InstantAFS-Einführung für Benutzer

Transkript

1 InstantAFS-Einführung für Benutzer Frank Burkhardt 10. April

2 Inhaltsverzeichnis 1 Einführung Ganz kurz - wie funktioniert es? Vorteile von AFS Betriebssystemspezifisches Linux Windows MacOSX Was sind Volumes Was ist eine AFS-Zelle Wo finde ich was? Benutzergruppen im AFS Backups zurückholen ohne Administrator Wieviel Speicher (= Quota) steht zur Verfügung? Authentifikation: Wie erkennt AFS einen Benutzer? Ändern des Passwortes Autorisation: Zugriffsrechte im AFS Ändern von Zugriffsrechten Inkompatibilitäten zwischen AFS und anderen Unix-Dateisystemen 9 2 Anmeldung auf Zeit Besonderheiten der AFS-Authentifikation Tokens PAGs Was ist das? Wozu soll das gut sein? Wie weiss man, ob man in einer PAG ist? Batch-Jobs Jobs im Hintergrund Interaktive Jobs im Hintergrund

3 3 Spezielle Kommandos für AFS tokenmgr achmod Nicht-interaktives Verändern von Rechten pts Lebenslauf einer AFS-Gruppe Typische Arbeitsvorgänge Daten zwischen AFS und lokaler Platte kopieren Restplatz abfragen Zugriffsrechte definieren bzw. ändern Zugriffsberechtigung verlängern Administrationsfunktionen Ein neues Volume anlegen Maximalgröße (Quota) eines Volumes setzen

4 1 Einführung Diese Broschüre richtet sich an Benutzer, die mit AFS arbeiten wollen/müssen. Für Administratoren gibt es ebenfalls eine Anleitung. Diese findet man auf der Homepage des InstantAFS-Projektes: Einige der Informationen aus dieser Broschüre sind allgemeingültig, andere beziehen sich nur auf unsere Zelle. Alle Informationen, die spezifisch für das Max Planck Institut für Kognitionsund Neurowissenschaften sind, werden in solch einem Rahmen dargestellt. 1.1 Ganz kurz - wie funktioniert es? AFS ist ein Netzwerkdateisystem wie NFS unter Linux und SMB unter Windows. Es ermöglicht Anwendern an ihren Computern (AFS-Clients), mit Dateien zu arbeiten, die auf anderen Computern (AFS-Fileservern) im Netzwerk liegen. Viel Lesestoff zu AFS gibt s unter: AFS-Server und -Client-Computer sind in sogenannten Zellen organisiert, die jeweils unabhängig von anderen Zellen verwaltet werden können. Das AFS-Dateisystem ist unter dem Verzeichnis /afs/[zellenname] zu erreichen. Die Kurzform /a kann auf der Kommandozeile verwendet werden, um Tipparbeit zu sparen, darf jedoch nicht in Skripten benutzt werden. Die Zelle des Max Planck Institutes für Kognitions- und Neurowissenschaften heisst cbs.mpg.de - der Pfad in unsere Zelle heisst also: /afs/cbs.mpg.de Unter Windows können das AFS oder Teile davon auf einem beliebigen Laufwerksbuchstaben liegen. Auf Metaframe-Terminalservern (also unter Windows) ist die Zelle des MPI/CBS unter F:\ zu finden. 1.2 Vorteile von AFS AFS bringt im Gegensatz zu einfacher gestrickten Netzwerkdateisystemen einen gewissen Mehraufwand mit sich, bietet dafür aber auch mehr: Unter AFS muss sich der normale Anwender nicht darum kümmern, wo die Daten liegen - die physische Position der Daten 1 ist also üblicherweise nicht Teil des Pfades. Beispiel: /netz/server abc/wichtiges-projekt/probanden/05 wird dann z.b. zu /afs/meinezelle/projekte/wichtiges-projekt/probanden/05 1 z.b. auf welchem Server sie liegen 4

