• 浪潮孙丕恕从信息时代到智能时代 人工智能价值将爆发式释放 2019-12-21
  • 四川郎酒股份有限公司获第十二届人民企业社会责任奖年度环保奖 2019-05-13
  • 银保监会新规剑指大企业多头融资和过度融资 2019-05-12
  • 韩国再提4国联合申办世界杯 中国网友无视:我们自己来 2019-05-11
  • 中国人为什么一定要买房? 2019-05-11
  • 十九大精神进校园:风正扬帆当有为 勇做时代弄潮儿 2019-05-10
  • 粽叶飘香幸福邻里——廊坊市举办“我们的节日·端午”主题活动 2019-05-09
  • 太原设禁鸣路段 设备在测试中 2019-05-09
  • 拜耳医药保健有限公司获第十二届人民企业社会责任奖年度企业奖 2019-05-08
  • “港独”没出路!“梁天琦们”该醒醒了 2019-05-07
  • 陈卫平:中国文化内涵包含三方面 文化复兴表现在其中 2019-05-06
  • 人民日报客户端辟谣:“合成军装照”产品请放心使用 2019-05-05
  • 【十九大·理论新视野】为什么要“建设现代化经济体系”?   2019-05-04
  • 聚焦2017年乌鲁木齐市老城区改造提升工程 2019-05-04
  • 【专家谈】上合组织——构建区域命运共同体的有力实践者 2019-05-03
    • / 20
    • 下载费用:30 金币  

    重庆时时彩技巧分析: 多协议文件服务器中的文件访问控制.pdf

    关 键 词:
    协议 文件服务器 中的 文件 访问 控制
      专利查询网所有资源均是用户自行上传分享,仅供网友学习交流,未经上传用户书面授权,请勿作他用。
    摘要
    申请专利号:

    CN99805761.4

    申请日:

    1999.03.02

    公开号:

    CN1299477A

    公开日:

    2001.06.13

    当前法律状态:

    终止

    有效性:

    无权

    法律详情: 未缴年费专利权终止IPC(主分类):G06F 1/00申请日:19990302授权公告日:20070919终止日期:20160302|||专利权人的姓名或者名称、地址的变更IPC(主分类):G06F 1/00变更事项:专利权人变更前:网络装置公司变更后:NETAPP股份有限公司变更事项:地址变更前:美国加利福尼亚州变更后:美国加利福尼亚州|||授权|||实质审查的生效申请日:1999.3.2|||公开
    IPC分类号: G06F1/00 主分类号: G06F1/00
    申请人: 网络装置公司;
    发明人: D·希茨; A·波尔; R·J·豪利; M·穆勒斯坦; J·皮尔逊
    地址: 美国加利福尼亚州
    优先权: 1998.03.03 US 09/035234
    专利代理机构: 中国专利代理(香港)有限公司 代理人: 吴立明;陈景峻
    PDF完整版下载: PDF下载
    法律状态
    申请(专利)号:

    CN99805761.4

    授权公告号:

    ||||||100338543||||||

    法律状态公告日:

    2017.04.19|||2016.08.03|||2007.09.19|||2001.06.20|||2001.06.13

    法律状态类型:

    专利权的终止|||专利权人的姓名或者名称、地址的变更|||授权|||实质审查的生效|||公开

    摘要

    本发明提供了这样的方法和系统,它们可在使用多种访问控制模式和多种文件服务器协议的客户设备中间实施文件访问控制。多协议文件服务器用多个可能模式中的一个特定访问控制模式来标识各个文件并就对该文件的所有访问而言实施该特定访问控制模式。当文件服务器用不同的访问控制模式接收到由于文件的文件服务器请求时,文件服务器就将会对文件的访问控制限制转换成不同模式中的不少受限的限制。文件服务器用转换后的访问控制限制来限制客户设备的访问。将各个文件均分配给创建该文件或最后设置该文件访问控制限制的用户的访问控制模式。当具有不同访问

