Zabezpečení NDS

Zabezpečení NDS

systémem práv mezi objekty NDS

omezuje možnosti manipulace jednoho objektu s druhým

dva druhy práv

práva k objektu

omezují manipulaci s objektem

práva k vlastnostem

omezují manipulaci s vlastnostmi objektu

Práva ke koncovému objektu

není právo C a I (neobsahují v sobě další objekty)

jinak stejné jako u uzlových objektů

Způsob získání práv

lze získat :

přímo

zadána mezi objekty

nepřímo

objekt GROUP

kontejnerový objekt - dědění

objekt ORGANIZATIONAL ROLE

objekt PROFILE

ekvivalence mezi objekty

Dědění práv

přenos práv i na obsah kontejneru od nadřazených objektů

implicitně se dědí všechna práva

právo se nedědí, je-li :

zablokováno filtry děděných práv

blokuje nadřazené objekty v NDS

zadán stejný pověřenec i pro nadřazený uzl. objekt

platí pouze pro tohoto pověřence

Trustee

také pověřenec, důvěrník

jakýkoliv objekt, který má k danému objektu práva zadána přímo

Efektivní práva

výsledná práva získaná :

přímým zadáním (pověřenec)

děděním z nadřazených objektů

ekvivalencí

uživ. skupinami

objekty PROFILE

objekty Organizational Role

ovlivněna filtry děděných práv

vztahují se na všechny objekty získávající práva děděním

Postup vyhodnocení efekt. práv

zjišťují se :

práva zadaná přímo

děděním z nadřazených objektů

ekvivalencí

uživ. skupinami

objekty PROFILE

objekty Organizational Role

ovlivněna filtry děděných práv

vztahují se na všechny objekty získávající práva děděním

Filtry děděných práv

blokují práva při dědění

lze je nastavit jak u uzlového, tak i u koncového objektu

u uzlového objektu

všechny nadřazené objekty, které získávají práva děděním k objektu

ztrácí tato práva k tomuto objektu a k jeho obsahu

u koncového objektu

ztrácí děděná pr. k tomuto objektu

Vlastnosti filtrů děděných práv

lze filtrovat právo Supervisor

mohou vzniknout „mrtvé“ objekty

nemá nad nimi nikdo kontrolu

vždy zajistit trustee s právem S k objektům s odfiltrovaným právem S

u uzlového objektu - právo I

vztahuje se k jednotliv. objektům

možnost ztráty kontroly nad obsahem uzl. objektu

práva se nepřenášejí na obsah

nelze filtrovat právo Supervisor

není-li k objektu zadán trustee s právem S

ale lze po odfiltrování pověřence smazat z NDS - ztráta kontroly

Object Trustee ACL

pokud právo Write - možná editace seznamu důvěrníků

nastavit právo Compare či Read

nelze odebrat ze seznamu pověenců posledního důvěrníka s právem S

pokud je odfiltrováno právo S

Implicitní práva k objektům

při založení stromu NDS

vytvořeny objekty [Public], [Root], Admin

[Public] k [Root] - právo B a I

umožňuje nepřihlášeným vidět strukturu NDS

Admin k [Root] - právo S a I

umožňuje správci manipulovat se všemi objekty NDS

založení kontejneru

kontejner sám k sobě - právo B

k některým vlastnostem - R

Login script

Print job configuration

instalace serveru

server sám k sobě - Supervisor

[Public] - právo B k serveru

musí být viděn před přihlášením

založení objektu User

objekt [Public] - právo B

musí se vidět i před přihlášením

objekt [Public] - k některým vlastnostem právo Read

Default server

E-mail Address

NLS - licence

založení objektu User

objekt [Root]  - právo B

viděn uživateli i po přihlášení

objekt [Root] - k některým vlastnostem právo Read

Network Address

Group Membership

Zásady přidělování práv

práva k vlastnostem - samostatně

pozor na vlastnost Object Trustee

nastavit Read či Compare

nezadávat S k serveru

získá právo S k soubor. systému

právo Supervisor k objektu

Supervisor i k vlastnostem

nelze ovlivnit nastavením práv

nepoužívat k přidělování práv [Public] (max. právo Browse)

vztahuje se i na nepřihlášené

nepoužívat k přidělování práv [ROOT] (max. právo Browse)

vztahuje se na všechny přihlášené

přejmenovat objekt admin

případně skrýt objekt admin

nepřidělovat admin. práva ekvivalencí

natrvalo, dočasně lze

Directory

databáze NDS s objekty

Partice (partition)

logická část NDS

umístěna na některém serveru

vytvořena pod uzlových objektem

povinná partice - root

automaticky při instalaci prvého serveru v síti

parent a child partice

parent nadřazena child partici

Typy particí

System partition

informace jednoznačně konkrétnímu serveru

nejsou distribuovány na jiné servery

Schema partition

informace o schematu NDS

umístěny na každém serveru

při změně schématu nutná synchronizace (změny se promítnou na další servery)

External reference partition

obsahuje informace o externích objektech

(objekt není v rámci partice na serveru)