5 Beispiel aus dem MPI/CBS: /scr/eegraid/lehmann/eeg-projekt/probands/05 wird z.b. zu /afs/cbs.mpg.de/projekte/eeg-projekt/probands/05. AFS bietet einen sehr guten Schutz vor unbefugtem Zugriff auf die Nutzer- Daten. Datenübertragungen über das Netzwerk werden üblicherweise verschlüsselt. Im MPI/CBS werden alle über das AFS benutzten Daten verschlüsselt. Hinweis: Die Verschlüsselung bezieht sich nur auf den Weg der Daten durch das Netzwerk. Auf dem Server selbst liegen die Daten unverschlüsselt. Natürlich kann man Daten auch auf den Fileservern selbst verschlüsselt ablegen, allerdings hat AFS damit nicht direkt etwas zu tun. AFS gibt dem Benutzer mehr Kontrolle darüber, wer auf welche Daten zugreifen darf. Er kann - ohne dass er ein Administrator ist - sehr genau regeln, welche Personen auf seine Daten zugreifen dürfen. Dazu kann er z.b. selbstständig Benutzergruppen definieren und solchen Gruppen Rechte auf bestimmte Dateien zuweisen (siehe 3.3, Seite 16). AFS skaliert sehr gut - es ist z.b. möglich, mehr Speicher in das AFS zu integrieren, ohne dass man sich als Benutzer an neue Pfade gewöhnen muß. So eine Speichererweiterung wird unter AFS i.d.r. im laufenden Betrieb ohne irgendeine Unterbrechung vorgenommen. Daten können im AFS redundant abgelegt werden. Das zu organisieren ist jedoch Aufgabe des Administrators. Dabei wird keine sogenannte Echtzeitreplikation eingesetzt. Die Daten werden auf einem Fileserver abgelegt und immer nachts auf andere Fileserver kopiert. Im MPI/CBS werden alle Projektdaten, AFS-Homedirectories, Patientensowie Probandendaten mindestens doppelt auf Fileservern gehalten. 1.3 Betriebssystemspezifisches Linux Wenn man sich unter Linux einloggt, ist man automatisch am AFS angemeldet. Einige Rechner im Institut sind noch nicht AFSifiziert. Ob ein Rechner AFStauglich ist, bekommt man herraus, indem man den Befehl afstest ausführt Windows MacOSX AFS unter Windows wird im Institut unterstützt. Es wird auf Anfrage auf Arbeitsplatzrechnern installiert. Die AFS-Unterstützung auf den Metaframe- Servern ist im Aufbau. Unter MacOSX 10.3 (Panther) kann man auf Daten im AFS zugreifen. Allerdings ist man nicht gleich beim Einloggen am AFS angemeldet. Unter Programme/Dienstprograme/Kerberos findet man ein Programm, das die Anmeldung am AFS steuert - am besten zieht man es ins Dock. Hat man das gemacht, kann man sich mit Name und Passwort anmelden und sieht in dem Symbol im Dock die verbleibende Zeit des AFS-Tokens. 5

6 Einschränkungen: Einige Programme funktionieren unter MacOSX (noch) nicht. Dazu zählen achmod und alles was mit instantafs. beginnt. 1.4 Was sind Volumes 1.5 Was ist eine AFS-Zelle 1.6 Wo finde ich was? Volumes sind die elementaren Bausteine des AFS. Es sind die Container, Aktenordner, Ablagen, in denen sinnvollerweise zusammengehörige Daten (z.b: ein Homedirectory, Dokumente eines Forschungsprojektes, eine bestimmte Software) abgelegt werden. In einem Volume kann man Ordner erzeugen, um seine Daten hierarchisch abzulegen. Der ganze Dateibaum unter /afs besteht aus zusammengehängten Volumes. Jedes Volume hat eine einstellbare Maximalgröße. Volumes kann man von einem Server auf einen anderen schieben, während Benutzer mit den enthaltenen Daten arbeiten. Dadurch können Wartungsarbeiten an Servern üblicherweise ohne Betriebsunterbrechung durchgeführt werden. Eine Zelle ist ein Organisationseinheit des AFS. Man kann sie mit Domänen von Windows vergleichen. Eine Zelle beinhaltet mehrere Datenbanken, in denen z.b. die enthaltenen Benutzer, Benutzergruppen und Volumes stehen. Eine Zelle repräsentiert dabei z.b. einen Fachbereich einer Hochschule oder auch eine ganze Universität. Auf viele Zellen kann man weltweit zugreifen - man muss nur den Namen der Zelle kennen. Die Zelle des MPI/CBS ist derzeitig nicht weltweit erreichbar. Aus Sicht des Benutzers ist eine Zelle ein Verzeichnisbaum, der unter /afs/[zellenname] angeordnet ist. Der AFS-Namensraum kann von den Verwaltern der Zelle frei gestaltet werden. Temporärer Speicher Unter /afs/cbs.mpg.de/tmp/leipzig und /afs/cbs.mpg.de/tmp/bennewitz können Dateien zwischengespeichert werden, die dort eine Woche liegen dürfen - danach jedoch automatisch gelöscht werden (ähnlich dem üblichen /scr/transfer. Die Verzeichnisse unterscheiden sich nur dadurch, wo sie physisch liegen. Diese Unterscheidung ist wichtig und zu beachten, da die Netzwerkverbindung nach Bennewitz sehr langsam ist. Projekte Unter /afs/cbs.mpg.de/projects befinden sich alle Projekte - z.b. Experimente und Studien. Dabei handelt es sich um Projekte, an denen viele Personen arbeiten eine Diplomarbeit fällt z.b. nicht darunter. Homedirectories Homedirectories befinden sich im AFS unter /afs/cbs.mpg.de/user/loginname. Im Verzeichnis /afs/cbs.mpg.de/backup/user/ro/loginname befindet sich der Stand des gestrigen Tages (siehe 1.8, Seite 7). Software Grosse Softwarepakete (Matlab, ICA, EEPTools,...) befinden sich unter /afs/cbs.mpg.de/software. Dieses Verzeichnis wird nach und nach alle jetzt noch unter /usr/local gespeicherte Software aufnehmen. 1.7 Benutzergruppen im AFS Unter AFS gibt es die Möglichkeit, komfortabel Benutzergruppen zu bilden. Einfache Benutzer dürfen selbstständig Gruppen anlegen, bearbeiten und löschen. Anlegen dürfen sie allerdings nur Gruppen, deren Name mit dem Namen des eigenen Benutzernamen und einem : beginnt. 6