    权利要求书

    1: 一种用于操作文件服务器的方法,该方法包括下列步骤: 用从多个安全类型中选出的第一安全类型标识上述文件服务器上的 第一文件;以及 对上述第一文件的所有访问实施前述第一安全类型。 2.如权利要求1的方法,其特征的于,所述多个安全类型包括 Windows?NT安全类型。 3.如权利要求1的方法,其特征的于,所述多个安全类型包括Unix 安全类型。 4.如权利要求1的方法,其特征的于,该方法包括下列步骤: 将所述第一文件与文件系统中的文件子集关联起来;以及 将上述文件子集限制于前述多个安全类型的安全子集; 其中,在上述文件系统树中设置许可的尝试被限于前述安全子集。 5.如权利要求4的方法,其特征的于,所述安全子集包括Windows NT安全类型。 6.如权利要求4的方法,其特征的于,所述安全子集包括Unix 安全类型。 7.如权利要求1的方法,其特征的于,该方法包括下列步骤:响 应文件服务器请求用第二安全类型标识上述第一文件。 8.如权利要求7的方法,其特征的于,该方法包括下列步骤:在 所述文件服务器请求成功时将前述第二安全类型与用于设置前述第一文 件的许可的文件服务器请求关联起来。 9.如权利要求7的方法,其特征的于,所述用于标识的步骤包括 下列步骤:将按前述第一安全类型与所述第一文件相关联的第一组许可 转换成所述第二安全类型下的第二组许可,其中,所述第二组许可有不 少于前述第一组许可的限制。 10.如权利要求1的方法,其特征的于,所述实施步骤包括下列步 骤: 识别按前述第一安全类型与所述第一文件相关联的第一组许可; 限定与前述第一安全类型相关联的第一用户类型; 将用户从与第二安全类型相关联的第二用户类型转换成所述第一用 户类型;以及 用上述第一用户类型和所述第一组许可实施来自所述第二用户类型 的文件服务器请求。 11.如权利要求10的方法,其特征的于,在上述实施步骤中,就 可应用于上述第一文件的访问控制限制执行所述用于转换的步骤。 12.如权利要求10的方法,其特征的于,在设置上述访问控制限 制时,就可应用于上述第一文件的访问控制限制执行所述用于转换的步 骤。 13.如权利要求1的方法,其特征的于,所述用于实施的步骤包括 下列步骤: 将按前述第一安全类型与所述第一文件相关联的第一组许可转换成 所述第二安全类型下的第二组许可,其中,所述第二组许可有不少于前 述第一组许可的限制;以及 用所述第二组许可实施上述第二安全类型下的文件服务器请求。 14.如权利要求13的方法,其特征的于,在上述实施步骤中,就 可应用于上述第一文件的访问控制限制执行所述用于转换的步骤。 15.如权利要求13的方法,其特征的于,在设置上述访问控制限 制时,就可应用于上述第一文件的访问控制限制执行所述用于转换的步 骤 16.一种文件服务器,该文件服务器包括: 一组可用于上述文件服务器的文件,每个文件均有从上述文件服务 器上可用的多个安全类型中选出的相关安全类型; 其中,所述文件服务器对所述文件的所有访问实施相关安全类型。 17.如权利要求16的文件服务器,其特征在于,所述多个安全类 型包括Windows?NT安全类型。 18.如权利要求16的文件服务器,其特征的于,所述多个安全类 型包括Unix安全类型。 19.如权利要求16的文件服务器,其特征的于,该文件服务器包 括: 所述文件系统中的文件子树,它与前述多种安全类型的安全子集相 关联; 其中,所述文件服务器将在前述子树中设置许可的尝试限制于所述 安全子集。 20.如权利要求19的文件服务器,其特征的于,所述安全子集包 括Windows?NT安全类型。 21.如权利要求19的文件服务器,其特征的于,所述安全子集包 括Unix安全类型。 22.如权利要求16的文件服务器,其特征的于,所述文件服务器 能够响应文件服务器请求改变与上述文件相关联的安全类型。 23.如权利要求22的文件服务器,其特征的于,所述文件服务器 能够在所述文件服务器请求成功时响应文件服务器请求改变与上述文件 相关联的安全类型。 24.如权利要求22的方法,其特征的于,所述文件服务器能够将 按前述第一安全类型与所述文件相关联的第一组许可转换成第二安全类 型下的第二组许可,其中,所述第二组许可有不少于前述第一组许可的 限制。 25.一种具有多个文件的文件服务器中的数据结构,该数据结构将 安全类型与所说的各个文件关联起来,所述安全类型是从上述文件服务 器上可用的多个安全类型中选出的。 26.如权利要求25的数据结构,其特征在于,所述多个安全类型 包括Windows?NT安全类型。 27.如权利要求25的数据结构,其特征在于,所述多个安全类型 包括Unix安全类型。 28.一种文件服务器中的数据结构,所述文件服务器具有多个文件 和与上述各文件相关联的安全类型,所述安全类型是从上述文件服务器 上可用的多个安全类型中选出的,所述数据结构将上述多个安全类型中 的一个安全子集与前述文件服务器上可用的文件子树关联起来。 29.如权利要求28的数据结构,其特征在于,所述安全子集包括 Windows?NT安全类型。 30.如权利要求28的数据结构,其特征在于,所述安全子集包括Unix 安全类型。

    说明书


    多协议文件服务器中的文件访问控制

        1、发明领域

        本发明涉及多协议文件服务器中的文件访问控制。

        2、相关技术

        在集成式计算机网络中,希望多个客户设备能共享访问同样的文件。一种周知的方法是提供存储文件的网络文件服务器,它能接收和响应来自客户设备的文件服务器请求。用文件服务器协议来形成这些文件服务器请求,所述文件服务器协议可由文件服务器和客户设备所识别并分属这两者。由于文件存储在文件服务器内,故多个客户设备有机会共享访问同样的文件。

        在供一个以上用户使用地文件系统中,希望通过程序来限制访问该文件系统中的文件。限制访问至少包括以下方面:(1)用户鉴别——确定发请求的用户确实是他们所说的人;以及(2)访问控制验证——确定允许被鉴别了的用户按特定的方式访问特定的文件。当文件系统保存在远离发请求的用户的文件服务器上时,就存在有访问控制协议的其它方面——用户可提供什么样的请求以访问文件或设置用于文件的访问控制。

        周知技术中的一个问题是存在有多种用于访问控制验证的模式,每种模式一般均与一特定的文件系统有关,并且,存在有多种访问控制协议,每种协议通常都对应于一种访问控制验证的模式。尽管这些模式与协议之间存在差异,但文件服务器应能对来自各用户的文件服务器请求进行响应并且应表现出与各用户的模式相一致的并对用户来说不妨碍安全性或没有意外的访问控制验证行为。

