2000-11-06
Literatur: Eric Tierling: NetWare 5 ISBN 3-8273-1470-4
Novell
Netware 5
Ziele
bei Entwicklung:
·
Aufbewahrung
von Daten mit größtmöglicher Sicherheit
·
Schnellstmögliche
Bereitstellung der gespeicherten Daten
·
einfache
Verwaltung des gesamten Datenbestandes
Server
+ Workstation
Server:
·
Diensterbringer;
führt spezielle Aufgaben aus
·
z.B.
o
Speichern von
Daten
o
Drucken von
Dokumenten
o
Bereitstellung
von HTML-Seiten über http-Protokoll (DNS/DHCP-Server,...)
·
dedicated Server: Rechner
arbeitet nur als Server (®“Spezialrechner“)
·
non-dedicated Server: Server +
„Normalbetrieb“
Netware
Server:
Rechner unter dem Betriebssystem Novell
Netware
®kontrollierte
Bereitstellung von gemeinsam genutzten Daten
®Abwicklung der
Kommunikation (File Server = Dateiserver)
... und mehr ...
+ Verwaltung
o
Sicherheit
gewährleisten (Wer darf was?)
o
Abrechnung/Kontrolle
von Zugriffen
o
...
Netware ab Version 3.x nur für dedicated
Server
Netzwerkbetriebssystem völlig unabhängig von dem
Betriebssystemen der eingebundenen Workstations (z.B. Win
98).
Server
Software im Kurzüberblick
Booten des Rechners:
o
Starten des
als Netware Server eingesetzten Rechners mit DOS
o
DOS dient als
Träger, um das Programm Server.exe zu laden ®hiermit wird Novell Netware
gestartet
o
nach Laden von
Server.exe übernimmt Novell Netware als
eigenständiges Betriebssystem die Kontrolle über den Rechner
ÞDOS wird deaktiviert
und aus dem Speicher entfernt
ÞNetware läuft nicht
unter DOS; DOS hat nur Trägerfunktion
Hochfahren des Netware Servers:
o
=Aktivierung
von Novell Netware durch Ausführung von Server.exe
Aktivieren der Festplatte:
o
Treiber für
Speicheradapter laden (SCSI, IDE,...); auch genannt: Disk-Treiber, Disk Driver
o
Netware Server
muß mind. eine Festplatte mit einer Netware Partition
aufweisen
o
Netware wird
in logische Bereiche eingeteilt (Volume)
o
Volume SYS: muß immer vorhanden sein ®enthält Systemdateien
des Betriebssystems
o
auf Volume können Verzeichnisse/Unterverzeichnisse eingerichtet
und Dateien abgelegt werden (aus Client-Sicht ergibt sich bekannte Struktur)
Laufwerd ®Verzeichnis ®Datei
c:\ windows\ blubber.txt
Volume ®Verzeichnis ®Datei
sys:\ public\ nwadm32.exe
o
jedes Volume muß in das Dateisystem
montiert werden (mounten eines Volumes) ®Aktivierung eines Volumes
Aktivieren der Netzwerkkarte:
o
für jede
Netzwerkkarte muß passender Treiber (LAN-Treiber)
geladen werden
o
richtige
Ansteuerung der betreffenden Netzwerkkarte
o
jeder
LAN-Treiber muß mit mind. einem Protokoll (IP,IPX)
verbunden werden ÞKommunikation
über Netzwerkkarte
weitere Utilities laden:
o
weitere
Programm-Module laden, z.B. für bestimmte Dienste
o ®Netware Loadable Module (NLM)
o Konzept von Netware: dynamische Erweiterung des
Betriebssystemkerns, um spezialisierte Dinste, z.B.
§
weitere Kommunikationsprotokolle
(IPX, AppleTalk)
§
Dienste: FTP
Server, DNS Server, Web Server, Backup Server,...
ÞWorkstations
(Clients) können auf Netware Server zugreifen, sofern Client Software für
Netware auf der Workstation installiert ist.
Herunterfahren des Netware Servers
o
niemals
einfach ausschalten
o
viele Daten werdem im RAM gehalten ®Datenverlust
o
korrektes Shutdown!!!
Client-Betriebssysteme:
o
Netware 5
unterstützt alle verbreiteten Workstation Betriebssysteme
o
alle 32-bit
Microsoft Betriebssysteme (Win95/98, NTWs, NT Server,
Win 2000, ...)
o
Client-Software
wird von Novell gestellt, 32-bit Architektur, Native
IP, gute Geschwindigkeit
o
auch 16-bit
Betriebssysteme von Mcrosoft DOS
(+Betriebssystemerweiterung Win 3.x) (nur über IPX)
o OS/2, Apple
Macintosh (Prosoft Engineering)
o Linux/UNIX
ÞNetware
Server arbeitet mit allen Workstation-Betriebssystemen, für die Client-Software
für Netware verfügbar ist
Netzwerkkarten-Unterstützung
per ODI:
o
gemeinsame
Verständigung notwendig ®Protokoll (Absprache zum Austausch von Daten auf relativ
niederer Ebene)
o
traditionell:
IPX (Netware-Protokoll, später von Microsoft übernommen) (bis Netware <5
zwingend vorgeschrieben, auch wenn ab 3.x TCP/IP zusätzlich möglich ist)
ÞZweisprachigkeit im
Netzwerk
o
ab Netware 5:
IP als „Muttersprache“ (Native IP)
o
Protokollunabhängigkeit;
mehrere Protokolle werden unterstützt, die ihre Kommunikation über eine oder
mehrere Netzwerkkarten abwickeln können
Netzwerkkarten
®ODI (Open Data-link Interface):
Unterstützung mehrerer Protokolle auf mehrern/einer
Netzwerkkarte
ODI-Komponenten:
o
Protokollstack realisiert das eigentliche Übertragungsprotokoll, z.B.
