Lustre root squash

Root squash es una característica administrativa que agrega una capa adicional de control de acceso a archivos sobre el actual control de acceso basado en red y los permisos de archivos POSIX. Con la función root squash, puede restringir el acceso a nivel root de los clientes que intenten acceder a su sistema FSx de archivos de Lustre como root.

Los permisos de usuario root son necesarios para realizar acciones administrativas, como gestionar los permisos de los sistemas de archivos FSx de Lustre. Sin embargo, el acceso raíz proporciona acceso sin restricciones a los usuarios, permitiéndoles saltarse las comprobaciones de permisos para acceder, modificar o borrar objetos del sistema de archivos. Con la característica root squash, puede evitar el acceso no autorizado o la eliminación de datos especificando un ID de usuario (UID) y un ID de grupo (GID) que no sean raíz para su sistema de archivos. Los usuarios raíz que accedan al sistema de archivos se convertirán automáticamente en el usuario/grupo especificado con menos privilegios y con permisos limitados establecidos por el administrador del almacenamiento.

La característica root squash también permite, de forma opcional, proporcionar una lista de clientes a los que no afecta la configuración de root squash. Estos clientes pueden acceder al sistema de archivos como raíz, con privilegios sin restricciones.

Cómo funciona Root Squash

La función root squash funciona reasignando el ID de usuario (UID) y el ID de grupo (GID) del usuario root a un UID y un GID especificados por el Lustre administrador del sistema. La característica root squash también permite especificar, de forma opcional, un conjunto de clientes a los que no se aplica la reasignación de UID/GID.

Al crear un nuevo sistema de archivos FSx para Lustre, root squash está deshabilitado de forma predeterminada. Para activar el root squash, configure una configuración de root squash de UID y GID FSx para su sistema de archivos de Lustre. Los valores UID y GID son números enteros que pueden oscilar entre 0 y 4294967294:

Durante la creación del sistema de archivos, puede utilizar la FSx consola de Amazon para proporcionar los valores UID y GID de root squash en la propiedad Root Squash, como se muestra en. Para habilitar la característica root squash al crear un sistema de archivos (consola) También puede usar el RootSquash parámetro con la API AWS CLI o para proporcionar los valores de UID y GID, como se muestra en. Para habilitar la característica root squash al crear un sistema de archivos (CLI)

Si lo desea, también puede especificar una lista NIDs de clientes a los que no se aplica root squash. Un NID de cliente es un Lustre Identificador de red utilizado para identificar de forma exclusiva a un cliente. Puede especificar el NID como una dirección única o como un rango de direcciones:

Al crear o actualizar tu sistema de archivos, puedes usar la propiedad Exceptions to Root Squash de la FSx consola de Amazon para proporcionar la lista de clientes NIDs. En la API AWS CLI o, usa el NoSquashNids parámetro. Para obtener más información, consulte los procedimientos en Administración de root squash.

Administración de root squash

De forma predeterminada, root squash está deshabilitada durante la creación de sistemas de archivos. Puede activar root squash al crear un nuevo sistema de archivos Amazon FSx for Lustre desde la FSx consola o API de Amazon. AWS CLI

{

    "FileSystems": [
        {
            "OwnerId": "111122223333",
            "CreationTime": 1549310341.483,
            "FileSystemId": "fs-0123456789abcdef0",
            "FileSystemType": "LUSTRE",
            "FileSystemTypeVersion": "2.15",
            "Lifecycle": "CREATING",
            "StorageCapacity": 2400,
            "VpcId": "vpc-123456",
            "SubnetIds": [
                "subnet-123456"
            ],
            "NetworkInterfaceIds": [
                "eni-039fcf55123456789"
            ],
            "DNSName": "fs-0123456789abcdef0.fsx.us-east-2.amazonaws.com",
            "ResourceARN": "arn:aws:fsx:us-east-2:123456:file-system/fs-0123456789abcdef0",
            "Tags": [
                {
                    "Key": "Name",
                    "Value": "Lustre-TEST-1"
                }
            ],
            "LustreConfiguration": {
                "DeploymentType": "PERSISTENT_2",
                "DataCompressionType": "LZ4",
                "PerUnitStorageThroughput": 250,
                "RootSquashConfiguration": {
                    "RootSquash": "65534:65534", 
                    "NoSquashNids": "10.216.123.47@tcp 10.216.29.176@tcp"
            }
        }
    ]
}

También puedes actualizar la configuración de root squash de tu sistema de archivos actual mediante la FSx consola o la API de Amazon. AWS CLI Por ejemplo, puedes cambiar los valores de UID y GID de root squash, añadir o eliminar un cliente NIDs o deshabilitar root squash.

$ aws fsx update-file-system \
    --file-system-id fs-0123456789abcdef0 \
    --lustre-configuration RootSquashConfiguration={RootSquash="65534:65534", \
          NoSquashNids=["10.216.123.47@tcp", "10.216.12.176@tcp"]}

Puede ver la configuración de root squash de su sistema de archivos en el panel Resumen de la página de detalles del sistema de archivos de la FSx consola de Amazon o en respuesta a un comando de describe-file-systemsCLI (la acción de API equivalente es DescribeFileSystems).