قائمة تدقيق لمراجعة قوائم التحكم بالوصول (ACL) لأجهزة NAS المنزلية للوصول عبر SMB وNFS والحاويات

إيفا وونغ

IceWhale author

إيفا وونغ هي كاتبة تقنية و ومهندسة هاوية في ZimaSpace. مهووسة بالتكنولوجيا مدى الحياة ولديها شغف بالمختبرات المنزلية والبرمجيات مفتوحة المصدر، تتخصص في تبسيط المفاهيم التقنية المعقدة إلى أدلة عملية وسهلة الفهم. تؤمن إيفا بأن الاستضافة الذاتية يجب أن تكون ممتعة وليست مخيفة. من خلال دروسها، تمكّن المجتمع من تبسيط إعدادات الأجهزة، بدءًا من بناء أول نظام تخزين شبكي NAS وحتى إتقان حاويات Docker.

Home NAS ACL Audit Checklist for SMB, NFS, and Container Access - Zima Store Online

النهج الآمن هو التعامل مع تدقيق ACL قائم على الأدلة، يطابق الهويات والأذونات الفعلية والوراثة عبر كل مسار وصول، باعتباره سلسلة من البوابات القابلة للملاحظة، لا أمرًا واحدًا.

على وحدة NAS منزلية تصدّر البيانات المشتركة إلى SMB وNFS والحاويات، يكمن الخطر العملي نفسه في أن يمنح مسار NAS نفسه صلاحيات وصول فعلية مختلفة عبر SMB وNFS وعمليات الربط bind mounts الخاصة بالحاويات. سجّل الهوية الحالية ونقطة الاسترداد، وابدأ بأقل اختبار تمييزي تدخّلًا، وفسّر نتائج النجاح والفشل قبل تغيير متغير آخر، وتوقّف عندما يصبح التخزين غير مستقر أو عندما تكون النسخة الوحيدة القابلة للاسترداد معرضة للخطر. لا تنتهي العملية أدناه إلا بعد نجاح حمل العمل الأصلي أو بلوغ الأدلة حدّ التصعيد.

جمّد حالة الأذونات وارسم خريطة لكل هوية

اختر مشاركة نموذجية واحدة وسجّل مجموعة البيانات أو نظام الملفات الخاص بها، وأسماء التصدير، وتعريف مشاركة SMB، وتصدير NFS، وعمليات ربط الحاويات، والملكية الحالية. التقط قيم UID وGID الرقمية على وحدة NAS وداخل كل حاوية؛ فتطابق أسماء المستخدمين لا يثبت تطابق الهويات الأساسية.

تضيف قوائم ACL الخاصة بـ POSIX مستخدمين مسمّين ومجموعات مسمّاة وإدخالات افتراضية وقناعًا يمكنه تقييد حقوقهم الفعلية. يوضح سلوك قناع ACL الخاص بـ POSIX سبب جعل القناع الظاهر بواسطة getfacl لإدخال يبدو سخيًا يتصرف بصورة أكثر تقييدًا، وهو أمر أساسي عند مقارنة العرض عبر سطر الأوامر بسلوك SMB أو NFS.

لا تشغّل chmod أو chown التكراريين، ولا تستبدل ACL أثناء الجرد. احفظ مخرجات getfacl -p وإعدادات الخدمة أولًا؛ ينجح خط الأساس عندما يمكن ربط هوية كل عميل بهوية رقمية على الخادم أو وسمها صراحةً بأنها غير معيّنة.

اختبر الوصول الفعلي عبر كل بروتوكول

أنشئ مستخدمًا مخصصًا للتدقيق ودليلًا مؤقتًا أسفل المشاركة. من Windows أو macOS عبر SMB، ومن عميل Linux يستخدم NFS، ومن الحاوية المستهدفة، اختبر الإدراج والقراءة والإنشاء وإعادة التسمية والحذف كلًّا على حدة. سجّل المالك والمجموعة والوضع وACL والبروتوكول المستخدم بعد كل عملية.