TCP/IP, IPX,...
o
Link Support
Layer (LSL): trennt Protokoll von der Übertragungseinrichtung; korrekte
Verteilung von Protokoll-Stack zur Netzwerkkarte wird
vorgenommen
o
Multiple Link
Interface Driver (MLID)(netwarespezifisch): Verbindung zur
Netzwerkkarte; spezieller Treiber für konkrete Karte ®oberhalb MLID sind
alle Hardwareeigenschaften verborgen (nicht sichtbar, nicht relevant)
MLID
unterteilt sich in drei weitere Schichten:
MLID0
MSM: Media Support Module
o
Schnittstelle
zwischen LSL und TSM/HSM (®hardware und topologieunabhängig)
TSM: Topology
Specific Module
o
wickelt alle
Aufgaben mit bestimmten Netzwerksystem ab: Arcnet,
Ethernet, Token Ring,...
HSM: Hardware Specific Module (der eigentliche Netzwerktreiber)
Beispiel:
Ethernet auf NE2000 (Netzwerkkartentyp) laufen lassen
NE2000.LAN ®HSM
ETHERTSM.NLM ®TSM
MSM.NLM ®MSM
ODI ist im Netware Server eingebaut (®Multiprotokollfähigkeit);
auch Workstation kann mulitprotokollfähig gemacht
werden.
Distributed Applications
®verteilte Anwendung
Anwendung besteht aus zwei Teilen:
Front-End:
o läuft auf Workstation
o auch Client genannt
o nimmt Eingaben des Benutzers entgegen, steuert Ausgabe auf
Bildschirm
o eigentliche Arbeit wird vom Back-End
erledigt
Back-End:
o läuft auf Netware-Server
o auch Server genannt
o übernimmt die eigentliche Arbeit (z.B. Suche nach einem
Datensatz)
Beispiel: Datenbank-Client und Datenbank-Server
o
Datenbank-Server
(Backend) läuft auf Netware-Server und beantwortet Anfragen vom Datenbank-Clienten (z.B. Suche nach Datensatz, sortiere
Datenbank,...)
o
Datenbank-Client
setzt nur Aufträge ab (z.B. Suche), eigentliche Arbeit erledigt
Datenbank-Server (mit Ressourcen z.B. DPU der Maschine auf der der
Datenbank-Server läuft, hier Novell 5)
Þ Workstation (auf der Datenbank-Client läuft) ist entlastet
Þ Kommunikationsmedium ist entlastet, da nur Anfrage und
Ergebnis übertragen werden
Þ spezielle
Anwendungen notwendig
Netware unterstützt derartige verteilte Anwendungen durch
Bereitstellung bestimmter Mechanismen:
Interprocess Communication (IPC) zur
Kommunikation beider Programmteile (Front/Back-End)
·
Remote Procedure Calls (RPC)
·
Netware Core Protocol (NCP)
·
Remote Method Invocation (RMI)
Aufbau
von Netware 5
·
modulares
Design
Netware Kernel:
Þ grundlegende Funktionalität von Netware
Þ Verwaltung/Zuteilung von Ressourcen
Þ insbesondere Arbeitsspeicher-Verwaltung
§
RAM wird als
Cache verwendet, aber auch für alle ladbaren Module
Þ Laden/Entladen von Modulen
Hardware-Erkennung:
Þ bei Installation und Betrieb findet Hardware-Erkennung statt
Þ unterstützte Bussysteme: PnP-ISA,
MCA, EISA, PCI, PCMCIA
Þ Karten werden meistens erkannt
Netware
Loadable Modules (NLM)
Þ Programm oder Software-Komponente, die dynamisch mit dem
Netware-Kern verbunden wird
Þ zwischen Modulen können Abhängigkeiten bestehen
Þ werden Module von eimem Modul
benötigt, so werden diese automatisch geladen (Auto-Load)
Þ mehrere Arten von NLMs,
unterschiedliche Aufgaben, am Namen erkennbar
Disk-Treiber/NWPA-Architektur
Þ Massenspeicheradapter mit Netware verbinden
Beispiel: AHA1740.DSK
Þ
NWPA (Netware Periphal Architecture)
§
Architektur
für Peripheriegeräte
a)
Host Adapter
Module (HAM)
b) Custom Device
Module )CDM)
o
für jeden
Adapter und jedes Gerät wird entsprechender Treiber benötigt (Abstraktion von
Gerätedetails)
o
oberste
Schicht: Media Manager (zentrale Steuerungsebene, übernimmt grundlegende Verwaltungsaufgaben
o
Abschirmung
von Besonderheiten unterschiedlicher Massenspeicher von höheren Ebenen des
Betriebssystems (z.B. Kern, Diensten)
Name Space
Modules:
o
standardmäßig
wird Namenskonvention von DOS unterstützt
o
Name Space Modules (*.NAM) erlauben Dateien
von bestimmten Workstation-Betriebssystemen mit allen Besonderheiten zu
speichern (Attribute, längere Dateinamen,...)