7 -l Für das Bearbeiten von Benutzergruppen ist die pts-befehlsfamilie zuständig (siehe 3.3, Seite 16). Die Namen der Benutzergruppen im MPI/CBS haben eine gewisse Struktur. Die Namen der Gruppen, die die Zugriffsrechte auf Projekte regeln, beginnen immer mit proj.. Jedes im AFS im Institut gespeicherte Projekt erhält automatisch einige Default-Gruppen. Je nach Projektart sind das bis zu 4: 1. proj.kürzel.readers enthält Personen, die für alle Daten im Projekt Leserechte haben. 2. proj.kürzel.writers enthält Benutzer, die auf alle Daten im Projekt Schreibrechte haben. Ausserdem können Mitglieder dieser Gruppe neue Probanden-/Patienten-Volumes anlegen. (siehe 4.5.1, Seite 19). 3. proj.kürzel.admin enthält Benutzer, die die Administrative Kontrolle über ein Projekt haben. Mitglieder dieser Gruppe können die Zugriffsrechte in den Verzeichnissen des Projektes bearbeiten. Ausserdem können sie Benutzer in die Projektgruppen einfügen und auch wieder entfernen. 4. Mitglieder von proj.kürzel.restricted haben nur begrenzte Zugriffsrechte auf das Projekt. Sie kommen z.b. nicht an kritische personenbezogene oder personenbeziehbare Daten der Patienten/Probanden, haben jedoch Zugriff auf Skripte und Dokumente des Projektes. Hinweis: Wenn ein AFS-Benutzer in eine Gruppe hineingeholt oder aus einer rausgeschmissen wird, dann kann es sein, dass die AFS-Fileserver das nicht sofort bemerken. Um sicherzustellen, dass der umgruppierte Benutzer sofort von seinen neuen Rechten gebrauch machen kann, muss sich dieser Benutzer neu am AFS anmelden - z.b. so: 1.8 Backups zurückholen ohne Administrator Liegt das eigene Homedirectory im AFS, so kann man jederzeit lesend auf die Version des letzten Tages zurückgreifen. Genauer: Am späten Abend eines jeden Wochentages (Montag bis Freitag) wird von jedem Homedirectory ein Abbild gemacht und gespeichert. Daraus folgt, dass man z.b. am Montag morgen immer noch das Abbild vom Freitagabend sieht. Durch den Zugriff auf ein spezielles Verzeichnis kann man auf dieses Backup lesend zugreifen. Im MPI/CBS heißt dieses Verzeichnis: /afs/cbs.mpg.de/backup/user/ro/loginname. Wurde z.b. versehentlich eine wichtige Datei gelöscht, kann man diese einfach aus dem gestrigen Homedirectory wieder ins aktuelle kopieren. 1.9 Wieviel Speicher (= Quota) steht zur Verfügung? Unter NFS war es üblich, dass jeder Benutzer z.b. pro Fileserver eine bestimmte Menge Platz belegen konnte. Unter AFS besitzt jedes Volume eine definierbare Maximalgröße, die für alle enthaltenen Daten, egal von welchem Benutzer, in diesem Volume gilt. Pro-Benutzer-Quotas werden nicht unterstützt. Wie man 7