        例如,共用的第一访问控制模式与UNIX操作系统(或其变化形式)有关。这种第一访问控制模式使得许可与文件所有人、所有人组和所有其它用户的各个文件相关联。这些许可允许(所有人、组或所有其它用户)进行读、写或执行预定的文件。这种第一访问控制模式一般是由NFS(网络文件系统)文件服务器协议还可能加上辅助文件锁定协议NLM(网络锁定管理器)来实现的。共用的第二访问控制模式与Windows?NT操作系统有关。这种第二访问控制模式将ACL(访问控制列表)与各个文件相关联,ACL中的每个条目均指定了一个别用户、用户组或所有用户。每个条目都允许(指定的用户)进行读、写或执行指定的文件,或者可以具体地拒绝访问。这种第二访问控制模式一般是由CIFS(共用因特网文件系统)协议来实现的。但是,NT设备也可以通过PC?NFS工具来使用NFS协议,UNIX设备也可利用POSIX?ACL。共用的这两种访问控制模式有所显著的不同,包括(1)将什么样的许可分配给文件;(2)按什么样的间隔(granularity)来分配允可;以及,(3)如何鉴别用户以使之与许可相匹配。

        本领域中周知的一种方法是提供多协议文件服务器,它可将所有的安全语义映射成用于文件服务器的单个本机操作系统的语义,并用该单个的本机操作系统去验证文件访问控制。据信Samba系统和类似的模拟包使用了这种周知的方法。这种周知的方法具有这样的缺陷即:就使用除文件服务器的本机操作系统以外的安全语义的客户设备而言,该方法会导致安全上的错误或意外。

        本领域中的另一种方法是提供多协议文件服务器,它支持不同文件的不同类型用安全语义,但试图用用户访问控制模式来验证各用户的文件访问控制??纱覰ovell公司获得的某些Netware产品据信使用了这种方法。这种周知的方法具有这样的缺陷即:用户的访问控制模式显著不同于用于文件的访问控制模式组,从而就使用除与目标文件有关的以外的安全语义的那些客户设备而言会导致安全错误和意外。

        因此,希望能提供这样的方法和系统,它们可在使用多种访问控制模式和多种文件服务器协议的客户设备中间实施文件安全语义。在本发明的一个实施例中可以实现这一优点,在该实施例中,多协议文件服务器用多个可能的访问控制模式中的一个特定访问控制模式来表示各个文件,并为对该文件的所有访问实施上述特定的访问控制模式。当文件服务器用文件服务器协议按不同的访问控制模式接收到对文件的文件服务器请求时,文件服务器就会将文件的访问控制模式所施加的访问控制限制转换成不同访问控制模式中的不少受限的访问控制限制。文件服务器用转换后的访问控制限制来限制对文件的访问。

        发明概要

        本发明提供了这样的方法和系统,它们可在使用多种访问控制模式和多种文件服务器协议的客户设备中间实施文件访问控制。多协议文件服务器用多个可能模式中的一个特定访问控制模式来表示各个文件,并为对文件的所有访问实施上述一个特定访问控制模式。当文件服务器接收到用不同的文件服务器协议的对文件的文件服务器请求时,文件服务器就会将文件的访问控制限制转换成不同模式中的不少受限的限制。文件服务器用转换后的访问控制限制来限制客户设备的访问。

        在一个最佳实施例中,将各个文件均分配给创建该文件或最后设置该文件访问控制限制的用户的访问控制模式。当具有不同访问控制模式的用户设置访问控制限制时,该文件的访问控制模式就会改变成新模式。按树型层次结构来组织文件,其中,将各棵树限于一个或多个访问控制模式(这些模式可限制用户对树中文件的访问控制限制进行设置的能力)。每棵树均可限于NT模式专用格式、UNIX模式专用格式、或混合的NT或UNIX模式格式。

        附图简述

        附图示出了用于在客户设备中间实施多种访问控制模式的系统的框图。

        最佳实施例详述

        在以下说明中,就最佳的处理步骤和数据结构来说明本发明的最佳实施例。但是,在阅读了本申请书之后,本领域的技术人员会认识到,可用在程序控制下运行的一个或多个通用处理器(或适用于特定处理步骤和数据结构的专用处理器)来实现本发明的实施例,并且,用这种设备实现本文所述的最佳处理步骤和数据结构不需要不适当的试验或其它发明。

        本文所述的发明可同以下说明书中所述的发明一道使用:

        ●以Andrea?Borr名义于1997年12月5日提交的代理人归档号为NET-023的申请书第08/985398号,该申请书题为“多协议的统一文件加锁”。

        该申请书的全部在此作的参考。

        所附的技术附录是本发明公开的一部分,本文引用了该附录的全部作为参考。

        系统部件

        附图示出了用于在客户设备中间实施多种访问控制模式的系统的框图。

        系统100包括文件服务器100和一组客户设备120。

        文件服务器110存有文件系统111,包括一组文件112。

        在一个最佳实施例,文件服务器110用下述专利申请书所述的发明保存有文件系统111:

        ●以发明人David?Hitz等人的名义于1995年6月5日提交的代理人归档号为NET-004号的申请书第08/471218,该申请书题为“用非易失性存储器在廉价冗余磁盘阵列子系统中提供奇偶检验的方法”;

        ●以发明人David?Hitz等人的名义于1995年5月31日提交的代理人归档号为NET-005号的申请书第08/454921,该申请书题为“在任何位置对文件系统布局进行写操作”;

        ●以发明人David?Hitz等人的名义于1995年5月31日提交的代理人归档号为NET-006号的申请书第08/464591,该申请书题为“在用于与廉价冗余磁盘阵列的磁盘子系统成整体的文件系统中分配文件的方法”;

