Migrationsleitfaden Version 3.0

1.1.5 Abbildung der Überwachungsfunktionen
Das Auditing-System ist fest in Windows integriert. Es ist unter Unix mit anderen Mechanismen
nachbildbar. Für den Samba-Server lässt sich das Auditing über ein VFS-Modul
realisieren. Damit werden dann die Zugriffe auf Dateien und Verzeichnisse durch den
Samba-Server protokolliert. Auf der Ebene des Dateisystems hat ein Auditing in dieser
Form bislang nicht Einzug in den Linux-Kernel gefunden, obwohl mehrere Anläufe für
eine Implementierung versucht wurden und in den vorhandenen Strukturen entsprechende
Voraussetzungen für erweiterte Attribute bei den Linux-Dateisystemen vorhanden
sind. In der Praxis scheint diese Funktionalität jedoch so wenig Bedeutung zu haben,
dass alle Versuche bisher aus Mangel an Interesse nicht weiter aktiv verfolgt worden
sind. Allerdings ist es über Security-Erweiterungen wie zum Beispiel SE-Linux
durchaus möglich, zumindest ein teilweises Auditing auch für die unterhalb von Samba
stattfindenden Dateisystemzugriffe zu realisieren.
1.1.6 Zusammenfassung der wichtigsten Folgen bei Verwendung von Samba
mit POSIX ACLs
Für Schreiben als abstraktes Recht gilt:
� zwischen Daten schreiben und anhängen wird nicht unterschieden
� bei Ordnern wird ebenso nicht zwischen dem Erstellen von Ordnern und dem
Erstellen von Dateien unterschieden
� das Schreiben von Ordnern beziehungsweise Dateien und Attributen wird nicht
unterschieden.
Für das Lesen als abstraktes Recht gilt:
� das Lesen von Ordnern beziehungsweise Dateien und von Attributen wird nicht
unterschieden.
� Prinzipiell gilt, dass das Lesen von Berechtigungen immer erlaubt ist. Generell
sind weder Überwachung noch aktive Vererbung implementiert. Bei der Vererbungen
gelten die Einschränkungen wie oben beschrieben.
1.1.7 Benutzergruppen und Zugriffsrechte
Insbesondere bei den von Arbeitsgruppen gemeinsam genutzten Freigaben spielt die
Vergabe von Zugriffsrechten an Gruppen eine herausragende Rolle. Unter NT werden
(Server-)lokale und globale Gruppen unterschieden. Lokale Gruppen können als Alias-
Definitionen verstanden werden, die auf eine oder mehr globale Gruppen verweisen. Auf
diese Weise können lokale Gruppen mehrere globale Gruppen enthalten. Unter Samba
(wie unter UNIX / Linux allgemein) ist eine Verschachtelung von Gruppen nicht möglich.
Mit Samba lassen sich lediglich alle UNIX-Gruppen 1:1 als globale Gruppen für Windows
Clients und Member-Server darstellen.
Diese globalen Gruppen können auf Windows-Member-Servern natürlich wieder in lokale
Gruppen eingehen. Damit stehen auf solchen Servern weiterhin die Modelle B-G-L-R
und B-G-R zur Verfügung, wie sie im Abschnitt II.E 1.4 beschrieben werden.
Seite 245