8 den zur Verfügung stehenden Speicherplatz abfragen kann, ist unter 4.2 auf Seite 18. Im MPI/CBS bekommt jeder per default derzeitig 750MB Speicher für sein Homedirectory-Volume Authentifikation: Wie erkennt AFS einen Benutzer? Ändern des Passwortes AFS bietet ein hohes Maß an Sicherheit, was der Benutzer mit einem gewissen Mehraufwand bezahlt: Er muss sich nicht nur am Rechner, sondern auch am Filesystem anmelden. Logt man sich allerdings unter KDE ein, wird man automatisch am AFS angemeldet. Details dazu gibt s unter 2 auf Seite 10. Die Administratoren der Zelle müssen eine Möglichkeit zur Verfügung stellen, das Passwort zu ändern. Am MPI/CBS muß man zur Änderung des Passwortes den LDAP-Server herranziehen. Unter kann man bestimmte Daten des eigenen Accounts bearbeiten und auch das eigene Passwort neu setzen Autorisation: Zugriffsrechte im AFS Ändern von Zugriffsrechten AFS regelt die Zugriffsrechte anders als Linux. Unter AFS gibt es keine Möglichkeit, Dateien in einem Verzeichnis mit unterschiedlichen Zugriffsrechten auszustatten. AFS-Zugriffsrechte werden grundsätzlich nur pro Verzeichnis definiert und gelten dann für alle Dateien in dem jeweiligen Verzeichnis. Legt man neue Verzeichnisse an, so erben diese die Rechte des übergeordneten Verzeichnisses. Die Rechte der Unterverzeichnisse kann man aber manuell wieder ändern. Diese Verhalten kann man nutzen um sich z.b. in seinem HOME-Directory einen Ordner /private anzulegen mit weit eingeschränkten Zugriffsrechten. Dort deponierte Dateien sind dann vor fremden Blicken effizient geschützt. Die Rechte an einem Verzeichnis werden in Form von Listen verwaltet, wobei jeder Eintrag in einer solchen Liste jeweils aus einem Benutzer bzw. einer Gruppe und den zugeordneten Rechten besteht. Mit dem Kommando user@host>achmod Verzeichnisname (siehe 3.2, Seite 14) können Verzeichnisrechte im AFS interaktiv bearbeitet werden - mehr dazu unter 3.2 auf Seite 14. Für Shell-Skripte oder automatisierte Änderungen von vielen Verzeichnissen bietet sich dieses Kommando an: user@host>fs sa Verzeichnis Benutzer/Gruppe 8

9 Berechtigungsstring Der Berechtigungsstring setzt sich aus einzelnen Buchstaben zusammen, deren Bedeutung in Tabelle 3.1 auf Seite 15 erklärt ist. Beispiel: sa /public html ernie rl... gibt ernie Zugriffsrechte auf das Verzeichnis public html im Homedirectory des aufrufenden Benutzers Inkompatibilitäten zwischen AFS und anderen Unix-Dateisystemen Die plattformunabhängigkeit von AFS zieht einige Kompromisse in der Kompatibilität zu Unix-Filesystemen nach sich: Rechte beziehen sich immer auf ganze Verzeichnisse, nicht auf einzelne Dateien. Die Modebits (z.b. das -rwxrwxr-x vorne am ls -l-output) haben praktisch keine Bedeutung unter AFS. Lediglich die x-bits werden von Linux interpretiert, um zu ermitteln, ob die Datei ausführbar ist oder nicht. Die Gruppe, der eine Datei oder ein Verzeichnis gehört, hat keine Bedeutung unter AFS - es zählen nur die ACLs (siehe 1.11, Seite 8). AFS unterstützt nicht alle unter Unix gewohnten Dateisystemobjekte. AFS kennt folgende Objekte: Verzeichnisse Dateien und Symbolische Links Extravagante, unter Unix jedoch üblichen Dateisystemobjekte wie Pipes Sockets oder Device-Files kennt AFS nicht. Dies führt dazu, dass einige wenige Programme nicht mehr ohne zusätzliche Anpassungen funktionieren. Im Problemfall steht die EDV-Abteilung helfend zur Seite. 9

10 2 Anmeldung auf Zeit 2.1 Besonderheiten der AFS-Authentifikation Als am AFS angemeldet gilt man, wenn man ein gültiges Token hat. Ein Token ist vergleichbar mit einer Fahrkarte in der Strassenbahn - es ist nur einen gewissen Zeitraum lang gültig, danach ist es nur noch wertloses Papier. Die Anmeldung am AFS ist auf 26h. Ist die Zeit abgelaufen, wird man vom AFS als Anonymer Nutzer eingestuft. Auch anonyme Nutzer dürfen i.d.r. bestimmte Dinge im AFS machen - in das Homedirectory eines Nutzer schreiben ist dagegen üblicherweise ausgeschlossen. Folgende Effekte können auftreten, wenn das Token plötzlich abläuft: testnutzer@rechner> echo /afs/cbs.mpg.de/user/testnutzer user@host>tokenmgr -l Liegt das eigene Homedirectory im AFS 1, reagiert das KDE nicht mehr richtig. Wo das eigene Homedirectory liegt, lässt sich z.b. so herausfinden: In diesem Fall ist testnutzer s Verzeichnis im AFS. Der Zugriff auf Dateien und Verzeichnisse, für die man eigentlich Rechte besitzt, ist nicht mehr möglich. (Erneut) einloggen kann man sich mit dem Kommando Gibt man dieses Kommando ein, hat man wieder 26h Zeit. 2.2 Tokens user@host>tokenmgr -l Unter Dateisystemen wie NFS war es üblich, dass man einmal angemeldet bis zum nächsten Stromausfall an einem System arbeiten konnte. AFS jedoch benutzt für den Zugang zum Dateisystem aus Sicherheitsgründen nur Tageskarten sogenannte Tokens. Jeder Nutzer erhält beim Anmelden ein solches Token. Der Computer, an dem der Nutzer eingeloggt ist, benutzt dieses Token für jeden Zugriff auf AFS-Fileserver. Läuft das Token ab, erkennt der Server den Nutzer nicht mehr und stuft ihn als unbekannt ein. Man verliert schlagartig den Zugriff auf seine Daten, auch auf sein Home-Directory, Browser-Fenster reagieren nicht mehr und es treten Fehlern beim Abspeichern auf. Es ist möglich, sich mit diesem Kommando schnell einen neuen Token zu holen: Normalerweise reicht es jedoch aus, sich einfach nach der Arbeit aus- und am nächsten morgen ganz normal wieder einzuloggen. 1 Das ist der Fall, wenn es mit /afs beginnt. 10