        本文引用了上述申请书,其整体在此作为参考。

        文件服务器110设置成用于接收来自客户设备120的文件服务器请求121。文件服务器110对各个请求进行分析、(就发送请求121的客户设备120和请求121所指定的一个或多目标文件1L2)确定是否允许请求121中所请求的操作。如果允许的话,文件服务器11O执行对一个或多个目标文件1L2的操作。

        文件服务器110还设置成用于将文件服务器的应答122传给客户设备120。文件服务器110确定对各请求121的应答(可能包括指示不允许所请求的操作的应答)、生成应答122并将应答122传给发送请求121的客户设备120。

        各客户设备120设置成用于将文件服务器请求121传给文件服务器110并用于接收来自文件服务器110的文件服务器应答122。

        访问控制模式

        在一个最佳实施例中,各个客户设备120可以是Unix客户设备120,也可以是Windows?NT客户设备120。各客户设备120可以用NFS文件服务器协议来进行请求121,也可以用CIFS文件服务器来进行请求121。(尽管UNIX客户设备120一般使用NFS文件服务器协议,而NT客户设备120一般使用CIFS文件服务器协议,但是,NT客户设备120可通过使用NFS文件服务器协议的PC-NFS实现形式来使用NFS文件服务器协议)。文件服务器110接收各个请求121并且(在允许的情况下)执行所请求的对请求121指定的目标文件112的操作。

        文件服务器110支持一个以上的访问控制模式,包括“UNIX许可”访问控制模式(本文称为“UNIX安全类型”)和“NT?ACL”访问控制模式(本文称为“NT安全类型”)。

        UNIX安全类型用用户ID(UID)来确认用户并用组ID(GID)来确认这些用户所属的组。UNIX安全类型使下述存取控制限制与各个文件相关联:

        ●所有人的UID;

        ●所有人的GID;

        ●一组用户许可——允许由所有人用户来读、写或执行文件;

        ●一组“组”许可——允许由所有人用户组来读、写或执行文件;以及

        ●一组“其它”许可——允许由所有其它用户来读、写或执行文件。

        NFS(网络文件系统)文件服务器协议可能还加上NLM(网络加锁管理器)辅助文件加锁协议支持UNIX安全类型。

        NFS是一种无状态协议,所以,每个NFS文件服务器请求121均包括发请求的用户的UID和GID。UNIX客户设备120在用户登录时参照系统口令文件(/etc/passwd)和组文件(/etc/groups)来确定用户的UID和GID。

        为了用UNIX安全类型来实施文件访问控制,文件服务器110判断请求121是来自所有人用户、来自所有人用户组中的用户还是来自某些其它用户。响应这种判断,文件服务器110用用户许可、组许可或其它许可来判断是否允许所说的请求121。

        NT安全类型用安全ID(SID)来确认用户和组。NT安全类型使下述访问控制限制与各个文件相关联:

        ●所有人的SID;

        ●所有人组的SID;

        ●ACL(访问控制表)

        NT?ACL包括一个或多个ACE(访问控制条目),每个条目均包括:一SID,它指示它所应用到的用户或组;以及,一组许可。NT安全类型提供了三种UNIX许可(读、写或执行)以及“CHANG?PERMISSION”(改变许可)许可、“TAKE?OWNERSHIP”(获得所有人权力)许可、“DELETE”(删除)许可、“DELETE?CHILD”(删除子项)许可以及其它许可。

        CIFS(共用因特网文件系统)协议支持NT安全类型。下述文章也说明了NT安全类型:R.Reichel的“Windows?NT安全的秘密”,该文载于Windows/DOS开发者杂志(1993年4月和5月);以及,Stephen?Sutton的“Windows?NT安全指南”(ISBN0201419696)。

        CIFS是基于会话的协议,所以,NT客户设备120在会话连接时将NT用户名和口令传给文件服务器110,据此来判断用户或用户组的SID。文件服务器110可试图鉴别用户本身或(最好)将NT用户名和口令传给NT主域控制器。

        为了用NT安全类型来实施文件访问控制,文件控制器110为发请求121的用户判断用户或用户组的SID。文件服务器110将授权给来自所应用到的ACE的用户的许可累加起来,然后减去对该用户来说具体被拒绝了的许可。文件服务器110响应上述累加和减少而判断是否同意请求121。

        尽管就UNIX安全类型和NT安全类型说明了本发明的一个实施例,但是,本发明可很容易地用于诸如某些UNIX设备和某些其它操作系统支持的“POSIX?ACL”访问控制模式之类的其它控制模式。除了本文详述的访问控制模式或者代替本文详述的访问控制模式,在没有另外的发明或不适当的实验的情况下,本文所述的思想和特征可很容易地用于支持“POSIX?ACL”访问控制模式的文件服务器110。因此,本发明的范围和精神包括它们使用的文件服务器和方法。

        文件服务器110可将保存在文件系统111的各个文件112指定为具有它所支持的多种访问控制模式中的一种特定的访问控制模式。在一个最佳实施例中,各个文件122均被指定使用UNIX安全类型或NT安全类型。文件服务器110为访问各文件112的所有尝试都实施指定的用于该文件112的安全类型。因此,文件服务器110为就目标文件112作出的所有请求121实施指定的安全类型,而不管这些请求121来自UNIX设备还是NT设备,不管这些请求121使用了NFS文件服务器协议还是CIFS文件服务器协议。

        访问控制的实施

        如果文件服务器110接收到了对目标文件112的请求121并且请求121与安全类型的目标文件112相匹配,则文件服务器110根据所述安全类型所施加的对文件112的访问控制限制来验证请求121。

