Máy chủ tệp là một thực tế của CNTT và tôi tò mò liệu có bất kỳ thực tiễn nào được chấp nhận chung không (tôi ngại sử dụng từ "tốt nhất" ở đây) cho cách bạn tạo nhóm và áp dụng quyền để quản lý quyền truy cập của khách hàng vào thư mục dùng chung một máy chủ tập tin.
Ở công việc hiện tại, cuối cùng tôi đã thừa hưởng khá nhiều cách khác nhau để thực hiện việc này, từ hàng chục nhóm trên ACL đến việc đưa người dùng cá nhân trực tiếp vào hệ thống tệp. Nhiệm vụ của tôi là dọn dẹp mớ hỗn độn và đưa ra một số cách tiếp cận tiêu chuẩn này trong toàn công ty (môi trường rộng lớn, nhân sự 150k, máy tính khách 90 nghìn, máy chủ tệp 100).
Từ hiểu biết của tôi về vấn đề này, có vẻ như bạn ở mức tối thiểu cần một nhóm cho mỗi cấp truy cập được yêu cầu cho mỗi tài nguyên được bảo mật. Mô hình này dường như mang lại sự linh hoạt nhất ở chỗ bạn không cần phải chạm lại các quyền của hệ thống tập tin trừ khi bạn cần hỗ trợ một cấp truy cập khác. Nhược điểm là bạn sẽ tạo nhiều nhóm hơn là sử dụng lại cùng một nhóm trên nhiều tài nguyên được chia sẻ.
Đây là một ví dụ cho thấy những gì tôi muốn nói:
Có một chia sẻ gọi là "Kết quả kiểm tra" trên một máy chủ tệp có tên FILE01 và bạn có những người cần truy cập chỉ đọc, truy cập đọc và ghi toàn quyền. 1 tài nguyên được bảo mật * 3 cấp truy cập = 3 nhóm bảo mật. Trong môi trường AD của chúng tôi, chúng tôi tạo các nhóm này dưới dạng các nhóm phổ quát để chúng tôi có thể dễ dàng thêm người dùng / nhóm từ bất kỳ miền nào trong rừng. Vì mỗi nhóm chỉ liên quan đến một thư mục dùng chung và cấp truy cập, nên tên nhóm kết hợp các phần dữ liệu "chính" đó và do đó, các quyền là:
"FILE01-Test Results-FC" -- Full Control
"FILE01-Test Results-RW" -- Read & Write
"FILE01-Test Results-RO" -- Read Only
Thông thường, chúng tôi cũng sẽ bao gồm tài khoản HỆ THỐNG tích hợp và Quản trị viên tích hợp với quyền truy cập Kiểm soát hoàn toàn. Mọi thay đổi đối với những người thực sự có quyền truy cập vào chia sẻ này giờ đây có thể được xử lý bằng cách sử dụng tư cách thành viên nhóm thay vì phải chạm vào ACL (bằng cách thêm các nhóm "Vai trò" đại diện cho các vai trò kinh doanh cụ thể như Người quản lý, Kỹ thuật viên, Nhà phân tích QA, v.v. người dùng để truy cập một lần).
Hai câu hỏi:
1) Đây thực sự là một cách tiếp cận được đề xuất hoặc hợp lệ để xử lý các quyền hoặc tôi đang thiếu một số giải pháp đơn giản, thanh lịch hơn? Tôi đặc biệt quan tâm đến bất kỳ giải pháp nào sử dụng tính kế thừa nhưng vẫn giữ được tính linh hoạt khi không phải thực hiện lại ACL phần lớn các hệ thống tệp khi mọi thứ thay đổi.
2) Bạn xử lý các quyền của máy chủ tệp và cấu trúc nhóm trong môi trường của bạn như thế nào? Điểm thưởng cho những người cũng đang làm việc trong môi trường lớn.