11 Ob und wie lange noch man gerade im Besitz eines Tokens ist, kann man wie folgt herrausfinden: -t I: time left for your token: 526 minutes (8:46) Besitzt man kein Token mehr, wird folgendes ausgegeben: W: token s validity below given minimum or no token available 2.3 PAGs Was ist das? Wozu soll das gut sein? Am Institut ist ein Token 26h gültig. Hinweise: Ein ungültiges (also abgelaufenes) Token wird vom Betriebssystem automatisch gelöscht, da es sowieso nicht mehr verwendet werden kann. Ein Token berechtigt jeweils zum Zugriff auf eine einzige Zelle. Benötigt man authorisierten Zugriff auf andere Zellen, muss man sich weitere Tokens besorgen - man kann mit mehreren Tokens gleichzeitig arbeiten. Aus dem MPI/CBS sind keine anderen Zellen als cbs.mpg.de erreichbar. Dieses Kapitel kann überspringen, wer am Rechner nie seine AFS-Benutzeridentität Identität wechseln muss. Wer nicht weiss, was damit gemeint ist, der macht es auch nicht. Eine PAG (Process Authentication Group) ist eine Möglichkeit, um Authentifikationsinformationen an eine Gruppe von Prozessen zu binden. Eine PAG wird von einem Prozess (i.d.r. beim Einloggen) erstellt - alle Unterprozesse und deren Unterprozesse sind dann automatisch in dieser PAG enthalten. Loggt man sich in einem dieser Prozesse ins AFS ein, sind automatisch alle anderen Prozesse der selben PAG auch eingeloggt. Der normale Durchschnittsnutzer benutzt üblicherweise nur eine PAG - nämlich die, die beim Starten von KDE automatisch erstellt wird. Damit laufen alle Prozesse der Sitzung mit den selben Zugangsrechten zum AFS. Kritisch wird es, wenn ein Benutzer (z.b. ernie) manchmal eine andere Rolle hat und z.b. als ernie/admin eine Datei in einem schwer gesicherten Verzeichnis anlegen muß. Würde er sich einfach mit ernie@host> tokenmgr -lp ernie/admin bash einloggen, würde das neue ernie/admin-token auch für alle anderen Prozesse der KDE-Sitzung gelten, wodurch diese u.u. nicht mehr in das Homedirectory von ernie schreiben könnten. Besser geht es so: ernie@host> tokenmgr -S ernie/admin bash Die bash, die von diesem Kommando gestartet wird, arbeitet mit den Rechten von ernie/admin-rechte, jedoch wird kein anderer Prozess 2 davon beein- 2 abgesehen von den Unterprozessen, die in der neuen bash gestartet werden 11

12 flusst Wie weiss man, ob man in einer PAG ist? -c We re inside a PAG. Durch folgendes Kommando kann man herrausfinden, ob man in einer PAG ist oder nicht: In diesem Fall ist man in einer. Weitere Informationen findet man in der Anleitung für Administratoren. 2.4 Batch-Jobs Lange Berechnungen oder Downloads können die Gültigkeitsdauer eines Tokens überschreiten. Für diese Zwecke kennt das tokenmgr-kommando die Option -r. Ein lange laufendes Programm startet man wie folgt: user@host>tokenmgr -S -- Programmaufruf tokenmgr erfragt nun das Passwort des Benutzers, startet das angegebene Programm und erneuert das Token automatisch immer kurz bevor dieses abläuft. 2.5 Jobs im Hintergrund Sollen Jobs im Hintergrund 3 laufen kann man das wie folgt machen: user@host>tokenmgr -rbs Benutzername - - Kommando Solche Jobs laufen ohne Interaktionsmöglichkeit im Hintergrund. Muss man in den laufenden Job später noch eingreifen, gibt es andere Möglichkeiten (siehe 2.6, Seite 12). 2.6 Interaktive Jobs im Hintergrund Es gibt eine leichte Möglichkeit, Jobs im Hintergrund auszuführen, sich jedoch die Option offen zu halten, diese Jobs noch zu beeinflussen. Man kann dafür eine screen-session benutzen, wozu jedoch zusätzlich das Paket screen.deb installiert sein muß. screen ist ein sog. Terminalmultiplexer, der aus einem Client- und Server-Prozess besteht. So funktioniert s: Man erstellt eine neue screen-session in einer PAG (siehe 2.3, Seite 11): user@host>tokenmgr -R I: tokenmgr is going to create a reauthenticated screen-session now. You I: have to enter your password twice. Short list of screen -commands: I: [Ctrl]+A c - create a new virtual terminal I: [Ctrl]+A d - send screen-session to the background (apps will continue) I: [Ctrl]+A n or [Ctrl]+A p - switch between virtual terminals I: screen -r - re- attach screen-session from the background Password for Benutzer@Zelle : ge-heim 3 so wie bei einem nohup-aufruf 12