User defined partition

partice definované uživatelem

s tímto typem lze pracovat

kopie mohou být na libovolném serveru

změny v partici distribuovány na kopie

(NDS replika synchronization)

Repliky

fyzické kopie particí

účel replik - vyšší bezpečnost NDS

lze umístit na libovolný server

jedna partice – může mít více replik

na jednom serveru:

jedna replika téhož typu každé partice

pro optimální bezpečnost

každá partice – 3 repliky

repliky lze vytvářet při více než 1 serveru

Důvody dělení NDS na oblasti

zabezpečení NDS (fault tolerance)

nezávislost na jednom serveru

rychlí přístup uživatelů k e zdrojům

menší velikost NDS na jednotlivých serverech

snížení provozu na síti při přístupu k serveru

Druhy replik

Master replika

pouze jedna pro každou oblast

vzniká automaticky při vytvoření partice

lze do ní zapisovat změny

možnost o autentizaci

řídí všechny operace příslušné partice

některé operace jdou provádět pouze s touto replikou

(přesun objektů, slučování oblastí …)

Read/Write replika

v zásadě záloha master repliky

lze do ní zapisovat změny

možnost o autorizaci

může být převedena typ master

Read only replika

nelze do ní zapisovat změny

synchronizuje se do Master repliky nebo R/W repliky

může být převedena na typ master

neumožňuje autorizaci

Subordinance replika

vytvořena automaticky systémem

na serverech s replikou M,R/W,R-O rodičovské partice v případě, kdy replika dceřiné paritce je na jiném serveru

umožňuje procházení stromu NDS

odkaz na pořízené repliky

nejsou v ní uloženy žádné informace o objektech

může být spuštěna utilitou Dsrepair

Replika list

také replika ring

obsažena na každém serveru

seznam všech replik kařdé partice

(včetně serverů, na kterých jsou uloženy)

Stav repliky

replika state

ovlivněn synchronizací replik

synchronizace – promítnutí změn v jedné replice do ostatních

STAV  POPIS

on(0)  neprobíhá žádná operace

new(0x1h)  umísťuje senová replika na server (nedotupná)

dying(0x2h)  odstraňuje se replika ze serveru (nedostupná)

locked(+x3h)  probíhá operace s replikou

Synchronizace NDS

provádí se tzv. synchronizační procesy

ovlivňují zatížení sítě

SYNCHRONIZAČNÍ PROCESY

Intermediate sync process

synchronizuje repliky v NDS v případě změny v partici

spouští se 10s po provedení změny

(nelze změnit čas intervalu)

zahrnuje všechny servery zahrnuté v replika list

Slow sync process

synchronizuje repliky v NDS v případě změny v objektu

např. při přihlášení uživatele do sítě

provede se aktualizace informací

- login time

- last login time

- network adress

spouští se 22s po provedení změny

(nelze změnit časový interval)

zahrnuje všechny servery zahrnuté v replika list

Heartbeat sync process

synchronizuje objekty v rámci replika list

spouští se každých 30 minut

lze spustit příkazem Dstrace

lze nastavit na jinou hodnotu

(SET NDS INACTIVITY SYNCHRONIZATION INTERVAL xxx)

Schema sync process

zabezpečuje jednoznačnost schématu NDS

synchronizuje schéma v rámci particí a serverů

i servery, které neobsahují žádnou repliku

spouští se 15s po otevření či instalaci NDS na serveru

pak každých 240 minut

lze konfigurovat

Bindery a emulace bindery

databáze bindery – u systémů starších než 4.x

v netware 4.x a 5.x – emulace z důvodů zpětné kompatibility

zobrazení objektů starším klientům a aplikacím

nastavení bindery kontextu – SET BINDERY CONTEXT

v souboru Autoexec.ncf

vztahuje se pouze na kontejner, nikoli na subkontejnery

zrušení bindery kontextu

příkaz SET BINDERY CONTEXT =

v souboru Autoexec.ncf

emulace zobrazení pro bindery aplikace pro objekty:

- user, queue, print, server, profile …

Utility pro správu NDS

NDS manager

Dsrepair.ncm

Dsmerge.ncm

Set NDS trace

Ndsmagr32.exe

Užití:

mapování disků (i vyhledávácích)

zobrazení zpráv

nastavení proměnných

spuštění programů a menu

Typy Login Scriptu

Kontejnerový (Container Login Script)

nastavuje prostředí pro všechny uživatele v kontejneru

Profilový (Profile Login Sript)

nastavuje prostředí pro několik uživatelů současně

Uživatelský (User Login Script)

nastavuje prostředí pro daného uživatele

Přednastavený (Default Login Sript)

nespouští se: při použití profilového

příkaz NO_DEFALUT v kontejneru

Definování Login Scriptu

Login Script je vlastnost objektů

u každého objektu lze použít jen jeden typ Login Scriptu:

Organization object -- Container login script

Organizational Unit object -- Container login script

Profile object -- Profile login script

User objects -- User login script