Dotaz: Remap UID (a GID) mezi klientem a serverem v NFS4

[lertimir]

Mám jeden server a několik klientských počítačů, kterou jsou vetšinou osobní počítače jednoho člověka se standardní instalací a tím pádem vygenerované UID mají vlastně všichni stejné. Na serveru jsou zavedení tito uživatelé a samozřejmě mají různá UID, když se připojují přes SSH, sftp, tak se dostanou na systém se svými právy. Rád bych zprovoznil přístup přes NFS4. A otázka je, jestli jsem schopen nastavit klienty tak, aby když přistupuje z počítače A uživatel Z (UID 1000 na A a 1005 na Serveru) dostal správný přístup stejně, tak jako když z počítače B pujde uživatel Y (UID 1000 na B a 1006 na Serveru, a když by náhodou měl Y na počítači A také účet tak by měl třeba 1001 na A)?

Snažím se porozumět idmapd, ale zatím jsem z popisu a příkladů nepochopil, co bych měl do idmapd.conf napsat.

Odpovědi

[T.O.M.]

NFS jsem nastavil podle Arch wiki a změnu, co tě zajímá, jsem provedl v /etc/exports. Řádek pro export celého datového disku vypadá následovně:

/mnt/data 2002:XXXX:XXXX:1::/64(rw,async,fsid=root,nohide,no_subtree_check,all_squash,anonuid=99,anongid=100) 10.0.0.0/27(rw,async,fsid=root,nohide,no_subtree_check,all_squash,anonuid=99,anongid=100)

99 je UID pro nobody, 100 je GID pro users, což hádám má každé distro by default. Na serveru účet pro jednotlivé uživatele nemám a na nednotlivých stanicích je každý user ve skupině users. Už si nepamatuju, co který parametr přesně dělá a jestli je opravdu potřeba všechno tohle nastavení, hrál jsem se s tím, dokud to spolehlivě nefungovalo... Místo IP adres asi můžeš použít hostname serveru, ale s tím jsem měl před pár lety problém. Samozřejmě můžeš IPv6 část konfigurace vynechat pokud ji nepotřebuješ.

[Šangala]

Nejde ti o toto.

[lertimir]

To jsem si přečetl také, ale myslím si, že se stránka týká implementace NFS v user space, a že v současnosti je NFS implementované v kernel space a popsaný postup nefunguje.

[Šangala]

Jojo, já jsem si ne úplně dobře přečetl dotaz a v duchu toho co jsem si zatím myslel o NFS4 (, že se to děje samo na základě jména) jsem takto odpověděl.

[Šangala]

Podle mě pokud máš defaultní konfiguraci, tak jsi v pohodě ne?

NFS4 pokud běží idmapd na obou strojích, s default configurací překládá jména tedy pepa 1001 remote a pepa 1010 remote je stále pepa. (jsem to nikdy nezkoušel, hezky to mám sjednocené, ale tak jsem si myslel, že to je :) )

Default bude něco jako:

[General]

Verbosity = 0
Pipefs-Directory = /var/lib/nfs/rpc_pipefs
Domain = localdomain

[Mapping]

Nobody-User = nobody
Nobody-Group = nobody

ale mělo by tam snad jít udělat dokonce něco jako (ale prd o tom vím):

[Translation]
Method = nsswitch
GSS-Methods = static

[Static]
pepa@remote.org = franta

[lertimir]

No nejsem v pohodě. Default konfigurace mi předá na NFS server jen UID i když na serveru to bude znamenat jiné jméno.

Samozřejmě mohu zapracovat na synchronizaci. Ale to má jednu lehce nepříjemnou vlastnost. V současném stavu je vždy hlavní uživatel kompu ten s implicitním UID. Při případné reinstalaci systému na novou verzi se v podstatě nic nemusí udělat. Dcera si to případně může udělat sama, stejně tak v situaci, kdy si systém rozklíží více než je zdrávo. Pokud by hlavní uživatel měl jiný UID, tak se vždy musí v téhle situaci pamatovat na to na jaké UID se musí tento uživatel nainstalovat.

Proto raději bych měl správně nastavenou překladovou vrstvu.

[Šangala]

No asi nejsi, ono to samo automaticky nefunguje bez Kerberosu, takže asi nejsi a nebudeš v pohodě, tady jsi asi četl. Buď ručně synchronizovat, nebo Ldap, nebo kanón Kerberos.

[lertimir]

Zkusím s tím zabojovat. Zatím jsem přístup řešil na sambě, ale trochu mě štvalo, že na sambě propojuji dva linuxové stroje. Pokud to vyřeším tak napíšu.

[Šangala]

Jo, to bude bezva, bo já jsem to vyřešil sjednocením ID (což taky nepovažuji za dobré bez centrály), bo se mi právě taky zdálo divné propojovat OS čímsi původně z herní konzole. Nicméně dosahuji stejných rychlostí na sambě i na NFS, takže primárně používám sambu, ono je i s tím méně práce.