o
®Multiple Name Space Support
(Unterstützung mehrerer Namenskonventionen)
Þ transparenter Zugriff auf Daten: jede Workstation bekommt die
Dateien in seinem betriebssystemspezifischen Format angezeigt
MAC.NAM Apple Macintosh
NFS.NAM UNIX/NFS-Konvention
LONG.NAM Windows 9x, NT, OS/“,...
LAN-Treiber:
o
*.LAN
weitere NLMs
o
*.NLM
o
Utilities: Verwaltungsaufgaben am Netware-Server (z.B. Monitor.NLM)
o
Libraries: Zusammenfassung von Funktionen/Diensten
o
„Anwendungen“:
z.B.
o
Datenbank-Back End
·
SQL-Server.NLM
o
Web-Server
Zuverlässigkeit:
Betriebssystem:
o
Netware Server
trifft Vorsichtsmaßnahmen, um Fehlern vorzubeugen; treten Fehler auf, so wird
versucht, diese ohne Beeinträchtigung des normalen Betreibes
zu beseitigen Þfehlertolerant
UPS-Monitoring:
o
Vorbeugen
eines Stromausfalls:
o
UPS (Uninteruptible Power Supply) =USV
(unterbrechungsfreie Stromversorgung)
o
durch
Statusinformation der UPS wird Netware zum geordneten Herunterfahren (=Sichern
aller nicht gespeicherten Daten) bewegt
Abend-Recovery:
o
Netware Server
startet nach „Absturz“ (Abend= Abnormal End) automatisch neu
o
Informationen
über Systemabsturz wird in Datei protokolliert
Beglaubigung
o
Authentication
o
Gültigkeitsprüfung
bei Anfragen eines Benutzers an NDS-Verzeichnisdatenbank
(Verzeichnis aller Objekte eines Netzwerkes)
§
gültiger
Benutzer?
§
kommt Anfrage
von richtiger Workstation?
§
...
o
Schutz vor
unautorisierten Zugriffen; Aufzeichnen und Wiedereinspielen einer Sitzung wird
erkannt
o
unter
Verwendung des RSA-Verschlüsselungsverfahrens
NCP-Signatur:
o
Informationen
werden in Paketen über NCP ausgetauscht
o
Manipulation
(z.B. andere Befehle einbauen) theoretisch möglich
o
®jedes Paket wird signiert, auf Empfängerseite wird Signatur
überprüft
o
®Manipulationen sind feststellbar
o
®Paket wird verworfen ÞWarnmeldung
Auditing (Revision):
o
Ereignisse für
ausgewählte Ressourcen wrden überwacht und
aufgezeichnet
o
besonderen
Benutzer (Auditor, Revisor) kann alle Vorgänge sicherheitstechnisch überwachen
o
arbeitet
unabhängig von Netzwerkadministrator
o
Beispiele:
· Veränderung von Dateien und Zugriffsrechten
· Aufruf von Programmen
· von Benutzer ausgelöste Ereignisse
o
arbeitet
unabhängig vom Netzwerkadministrator und allen Benutzern
o
Þunabhängiger Beobachter
o
®keine Berechtigung Dateien einzusehen/zu verändern
o
Netzwerkadministrator
hat keine Möglichkeit, in die Arbeit des Revisors einzusehen
2000-11-07
Auditing
(Revision)
Þunbefugte Handlungen
können nachgewiesen werden
Netware
erfüllt C2-Standard (Sicherheitsnorm der US-Regierung für den Einsatz in
Arbeitsbereichen der Regierung):
·
bei jedem
Ereignis: Datum/Uhrzeit, User und Workstationkenneung
speichern
·
Angaben über
Art des Vorgangs, Ausführungsstatus
·
Überwachte
Ereignisse, z.B.:
o
An- und
Abmeldungen am Netzwerk
o
Zugriffsversuche
auf ein Objekt
o
Erstellen und
Löschen von Objekten
o
jegliche
Vorgänge, die die Sicherheit des Systems betreffen
Massenspeicher
·
zahlreiche
Maßnahmen für zuverlässigen Umgang mit Massenspeichern verfügbar
Hot
Fix
·
sicherstellung, dass Daten ordnungsgemäß auf der Festplatte gespeichert
werden
a)
Redirection Area (Umadressierungsbereich)
b) Read-After-Write-Verification
(Kontrollesen)
zu a)
Festplatte:
normaler Bereich Redirection Area
o
wird ein Block
als defekt erkannt, so wird dieser gesperrt und ein Ersatzblock aus der Redirection-Area verwendet
zu b)
zu schreibende Daten befinden sich im RAM, wurden diese auf
die Festplatte geschrieben, so werden diese unmittelbar wieder eingelesen und
mit den ursprünglichen Daten verglichen:
identisch: o.k.
