SMB-Clientdateisystem

SMB-Clientdateisystem installieren

Das SMB-Clientdateisystem im Betriebssystem AIX erfordert Kerberos-basierte GSSAPI, um die benutzerauthentifizierte Sitzung mit dem SMB-Protokoll Version 2.1 oder Version 3.0.2zu starten. Unter dem Betriebssystem AIX wird die GSSAPI von einer Userspace-Bibliothek in der Dateigruppe IBM® Network Authentication Service (NAS) Version 1.16.1.0oder höher bereitgestellt. SMB Version 3.0.2 verwendet die Bibliothek AIX OpenSSL zum Generieren von Schlüsseln für Signatur und Verschlüsselung.

Für IBM AIX 7.3 mit Technology Level 1 und höher müssen Sie OpenSSL Version 3.0.5 des openssl.base Filesets installieren. Diese Dateigruppen sind in IBM AIX Expansion Pack und AIX Web Download Pack Programs enthalten.

Führen Sie die folgenden Schritte aus, um das SMB-Clientdateisystem auf einer logischen AIX -Partition zu installieren:

1. Gehen Sie zur AIX Web Download Pack Programs Webseite und melden Sie sich mit Ihrem IBMid und Passwort an.
2. Wählen Sie die Option SMB CLIENT für AIX 3.0.2 und klicken Sie auf Fortfahren.
3. Wählen Sie SMB-Client-Dateisets für AIX Version 7.1, SMB-Client-Dateisets für AIX Versionen 7.2 bis 7.2 TL5 SP6, SMB Client-Dateisets für AIX Version 7.2 TL5 SP7 bis AIX Version 7.3 TL0, oder SMB Client filesets für AIX Version 7.3 TL1 aufwärts entsprechend Ihren Anforderungen und klicken Sie auf Download.
   Hinweis: Ihre IBM -Berechtigungsnachweise müssen berechtigt sein, das SMB-Clientdateisystempaket herunterzuladen. Andernfalls können Sie das Paket nicht herunterladen.
   
4. Installieren Sie das Paket smbc.rte mit dem Befehl installp.

   Beim Installieren des Pakets smbc.rte wird die Einheit nsmbc0 erstellt. Mithilfe dieser Einheit kann der Befehl mount unter Verwendung der SMB-Clientprotokollversion 2.1 oder 3.0.2 eine Verbindung zwischen dem SMB-Server und dem SMB-Clientdateisystem herstellen.

SMB-Clientdateisystem als lokalen Mountpunkt anhängen

mount -v smbc -n windows_server/Kerberos_username/password_for_Kerberos_user    \
-o wrkgrp=workgroup,[[port=139|445],[signing=required|enabled],[pver=2.1|3.0.2|auto],  \
[encryption=desired|required|disabled],[secure_negotiate=desired|required|disabled]   \
[spn=cifs/<smbServerHostName>] share_point_to_mount_created_on_windows local_mount_point

mount -v smbc -n llm140.xyz.com/cec102usr1/Passw0rd    \
-o "wrkgrp=SMB_302.test,port=445,signing=required,encryption=required,    \
secure_negotiate=desired,pver=auto,spn=cifs/llm140.xyz.com" /some_share /mnt

Sie können die folgenden Parameter mit dem Flag -o im Befehl mount angeben. Die einzelnen Parameter dürfen nur durch ein Komma getrennt sein. Fügen Sie vor und hinter einem Komma kein Leerzeichen ein.

fmode

Setzt eine Datei oder ein Verzeichnis für Zugriffsberechtigungen auf den Oktalmodus. Der Standardwert ist 755.

uid

Weist Dateien während der Mountoperation eine Benutzer-ID zu. Der Standardwert ist root.

gid

Weist Dateien während der Mountoperation eine Gruppen-ID zu. Der Standardwert ist system.

wrkgrp

Gibt die Arbeitsgruppe an, zu der der SMB-Server gehört. Dieser Parameter ist für das Mounten des SMB-Clientsdateisystems obligatorisch.

