Выражение контроля доступа

Выражение управления доступом к файловой системе компьютера представляет собой список логических выражений, прикрепленных к файловому объекту . Выражение контроля доступа определяет логическую формулу, которая определяет, каким пользователям или системным процессам предоставляется доступ к объектам, а также какие операции разрешены с данными объектами. Каждая запись в типичном выражении управления доступом определяет операцию, выражение и операцию. Например, если файловый объект имеет выражение управления доступом, которое содержит (read=(g:system OR u:Alice), write=(g:system AND !u:Bob))), это дало бы любому члену система группе или пользователю по имени Алиса разрешено читать файл, но разрешено только членам группы. система группу для записи файла, за исключением пользователя по имени Боб.

Обычные списки управления доступом можно рассматривать как подмножество выражений управления доступом, в которых единственной допустимой операцией объединения является ИЛИ.

Реализации

Лишь немногие системы реализуют выражения контроля доступа. Файловая система MapR является одной из таких систем.

Переход к выражениям контроля доступа к файловой системе

Ранние системы Unix и Unix-подобные системы впервые использовали гибкие схемы разрешений, основанные на членстве пользователей и групп. Первоначально пользователи могли принадлежать только к одной группе, но это ограничение было смягчено, чтобы разрешить членство в нескольких группах. При неограниченном количестве групп можно реализовать сколь угодно сложные схемы разрешений, но только за счет экспоненциально большого числа групп.

Чтобы обеспечить большую выразительность в спецификации разрешений файловой системы , был разработан ряд конкурирующих реализаций списков управления доступом для Microsoft Windows , Unix и Unix-подобных систем Linux . Списки управления доступом были существенным улучшением по сравнению с простыми разрешениями для пользователей и групп, но все же не могли легко выразить некоторые общие требования (например, запрет отдельному пользователю в группе). Выражения контроля доступа были разработаны в ответ на такие потребности.

Сравнение со списками контроля доступа

Выражения разрешений, поддерживаемые списками управления доступом, представляют собой строгое подмножество тех, которые поддерживаются выражениями управления доступом, но их преимуществом является то, что они очень быстро и легко реализуются. Стоимость реализации выражений контроля доступа больше не вызывает особого беспокойства благодаря повышению производительности оборудования.

См. также

Ссылки

Дальнейшее чтение

«Синтаксис выражений контроля доступа» . Документация MapR . Проверено 21 июня 2016 г.