Serwery plików są faktem w branży IT i jestem ciekawy, czy istnieją jakieś ogólnie przyjęte praktyki (waham się tutaj użyć słowa „najlepszy”) do tworzenia grup i stosowania uprawnień do zarządzania dostępem klienta do folderu współdzielonego na serwer plików.
W mojej obecnej pracy odziedziczyłem mnóstwo bałaganu na różne sposoby, od dziesiątek grup na listach ACL po umieszczenie poszczególnych użytkowników bezpośrednio w systemie plików. Moim zadaniem było posprzątać bałagan i wymyślić jakiś znormalizowany sposób podejścia do tego problemu w całej firmie (duże środowisko, 150 tys. Pracowników, 90 tys. Komputerów klienckich, 100 serwerów plików).
Z mojego zrozumienia problemu wydaje się, że potrzebujesz co najmniej jednej grupy na wymagany poziom dostępu na zabezpieczony zasób. Ten model wydaje się zapewniać największą elastyczność, ponieważ nie trzeba ponownie dotykać uprawnień systemu plików, chyba że trzeba obsługiwać inny poziom dostępu. Minusem jest to, że utworzysz więcej grup niż przy ponownym użyciu tej samej grupy w wielu współdzielonych zasobach.
Oto przykład pokazujący, co mam na myśli:
Na serwerze plików o nazwie FILE01 znajduje się udział o nazwie „Wyniki testu” i masz osoby, które potrzebują dostępu tylko do odczytu, dostępu do odczytu i zapisu oraz pełnej kontroli. 1 zabezpieczony zasób * 3 poziomy dostępu = 3 grupy zabezpieczeń. W naszym środowisku AD tworzymy je jako grupy uniwersalne, dzięki czemu możemy łatwo dodawać użytkowników / grupy z dowolnej domeny w lesie. Ponieważ każda grupa jednoznacznie odnosi się do folderu współdzielonego i poziomu dostępu, nazwy grup zawierają te „kluczowe” fragmenty danych, a zatem uprawnienia są następujące:
"FILE01-Test Results-FC" -- Full Control
"FILE01-Test Results-RW" -- Read & Write
"FILE01-Test Results-RO" -- Read Only
Zazwyczaj uwzględnilibyśmy także wbudowane konto SYSTEM i wbudowanych administratorów z dostępem do pełnej kontroli. Wszelkie zmiany dotyczące tego, kto faktycznie uzyskuje dostęp do tego udziału, można teraz obsłużyć za pomocą członkostwa w grupie, bez konieczności dotykania listy ACL (przez dodanie grup „Role” reprezentujących określone role biznesowe, takie jak menedżerowie, technicy, analitycy ds. Kontroli jakości itp., Lub po prostu indywidualnie) użytkownicy w celu uzyskania jednorazowego dostępu).
Dwa pytania:
1) Czy faktycznie jest to zalecane lub prawidłowe podejście do obsługi uprawnień, czy brakuje mi prostszego, bardziej eleganckiego rozwiązania? Byłbym szczególnie zainteresowany wszelkimi rozwiązaniami, które wykorzystują dziedziczenie, ale nadal zachowują elastyczność, ponieważ nie muszę ponownie ACL dużych części systemów plików, gdy rzeczy się zmieniają.
2) Jak sobie radzisz z uprawnieniami serwera plików i strukturą grup w swoim środowisku? Punkty bonusowe dla tych, którzy pracują również w dużych środowiskach.