem Ansatz werden die Informationen als Objektmetadaten in Amazon S3 beibehalten.

  7. Aktivieren Sie bei Bedarf die Vererbung.

    Anmerkung

    Sie können die Vererbung für Dateifreigaben aktivieren, die nach dem 8. Mai 2019 erstellt wurden.

Wenn Sie die Vererbung aktivieren und die Berechtigungen rekursiv aktualisieren, aktualisiert Storage Gateway alle Objekte im S3-Bucket. Je nach der Anzahl der Objekte im Bucket kann die Aktualisierung einige Zeit in Anspruch nehmen.

Aktivierung von Windows-ACLs auf einer vorhandenen SMB-Dateifreigabe

Gehen Sie wie folgt vor, um Windows-ACLs auf einer vorhandenen SMB-Dateifreigabe mit POSIX-Berechtigungen zu aktivieren.

So aktivieren Sie Windows-ACLs auf einer vorhandenen SMB-Dateifreigabe mithilfe der Storage Gateway Console

  1. Wählen Sie die Dateifreigabe aus und klicken Sie auf Edit file share (Dateifreigabe bearbeiten).

  2. Wählen Sie für die Option „File/directory Zugriff gesteuert von“ die Option „Windows-Zugriffskontrollliste“ aus.

  3. Aktivieren Sie bei Bedarf die Vererbung.

    Anmerkung

    Es wird nicht empfohlen, die ACLs auf der Stammebene festzulegen, da Sie die ACLs in diesem Fall erneut zurücksetzen müssen, wenn Sie das Gateway löschen.

Wenn Sie die Vererbung aktivieren und die Berechtigungen rekursiv aktualisieren, aktualisiert Storage Gateway alle Objekte im S3-Bucket. Je nach der Anzahl der Objekte im Bucket kann die Aktualisierung einige Zeit in Anspruch nehmen.

Einschränkungen bei der Verwendung von Windows-ACLs

Beachten Sie die folgenden Einschränkungen bei der Verwendung von Windows-ACLs zum Steuern des Zugriffs auf SMB-Dateifreigaben:

  • Windows-ACLs werden nur für Dateifreigaben unterstützt, die Active Directory zur Authentifizierung verwenden, wenn Sie Windows SMB-Clients für den Zugriff auf die Dateifreigaben verwenden.

  • File Gateways unterstützt maximal 10 ACL-Einträge für die einzelnen Dateien und Ordner.

  • Datei-Gateways unterstützen Audit keine Alarm N-Einträge, bei denen es sich um SACL-Einträge (System Access Control List) handelt. Dateigateways unterstützen N-Einträge, bei denen es sich um Deny DACL-Einträge (AllowDiscretionary Access Control List) handelt.

  • Datei-Gateways unterstützen keine ACE-Berechtigungen (Advanced Access Control Entry).

  • Die Stamm-ACL-Einstellungen von SMB-Dateifreigaben befinden sich nur auf dem Gateway, und die Einstellungen sind über Gateway-Aktualisierungen und -Neustarts hinweg persistent.

    Anmerkung

    Wenn Sie die ACLs im Stammverzeichnis und nicht im übergeordneten Ordner unter dem Stammverzeichnis konfigurieren, bleiben die ACL-Berechtigungen in Amazon S3 nicht erhalten.

    Stellen Sie angesichts dieser Bedingungen sicher, dass Sie die folgenden Schritte ausführen:

    • Wenn Sie mehrere Gateways für den Zugriff auf denselben Amazon S3-Bucket konfigurieren, konfigurieren Sie die Root-ACL auf jedem der Gateways, um die Berechtigungen konsistent zu halten.

    • Wenn Sie eine Dateifreigabe löschen und sie auf demselben Amazon S3-Bucket neu erstellen, stellen Sie sicher, dass Sie dieselben Root-ACLs verwenden.