OES 2 支持许多针对服务访问的访问选项,包括
万维网浏览器。
Linux、Macintosh 和 Windows 工作站上的文件管理器和应用程序。
Novell Client™ 软件。
启用万维网访问的个人数字助理 (Personal digital assistant, PDA) 和其它电子设备。
可以通过提供的服务以及配置这些服务的方式控制所使用的选项。
本节可以帮助您详细了解访问控制,这样您就可以对这些服务进行规划、实施并控制对这些服务的访问。有关讨论项的更多详细内容,请参见各自的服务指南。
下面将介绍以下主题:
以下章节简要介绍访问 Open Enterprise Server 2 服务的方法。
图 16-1介绍的是 OES 2 服务支持的访问方法。Novell® eDirectory™ 提供到每种服务的鉴定。
图 16-1 访问接口及其可以访问的服务
每种服务适用的接口在很大程度上取决于这些服务所支持的协议。
浏览器和个人数字助理要求支持 HTTP 协议。
每种工作站类型都有与其相关联的文件访问协议。Linux 将 NFS 作为它文件服务访问的本机协议,Macintosh 工作站使用 AFP 或 CIFS 进行通讯,而 Windows 工作站则将 CIFS 协议用于文件服务。
Windows 和 Linux 的 Novell Client 软件都使用 NetWare® Core Protocol™ (NCP™) 软件提供 Novell 众所周知的文件服务。
了解 OES 2 服务所支持的协议有助于您开始规划 OES 实施。有关更多信息,请参见匹配协议和服务以检查访问要求。
OES 2 提供了传统的 Novell 访问控制和 POSIX 访问控制,因此您可以采用多种方法,包括结合这两种模型来满足网络服务的各个方面。
表 16-1提供了介绍 OES 2 访问控制功能的文档链接。
表 16-1 常用的文件系统访问控制
NetWare 的特点是具有多种访问控制方法。通过支持 NSS 卷,OES 可以让这些控制方法用于 Linux。另外,通过创建 NCP 卷,有些控制方法还可用于 Linux 传统文件系统。由于 Linux 传统系统仅提供一个 NSS 提供的目录和文件特性的子集,因此限制了 NCP 卷。
在 NetWare 访问控制模型中,会指派 eDirectory 对象(如用户和组)对 NSS 和 NCP 卷上目录和文件的文件系统受托者权限。这些受托者权限可以决定,用户或组在目录或文件特性允许的情况下可对目录或文件执行的操作。
图 16-2对此进行了说明。
图 16-2 NetWare 访问控制模型中的目录和文件访问
表 16-2 访问权限说明
表 16-3提供了一些文档的链接,这些文档介绍了各种 NSS 特定的访问控制功能。
如果您还没有决定是否在网络中使用 Novell Client,我们建议您考虑以下信息:
Novell Client 通过访问 NetWare 和 OES 2 Linux 服务器扩展了 Windows 和 Linux 桌面的功能。
Novell Client 软件安装完成后,用户可尽情享受全面的 Novell 服务,如
通过 Novell eDirectory 执行鉴定
网络浏览和服务解析
安全可靠的文件系统访问
支持业界标准协议
Novell Client 支持传统的 Novell 协议(NDAP、NCP 和 RSA),并可与开放式协议(LDAP、CIFS 和 NFS)进行互操作。
虽然 Novell 提供了一些不需要 Novell Client 的服务(如 NetStorage、Novell iFolder® 3.6 和 iPrint),但是许多网络管理员由于以下原因还是喜欢将 Novell Client 作为网络用户的访问选择:
他们认为 eDirectory 鉴定更安全,所以他们更喜欢 eDirectory 鉴定而不是 LDAP 鉴定。
他们认为 CIFS 更容易传播网络病毒,所以他们更喜欢 NetWare 核心协议 (NCP),而不是 Microsoft CIFS 协议。
相反,其他网络管理员同样也坚信他们的用户会表现得更好,并且不会因为在每个工作站上运行 NCP 客户程序而增加管理费用。
我们无法确定哪种最适合您的网络,但是我们肯定可以向您提供可行的选择。
Linux 和 Windows 客户程序有一些区别。请参见《Novell Client 2.0 for Linux 管理指南》(Novell Client 2.0 for Linux Administration Guide) 中的了解 Novell Client for Linux 与 Novell Client for Windows 2000/XP 之间的区别
。
OES 2 Linux 服务器上运行的某些服务要求访问它们的用户是(或至少让 Linux 系统感觉是)具有 Linux 用户身份凭证(如用户 ID (UID) 和主组 ID (GID))的标准 Linux 用户。
这样 eDirectory 用户才可以访问这些服务,Novell 提供了 Linux 用户管理 (LUM) 技术。这种技术对身为网络管理员的您的影响是,必须对这些用户和组启用到本地服务器的 eDirectory LDAP 鉴定。有关更多信息,请参见Linux 用户管理:eDirectory 用户对 Linux 的访问。
了解了适用于网络用户的访问选项后,您就可以决定哪些选项最适合于您的网络。
有关规划网络服务的提示,请参见以下章节:
规划要提供哪些文件服务时,需要了解以下章节中总结的文件服务/卷和功能支持限制。
表 16-4中总结了受支持的组合。
