327.3ネットワークファイルシステム

LinuCレベル３ 303試験の出題範囲から「327.3 ネットワークファイルシステム」についての例題を解いてみます。
今回はNFSv4のACLについて取り上げています。

Linucレベル3 303試験 出題範囲

例題

NFSv4でマウントしたディレクトリのファイル file1.txt のアクセスコンロールリストを表示したら、以下のように表示されました。

$ nfs4_getfacl file1.txt 

# file: file1.txt
A::OWNER@:rwatTcCy
A::1000:rwatcy
A::GROUP@:rtcy
A:g:3000:tcy
A::EVERYONE@:tcy

誤っている説明を選択してください。

1. file1.txt の所有者は、ファイルの読み込み/書き込みを行うことができる。
2. file1.txt の所有グループに所属しているユーザは、ファイルの読み込みを行うことができる。
3. ユーザ番号 1000 のユーザは、ファイルの読み込み/書き込みを行うことができる。
4. グループ番号 3000 のグループに所属しているユーザは、ファイルの読み込みを行うことができる。

※この例題は実際の試験問題とは異なります。

解答と解説

正解は、「4. グループ番号 3000 のグループに所属しているユーザは、ファイルの読み込みを行うことができる。」です。

NFSv4では、NFSに配置したファイルやディレクトリに対して、ACL(Access Control List)を設定することができます。ACLを使用すると、Linux標準のアクセス権限(所有者/所有グループ/その他)より、更に詳細なアクセス権限を設定することができます。

NFSv4のACLを表示するには、nfs4_getfacl コマンドを使用します。

$ nfs4_getfacl file1.txt 

# file: file1.txt
A::OWNER@:rwatTcCy
A::1000:rwatcy
A::GROUP@:rtcy
A:g:3000:tcy
A::EVERYONE@:tcy

NFSv4のACLは、ひとつ以上のACE(Access Control Entry)で構成されます。
ひとつのACEは、以下の形式で表示されます。

タイプ:フラグ:プリンシパル:権限

タイプ
許可や拒否等のアクションを指定します。
上記の例では、A が指定されており、A は許可(Allow)を表します。

フラグ
プリンシパルがグループなのかユーザなのか、また、サブディレクトリがACEを継承するか、等を指定します。
上記の例では、何も指定されていない場合はプリンシパルがユーザであり、g が指定されている場合はプリンシパルがグループであることを表します。

プリンシパル
ユーザ名またはグループ名を指定します。
OWNER@/GROUP@/EVERYONE@ が指定されている場合は、それぞれ、所有者/所有グループ/その他 を表します。

権限
読み込み、書き込み、追記、実行等の権限を指定します。

上記の例で指定されている権限の意味は、次の通りです。

例えば、上記の A::1000:rwatcy は、ユーザ番号 1000 のユーザは、読み込み、書き込み、追記、ファイル属性の読み込み、ACLの読み込み、NFSサーバへのI/O同期が許可されることになります。

NFSv4 ACLは、nfs4_setfacl や nfs4_editfacl コマンドで設定することができます。

例題の選択肢を確認してみましょう。

１．file1.txtの所有者は、ファイルの読み込み/書き込みを行うことができる。
正しい説明です。

ファイル所有者の権限は次のように設定されています。

A::OWNER@:rwatTcCy

r と w が指定されているので、ファイルの読み込み/書き込みは許可されています。

２．file1.txtの所有グループに所属しているユーザは、ファイルの読み込みを行うことができる。
正しい説明です。

所有グループの権限は次のように設定されています。

A::GROUP@:rtcy

r が指定されているので、ファイルの読み込みは許可されています。

３．ユーザ番号 1000 のユーザは、ファイルの読み込み/書き込みを行うことができる。
正しい説明です。

ユーザ番号 1000 のユーザの権限は次のように設定されています。

A::1000:rwatcy

r と w が指定されているので、ファイルの読み込み/書き込みは許可されています。

４．グループ番号 3000 のグループに所属しているユーザは、ファイルの読み込みを行うことができる。
誤った説明です。

グループ番号 3000 のグループの権限は次のように設定されています。

A:g:3000:tcy

r が指定されていないので、ファイルの読み込みは許可されていません。

NFSv4 ACLの確認方法、設定方法を把握し、セキュアなアクセス設定をできるようにしておきましょう。

例題作成者

株式会社デージーネット OSS研究室 大野 公善