Anschluss

Gibt die Portnummer an. Gültige Werte sind 445 und 139. Der Standardwert ist 445. Der Port 139 wird nur unterstützt, wenn die angegebene Serveradresse im IPv4-Format vorliegt.

pver

Gibt die SMB-Protokollversion an, die für die Kommunikation mit dem SMB-Server verwendet wird. Gültige Werte sind 2.1, 3.0.2 und auto. Wenn Sie den Wert auto angeben, wird je nach angegebenem SBM-Server die SMB-Protokollversion 2.1 oder 3.0.2 verwendet.

signing

Gibt an, ob das SMB-Clientdateisystem eine digitale Signatur für die Kommunikation erfordert. Gültige Werte: enabled und required. Wenn der Parameter signing auf enabled gesetzt ist, verwendet das SMB-Clientdateisystem nur dann eine digitale Signatur für die Datenpakete, wenn digitale Signaturen für die Kommunikation mit dem SMB-Serverdateisystem erforderlich sind. Wenn der Parameter signing auf required gesetzt ist, muss das SMB-Clientdateisystem die Datenpakete für die Kommunikation digital signieren. Wenn Sie den Wert des Parameters signing nicht mit dem Befehl mount angeben, wird ein Standardwert aus den Werten der optimierbaren Kernelparameter verwendet, die mit dem Befehl smbctune festgelegt werden.

secure_negotiate

Gibt an, ob das SMB-Clientdateisystem eine sichere Dialektvereinbarungsfunktion erfordert. Die gültigen Werte sind desired, required und disabled. Wenn dieser Parameter nicht im Befehl mount angeben ist, wird ein Standardwert aus den optimierbaren Kernelparameterwerten verwendet, die mit dem Befehl smbctune festgelegt werden.

encryption

Gibt an, ob für das SMB-Clientdateisystem eine Verschlüsselung erforderlich ist. Die gültigen Werte sind desired, required und disabled. Wenn dieser Parameter nicht im Befehl mount angeben ist, wird ein Standardwert aus den optimierbaren Kernelparameterwerten verwendet, die mit dem Befehl smbctune festgelegt werden.

SPN

Gibt den Service Principal Name (SPN) an, der in den SMB-Client-Einhängepunkten verwendet werden muss. Das Format des Parameters spn ist cifs/<smbServerHostName>. Dabei ist smbServerHostName der vollständig qualifizierte Domänenname (FQDN) des SMB-Servers oder der Name, den der Kerberos als SMB-Server auflöst. Standardmäßig wird SPN automatisch vom SMB-Clientdateisystem als cifs/<smbServerHostName>erstellt.

Kerberos-Authentifizierung für SMB-Clientdateisystem

Wenn Sie einen Dateisystembefehl (z. B. einen Lesebefehl) in einer Datei im Mountpunkt des SMB-Clients ausführen, wird eine Anforderung zum Lesen der Datei an den SMB-Server gesendet. In dieser Leseanforderung ist auch die authentifizierte Sitzungs-ID enthalten. Der SMB-Server ermittel anhand dieser Sitzungs-ID, ob der Benutzer beim Server und zum Lesen der Datei authentifiziert ist. Auf diese Weise autorisiert der SMB-Server den Zugriff auf die Datei und prüft, ob eine Operation an der Datei ausgeführt werden kann.

Mit der Option fmode des Befehls mount kann der Rootbenutzer auf dem SMB-Clientdateisystem den Zugriff auf Dateien auf dem SMB-Server steuern, bevor der SMB-Server abgefragt wird. Wenn Sie keinen Wert für die Option fmode angeben, verwendet die Option fmode den Standardwert 755. In der folgenden Tabelle wird die Funktionsweise der Option fmode bei verschiedenen Operationen erläutert:

In Fall 1 wird der Zugriff auf die Datei oder das Verzeichnis für user2 verweigert, da der Mounteigner, die Gruppe und der Modus am Mountpunkt auf dem SMB-Client keinen Schreibzugriff für user2 erteilt hat.

