Mécanismes de mise en œuvre et de sécurité de Windows ACL sur UGREEN NAS

Mécanismes de mise en œuvre et de sécurité de Windows ACL sur UGREEN NAS

I. Présentation

Une liste de contrôle d'accès (ACL) est un mécanisme de gestion granulaire des autorisations utilisé pour contrôler les droits d'accès aux objets (tels que les fichiers, les dossiers ou les programmes) au sein d'un système. Chaque ACL se compose de plusieurs entrées de contrôle d'accès (ACE), chacune définissant le type d'autorisation (lecture, écriture, suppression ou gestion) dont dispose un utilisateur ou un groupe spécifique pour l'objet cible.

Ugreen NAS prend entièrement en charge le modèle d'autorisation ACL de Windows. Les administrateurs peuvent configurer des quotas de stockage indépendants, des limites de vitesse d'accès et des autorisations pour différents utilisateurs ou groupes grâce à la fonctionnalité de gestion des comptes d'Ugreen NAS. Cela permet une collaboration multi-utilisateurs flexible tout en maintenant un niveau de sécurité élevé.
De plus, chaque utilisateur dispose d'un dossier « Accueil » indépendant. Le système isole automatiquement l'accès aux données entre les utilisateurs via l'ACL, garantissant ainsi la confidentialité et la sécurité.

II. Glossaire

Nom	Nom complet en anglais	Définition
Liste de contrôle d'accès (ACL)	Liste de contrôle d'accès	Liste utilisée pour définir les attributs de sécurité des objets, notamment les fichiers, les répertoires, les processus, etc. Une ACL se compose de plusieurs entrées ACE.
Entrée de contrôle d'accès (ACE)	Entrée de contrôle d'accès	Unité fondamentale d'une ACL, qui définit les autorisations d'accès, les attributs d'héritage et d'autres informations d'un sujet de sécurité (utilisateur ou groupe).

III. Personnalisation des autorisations ACL Windows

Ugreen NAS fournit une interface graphique de gestion des autorisations. Les administrateurs peuvent configurer le contrôle d'accès pour les utilisateurs, les groupes ou les dossiers partagés à l'aide des méthodes suivantes.

Modification des autorisations utilisateur :

1. Ouvrez l'application [Panneau de configuration], cliquez sur [Gestion des utilisateurs] > [Utilisateurs].

2. Cliquez avec le bouton droit sur l'utilisateur à modifier et sélectionnez « Modifier ».

3. Cliquez surl'option « Autorisations et paramètres »pour définir le niveau d'accès de l'utilisateur aux dossiers partagés :

● Refuser l'accès : impossible d'accéder à ce dossier ou à ses sous-dossiers ;

● Lecture seule : peut afficher le contenu, mais ne peut ni le modifier ni le supprimer ;

● Lecture et écriture : possibilité de lire, modifier, supprimer ou créer des fichiers.

4. Cliquez sur « Enregistrer »pour terminer les paramètres.

Modifier les autorisations d'un groupe d'utilisateurs :

1. Ouvrez l'application [Panneau de configuration], cliquez sur [Gestion des utilisateurs] > [Groupes d'utilisateurs]

2. Cliquez avec le bouton droit sur le groupe cible et sélectionnez « Modifier ».

3. Cliquez surl'option « Autorisations et paramètres »pour configurer le niveau d'accès du groupe aux dossiers partagés (Refuser l'accès / Lecture seule / Lecture et écriture).

4. Cliquez sur « Enregistrer »pour terminer la configuration.

Modification des autorisations des dossiers partagés

1. Ouvrez l'application 【Gestionnaire de fichiers】 et cliquezsur 【Dossiers partagés】dans la barre latérale.

2. Cliquez avec le bouton droit sur le dossier cible et sélectionnez «Propriétés ».

3. Cliquez surl'option « Autorisations »pour configurer individuellement les droits d'accès des administrateurs, des utilisateurs réguliers et des groupes d'utilisateurs.

4. Cochez ou décochez les cases d'autorisation correspondantes pour chaque utilisateur ou groupe, puis cliquez sur «OK » pour enregistrer les paramètres.

IV. Affichage des autorisations ACL Windows

Sur le terminal NAS, utilisez la commande `ugacltool ` pour afficher les configurations d'autorisations ACL pour le répertoire ou le fichier actuel. Par exemple :

ugacltool get test.txt

Exemple de résultat :

L'exemple ci-dessus contient 4 entrées de contrôle d'accès (ACE) :

● Groupe admin: autorisations de lecture et d'écriture

● Utilisateur u1: autorisations de lecture et d'écriture

● utilisateur user2: lecture et écriture

● utilisateur user3: lecture seule

V. Explication des bits d'autorisation ACL

Ugreen NAS prend en charge la configuration des autorisations ACL pour les 6 types de rôles suivants, ainsi que 13 bits d'autorisation (« rwxpdDaARWcCo ») et 4 autorisations d'héritage (« fdin »).