        因此,文件服务器110可至少识别并实施下列事项:

        ●NT安全类型。文件112具有NT安全类型并具有一组相应的访问控制限制(NT?ACL),它是由客户设备120用CFIS文件服务器协议设置的。

        如果客户设备120用CIFS文件服务器提出访问文件112的请求121,则文件服务器110在可能的情况下用NT安全类型来实施NT?ACL。

        如果文件服务器110能通过与NT主域控制器的通讯或者通过参照NT的用户SID(安全ID)数据库来确定NT的用户,则文件服务器110可用NT安全类型来实施NT?ACL。

        如果文件服务器110不能确定NT的用户,则它用为CIFS文件服务器协议会话所记录的用于UNIX用户的UID来确定等价的UNIX用户并实施NT?ACL,就好像请求121来自该UNIX用户一样。

        ●UNIX安全类型。文件112具有UNIX安全类型并具有一组相应的访问控制限制(UNIX许可),它是由客户设备120用NFS文件服务器协议设置的。

        如果客户设备120用NFS文件服务器协议发出访问文件112的请求121,则文件服务器110用UNIX安全类型来实施UNIX许可。

        但是,文件服务器110还可接收与用于目标文件112的安全类型不相匹配的请求121。文件服务器110可通过验证(1)被转换的用于客户设备120的用户ID或者(2)被转换的一组用于文件112的访问控制限制来实施用于目标文件112的安全类型防止不匹配的客户设备120。如本文件述,文件服务器110验证被转换的用于所有UNIX安全类型文件112的用户ID,并且最好验证被转换的用于NT安全类型文件112的用户ID(在可能的情况下)。而且,当文件服务器110验证被转换的用于文件112的访问控制限制时,对每个请求121而言,并不重新计算被转换的访问控制限制,而是用文件112来缓存转换的访问控制限制,以便重用。

        因此,文件服务是110还至少能识别并实施下列事项:

        ●NT安全类型。文件112具有NT安全类型并具有一组相应的访问控制限制(NT?ACL),它是由客户设备120用CFIS文件服务器协议设置的。

        如果客户设备120用CIFS文件服务器发出访问文件112的请求121,则文件服务器110与客户设备120即提出请求121的客户设备相关的UNIX用户。UNIX用户具有UID(用户ID)。

        在一个最佳实施例中,文件服务器110将UNIX用户映射成等价的NT用户。文件服务器110将UID转换成SID(安全ID),它是与UNIX用户等价的用户。文件服务器110实施用于等价NT用户(SID)的访问控制限制(NT?ACL)。

        文件服务器110执行下列过程以便将UNIX用户转换成等价的NT用户:

        ●客户设备120用NFS文件服务器协议与文件服务器110联系。NFS文件服务器协议请求121包括与客户设备120相关的UNIX用户的UID。

        ●文件服务器110在UNIX口令文件(/etc/passwd)中查找UID,从而确认用于UNIX用户的UNIX用户名。UNIX用户名是标识UNIX用户的字母数字串。

        ●文件服务器110用选定的映射文件将UNIX用户名转换成NT用户名。与UNIX用户名相似,NT用户名是标识NT用户的字母数字串。如果没有这种用于UNIX用户名的转换,文件服务器110就在不转换的情况下将该UNIX用户名用作NT用户名。

        在一个最佳实施例中,所述映射文件包括一组记录,每个记录均用NT用户名来标识NT用户并将等价的UNIX用户名与NT用户名关联起来。

        ●文件服务器110与NT主域控制器相联系,以确定用于NT用户名的SID。如果没有这种NT用户,则文件服务器110就使用用于未被映射的UNIX用户的选定参数。在一个实施例中,通过缺省将这种选定的参数设置成NT用户“guest”(客人)。

        ●文件服务器110与NT主域控制器相联系,以获得NT用户是其成员的所有组的SID。

        文件服务器110将UID至SID的映射缓存一段时间最好缓存约数小时。

        在另一个最佳实施例中,或者,如果文件服务器110不能将UNIX用户映射成NT用户(例如,如果域鉴别业已关闭),则文件服务器110就将NT?ACL映射成有不少限制的UNIX许可组。文件服务器110响应NTACL并响应UNIX的用户而对这些UNIX许可进行判断。文件服务器110实施上述被映射的用于实际UNIX用户(UID)的访问控制限制(UNIX许可)。

        文件服务器110可以执行动态的许可映射,其中,文件服务器110在需要进行映射时将NT?ACL映射成一组UNIX许可。在一个最佳实施例中,文件服务器110用文件112缓存被转换了的UNIX许可。因此,为了验证访问控制限制,文件服务器110执行静态许可映射,其中,文件服务器110在设置NT?ACL时将NT?ACL映射成一组UNIX许可。

        文件服务器110执行下列过程以实现静态许可映射:

        ●文件服务器110确定作为文件112所有人的NT用户并将该NT用户映射成等价的UNIX用户(文件服务器110将用于NT用户的SID映射成用于UNIX用户的UID)。

        ●文件服务器110检验用于文件112的NT?ACL并判断是否存在有“拒绝访问”内容。

        ●如果用于文件112的NT?ACL不具有“拒绝访问”内容,则文件服务器110就会生成一组UNIX许可,它带有用于“用户许可”的条目,该条目与NT?ACL提供的文件访问控制限制相一致。文件服务器110将用于“组许可”的UNIX许可设置成等于用于“其它许可”的UNIX许可。如果存在的话,文件服务器110用于“其它许可”的UNIX许可设置成等于用于“每个人”的NT?ACL条目。