In Fall 2 wird dem Rootbenutzer der Zugriff auf die Datei oder das Verzeichnis verweigert, da der Benutzer root über uneingeschränkten Zugriff auf den SMB-Client verfügt, der für den SMB-Server authentifizierte Benutzer user1 jedoch keinen Zugriff auf die Datei auf dem SMB-Server hat.

In Fall 3 hat user1 Zugriff auf die Datei oder das Verzeichnis, da user1 der Mounteigner während der Mountoperation war, und user1, ein Mitglied der Gruppe staff auf dem SMB-Server, hatte Zugriff auf die Datei auf dem Server.

In Fall 4 wird user1der Zugriff auf die Datei bzw. das Verzeichnis verweigert. Obwohl user1 während der Mountoperation der Eigner war, ist der Eigner der Datei der Benutzer root auf dem SMB-Server und die Gruppenmitglieder und andere Benutzer haben keine Zugriffsberechtigungen.

In Fall 5 hat user1 Zugriff auf die Datei oder das Verzeichnis, da der angegebene Zugriffsmodus umfassende Zugriffsberechtigungen für alle Gruppenmitglieder und andere Benutzer gewährt.

Gespeicherte Kennwörter

Das SMB-Clientdateisystem kann Berechtigungsnachweise wie Servername, Benutzername und Kennwort in der Datei /etc/smbcred speichern, damit Kennwörter automatisch abgerufen werden können, wenn Sie das SMB-Clientdateisystem anhängen. Sie können die Berechtigungsnachweise in der Datei /etc/smbcred über die lssmbcred, mksmbcred, anzeigen, hinzufügen, ändern und entfernen. chsmbcredund rmsmbcred -Befehle, die sich im Verzeichnis /usr/sbin/ befinden. Die zur Datei /etc/smbcred hinzugefügten Kennwörter sind verschlüsselt. Wenn Sie das SMB-Clientdateisystem ohne Angabe eines Kennworts anhängen, wird die Datei /etc/smbcred nach entsprechenden Berechtigungsnachweisen durchsucht. Wenn eine Entsprechung gefunden wird, wird das gespeicherte Kennwort aus der Datei /etc/smbcred verwendet. Andernfalls werden Sie über die standardmäßige AIX -Aufforderung zur Kennworteingabe zur Eingabe eines Kennworts aufgefordert.

/etc/filesystems -Dateiunterstützung

Das SMB-Clientdateisystem unterstützt die Datei /etc/filesystems, um automatisierte Mountoperationen für Dateisysteme während des Systemstarts zu ermöglichen. Die Datei /etc/filesystems ermöglicht beim Anhängen eines Dateisystems außerdem den Zugriff auf den Namen des gespeicherten Servers, den Benutzernamen, das Kennwort und die Konfigurationsdaten.

Um das SMB-Client-Dateisystem in der Datei /etc/filesystems zu verwalten, können Sie die Befehle lssmbcmnt, mksmbcmnt, chsmbcmnt und rmsmbcmnt verwenden. Sie können die Einträge für das SMB-Clientdateisystem auch manuell hinzufügen. Wenn Sie SMB-Client-Dateisystemeinträge manuell zur /etc/filesystems-Datei hinzufügen, müssen Sie die Anmeldeinformationen für das SMB-Client-Dateisystem in der /etc/smbcred-Datei speichern.

$cat /etc/filesystems
.....................
.....................
.....................

/mnt1:
dev = /fvt_share
vfs = smbc
mount = true
options = "wrkgrp=SMB_21.FVT" 
nodename = <servername>/<username>

/mnt:
dev = /fvt_share
vfs = smbc
mount = true
options = "wrkgrp=SMB_21.FVT,signing=required" 
nodename = <servername>/<username>

Unterstützung der SMIT-Schnittstelle

smit smbc