nicht identisch: Fehler;
Hot Fix einleiten (Ersatzblock)
Transaction
Tracking System
TTS,
Transaktionsverfolgungssystem
Transaktion:
·
Alle
Änderungen, die zur Durchführung einer bestimmten Aufgabe von einem Programm in
den zugehörigen Dateien vorgenommen werden und nur als Ganzes sinnvoll sind
Beispiel:
Warenverkauf:
Beginn Transaktion
Lagerbestand in Lagerdatei vermindern
Umsatz in Kundendatei erhöhen
Position in Rechnung übernehmen
Forderung in Buchhaltung erhöhen
Ende Transaktion
·
Tritt während
der Transaktion ein Fehler auf (z.B. Programmfehler, Netzwerkfehler,
Stromausfall,...), so kann die Aufgabe nicht vollständig erfüllt werden
·
®Fehler im Datenbestand entsteht
·
Während einer
Transaktion werden die ursprünglichen Daten vor Veränderung zwischengespeichert
·
Wird die
Transaktion korrekt beendet, werden alte Daten verworfen; sonst: Rollback
(Rücksetzen; die ursprünglichen Daten werden wiederhergestellt)
·
Voraussetzung:
a)
Dateien, die
überwacht werden sollen, müssen mit Attribut Transactional
versehen werden
b)
Platz auf SYS:
(³
1MB)
·
Mitteilung
über Beginn/Ende der Transaktion:
a)
Explizite
Transaktionen
§
Programm teilt
dem TTS Beginn und Ende einer Transaktion mit
§
®Programm muß TTS Feature
unterstützen
b)
Implizite
Transaktion
§
TTS bestimmt
selbsttätig Anfang und Ende einer Transaktion
§
Annahme: mit
erster Sperre eines Datensatzes beginnt die Transaktion, mit Aufhebung der
letzten Sperre endet die Transaktion
§
(die meisten
Netzwerkprogramme arbeiten so)
Disk
Mirroring
Festplattenspiegelung
· zwei Festplatten gleicher Größe werden an einem
Festplattenadapter betrieben
· alle Änderungen werden auf beiden Platten vollzogen
(nacheinander Þkleine
Geschwindigkeitseinbuße)
· fällt eine Platte aus, kann mit der anderen Platte
unterbrechungsfrei weitergearbeitet werden
Disk
Duplexing
·
Spiegelung von
Festplattenadapter und Festplatte
·
2
Festplattenadapter und 2 Festplatten verwenden
·
sonst wie
Spiegelung
·
®Ausfall einer Festplatte korrigierbar
·
®Ausfall eines Adapters korrigierbar
·
®keine Geschwindigkeitseinbuße beim Schreiben, da parallel
gearbeitet werden kann
·
®Erhöhung der Lesegeschwindigkeit (durch Split Seeks)
Salvage
·
Wiederherstellung
gelöschter Dateien
·
Schutz vor
Datenverlust durch versehentliches Löschen
·
Dateien werden
nur logisch gelöscht (Anwender sieht Dateien nicht mehr)
·
mit
Dienstprogramm können gelöschte Dateien wiederhergestellt werden
·
wird
Plattenplatz knapp, so werden logisch gelöschte Dateien überschrieben
(beginnend mit der ältesten Datei)
·
es kann
Zeitspanne festgelegt werden, wie lange gelöscht Dateien mindestens aufgehoben
werden müssen
·
manuelle
Freigabe von Plattenplatz, der von logisch gelöschten Dateien belegt wird, ist
möglich
·
Kennzeichnung
von Verzeichnissen, deren Inhalt beim Löschen sofort wirklich gelöscht werden
sollen ist möglich
·
gelöschte
Verzeichnisse können nicht wiederhergestellt werden
Backup
von Netzwerk- und lokalten Festplatten
Backup and
Restore Services
SBCON Netware Konsole
NWBACK32 Windows
Utility
Speicherung/Wiederherstellung von Daten des Netware Servers
und/oder lokaler Festplatten der Workstation auf Streamer oder am Server
Schnelligkeit
Optimierungstechniken für den Betriebssystemkern und
Massenspeicher
Betriebssystem
Multitasking:
·
Ausnutzung der
Multitasking-Fähigkeiten des Microprozessors
Skalierbarkeit
·
Unterstützung
von SMP nach MPS1.4 Definition
SMP:
Symmetrisches Multiprocessing
o mehrere gleichartige CPUs werden eingesetzt; Aufteilung der
Arbeit auf alle CPUs
MPS: Multi-Processor Specification
o Intel-Standard
o beschreibt Schnittstellen zwischen Hardware und
Betriebssystem
Massenspeicher
Cache für Dateien/Verzeichnisse
o Dateien werden, falls möglich im RAM zwischengespeichert
o ®falls Datei im RAM,
gehen Lesezugriffe deutlich schneller
o Dateien müssen immer blockweise
gelesen werden, auch wenn weniger angefordert wird ®Rest
zwischenspeichern (cachen) für evtl. spätere
Verwendung
o am längsten nicht verwendete Daten im Cache werden bei
Bedarf verworfen
o auch beim Schreiben: Daten werden dem Clienten
abgenommen, im RAM gespeichert und dem Clienten
bestätigt ÞClient
kann weiterarbeiten
o in günstigen Momenten werden Daten in RAM auf Platte
geschrieben
o Þschnellere
Schreibvorgänge
o auch: Verzeichnisse, Verzeichniseintragstabelle
Elevator
Seeking
· besondere Art der Bewegung der Schreib-/Leseköpfe
· Lese- und Schreibanforderung treffen von mehreren
Workstations ein. Daten liegen meist auf unterschiedlichen Positionen auf der
Platte
· Þwerden Anforderungen
nicht sortiert, wird unter Umständen der Schreib-/Lesekopf sprunghaft hin und
her bewegt
· Lösung: Sortieren der Anfragen in Reihenfolge der Anordnung
der Daten auf der Festplatte Þweniger Kopfbewegungen und damit insgesamt schnellerer
Zugriff
· „Fahrstuhlprinzip“
Split
Seeking
·
gleichzeitiges
Suchen
·
nur bei Disk Duplexing möglich
·
Verteilung von
Leseanfragen auf beide Festplatten
o
welche
Festplatte kann Daten schneller liefern?