        ●如果用于文件112的NT?ACL具有“拒绝访问”内容,则文件服务器110会拒绝上述请求121。

        由于静态许可映射不会响应提出请求121的特定用户,故文件服务器110不会试图判断就特定用户而言NT?ACL的内容是什么。

        ●UNIX安全类型。文件112具有UNIX安全类型并具有一组相应的访问控制限制(UNIX许可),它是由客户设备120用NFS文件服务器协议设置的。

        如果客户设备120用CIFS文件服务器协议提出访问文件112的请求121,则文件服务器110判断与客户设备120即提出请求121的客户设备相关的NT用户。NT用户具有一SID(会话ID)。

        文件服务器110将NT用户映射成等价的UNIX用户。文件服务器110将所述SID转换成UID,它是与NT用户等价的用户。文件服务器110实施用于等价UNIX用户(UID)的访问控制限制(UNIX许可)。

        文件服务器110执行下列过程以便将NT用户映射成等价的UNIX用户:

        ●客户设备120启动CIFS会话(客户设备120首先用CIFS文件服务器协议与文件服务器110相联系)??突璞?20将其NT用户名传给文件服务器110。

        ●文件服务器110用映射文件将NT用户名转换成UNIX用户名。如果不存在这种用于NT用户名的转换,文件服务器110就在不转换的情况下将该NT用户名用作UNIX用户名。

        ●文件服务器110在UNIX口令文件(/etc/passwd)中查找UID,从而确认UNIX用户、用于UNIX用户的UID、UNIX用户的主组以及用于UNIX用户的主GID(组ID)。如果在UNIX口令文件中不存在这种UNIX用户名,则文件服务器110使用选定的用于未被映射的NT用户的参数。在一个最佳实施例中,通过缺省将这种选定的参数设置成UNIX用户“nobody”(无人)。

        ●文件服务器110在UNIX组文件(/etc/groups)中查找UNIX用户名,以确定与UNIX用户组相关的任何其它组以及任何其它GID。

        读取和修改访问控制限制

        每个文件112均具有由文件服务器110设置的安全类型,因此,(A)执行对文件112的操作的请求121或者(B)执行设置文件112的访问控制限制的操作的请求121会产生预定的结果。

        在文件112被第一次创建时,文件服务器110将用于文件112的安全类型设置成等于与用于创建设该文件的文件服务器协议相关的安全类型。(如本文所述,这要受限于访问控制树所施加的限制。)因此,如果用NFS文件服务器协议来创建文件112,则将用于文件112的安全类型设置成UNIX安全类型。与此相似,如果用CIFS文件服务器协议来创建文件112,则将用于文件112的安全类型设置成NT安全类型。

        在文件112使其访问控制限制被修改时,文件服务器110将用于文件112的安全类型设置成等于与新访问控制限制相关的安全类型。(如本文所述,这要受限于访问控制树所施加的限制。)因此,如果客户设备120设置了一组用于文件112的UNIX许可,则用于文件112的安全类型会被设置成UNIX安全类型。与此相似,如果客户设备120设置用于文件112的NT?ACL,则用于文件112的安全类型会被设置成NT安全类型。

        文件服务器110可接收请求121以读取或察看用于文件112的访问控制限制。而且,在文件服务器110接收请求121以便对用于文件112的访问控制限制作有所增加的改变时,它就会在作这种增加的改变之前判定用于文件112的当前访问控制限制。

        因此,文件服务器100可至少识别并实施下列事项:

        ●NT安全类型。文件112具有NT安全类型并具有一组相应的访问控制限制(NT?ACL),它是由客户设备120用CFIS文件服务器协议设置的。

        如果客户设备120用NFS文件服务器协议提出请求以读取或修改用于文件112的访问控制限制,则文件服务器100确定与客户设备120即提出请求121的客户设备相关的UNIX用户。

        文件服务器110执行同样的过程以便将NT?ACL映射成一组上述UNIX许可,从而验证访问控制,但有以下例外:

        与验证访问控制限制不同,文件服务器110就请求121而言按不同的方式处理访问控制限制的转换,以便读取或修改用于文件112的访问控制限制。

        最佳的是,文件服务器110执行动态许可映射,其中,文件服务器110在需要映射时将NT?ACL映射成一组UNIX许可。NT安全类型要比UNIX安全类型丰富,例如,UNIX安全类型没有“拒绝访问”内容。因此,文件服务器110可以将NT?ACL映射成一组UNIX许可,该组UNIX许可对不同的UNIX用户表现是不同的。例如,如果就其所有人是Charles的文件112而言NT?ACL具体将读取访问提供给了Allen但具体拒绝Beth作读取访问,则文件服务器110会将不同的UNIX许可提供给各个用户Allen和Beth。一种设置会允许Allen的组作读取访问,一种设置不允许Beth的组作读取访问,这与实际NT?ACL的提供的访问相一致。

        文件服务器110执行下述过程以实现动态许可映射:

        ●文件服务器110判定是文件112所有人的NT用户,并将NT用户映射成等价的UNIX用户(文件服务器110将用于NT用户的SID映射成用于UNIX用户的UID)。

