Lustre root squash

Root squash é um recurso administrativo que adiciona outra camada do controle de acesso a arquivos sobre o atual controle de acesso baseado em rede e as permissões de arquivo POSIX. Usando o recurso root squash, você pode restringir o acesso no nível raiz de clientes que tentam acessar seu sistema de arquivos FSx for Lustre como root.

As permissões do usuário root são necessárias para realizar ações administrativas, como gerenciar permissões nos sistemas FSx de arquivos Lustre. No entanto, o acesso raiz fornece acesso irrestrito aos usuários, permitindo que eles ignorem as verificações de permissão para acessar, modificar ou excluir objetos do sistema de arquivos. Usando o recurso root squash, você pode impedir o acesso não autorizado ou a exclusão de dados especificando um ID de usuário não raiz (UID) e um ID de grupo (GID) para o sistema de arquivos. Os usuários raiz que acessam o sistema de arquivos serão automaticamente convertidos no usuário/grupo menos privilegiado especificado, com permissões limitadas definidas pelo administrador de armazenamento.

O recurso root squash também permite, opcionalmente, fornecer uma lista de clientes que não são afetados pela configuração do root squash. Esses clientes podem acessar o sistema de arquivos como raiz, com privilégios irrestritos.

Como o root squash funciona

O recurso root squash funciona remapeando o ID do usuário (UID) e o ID do grupo (GID) do usuário raiz para um UID e GID especificados pelo Lustre administrador do sistema. O recurso root squash também permite especificar opcionalmente um conjunto de clientes aos quais o remapeamento de UID/GID não se aplica.

Quando você cria um novo sistema de arquivos FSx para o Lustre, o root squash é desativado por padrão. Você habilita o root squash definindo uma configuração de root squash UID e GID para o seu FSx sistema de arquivos for Lustre. Os valores UID e GID são números inteiros que podem variar de 0 a 4294967294.

Durante a criação do sistema de arquivos, você pode usar o FSx console da Amazon para fornecer os valores UID e GID do root squash na propriedade Root Squash, conforme mostrado em. Para habilitar o root squash ao criar um sistema de arquivos (console) Você também pode usar o RootSquash parâmetro com a API AWS CLI ou para fornecer os valores de UID e GID, conforme mostrado em. Habilitar o root squash ao criar um sistema de arquivos (CLI)

Opcionalmente, você também pode especificar uma lista NIDs de clientes aos quais o root squash não se aplica. O NID de um cliente é um Lustre Identificador de rede usado para identificar exclusivamente um cliente. Você pode especificar o NID como endereço único ou um intervalo de endereços:

Ao criar ou atualizar seu sistema de arquivos, você pode usar a propriedade Exceptions to Root Squash no FSx console da Amazon para fornecer a lista de clientes. NIDs Na API AWS CLI or, use o NoSquashNids parâmetro. Para obter mais informações, consulte os procedimentos em Como gerenciar root squash.

Como gerenciar root squash

Durante a criação do sistema de arquivos, o root squash fica desabilitado por padrão. Você pode ativar o root squash ao criar um novo sistema de arquivos Amazon FSx for Lustre a partir do FSx console ou da API AWS CLI da Amazon.

{

    "FileSystems": [
        {
            "OwnerId": "111122223333",
            "CreationTime": 1549310341.483,
            "FileSystemId": "fs-0123456789abcdef0",
            "FileSystemType": "LUSTRE",
            "FileSystemTypeVersion": "2.15",
            "Lifecycle": "CREATING",
            "StorageCapacity": 2400,
            "VpcId": "vpc-123456",
            "SubnetIds": [
                "subnet-123456"
            ],
            "NetworkInterfaceIds": [
                "eni-039fcf55123456789"
            ],
            "DNSName": "fs-0123456789abcdef0.fsx.us-east-2.amazonaws.com",
            "ResourceARN": "arn:aws:fsx:us-east-2:123456:file-system/fs-0123456789abcdef0",
            "Tags": [
                {
                    "Key": "Name",
                    "Value": "Lustre-TEST-1"
                }
            ],
            "LustreConfiguration": {
                "DeploymentType": "PERSISTENT_2",
                "DataCompressionType": "LZ4",
                "PerUnitStorageThroughput": 250,
                "RootSquashConfiguration": {
                    "RootSquash": "65534:65534", 
                    "NoSquashNids": "10.216.123.47@tcp 10.216.29.176@tcp"
            }
        }
    ]
}

Você também pode atualizar as configurações do root squash do seu sistema de arquivos existente usando o FSx console ou a API da Amazon. AWS CLI Por exemplo, você pode alterar os valores UID e GID do root squash, adicionar ou remover o cliente NIDs ou desativar o root squash.

$ aws fsx update-file-system \
    --file-system-id fs-0123456789abcdef0 \
    --lustre-configuration RootSquashConfiguration={RootSquash="65534:65534", \
          NoSquashNids=["10.216.123.47@tcp", "10.216.12.176@tcp"]}

Você pode visualizar as configurações do root squash do seu sistema de arquivos no painel Resumo da página de detalhes do sistema de arquivos no FSx console da Amazon ou em resposta a um comando da describe-file-systemsCLI (a ação DescribeFileSystemsequivalente da API é).