o
ist eine
Platte beschäftigt, wird die andere verwendet
o
mehrere
Anfragen werden auf beide Platten verteilt
SCSI-Disconnect
·
Anweisung an
ein Gerät etwas zu tun (Aufgabe)
·
Aufgabe
braucht i.d.R. Vorbereitungszeit
·
Netware wartet
nicht, sondern erwartete Rückmeldung wenn Gerät tatsächlich zur Durchführung
der Aufgabe bereit ist
·
®Netware kann in der Zwischenzeit mit anderen Geräten am
SCSI-Bus arbeiten
Read
Ahead Cache
·
Netware
versucht herauszufinden, ob eine Datei sequentiell (nacheinander) oder im
wahlfreien Zugriff gelesen wird (heuristische Methode ®Annahme)
·
wird
sequentiell angenommen: noch nicht angeforderte Daten werden bereits im Voraus
gelesen (read ahead) und im
Cache gespeichert
·
Þkünftige Leseanforderungen können schneller bearbeitet
werden
weitere
Highlights von Netware
Unterstützung der Java-Technologie
Classes text lang util net lo security awt sql beans rml
2000-11-08
Java
einfache, objektorientierte, mit Multithreading-Funktionen ausgestattete, interpretierte und
plattformunabhängige Programmierumgebung
Elemente
von Java
Programmiersprache
·
an C / C++
angelehnt
·
Java Code wird
zur Laufzeit interpretiert
·
Java-Compiler
erzeugt plattformunabhängigen Code, der von Laufzeitumgebung nacheinander
interpretiert wird
Classes
·
=Bibliotheken
zur Lösung spezifischer Aufgaben
·
auch Java Packages genannt
·
z.B. I/O- oder
Anzeigeaufgaben
Laufzeitumgebung
·
Java Runtime Environment (JRE)
·
für
unterschiedliche Plattformen verfügbar (Hardware und Betriebssystem)
·
= Java Virtual Machine (JVM) und
den grundlegenden Klassen
·
JVM führt die
vom Java Compiler erstellten Anweisungen aus, d.h. die JVM interpretiert
den Java Code
·
JVM ist für
viele Betriebssysteme verfügbar, aber im Web-Browser integriert
Java
Programme
Applet:
·
kleines Java
Programm
·
wird
üblicherweise aus einem Web-Browser aufgerufen
·
®läuft auf lokaler Maschine
·
begrenzte
Zugriffe auf lokales System möglich
Applikation
·
Java-Programm
wird auf dem Rechner ausgeführt (wie jede andere Anwendung)
·
i.d.R. umfassende Zugriffe auf lokale Maschine möglich
Servlet
·
Applet, das
auf dem Server ausgeführt wird
Novell
Netware 5 stellt JVM zur Verfügung
ÞServlets und Applicationen können
ausgeführt werden
Zusätzlich
wird Netware-GUI zur Verfügung gestellt
GUI = Graphical
User Interface („Windows“)
Java-Programme unter
Novell
Console One
(CONSOL1.EXE, C1START.NCF)
·
Verwaltung des
NDS-Verzeichnungsbaum (Zugriffsrechte, User,
Gruppen,...)