[utilisateur | groupe | propriétaire | tout le monde | utilisateur authentifié | système]

Bits d'autorisation (13 types)

Symbole	Signification	Description
r	lire les données	Lire le contenu du fichier
w	écrire les données	Écrire/créer un fichier
x	exécuter	exécuter le fichier
p	ajouter des données	créer un répertoire
d	supprimer	Supprimer le fichier actuel
D	supprimer le sous-répertoire	Supprimer les fichiers du répertoire
a	lire l'attribut	Lire les attributs étendus
A	attribut d'écriture	Écrire l'attribut étendu
R	lire xattr	Réservé
W	Écrire xattr	Réservé
c	lire acl	Lire ACL
C	Écrire ACL	Modifier ACL
o	Propriété	Modifier la propriété (ne peut être modifiée qu'en faveur de soi-même)

Attributs d'héritage (4 types)

Symbole	Signification	Description
f	fichier hérité	Fichier hérité
d	répertoire hérité	répertoire hérité
i	hériter uniquement	utilisé uniquement pour l'héritage, pas pour l'authentification
n	pas de propagation	Ne se propage pas à travers plusieurs niveaux ; hérite uniquement du niveau suivant

VI. Mécanisme d'héritage des autorisations

1. Règle d'héritage automatique (
) Les objets enfants héritent automatiquement des autorisations ACL de leur répertoire parent. Par exemple, si le répertoire A accorde à l'utilisateur Mike une autorisation de lecture, tous les fichiers de ce répertoire autoriseront automatiquement Mike à y accéder.

2. Mises à jour dynamiques
Lorsque les autorisations du répertoire parent sont modifiées, le système synchronise automatiquement les mises à jour vers les sous-dossiers et les fichiers.
Si un utilisateur modifie manuellement les autorisations d'un fichier à l'aide de la commande chmod, l'héritage ACL sera restauré au redémarrage ou à la resynchronisation du système.

VII. Mécanismes de sécurité de l'ACL Windows par rapport aux autorisations Linux

Lorsque vous affichez des dossiers partagés à l'aide des commandes ls ou stat sur des terminaux NAS, les autorisations de fichiers peuvent apparaître sous la forme 777 (c'est-à-dire rwxrwxrwx).
Cela n'indique pas une vulnérabilité de sécurité, mais résulte de considérations de compatibilité et de conception de la sécurité.

1. Différences de compatibilité :

Les ACL Windows diffèrent structurellement du système d'autorisation traditionnel de Linux (propriétaire/groupe/autres) et ne peuvent pas être directement mappées.
Le NAS Ugreen affiche 777 pour garantir que toute la logique de contrôle d'accès est gérée de manière uniforme par la couche ACL.

2. ACL Windows vs mécanisme de vérification des autorisations SSH :

Lorsque les ACL Windows sont activées pour un répertoire ou un fichier, le système détermine les autorisations d'accès en fonction des ACL plutôt que des autorisations Linux traditionnelles. L'utilisation de `ls -l` pour afficher les autorisations affichera 777 (rwxrwxrwx) – une méthode d'affichage choisie pour des raisons de compatibilité et de sécurité.

Si vous stockez votre fichier de clé publique SSH dans un dossier partagé et que vous essayez de vous connecter au NAS, le répertoire géré par Windows ACL entraîne l'affichage des autorisations sous la forme 777 par la couche Linux. Lors de ses contrôles de sécurité préalables à la connexion, le service sshd déterminera que les autorisations de clé sont trop permissives et rejettera l'authentification.

Il ne s'agit pas d'un refus d'accès au niveau du noyau, mais plutôt d'un blocage proactif par le service SSH des tentatives de connexion non sécurisées.

Par conséquent, les fichiers apparaissant avec des autorisations 777 dans les dossiers partagés ne présentent pas en soi un risque pour la sécurité. À l'inverse, ce mécanisme empêche toute utilisation abusive lorsque des clés sont accidentellement placées dans des répertoires partagés, ce qui représente un choix de conception plus sûr et plus raisonnable.

3. Recommandations de sécurité :

Clés de connexion SSH : stockez-les dans le répertoire ~/.ssh de votre dossier personnel ;

Clés d'utilisation de Docker : elles peuvent être placées dans /root ou dans un répertoire sécurisé personnalisé ;

Évitez de stocker des informations d'identification sensibles ou des fichiers de clés dans des dossiers partagés.

VIII. Connexion SSH de l'administrateur et mécanisme de vérification ACL

Pour les comptes appartenant au groupe d'utilisateurs admin ( administrateurs ) :

● Lors de la connexion avec des clés SSH, le système valide uniquement les entrées ACL liées à l'utilisateur connecté et au groupe admin ;

● Si des règles ACLredondantes sont détectées (par exemple, d'autres utilisateurs ou groupes ajoutés au même répertoire), la connexion SSH sera refusée ;

● Cette conception garantit la sécurité et l'unicité des connexions par clé publique SSH.