أبقِ المصادقة وتفويض نظام الملفات منفصلين. قد ينجح تسجيل الدخول إلى SMB بينما تفتقر هوية Unix المعيّنة إلى إذن الكتابة؛ وقد يقدّم عميل NFS معرّفًا رقميًا يقبله الخادم لكنه يُحل إلى مالك محلي خاطئ. غيّر متغير هوية أو ACL واحدًا فقط بين الاختبارات.

لا ينجح المسار إلا عندما تتطابق الحقوق المرصودة مع مصفوفة الوصول المقصودة، وتتلقى الملفات المنشأة حديثًا المالك والمجموعة وACL الافتراضية المتوقعة. إذا اختلف أحد البروتوكولات، فأوقف التغييرات الواسعة وتتبع طبقة تعيين ذلك البروتوكول قبل لمس نظام الملفات المشترك.

افحص الوراثة والأقنعة وتعيينات الحاويات

قارن ACL الافتراضية للدليل الأب مع ACL الوصول للملفات والأدلة المنشأة حديثًا. افحص قناع ACL بعد تغييرات المجموعة، وتأكد مما إذا كانت خدمة SMB تطبّق أقنعة الإنشاء أو الأدلة، وحدد التطبيقات التي تستبدل الملفات ذريًا، لأن الاستبدال قد ينتج وراثة مختلفة عن التعديلات داخل الملف نفسه.

بالنسبة إلى الحاويات، افحص مستخدم وقت التشغيل والمجموعات الإضافية وإعادة تعيين مساحة أسماء المستخدمين ومسار المضيف المرتبط. يفيد دليل ZimaSpace ذي الصلة حول الوصول إلى قاعدة البيانات على وحدة Docker مرتبطة عبر الشبكة عندما تكون مطابقة الأسماء في NFSv4 هي طبقة الفشل؛ ويظل هذا التدقيق مركزًا على إثبات الحقوق من البداية إلى النهاية عبر المسارات الثلاثة.

لا تحل مشكلة التعيين بتشغيل التطبيق بصفة root. إذا تعذّر على الحاوية إنشاء الملف المؤقت، فطابق UID أو GID المدعومين فيها، أو المجموعة الإضافية، مع سياسة NAS، ثم أعد الاختبار نفسه قبل تغيير أي شجرة إنتاج.

Featured

ZimaCube 2 سحابة شخصية منزلية NAS

ZimaCube2

طبّق أضيق تصحيح وحافظ على الأدلة

صحّح طبقة واحدة في كل مرة: تعيين الهوية أولًا، ثم عضوية المجموعة، ثم الإعدادات الافتراضية الموروثة، ثم ACL الاستثنائية للملفات أخيرًا. طبّق التغييرات على الدليل المؤقت، وتحقق من جميع العمليات مرة أخرى، ثم جهّز تغييرًا محدود النطاق للشجرة الإنتاجية مع حفظ ACL للتراجع.

بعد النشر، أعد تشغيل العملاء الذين يخزّنون بيانات الاعتماد مؤقتًا أو أعد اتصالهم، وأعد تركيب NFS عند الحاجة، وأعد تشغيل الحاويات التي تُثبّت قائمة مجموعاتها عند بدء العملية فقط. كرر مصفوفة الاختبارات نفسها وتحقق من أن الملفات الحالية والجديدة تتصرفان على النحو المقصود.

يُغلق التدقيق عندما تتطابق كل عملية مسموحة ومرفوضة مع المصفوفة المكتوبة، وترث الكائنات الجديدة الإعدادات بصورة صحيحة، ويمكن لـ ACL المحفوظ استعادة الحالة السابقة. صعّد بدلًا من تنفيذ تغييرات تكرارية عمياء عندما تكون الملكية مختلطة عمدًا، أو تعقّد اللقطات أو الروابط الصلبة عملية التراجع، أو يبلغ تخزين NAS عن أخطاء.