RConsoleJ
(RCONJ.BAT, RCONJ.NCF)
·
®Remote-Console ("Fernsteuerung" des Netware Servers)
Novell
Dateisystem
zwei Arten:
a)
traditionelle
File Services
b)
NSS Novell Storage Services
Festplatte:
·
auf Festplatte
wird Netware Partition eingerichtet (Teil der Festplatte oder ganz)
·
Netware
Partition wird in logische Bereiche eingeteilt (=Volume,
Datenträger)
·
Volume wird in Verzeichnisse und Dateien eingeteilt
Volume-Segmente/Spanning
Festplatte 1: Festplatte
2
ÞVol 1 = 12MB
·
ein Volume kann aus mehreren Volume-Segmenten
zusammengesetzt werden
·
ein Volume-Segment ist ein physikalisch zusammenhängender
Bereich einer Partition (also max. 1 Festplatte)
·
Volume kann aus max. 32 Volume-Segmenten
zusammengesetzt werden
·
nach Außen ist
die Unterteilung nicht sichtbar, die Daten werden automatisch auf die Segmente
verteilt
·
dynamische
Erhöhung möglich (Anhängen eines neuen Segmentes während mit dem Volume gearbeitet wird)
·
Ausfall eines
Segmentes hat Ausfall des gesamten Volumes zur Folge
·
ÞSpiegelung ist empfohlen!!!
Dateikomprimierung
·
Netware kann
auf einem Volume abgelegte Dateien komprimieren
·
Usertransparent,
d.h. Netware führt Komprimierung/Dekomprimierung automatisch aus
·
beim Lesen:
sofortige Dekomprimierung
·
Komprimierung
zu bestimmter Zeit (Mitternacht) wird Volume nach zu
komprimierenden Dateien durchsucht (konfigurierbar: z.B. auch ständig)
·
Geschwindigkeitsverlust
·
mit
Dateiattribut kann festgelegt werden, ob komprimiert werden soll oder nicht
Datenmigration
·
sobald auf
eine Datei eine bestimmte Zeit keine Zugriffe mehr gemacht worden sind, kann
diese automatisch auf ein anderes Speichermedium (z.B. Streamer, Optical Disk) ausgelagert (=migriert)
werden
·
Platz der von
Datei belegt wurde wird freigegeben, aber Verzeichniseintrag bleibt erhalten
·
greift User
auf migrierte Datei zu, so versucht Netware diese
automatisch zu restaurieren
Block Suballocation
Teilblockzuordnung
·
Problem: Eine
Vielzahl von Kleinstdateien belegen ein Vielfaches an Speicherplatz (1 Datei
belegt einen ganzen Block)
·
Lösung: alle
Blöcke (egal wie groß) werden in mehrere 512 Byte kleine Unterblöcke eingeteilt
Þgeringe
Verschwendung
·
Deaktivierung
möglich
Novell Directory Services (NDS)
·
logische
Struktur des Netzwerkes
·
auch Novell Verzeichnis-Services genannt
·
bezieht sich
ausschließlich auf die logische Struktur und alle Ressourcen wie z.B. User,
Gruppen, Server, Drucker,...
·
®baumförmige Verwaltung
NDS Directory Tree
NDS Verzeichnisbaum
·
keine Server,
sondern Netzwerkorientierung, z.B.: ein User wird verändert ®Änderungen werden vom
NDS an allen Servern automatisch vollzogen
·
beim Anmelden:
o
man meldet
sich am „Netzwerk“ an und nicht am Server
o
NDS stellt zu
allen eingebundenen Servern eine Verbindung her (sofern User auf diese zugreifen
soll)
2000-11-09
NDS-Objekte
·
alle
Ressourcen (z.B. User, Gruppen, Computer, Drucker, Server,…) werden als Objekte
in der hierarchisch strukturierten NDS-Verzeichnisdatenbank
(=Novell Directory Database = Directory =
Verzeichnis) vermerkt
·
jedes Objekt
ist mit Eigenschaften (Properties) versehen
·
jede
Eigenschaft einen oder mehrere Werte (Values)
Beispiel:
User (Objekt)
Name (Eigenschaft) = Hugo
(Wert)
Passwort (Eigenschaft) = geheim (Wert)
…
·
grundsätzlich
zwei Objektarten:
a)
Container Object (Behälterobjekt)
b) Leaf Object (Blattobjekt)
Behälterobjekte
Stammobjekt (Root)
·
oberste Stelle
im NDS-Verzeichnisbaum
·
genau einmal
·
kann nicht
gelöscht oder umbenannt werden
·
Platzhalten;
es sind keine weiteren Informationen verbunden
·
Symbol:
„Erdball“
Country (Land)
·
ermöglicht
Einteilung des Netzwerkes nach Ländern
·
optional
·
Symbol:
„Flaggen“
Locality (Standort)
·
Unterteilung
in geographische Standorte
·
optional
·
Symbol: „Skyline“
Organization (Organisation)
·
um weiter Objekte
im NDS-Verzeichnisbaum hierarchisch anzuordnen
·
mindestens 1
Organisation
·
Symbol
„Verzeichnisbaum“ (Unterbehälter waagerecht)
Organizational Unit (Organisatorische Einheit)
·
auf den Ebenen
unterhalb eines Organisationsobjekts befinden sich Blattobjekte und/oder das
Behälterobjekt „Organisatorische Einheit“
·
optional
·
Symbol
„Verzeichnisbaum“ (Unterbehälter senkrecht)
Leafs (Blattobjekte)
·
zahlreiche
Blattobjekte, z.B. User, Gruppen, Netware-Server,...
