Lustre root squash

Root Squash es una función administrativa que añade una capa adicional de control de acceso a los archivos además del control de acceso y los permisos de POSIX archivos actuales basados en la red. Con la función root squash, puede restringir el acceso a nivel root de los clientes que intenten acceder a su sistema FSx de archivos de Lustre como root.

Los permisos de usuario root son necesarios para realizar acciones administrativas, como gestionar los permisos de los sistemas de archivos FSx de Lustre. Sin embargo, el acceso raíz proporciona acceso sin restricciones a los usuarios, permitiéndoles saltarse las comprobaciones de permisos para acceder, modificar o borrar objetos del sistema de archivos. Con la función root squash, puede evitar el acceso no autorizado o la eliminación de datos especificando un ID de usuario no root (UID) y un ID de grupo (GID) para su sistema de archivos. Los usuarios raíz que accedan al sistema de archivos se convertirán automáticamente en el usuario/grupo especificado con menos privilegios y con permisos limitados establecidos por el administrador del almacenamiento.

La característica root squash también permite, de forma opcional, proporcionar una lista de clientes a los que no afecta la configuración de root squash. Estos clientes pueden acceder al sistema de archivos como raíz, con privilegios sin restricciones.

Cómo funciona Root Squash

La función root squash funciona reasignando el ID de usuario (UID) y el ID de grupo (GID) del usuario root a uno GID especificado por el administrador del sistema Lustre. UID La función root squash también permite especificar, de forma opcional, un conjunto de clientes a los que no se aplica la GID reasignación deUID/.

Al crear un nuevo sistema de archivos FSx para Lustre, root squash está deshabilitado de forma predeterminada. Para activar el root squash, configure un ajuste UID de GID root squash FSx para su sistema de archivos de Lustre. Los GID valores UID y son números enteros que pueden 0 oscilar entre: 4294967294

Durante la creación del sistema de archivos, puedes usar la FSx consola de Amazon para proporcionar la raíz squash UID y GID los valores de la propiedad Root Squash, como se muestra enPara habilitar root squash al crear un sistema de archivos (consola). También puede usar el RootSquash parámetro con AWS CLI o API para proporcionar los GID valores UID y, como se muestra enPara habilitar root squash al crear un sistema de archivos (CLI).

Si lo desea, también puede especificar una lista NIDs de clientes a los que no se aplica root squash. Un cliente NID es un identificador de red de Lustre que se utiliza para identificar de forma exclusiva a un cliente. Puede especificarlo NID como una dirección única o como un rango de direcciones:

Al crear o actualizar tu sistema de archivos, puedes usar la propiedad Exceptions to Root Squash de la FSx consola de Amazon para proporcionar la lista de clientesNIDs. En AWS CLI oAPI, utilice el NoSquashNids parámetro. Para obtener más información, consulte los procedimientos enAdministración de root squash.

Administración de root squash

Durante la creación del sistema de archivos, el root squash está deshabilitado de forma predeterminada. Puede activar root squash al crear un nuevo sistema de archivos Amazon FSx for Lustre desde la FSx consola de Amazon AWS CLI, oAPI.

{

    "FileSystems": [
        {
            "OwnerId": "111122223333",
            "CreationTime": 1549310341.483,
            "FileSystemId": "fs-0123456789abcdef0",
            "FileSystemType": "LUSTRE",
            "FileSystemTypeVersion": "2.15",
            "Lifecycle": "CREATING",
            "StorageCapacity": 2400,
            "VpcId": "vpc-123456",
            "SubnetIds": [
                "subnet-123456"
            ],
            "NetworkInterfaceIds": [
                "eni-039fcf55123456789"
            ],
            "DNSName": "fs-0123456789abcdef0.fsx.us-east-2.amazonaws.com",
            "ResourceARN": "arn:aws:fsx:us-east-2:123456:file-system/fs-0123456789abcdef0",
            "Tags": [
                {
                    "Key": "Name",
                    "Value": "Lustre-TEST-1"
                }
            ],
            "LustreConfiguration": {
                "DeploymentType": "PERSISTENT_2",
                "DataCompressionType": "LZ4",
                "PerUnitStorageThroughput": 250,
                "RootSquashConfiguration": {
                    "RootSquash": "65534:65534", 
                    "NoSquashNids": "10.216.123.47@tcp 10.216.29.176@tcp"
            }
        }
    ]
}

También puedes actualizar la configuración de root squash de tu sistema de archivos actual mediante la FSx consola de Amazon AWS CLI, oAPI. Por ejemplo, puedes cambiar la raíz UID y sus GID valores, añadir o eliminar un cliente NIDs o deshabilitar la raíz squash.

$ aws fsx update-file-system \
    --file-system-id fs-0123456789abcdef0 \
    --lustre-configuration RootSquashConfiguration={RootSquash="65534:65534", \
          NoSquashNids=["10.216.123.47@tcp", "10.216.12.176@tcp"]}

Puedes ver la configuración de root squash de tu sistema de archivos en el panel Resumen de la página de detalles del sistema de archivos de la FSx consola de Amazon o en respuesta a un describe-file-systemsCLIcomando (la API acción equivalente es DescribeFileSystems).