13 Der Terminalmultiplexer startet und das erste Terminal wird sichtbar. In diesem Terminal wird der Reauthentifizierungsprozess ausgeführt, man muß das Passwort noch einmal eingeben: Password for : ge-heim I: time left for your token: seconds (9h:59m) I: will sleep seconds now. screen -r Mit der Tastenkombination [Strg]+A c erstellt man einen neuen virtuellen Terminal in der screen-session - eine bash wird automatisch gestartet. Alle Kommandos, die man in diesem Terminal 4 startet laufen auf ewig mit einem gültigen Token. Mit der Tastenkombination [Strg]+A N wechselt man zwischen den virtuellen Terminals. Es existieren noch viele weitere Tastenkombinationen - Hilfe zu screen bekommt man mit Um die Verbindung zur screen-session zu trennen, macht man einfach das Terminalfenster (i.d.r. xterm, konsole oder Eterm) zu - alle Programme in der screen-session laufen weiter. Um die Programme der screen-session wieder anzeigen zu lassen, führt man folgendes Kommando aus: 4 oder auch in einem weiteren - man kann beliebig viele Terminals aufmachen 13

14 3 Spezielle Kommandos für AFS 3.1 tokenmgr --help tokenmgr ist ein Skript, das sich darum kümmert, Tokens von einem sogenannten Kerberos-Server zu holen. Außerdem ist es in der Lage, die Gültigkeit von Tokens zu überwachen und diese selbstständig kurz vor Ablauf zu verlängern. Eine Übersicht mit möglichen Kommandos und Optionen erhält man so: 3.2 achmod -l Auf folgender Website wird tokenmgr noch etwas eingehender beschrieben: TokenMgr Dieses Skript ist eine Eigenentwicklung des MPI. In AFS-Zellen kommen dafür eigentlich die Programme kinit und aklog zum Einsatz. Hier einige Anwendungsbeispiele: Man kann sein eigenes Token kurzfristig verlängern: Dieses Kommando ist z.b. dann praktisch, wenn man am Abend das Ausloggen vergessen hat und nun der Zugriff auf das AFS verwehrt wird. Benutzt man ssh ohne ein Password (also z.b. mit Public-Key-Authentifikation), so bietet es sich an, das Kommando tokenmgr -T in der Datei /.bashrc zu verewigen - z.b. so: user@host>cat /.bashrc [ 1 = "$SHPROFILE"] && tokenmgr -T Meldet man sich nun per ssh am System an, so testet tokenmgr, ob ein gültiges Token vorhanden ist. Ist keines vorhanden, so wird der Benutzer nach seinem Password gefragt und ein Token beschafft. Ein Job, erklärt am Beispiel von sleep , soll im Hintergrund laufen. In einer Shell gibt man folgenden Befehl ein: user@host>tokenmgr -S -- sleep Password for user@cbs.mpg.de : Passwort I: time left for your token: seconds (26h:0m) I: will sleep seconds now. Das Kommando läuft nun mit einem gültigen Token durch, obwohl der Schlaf ca. 28h dauert. Das Kommando achmod kann benutzt werden, um Verzeichnisrechte im AFS zu bearbeiten. Dateien im AFS besitzen zwar auch die normalen File-Permissions 14