·
verschiedene
Symbole
Minimale Struktur:
Client-Software
für Netware
·
spezielle
Software für verschiedene Betriebssysteme (DOS, Win98, WinNT,
MacOS,...)
·
®Erweiterung der Funktionalität des lokalen Betriebssystems
um die Möglichkeit, sich am Netzwerk (NDS) anzumelden und die zur Verfügung
gestellten Ressourcen zu benutzen
Installation
der Client-Software unter Win98
a)
Client-Software
verfügt über ein Installationsprogramm setup.exe (Software wurde
z.B. aus dem Internet geholt)
b)
Client-CD einlegen ®Autostart (bzw. manuell öffnen)
·
Auswählen:
Win95/98 Client
·
Standardinstallation
·
®Neustart
Problem
mit der Anmeldung
·
nach
Installation von Novell Client wird der Netware
Anmeldedialog als erstes ausgeführt
·
verdeckte
Anmeldung an Windows
·
ÞBenutzer CA10 mit Kennwort... soll in Windows angemeldet
werden
·
stimmt Windows
Benutzername und Novell Benutzername nicht überein,
so will Windows einen neuen Benutzer einrichten...
·
Þam Einfachsten: Benutzernamen sollten auf allen Servern
(bzw. Windows-Arbeitsstation) identisch sein
oder
·
Primäre
Netzwerkanmeldung auf Windows ändern (Eigenschaften zu Netzwerkumgebung)
Login
Skript
·
nach dem
Anmelden werden Anmeldeskripte (Login Skript) ausgeführt (ähnlich autoexec.bat unter DOS)
1.
System Login
Skript
2.
Profile Login
Skript
3.
User Login
Skript
·
optional,
ansonsten werden diese nacheinander ausgeführt
·
User kann sein
Login Skript i.d.R. selbst ändern
·
ist kein Login
Skript vorhanden (Standard nach Neuinstallation), so werden einige
Default-Befehle ausgeführt (fest in Client-Software eingebaut)
Skript Objektklasse
System Login Skript Behälter
„Organization“, Behälter „Org. Unit“
Profile Login Skript Blattobjekt
Profil
User Login Skript Blattobjekt
User
2000-11-10
2000-11-13
User
Login Skript:
·
benutzerspezifisch
·
jeder User
kann ein Skript haben
System
Login Skript
·
1x pro
Netware-Server
·
für alle
Benutzer gleich
Profile
Login Skript
·
gilt für
mehrere Benutzer
·
„Gruppenbildung“
·
Befehle gelten
für alle zugeordneten Benutzer
Ausführungsreihenfolge:
System
– Profil – User
zu
8) (2000-11-10)
Network Drive
Mapping
MAP Q:=
vol1:Usr\ca99
·
auf
Workstation wird Laufwerksbuchstabe Q erzeugt; Q verweist auf obiges
Verzeichnis (auf Server) (Windows: Netzlaufwerk verbinden)
·
keine bereits
vorhandenen lokalen Laufwerksbuchstaben verwenden; lokales Laufwerk wird
überdeckt
·
Anwendung: wie
lokales Laufwerk (>edit Q:Datei.txt)
·
Wozu? Um DOS/Win-Programmen den Zugriff auf das Netware-Dateisystem zu
ermöglichen (®Simulation
eines lokalen Laufwerks)
·
Ist im Skript
ein Fehler enthalten (z.B. MAP C:...), kann die Ausführung des Skriptes beim
Anmelden verhindert werden:
Drive
Mapping
Mit
dem erzeugten Drive Mapping (hier: Q) kann auf das
gesamte Laufwerk (hier: Vol1) zugegriffen werden (sofern erlaubt)
Beispiel:
>DIR Q:\
>DIR Q:\EGON\wichtig.txt
Root
Drive Mapping
·
fingiertes
Hauptverzeichnis (fake root)
MAP ROOT
Q:=VOL1:Usr\CA99
>DIR Q: ®datei.txt
>DIR Q:\ ®datei.txt
Þkein
Wechsel zu übergeordneten Verzeichnisebenen möglich (Client-Software gaukelt
DOS vor, Q: sei ein Hauptverzeichnis)
·
manche
Programme lesen/schreiben unbedingt in/aus dem Hauptverzeichnis Þohne root mapping würde das Programm
im Hauptverzeichnis des Volumes lesen/schreiben (i.d.R. verboten).
MAP
O:=VOL1:PROGS\Corel8
MAP ROOT P:=VOL1:\PROGS\Corel8
Þ
>DIR O: ®Inhalt
von Corel8
>DIR P: ®Inhalt
von Corel8
>DIR O:\ ®Inhalt
von Vol1
>DIR P:\ ®Inhalt
von Corel8
(Backslash fordert das oberste Verzeichnis eines Laufwerks
an)
Zugriffe
auf das Novell-Dateisystem ohne Laufwerksbuchstaben
·
bei
Betriebssystemen, die „eingebaute“ Netzwerkfunktionen haben, z.B. Windows98
a) UNC – Universal
Naming Convention
\\Netware-Server\Volume\Verzeichnis\Unterverzeichnis\...\Datei
UNC zur Datei nwadmn32.exe, die sich im Verzeichnis Prblic auf dem Volume SYS: des
Netware-Servers NS1 befindet, lautet:
b)
über
Netzwerkumgebung/Explorer
Suchlaufwerk
®Search Mapping
in DOS/Windows: Suchpfad
®mit Befehl PATH kann
Suchpfad für bestimmte Verzeichnisse festgelegt werden
>word <Enter>
®Word wird als Befehl interpretiert; Þes wird versucht word.exe
zu laden (starten)
®im aktuellen
Verzeichnis wird nach word.exe gesucht; nicht vorhanden; Fehlermeldung
>c:\progs\word\word <Enter>
wie oben, aber vollständige Pfadangabe wird beachtet, d.h.
