具有Linux用户级别安全性的联网文件系统

我想启用服务器和客户端（两者均为Linux）之间的文件共享。我不想像NFSv4那样依赖机器信任，因为客户端用户将具有root特权。除了SMB（SAMBA），我还有哪些选择？OpenAFS是否支持用户级别的身份验证和访问？对于局域网来说，使用挂载的WebDAV / ftp / sshfs似乎很愚蠢。

我不确定我是否完全理解：

“我不想像NFSv4那样依靠机器信任，因为客户端用户将具有root特权。”

如果您的意思是客户端用户将在客户端上具有root特权，并且您不希望他们在主机上具有root特权，那么您就不使用“ no_root_squash”选项。您还可以执行禁用setuid之类的操作，以帮助降低服务器对客户端的风险。

您还可以选择将kerberos与NFSv4一起使用，请参阅此链接。

因此，换句话说，NFSv4可能会为您提供所需的安全性，同时还需要更多...（可扩展性？）..在各处使用sshfs。它可能仍然不是您想要的，但我不会太早放弃它。

使用Kerberos，只有kdc服务器会授予身份验证令牌。客户端计算机本身只能作为主机进行身份验证（也就是说，如果您将其密钥表赋予匹配的nfs / client-hostname @ REALM主体），则仅赋予它与nfs服务器通信的权利。只有用户才可以进行身份​​验证，而nfs服务器仅授权他们访问自己的文件。使用sec = krb5p时，服务器也可以防止监听和更改。

成为root用户不会给您的用户不适当的特权。他们获取更多文件的唯一方法是通过黑客攻击对方的计算机，黑客入侵nfs服务器或kdc。带有Kerberos的NFSv4非常适合您的安全要求。

以下是有关安全模型的更多信息：

• 设计认证系统：四个场景中的对话

如果您正在寻找一个部署，这里有一些以debian / ubuntu为中心的教程。我选择了没有LDAP的简单设置。这些发行版具有基于debconf的配置，可带您到达那里。

• 设置Kerberos（注意fqdn要求）。
• 设置NFSv4

我的补充：无需指定des-cbc-crc编码类型，但是需要在krb5.conf中允许allow_weak_crypto，以便通信协议可以使用des-cbc-crc进行流加密。在2.6.35内核中，这将变得不必要。

如果您正在寻找类似设备的东西，可以使用FreeIPA。

sshfs是必经之路。在客户端上：

sshfs -o idmap=user,workaround=rename user@server:/home/user/share /home/user/share

权限与ssh相同...因为您正在使用ssh！好消息是，假设sshd已安装且运行正常，则您无需触摸服务器上的任何内容。可能没有其他建议那样的性能，但这非常简单。

桑巴舞听起来确实是最好的选择。samba确实具有unix扩展名，因此当在Linux上用作cifs挂载时，它应该显示适当的unix权限，什么都没有。我认为这将是限制您的最佳选择。如果无法解决问题，可以在紧要关头使用sshfs，但它的性能或集成度不会像samba那样好。

OpenAFS是否支持用户级别的身份验证和访问？

是的，听起来OpenAFS可以满足您的要求，但Kerberized NFSv4也可以。在这两种环境中，您都无需“信任”客户端；访问控制由服务器强制执行。早期版本的NFS确实要求您有效地“信任”客户端，但Kerberized NFSv4则不需要。OpenAFS从未需要“受信任”的客户端，并且还依赖Kerberos进行身份验证和安全性。