15 - -help user@host>achmod. data user@host>achmod -r data Nicht-interaktives Verändern von Rechten des Filesystems, jedoch haben diese keine Bedeutung. Die verfügbaren Rechte sind in Tabelle 3.1 auf Seite 15 aufgeführt. Symbol Recht Bedeutung l list Dieses Recht erlaubt, die Einträge in einem Verzeichnis zu lesen (also z.b. das ls-kommando auszuführen). Hat ein Benutzer dieses Recht nicht, darf er gar nichts - nicht einmal durch das Verzeichnis hindurchwechseln. r read read erlaubt, Dateien im entsprechenden Verzeichnis zu lesen. w write Mit write erhält man das Recht, existierende Dateien des entsprechenden Verzeichnisses beliebig zu verändern. Achtung: Zum Anlegen neuer Dateien ist ein anderes Recht (insert) nötig. i insert Dieses Recht ermöglicht es, Dateien anzulegen, schließt jedoch nicht das Recht ein, sie später wieder zu ändern. d delete Mit diesem Recht ist es möglich, Dateien und Verzeichnisse in einem Verzeichnis zu löschen. k lock lock berechtigt dazu, Dateien im Verzeichnis zu sperren (flock()). flock() sperrt die Datei nur in der Hinsicht, dass andere Programme, die flock() benutzen, einen unverbindlichen Hinweis erhalten. Solche Sperren werden auf dem Server gesetzt - sind damit netzwerkweit gültig. a admin Dieses Recht ermöglicht das Ändern der Zugriffsrechte des Verzeichnisses. Tabelle 3.1: Die verschiedenen Rechte, die im AFS vergeben werden können AFS speichert für jedes Verzeichnis zwei Listen, die sogenannten Access Control Lists (ACL), in denen verschiedene Benutzer oder Gruppen mit zugeordneten Rechten stehen können. Die eine Liste (normal rights) gewährt Rechte, die andere Liste (negative rights) nimmt Rechte weg. Um die Übersicht nicht zu verlieren, sollte man nur die erste Liste verwenden. achmod kennt einige nützliche Optionen, die man online besichtigen kann: Hier einige Anwendungsbeispiele: So wird achmod angewiesen, die Rechte im aktuellen Verzeichnis genau so, wie im Verzeichnis data zu setzen: So werden die Rechte in dem Verzeichnis data sowie allen seinen Unterverzeichnissen (auf das, was man in dem dann erscheinenden Menü einstellt) gesetzt: Hinweis: Dieser Befehl wird niemals die Grenzen von Volumes (siehe 1.4, Seite 6) überschreiten. Sollte das dennoch gewünscht sein, muß man stat -r die Option -R benutzen. achmod kann auch für nicht-interaktive Bearbeitung von Rechten eingesetzt werden. Hier einige Beispiele: 15

16 -re.. So kann man die Rechte des aktuellen Verzeichnisse in alle Unterverzeichnisse übertragen: So sichert man ein Verzeichnis gegen fremde Augen ab: -s Geheimes Verzeichnis Hinweis: Das Kommando fs sa ist u.u. besser für nicht-interaktive Manipulation von Rechten geeignet - es kann jedoch keine kompletten Verzeichnisbäume mit neuen Rechten versehen. 3.3 pts Lebenslauf einer AFS-Gruppe Mit dem pts-kommando kann auf die Benutzerdatenbank des AFS zugegriffen werden. Besonders von Interesse sind dabei die Befehle zum Bearbeiten von Benutzergruppen (siehe 1.7, Seite 6). Beispiele: Ein neuer Arzt (Loginname: lehmann) beginnt am MPI/CBS und soll am kids-projekt mitarbeiten. Ein bestehendes Mitglied des proj.kids.admin- Gruppe muss ihn dazu in die Gruppe proj.kids.writers aufnehmen: ms-admin@host> pts add lehmann proj.kids.writers Eine Studentische Hilfskraft (Loginname: meier) hat früher Skripte für das ms- Projekt geschrieben, benötigt nun keinen Zugriff mehr. Ein bestehendes Mitglied der proj.ms.admin-gruppe muss sie dazu aus der Gruppe proj.ms.restricted rausschmeissen: kids-admin@host> pts remove meier proj.ms.restricted Ein beliebiger Nutzer will wissen, wer alles Administrative Rechte im Projekt fad hat. So werden die Mitglieder angezeigt: user@host>pts membership proj.fad.admin Hinweise: Der Namensraum von Gruppen und Benutzern ist identisch. Es darf also keine Gruppe geben, die wie ein Benutzer heisst. Das :-Zeichen und der eigene Benutzername davor ist im Namen einer neu anzulegenden Gruppe immer dann obligatorisch, wenn man die neue Gruppe als normaler Benutzer (also ohne Zellensuperuserrechte) anlegen will. Alle anderen Gruppen müssen Administratoren anlegen. ernie will den Zugriff auf das Verzeichnis intern in seinem Homedirectory auf einige Benutzer beschränken. Da die berechtigten Benutzer gelegentlich wechseln, bietet sich eine eigene Benutzergruppe dafür an. Im Beispiel soll sie intern heissen, da ernie sie selbst anlegen will, muss der Name jedoch mit ernie: beginnen: Die Gruppe wird angelegt: ernie@host> pts creategroup ernie:intern group ernie:intern has id

17 Die id interessiert nicht weiter. Jetzt gibt man den noch nicht existenten Mitgliedern der Gruppe Leserechte für das Verzeichnis /intern. Das geht entweder mit dem achmod-kommando (siehe 3.2, Seite 14) oder mit diesem Befehl: fs sa /intern ernie:intern rl Der Parameter rl bedeutet, dass die Mitglieder dieser Gruppe Dateien in dem Verzeichnis lesen dürfen (siehe 3.1, Seite 15). Jetzt müssen noch ein paar Leute in die Gruppe aufgenommen werden: pts add bert ernie:intern pts add kermit ernie:intern Wer alles Mitglied der Gruppe ist, kann man wie folgt anzeigen lassen: pts membership ernie:intern Members of ernie:intern (id: ) are: bert kermit Will ernie Personen aus der Gruppe rausschmeissen, muß er folgendes eingeben: pts remove bert ernie:intern pts delete ernie:intern Braucht ernie die Gruppe nicht mehr, kann sie leicht entfernt werden: Das sollte man auch tun, denn jeder Benutzer darf nur maximal 20 Gruppen 1 besitzen. 1 Die maximale Gruppenanzahl kann vom Administrator eingestellt werden 17