        ●文件服务器110检验用于文件112的NT?ACL并判断是否存在有任何“拒绝访问”内容。

        ●如果用于文件112的NT?ACL没有“拒绝访问”内容,则文件服务器110就生成一组UNIX许可,它具有用于“用户许可”和“其它许可”的条目,该条目与NT?ACL提供的文件访问控制限制相一致。文件服务器110将用于“组许可”的UNIX许可设置成等于用于“其它许可”的UNIX许可。

        ●如果用于文件112的NT?ACL具有“拒绝访问”内容,则文件服务器110会试图判断是否有任何措施适用于该特定的UNIX用户。如果文件服务器能给出答案,则该文件服务器就生成一组UNIX许可,这组许可能反映出当前可用于该特定文件112和该特定UNIX用户的访问控制限制。如果文件服务器110不能给出答案,则该文件服务器就拒绝请求121。(另外,如果在NT?ACL中存在有任何“拒绝访问”内容,文件服务器110可拒绝请求121。)

        在另外的实施例中,与验证访问控制限制相类似,文件服务器110可对请求121执行静态许可检查以读取或修改用于文件112的访问控制限制。

        如果请求121试图修改文件112的对文件112的访问控制限制没有影响的属性(如访问时间或修改时),则文件服务器110会在不改变文件112的访问控制限制的情况下进行这些修改。

        如果请求121试图修改某些而不是所有的用于文件112的访问控制限制,则文件服务器110会响应用于文件112的NTACL而生成一组UNIX许可,如上所述。文件服务器110修改所生成的由请求121指定的UNIX许可。如果文件服务器110不能响应用于文件112的NT?ACL生成一组UNIX许可,则文件服务器110就拒绝请求121。

        设置访问控制限制时的一种不同是:依照NT安全类型,文件112可被具体设置成“READ-ONLY”(只读),依照UNIX安全类型,通过清除用于文件112所有人的WRITE(写)许可而将文件设置成只读。在使用CIFS文件服务器协议的客户设备120试图用UNIX安全类型来设置文件112的READ-ONLY属性时,文件服务器110就会在用于文件112的UNIX许可中清除用于文件112所有人的WRITE许可。

        ●UNIX安全类型。文件112具有UNIX安全类型并具有一组相应的访问控制限制(UNIX许可),它是由客户设备120用NFS文件服务器协议设置的。

        文件服务器110执行下述过程以便将一组UNIX许可映射成NT?ACL,从而由CIFS客户设备120来显示或修改这些UNIX许可。

        ●文件服务器110生成用于“所有人”的NT?ACL条目,以便提供与用于“用户许可”的UNIX许可条目相同的访问控制限制。

        ●文件服务器110生成用于“每个人”的NT?ACL条目,以便提供与用于“其它许可”的UNIX许可条目相同的访问控制限制。

        ●如果可能的话,文件服务器110生成用于实际发请求的用户的NTACL条目,以便提供与用于该用户的UNIX许可条目相同的访问控制限制。这一步骤可能需要用UID至SID缓存将UNIX用户映射成等价的NT用户。

        与按UNIX用户修改NT?ACL条目相类似,如果请求121(就按NT用户来修改UNIX许可而言)试图修改文件112的对文件112的访问控制限制没有影响的属性,则文件服务器110会在不改变文件112的访问控制限制的情况下进行这些修改。

        如果请求121试图修改某些而不是所有的用于文件112的访问控制限制,则文件服务器110会响应用于文件112的一组UNIX许可而生成NTACL,如上所述。文件服务器110修改所生成的由请求121指定的NT?ACL。

        访问控制限制子树

        在一个最佳实施例中,将文件系统111中的文件112组织成树,它具一组分支节点和一组叶节点。该树中的一个分支节点是根节点,并且,该树的每个节点均是用于该树的一颗子树的根节点。在文件系统111中,每个分支节点均为一个目录,每个叶节点均为一个文件112。目录是一种类型的文件112,它包括这样的信息,这些信息与该目录是其根节点的子树内的分支节点和叶节点的有关。

        文件服务器110将有限的一组访问控制限制与各子树关联起来。在文件服务器110支持UNIX安全类型和NT安全类型的一个最佳实施例中,文件服务器110将各子树指定为是NT专用格式、UNIX专用格式或混合格式。

        NT专用格式

        在文件服务器110将子树指定为NT专用格式时,它就会将该子树中文件112的创建限制于具有NT安全类型的文件112。文件服务器110还能阻止将该子树中的文件112的访问控制模式改变成NT安全类型以外的类型。

        依照NT安全类型,新文件112会从其父节点继承NT?ACL设置集。如果使用NFS文件服务器协议的客户设备120试图在有NT专用格式的子树内创建文件112,则文件112可仅由与是子树的根节点的NT所有人的NT用户相等价的UNIX用户来创建。文件服务器110通过(A)将用于是所有人的NT用户的SID映射成等价的UID、(B)将该UID存入用于文件112的记录中以及(C)将该UID与请求121中的UID相比较而判断提出请求121的UNIX用户是否是等价的。

        依照NT安全类型,存在有特定的“DELETE”(删除)许可和特定的“DELETE-CHILD”(删除子项)许可。如果文件服务器110不能判断出UNIX用户是否具有这些许可,则文件服务器110就拒绝对NT专用格式子树中的文件112进行删除的请求121,除非是请求121来自文件112的所有人(作为所有人的NT用户的等价UNIX用户)或UNIX用户的“根”。

        依照NT安全类型,存在有特定的“CHANGE-PERMISSION”(改变许可)许可和特定的“TAKE-OWNER”(成为所有人)许可。如果文件服务器110不能判断出UNIX用户是否具有这些许可,则文件服务器110就拒绝对NT专用格式子树中的文件112的任何许可进行设置的请求121,除非是请求121来自文件112的所有人(作为所有人的NT用户的等价UNIX用户)或UNIX用户的“根”。