表 16-4 针对卷类型的服务访问
有关每个文件服务所支持的文件系统的详细信息,请参见各个服务的相应文档。
注意,文件服务支持不同的访问协议集合。有关可用于访问各个 OES 文件服务的协议摘要,请参见匹配协议和服务以检查访问要求。
Novell iPrint 具有访问控制功能,因此您可以指定每个 eDirectory 用户、组或树枝对象所拥有的访问打印资源的权限。
您还可以使用 iPrint 来设置不需要鉴定的打印服务。
注:只有 Windows iPrint 客户程序才支持对打印机的访问控制。
有关访问控制和 iPrint 的更多信息,请参见以下内容:
图 16-3说明了 OES 用户可用的访问接口,以及每个接口可以连接到的服务。它还显示了使用网络服务连接访问接口的协议。
要使用该图来规划:
查看左列中不同的访问接口。
检查第二列中靠右列出的每个协议的信息。
在最右列中,查看每个服务支持的协议。
图 16-3 访问接口和服务,以及连接它们的协议
由于 NetWare 核心协议 (NCP) 现在可用于 Linux,因此 Novell Client 用户可以像挂接到 NetWare 服务器一样轻松地挂接到 OES 2 Linux 服务器。事实上,他们可能不会注意到任何变化。
NCP Server for Linux 支持登录底稿、将驱动器映射到 OES 2 Linux 服务器,以及其它通常与 Novell Client 访问相关的服务。这意味着安装了 Novell Client 的 Windows 用户现在可以无缝转换到 OES 2 Linux 上的文件服务。使用 Novell Client for Linux,可以在不中断 NCP 文件服务的情况下将 Windows 用户移动到 SUSE Linux Enterprise Desktop。
有关更多信息,请参见《OES 2:NCP Server for Linux 管理指南》。
在规划并安装完 OES 2 服务后,请确保向网络用户提供明确的访问说明。有关访问方法的摘要,请参见部分 D.0, OES 2 用户服务的快速参考。
以下各节讨论服务的访问权限管理。
许多网络管理员允许用户管理他们自己的口令。有关口令自助管理的更多信息,请参见《Novell 口令管理管理指南》(Novell Password Management Administration Guide) 中的口令自助服务
。
通过 POSIX 文件系统访问权限或与目录和文件相关联的特性,可以控制对 Linux 传统文件系统的访问权限。通常,可通过三种 POSIX 实体访问目录和文件:
拥有该目录或文件的用户
拥有该目录或文件的组
在系统中定义的所有其他用户
将向每个用户或受影响的组指派(或不指派)每个目录和文件的三种特性的组合:
属性 |
指派后对目录的影响 |
指派后对文件的影响 |
---|---|---|
读 |
允许用户或组查看该目录的内容。 |
允许用户或组打开和读取该文件。 |
写 |
允许用户或组创建或删除该目录中的文件和子目录。 |
允许用户或组修改该文件 |
执行 |
允许用户或组通过使用 cd 命令访问该目录。 |
允许用户或组将该文件作为程序运行。 |
有关更多信息,请参见《OES 2:文件系统管理指南》中的配置文件系统受托者、受托者权限、继承权限过滤器和特性
。
《OES 2:文件系统管理指南》的配置文件系统受托者、受托者权限、继承权限过滤器和特性
一节中深入讨论了文件和目录受托者管理。
以下各节介绍了有关在 NSS 卷上管理受托者的概要信息。
您可以使用 NetStorage 万维网浏览器界面更改 NSS 卷上目录和文件的特性和受托者,但是您无法使用连接到 NetStorage 的 WebDAV 更改它们。
您无法使用 NetStorage 更改 NetWare 传统卷上的特性或受托者。
您可以使用 Novell Client 来更改 NSS 文件和目录的特性,以及授予受托者对 OES 2 Linux 服务器上 NSS 卷的访问权限。有关更多信息,请参见《Novell Client 4.91 for Windows XP/2003 安装和管理指南》中的NetWare 文件安全性
和《Novell Client 2.0 for Linux 管理指南》中的管理文件安全性
。
您可以使用 iManager 2.7 文件和文件夹插件来管理 NCP 和 NSS 卷上的目录和文件。有关更多信息,请参见插件帮助。
使用 attrib 命令更改 NSS 卷上文件和目录的特性。
attrib 命令还记录在《OES 2:文件系统管理指南》的Linux 的特性实用程序
中。
或者,您可以在命令提示符下输入以下命令:
attrib --help
若要向 NSS 卷授予 NSS 受托者权限,请输入以下命令:
rights -f /full/directory/path -r rights_mask trustee full.object.context
其中,/full/directory/path 是指向 NSS 卷上的目标目录的路径,rights_mask 是 NSS 权限的列表,而 full.object.context 是其完整 eDirectory 环境(包含树名)中的对象(用户或组)。
例如,可能输入以下命令:
rights -f /data/groupstuff -r rwfc trustee mygroup.testing.example_tree
有关命令选项的完整列表,请在命令提示符下输入 rights。
权限命令也记录在《OES 2:文件系统管理指南》中的Linux 的受托者权限实用程序
。