18 4 Typische Arbeitsvorgänge 4.1 Daten zwischen AFS und lokaler Platte kopieren Alle Programme, die außerhalb des AFS Dateien kopieren können ( cp, mc, konqueror,...) können Dateien und Verzeichnisse auch zwischen AFS und anderen Dateisystem kopieren. Dabei werden jedoch die Rechte nicht korrekt übertragen - normale Dateisysteme kennen schließlich nicht die fein granulierten AFS-Rechte und AFS interessiert sich nicht für das unter Unix übliche rwx- Schema. Nach dem Kopiervorgang sollte man - vor allem bei sensiblen Daten - sicherstellen, dass alle Rechte so gesetzt sind, wie man sich das vorstellt: Wurden Daten ins AFS kopiert, so sollte mittels achmod (siehe 3.2, Seite 14) überprüft werden, ab die Rechte korrekt sind. Wurden Daten aus dem AFS kopiert, kann man mit den Unix-üblichen Tools (ls, chmod, mc,...) überprüfen, ob die Rechte angemessen gesetzt sind und die Berechtigungen bei Bedarf anpassen. 4.2 Restplatz abfragen user@host>fs lq Verzeichnisname Man kann für ein bestimmtes Verzeichnis abfragen, wieviele Daten dort noch gespeichert werden dürfen, bevor es voll ist und das Quota-System keinen Schreibzugriff mehr erlaubt. Die unter Linux üblichen Kommandos df oder quota funktionieren unter AFS nicht mehr. Statt dessen verwende man: Der Aufruf zeigt folgende Daten zu einem Verzeichnis an: den verfügbaren Speicherplatz in einem Verzeichnis, den für den Nutzer nutzbaren Speicherplatz in dem Verzeichnis (Quota), der restliche Speicherplatz, der auf dem Fileserver 1 noch frei ist und das Volume, in dem das Verzeichnis liegt. So sieht das beispielweise aus: user@host>fs lq Volume Name Quota Used %Used Partition user.burk % 3% Hinweis: Das AFS kennt im Gegensatz zu anderen Unix-Filesystemen weder ein weiches Limit, noch ein Gracetime. 1 genauer: auf der entsprechenden Partition des Fileservers 18

19 4.3 Zugriffsrechte definieren bzw. ändern Man sollte ausnutzen, dass Zugriffsrechte immer nur verzeichnisweise definiert werden können. D.h. jedes neu angelegte File erhält automatisch die Zugriffsrechte, die in dem Verzeichnis gelten, in dem es liegt. Man kann die Zugriffsrechte auch individuell anpassen (wenn der Administrator das erlaubt hat). Wie das geht, ist unter auf Seite 8 beschrieben. 4.4 Zugriffsberechtigung verlängern Dieses Kommando kann benutzt werden, um das eigene Token aufzufrischen: user@host>tokenmgr -l Password for Benutzer@Zelle : Passwort I: got new token Das Token ist nach Eingabe dieses Befehls wieder 26h gültig. 4.5 Administrationsfunktionen Ein neues Volume anlegen Neue Volumes können nur von der EDV-Gruppe und ausgewählten Benutzern angelegt werden. Diese Benutzer können dazu folgenden Befehl benutzen: user@host>acall db ia:volcreate Volumename Maximalgröße (Quota) eines Volumes setzen Das Recht, neue Volumes anlegen zu dürfen, muß jedoch explizit vom Administrator gewährt werden. Auch kann man als einfacher Benutzer nicht entscheiden, wo das Volume angelegt wird, welche Maximalgröße es hat, usw., sondern es werden die einmal vom Administrator definierten Default-Werte verwendet. Wenn normale Nutzer Volumes anlegen dürfen, wird der acall-aufruf üblicherweise in ein einfacher zu bediehnendes Skript verpackt - i.d.r. sind ja sowieso noch weitere Befehle nötig, die durch ein Skript dann gleich automatisiert werden können. Im Institut können berechtigte Benutzer mit dem Befehl newvp (ein Skript im Verzeichnis /afs/cbs.mpg.de/software/scripts) neue Versuchspersonen bzw. Patienten (und damit neue Volumes) anlegen. Mit der Erlaubnis des Administrators ist es möglich, die Maximalgröße eines Volumes in gewissen Grenzen einzustellen: user@host>instantafs.setquota -q Maximalgröße in kb Volumename Einfacher geht s jedoch so: user@host>instantafs.setquota -q Maximalgröße in kb -d AFS-Verzeichnis wobei nur der Name des Verzeichnisses benötigt wird. Es können jeweils auch mehrere Volumes/Verzeichnisse angegeben werden - z.b. so: 19

20 -q d /a/user/* 20