        UNIX专用格式

        相类似的是,在文件服务器110将子树指定为UNIX专用格式时,它就会将该子树中文件112的创建限制于具有UNIX安全类型的文件112。文件服务器110还能阻止将该子树中的文件112的访问控制模式改变成UNIX安全类型以外的类型。试图设置NT?ACL总是会将用于文件112的访问控制模式改变成NT安全类型,在UNIX专用格式树中进行拒绝也是这样。

        在使用CIFS文件服务器协议的客户设备120创建UNIX专用格式子树中的文件112时,文件服务器110会将文件112的所有人设置成与提出请求121的NT用户相等价的UNIX用户。文件服务器110将用于NT用户的SID映射成用于等价的UNIX用户的UID并用该UID去设置文件112的所有人。

        依照UNIX安全类型,不存在有“CHANGE-PERMISSION”许可和特定的“TAKE-OWNER”许可。文件服务器110总是拒绝对NT专用格式子树中的文件112的这些许可进行设置的请求121。

        混合格式

        在文件服务器110将子树指定为混合格式时,它就允许按UNIX安全类型或NT安全类型来创建文件111。文件服务器110不会阻止将该树中的文件111的访问控制模式改变成UNIX安全类型或NT安全类型。

        文件服务器110的管理员可将对子树的指定从第一格式改变成第二格式(例如从混合格式改变成NT专用格式或UNIX专用格式)。在第二格式可能与第一格式不相兼容(例如,被改变成NT专用格式的子树包括是UNIX安全类型的节点)时,文件服务器110就会在设置文件112的许可时转换那些有不相容访问控制模式的文件112。仍用适当的用于文件112的访问控制模式来验证用于文件112的仅检查许可的请求121。

        尽管本文仅就两种访问控制模式说明了本发明,但本发明可很容易地用于三种或更多的访问控制模式。在这类其它实施例中,存在有较多数量的可能的子树格式,包括将子树中的文件112限于一组多种访问控制模式之一的子树格式,所述多种访问控制模式少于文件服务器110所识别的所有成组的访问控制模式。

        在一个最佳实施例中,文件系统111的根节点被指定成具有混合模式。作为子树所有人的客户设备120可通过发给文件服务器110的请求121来修改子树的格式,因此,客户设备120可将子树修改成具有NT专用格式、UNIX专用格式、混合格式。在创建新子树时,文件服务器110将新子树指定成具有与其父亲同样的格式,因此,如果在有混合格式的子树(缺省)内创建新子树,则为混合格式,如果在有NT专用格式的子树内创建新子树,则为NT专用格式,如果在有UNIX专用格式的子树内创建新子树,则为UNIX专用格式。

        其它实施例

        尽管本文公开了最佳实施例,但可以有多种变化形式,它们在本发明的思想、范围和精神之内,在阅读了本申请书之后,本技术的专家会很清楚这些变化形式?!  ∧谌堇醋宰ɡ鴚ww.www.4mum.com.cn转载请标明出处

    关于本文
    本文标题:多协议文件服务器中的文件访问控制.pdf
    链接地址://www.4mum.com.cn/p-6198452.html
    关于我们 - 网站声明 - 网站地图 - 资源地图 - 友情链接 - 网站客服 - 联系我们

    [email protected] 2017-2018 www.4mum.com.cn网站版权所有
    经营许可证编号:粤ICP备17046363号-1 
     


    收起
    展开
  • 浪潮孙丕恕从信息时代到智能时代 人工智能价值将爆发式释放 2019-12-21
  • 四川郎酒股份有限公司获第十二届人民企业社会责任奖年度环保奖 2019-05-13
  • 银保监会新规剑指大企业多头融资和过度融资 2019-05-12
  • 韩国再提4国联合申办世界杯 中国网友无视:我们自己来 2019-05-11
  • 中国人为什么一定要买房? 2019-05-11
  • 十九大精神进校园:风正扬帆当有为 勇做时代弄潮儿 2019-05-10
  • 粽叶飘香幸福邻里——廊坊市举办“我们的节日·端午”主题活动 2019-05-09
  • 太原设禁鸣路段 设备在测试中 2019-05-09
  • 拜耳医药保健有限公司获第十二届人民企业社会责任奖年度企业奖 2019-05-08
  • “港独”没出路!“梁天琦们”该醒醒了 2019-05-07
  • 陈卫平:中国文化内涵包含三方面 文化复兴表现在其中 2019-05-06
  • 人民日报客户端辟谣:“合成军装照”产品请放心使用 2019-05-05
  • 【十九大·理论新视野】为什么要“建设现代化经济体系”?   2019-05-04
  • 聚焦2017年乌鲁木齐市老城区改造提升工程 2019-05-04
  • 【专家谈】上合组织——构建区域命运共同体的有力实践者 2019-05-03
  • 湖北快三遗漏一定牛l 快3上海中奖开奖号走势 北京pk10彩票官网 篮球让分胜负票怎么看 正规的现金麻将游戏 湖北快三走势图彩经网 云南11选5助手 官方正规彩票网站吗 盛达娱乐网址 福建31选7今天开奖结果 2017上期福彩中奖号 竞彩比分直播500即时比分 2012上证指数数据 赛马会料免费料491 7m.cn篮球即时比分 河北20选5开奖走势图