限制用户对目标文件服务器上文件的访问权

设置目标文件服务器上的安全许可权,以确保用户仅有权访问其备份的文件。

缺省情况下,第一个连接到特定服务器共享的客户机将创建 RealTimeBackup 目录。指定给 RealTimeBackup 目录的许可权不会阻止用户读取其不拥有的文件。

此示例中使用的设置假设客户机上存在一个 Tivoli® Storage Manager FastBack for Workstations 主用户。此主用户是第一个连接到服务器的用户,并且为从该客户机备份的文件创建了子目录。如果 Tivoli Storage Manager FastBack for Workstations 使用该客户机上的其他帐户操作,将文件复制到远程服务器时可能失败。打开目标文件失败之类的错误消息会记录到活动报告中。

Windows 文件服务器

此示例假定存在以下条件:
  • 更新开始Windows 服务器共享一个名为 c:\fileservertest 的目录。更新结束
  • 用于访问服务器的帐户是 Users 组的成员。

RealTimeBackup 目录的访问控制表 (ACL) 设置

ACL 设置允许客户机帐户创建只有创建者的帐户才能访问的目录。因此,包含节点的数据的目录只有在该节点连接到服务器时才会创建。

通过使用 Windows 资源管理器,按照下列设置为 c:\fileservertest\RealTimeBackup 目录设置 ACL:
表 1. RealTimeBackup 目录的 ACL 设置
类型 名称 许可权 应用于
允许 Administrators 完全控制 此文件夹、子文件夹以及文件
允许 CREATOR OWNER 完全控制 此文件夹、子文件夹以及文件
允许 Users 特别 仅此文件夹
允许 OWNER RIGHTS* 完全控制 此文件夹、子文件夹以及文件
* 必须为 Windows 2008 Server 添加 OWNER RIGHTS 对象。
未设置对象能否从父级继承许可权。因此,请为 Users 组设置 Special 访问权以仅提供下列设置:
Traverse Folder / Execute Allow
List Folder / Read Data Allow
Read Attributes Allow
Read Extended Attributes Allow
Create Files / Write Data Allow
Create Folders / Append Data Allow
Delete subfolders and files Allow
Read Permission's Allow

RealTimeBackup\BackupAdmin 目录的 ACL 设置

Tivoli Storage Manager FastBack for Workstations 客户机使用 RealTimeBackup\BackupAdmin 目录下载修订和配置。节点需要对这些目录的只读访问:

c:\fileservertest\RealTimeBackup\BackupAdmin
表 2. RealTimeBackup\BackupAdmin 目录的 ACL 设置
类型 名称 许可权 应用于
允许 Users 读取,执行 此文件夹、子文件夹以及文件
允许 Administrators 完全控制 此文件夹、子文件夹以及文件
未设置对象能否从父级继承许可权。因此,请为 Users 组设置 Special 访问权以仅提供下列设置:
Traverse Folder / Execute Allow
List Folder / Read Data Allow
Read Attributes Allow
Read Extended Attributes Allow
Delete subfolders and files Allow
Delete Allow
Read Permission's Allow

运行 Samba 的 UNIX 文件服务器

此示例假设 Samba 服务器设置为共享名为 /fileservertest 的目录。

这些设置使用户能在 RealTimeBackup 目录下创建目录:
chmod o+wrxt /fileservertest/RealTimeBackup
chmod o+rx /fileservertest/RealTimeBackup/BackupAdmin
chown root /fileservertest/RealTimeBackup/BackupAdmin
在 Samba 配置文件 (smb.conf) 中,将 create maskdirectory mask 参数都指定为 0700。例如:
[fileservertest]
path = /fileservertest
writable = yes
create mask = 0700
directory mask = 0700