root squash do Lustre

Root squash é um recurso administrativo que adiciona outra camada do controle de acesso a arquivos sobre o atual controle de acesso baseado em rede e as permissões de arquivo POSIX. Usando o recurso root squash, você pode restringir o acesso no nível raiz dos clientes que tentam acessar o sistema de arquivos do FSx para Lustre como raiz.

As permissões do usuário raiz são obrigatórias para realizar ações administrativas, como gerenciar permissões nos sistemas de arquivos do FSx para Lustre. No entanto, o acesso raiz fornece acesso irrestrito aos usuários, permitindo que eles ignorem as verificações de permissão para acessar, modificar ou excluir objetos do sistema de arquivos. Usando o recurso root squash, você pode impedir o acesso não autorizado ou a exclusão de dados especificando um ID de usuário não raiz (UID) e um ID de grupo (GID) para o sistema de arquivos. Os usuários raiz que acessam o sistema de arquivos serão automaticamente convertidos no usuário/grupo menos privilegiado especificado, com permissões limitadas definidas pelo administrador de armazenamento.

O recurso root squash também permite, opcionalmente, fornecer uma lista de clientes que não são afetados pela configuração do root squash. Esses clientes podem acessar o sistema de arquivos como raiz, com privilégios irrestritos.

Como o root squash funciona

O recurso root squash funciona remapeando o ID de usuário (UID) e o ID de grupo (GID) do usuário-raiz para um UID e GID especificados pelo administrador do sistema do Lustre. O recurso root squash também permite especificar opcionalmente um conjunto de clientes aos quais o remapeamento de UID/GID não se aplica.

Quando um sistema de arquivos do FSx para Lustre é criado, o root squash está desabilitado por padrão. Você o habilita definindo uma configuração de root squash UID e GID para seu sistema de arquivos do FSx para Lustre. Os valores UID e GID são números inteiros que podem variar de 0 a 4294967294.

Durante a criação do sistema de arquivos, você pode usar o console do Amazon FSx para fornecer os valores UID e GID do root squash na propriedade Root Squash, conforme apresentado em Para habilitar o root squash ao criar um sistema de arquivos (console). Você também pode usar o parâmetro RootSquash com o AWS CLI ou a API para fornecer os valores de UID e GID, conforme apresentado em Habilitar o root squash ao criar um sistema de arquivos (CLI).

Você também pode especificar uma lista de NIDs de clientes aos quais o root squash não se aplica. Um NID de cliente é um identificador de rede do Lustre usado para identificar um cliente de modo exclusivo. Você pode especificar o NID como endereço único ou um intervalo de endereços:

Ao criar ou atualizar seu sistema de arquivos, você pode usar a propriedade Exceções para Root Squash no console do Amazon FSx para fornecer a lista de NIDs de cliente. Na AWS CLI ou API, você usa o parâmetro NoSquashNids. Para obter mais informações, consulte os procedimentos em Como gerenciar root squash.

Como gerenciar root squash

Durante a criação do sistema de arquivos, o root squash fica desabilitado por padrão. Você pode habilitar o root squash ao criar um novo sistema de arquivos do Amazon FSx para Lustre no console, AWS CLI ou API do Amazon FSx.

{

    "FileSystems": [
        {
            "OwnerId": "111122223333",
            "CreationTime": 1549310341.483,
            "FileSystemId": "fs-0123456789abcdef0",
            "FileSystemType": "LUSTRE",
            "FileSystemTypeVersion": "2.15",
            "Lifecycle": "CREATING",
            "StorageCapacity": 2400,
            "VpcId": "vpc-123456",
            "SubnetIds": [
                "subnet-123456"
            ],
            "NetworkInterfaceIds": [
                "eni-039fcf55123456789"
            ],
            "DNSName": "fs-0123456789abcdef0.fsx.us-east-2.amazonaws.com",
            "ResourceARN": "arn:aws:fsx:us-east-2:123456:file-system/fs-0123456789abcdef0",
            "Tags": [
                {
                    "Key": "Name",
                    "Value": "Lustre-TEST-1"
                }
            ],
            "LustreConfiguration": {
                "DeploymentType": "PERSISTENT_2",
                "DataCompressionType": "LZ4",
                "PerUnitStorageThroughput": 250,
                "RootSquashConfiguration": {
                    "RootSquash": "65534:65534", 
                    "NoSquashNids": "10.216.123.47@tcp 10.216.29.176@tcp"
            }
        }
    ]
}

Você também pode atualizar as configurações do root squash do seu sistema de arquivos existente usando o console, a AWS CLI ou a API do Amazon FSx. Por exemplo, você pode alterar os valores UID e GID do root squash, adicionar ou remover NIDs do cliente ou desabilitar o root squash.

$ aws fsx update-file-system \
    --file-system-id fs-0123456789abcdef0 \
    --lustre-configuration RootSquashConfiguration={RootSquash="65534:65534", \
          NoSquashNids=["10.216.123.47@tcp", "10.216.12.176@tcp"]}

Você pode visualizar as configurações do root squash do seu sistema de arquivos no painel Resumo da página de detalhes do sistema de arquivos no console do Amazon FSx ou na resposta de um comando describe-file-systems da CLI (a ação equivalente da API é DescribeFileSystems).