Root squash de Lustre

Root squash es una característica administrativa que agrega una capa adicional de control de acceso a archivos sobre el actual control de acceso basado en red y los permisos de archivos POSIX. Utilizando la característica Root squash, puede restringir el acceso a nivel de raíz de los clientes que intentan acceder a su sistema de archivos de FSx para Lustre como raíz.

Los permisos de usuario raíz son necesarios para realizar acciones administrativas, tales como la gestión de permisos en sistemas de archivos de FSx para Lustre. Sin embargo, el acceso raíz proporciona acceso sin restricciones a los usuarios, permitiéndoles saltarse las comprobaciones de permisos para acceder, modificar o borrar objetos del sistema de archivos. Con la característica root squash, puede evitar el acceso no autorizado o la eliminación de datos especificando un ID de usuario (UID) y un ID de grupo (GID) que no sean raíz para su sistema de archivos. Los usuarios raíz que accedan al sistema de archivos se convertirán automáticamente en el usuario/grupo especificado con menos privilegios y con permisos limitados establecidos por el administrador del almacenamiento.

La característica root squash también permite, de forma opcional, proporcionar una lista de clientes a los que no afecta la configuración de root squash. Estos clientes pueden acceder al sistema de archivos como raíz, con privilegios sin restricciones.

Cómo funciona Root Squash

La característica root squash funciona reasignando el identificador de usuario (UID) y el identificador de grupo (GID) del usuario raíz a un UID y GID especificados por el administrador del sistema de Lustre. La característica root squash también permite especificar, de forma opcional, un conjunto de clientes a los que no se aplica la reasignación de UID/GID.

Cuando se crea un nuevo sistema de archivos de FSx para Lustre, root squash está deshabilitado de forma predeterminada. Para activar root squash, configure un UID y GID root squash para su sistema de archivos de FSx para Lustre. Los valores UID y GID son números enteros que pueden oscilar entre 0 y 4294967294:

Durante la creación del sistema de archivos, puede usar la consola de Amazon FSx para proporcionar los valores UID y GID del root squash en la propiedad Root Squash, como se muestra en Para habilitar la característica root squash al crear un sistema de archivos (consola). También puede usar el parámetro RootSquash con la AWS CLI o la API para proporcionar los valores UID y GID, como se muestra en Para habilitar la característica root squash al crear un sistema de archivos (CLI).

Opcionalmente, también puede especificar una lista de NID de clientes para los que no se aplique root squash. Un NID de cliente es un identificador de red de Lustre usado para identificar de forma única a un cliente. Puede especificar el NID como una dirección única o como un rango de direcciones:

Al crear o actualizar el sistema de archivos, puede usar la propiedad Excepciones a Root Squash de la consola de Amazon FSx para proporcionar la lista de NID de los clientes. En la AWS CLI o la API, use el parámetro NoSquashNids. Para obtener más información, consulte los procedimientos en Administración de root squash.

Administración de root squash

De forma predeterminada, root squash está deshabilitada durante la creación de sistemas de archivos. Puede habilitar la característica root squash al crear un nuevo sistema de archivos de Amazon FSx para Lustre desde la consola de Amazon FSx, la AWS CLI o la API.

{

    "FileSystems": [
        {
            "OwnerId": "111122223333",
            "CreationTime": 1549310341.483,
            "FileSystemId": "fs-0123456789abcdef0",
            "FileSystemType": "LUSTRE",
            "FileSystemTypeVersion": "2.15",
            "Lifecycle": "CREATING",
            "StorageCapacity": 2400,
            "VpcId": "vpc-123456",
            "SubnetIds": [
                "subnet-123456"
            ],
            "NetworkInterfaceIds": [
                "eni-039fcf55123456789"
            ],
            "DNSName": "fs-0123456789abcdef0.fsx.us-east-2.amazonaws.com",
            "ResourceARN": "arn:aws:fsx:us-east-2:123456:file-system/fs-0123456789abcdef0",
            "Tags": [
                {
                    "Key": "Name",
                    "Value": "Lustre-TEST-1"
                }
            ],
            "LustreConfiguration": {
                "DeploymentType": "PERSISTENT_2",
                "DataCompressionType": "LZ4",
                "PerUnitStorageThroughput": 250,
                "RootSquashConfiguration": {
                    "RootSquash": "65534:65534", 
                    "NoSquashNids": "10.216.123.47@tcp 10.216.29.176@tcp"
            }
        }
    ]
}

También puede actualizar la configuración de root squash del sistema de archivos actual mediante la consola de Amazon FSx, la AWS CLI o la API. Por ejemplo, puede cambiar los valores de UID y GID de root squash, añadir o eliminar los NID de cliente o deshabilitar root squash.

$ aws fsx update-file-system \
    --file-system-id fs-0123456789abcdef0 \
    --lustre-configuration RootSquashConfiguration={RootSquash="65534:65534", \
          NoSquashNids=["10.216.123.47@tcp", "10.216.12.176@tcp"]}

Puede ver la configuración de root squash del sistema de archivos en el panel de Resumen de la página de detalles del sistema de archivos de la consola de Amazon FSx o en respuesta a un comando de describe-file-systems de la CLI (la acción de API equivalente es DescribeFileSystems).