in c:\progs\word wird nach word gesucht
PATH=C:\WINDOWS;
C:\DOS; C:\PROGS\WORD
>word <Enter>
®wie
oben, aber word wird in allen Elementen (Pfadangaben)
des Suchpfades gesucht (bis Treffer)
Search Drive Mapping sind Suchpfade für
Verzeichnisse, die sich im Netzwerk befinden
MAP INS
S1:=SYS:\PUBLIC
MAP INS
S2:=SYS:\PUBLIC\WIN32
·
bis zu 16
Suchlaufwerkszuordnungen (S1:, S2:, S3:,…, S16:)
·
Hinweis: Suchlaufwerkszuordnung impliziert auch eine
Netzwerklaufwerkszuordnung (Laufwerksbuchstaben werden von hinten (Z, Y, X,...)
verwendet).
zu 8b)
write „Guten %GREETING_TIME“
write “Willkommen zu Netware”
write
GREETING_TIME
Novell
Directory Services
·
NDS =
spezialisierte, verteilte, replizierte Verzeichnisdatenbank, in der alle
Ressourcen verzeichnet sind, die Teil de Netzwerkes sind (z.B. Server, User,
Gruppen, Computer, .. = Objekte)
·
hierarchisch ®NDS-Tree, NDS-Verzeichnisbaum
·
Objekt,
Eigenschaft, Wert
·
Objekt =
Repräsentation einer logischen bzw. physikalischen Ressource
·
jedes Objekt
hat Eigenschaften (Charakterisierung eines Objekts); Eigenschaften eines
Objekts können z. B. mit Netware Administrator (nwadmn32.exe) eingesehen werden
·
jede
Eigenschaft ist mit best. Wert versehen
User (Objekt)
Name (Eigenschaft) = Hugo (Wert)
Fax (Eigenschaft) =
0815 (Wert)
Konto (Eigenschaft) =
4711 (Wert)
Telefon (Eigenschaft) =
12345 (Wert)
·
nicht alle
Eigenschaften müssen mit Wert belegt sein (Ausnahme: Required
Properties; obligatorische Eigenschaft (z.B. Name
des Objektes User)
Objekte,
Stammobjekt, Container, Leaf...
Blattobjekte
(Leaf)
User:
·
Repräsentation
der tatsächlichen Anwender des Netzwerks
·
für jeden
Benutzer muß ein Objekt User im NDS vorhanden sein
·
beliebig
viele, aber: Netware arbeitet mit unterschiedlichen Lizenz-Größen Lizenzen für
5, 10, 25, 50, 100, 250, 500 User (®max. Anzahl von Usern, die gleichzeitig mit dem Server
arbeiten können)
·
additive Lizensierung: Lizenzen können
beliebig kombiniert werden
besonderer Benutzer: Admin
·
wird
automatisch bei Erstellung des NDS im ersten Organisations-Behälterobjekt
eingerichtet
·
Admin hat allumfassendes Zugriffsrecht auf das Stammobjekt (root)
·
Standardmäßig
wird das Zugriffsrecht auf root auf alle darunterliegenden Objekte bzw. Objektebenen vererbt
·
Þim gesamten Verzeichnisbaum können Objekte (z.B. User)
erstellt bzw. verwaltet werden
·
Admin kann umbenannt, gelöscht (Gefahr!!!) werden
·
weitere
Netzwerkadministratoren können auf jeder Ebene des NDS-Trees
ernannt werden
·
diese
verwalten die Objekte unterhalb ihrer Ernennungsebene
·
Verwaltungsrechte
für NDS-Tree und Netware-Dateisystem werden getrennt
betrachtet
·
ÞNetzwerkadministrator für einen Teil des NDS-Verzeichnisbaums
muß nicht unbedingt Zugriffsrechte auf
Netware-Dateisystem und umgekehrt haben
Gruppe (Group)
·
benötigen
mehrere Benutzer dieselben Rechte/Anforderungen für NDS-Verzeichnisbaum
(bzw.Netware-Dateisystem) so wird Gruppe eingesetzt
·
Gruppe erhält
Rechte, z.B. eine Operation durchzuführen
·
einer Gruppe
gehören User an (Member, Mitglied)
·
ÞUser erhält Rechte, die in Gruppe definiert sind
·
ein User kann
mehreren Gruppen angehören
Profil (Profile)
·
Ähnlichkeit
mit Gruppe
·
einem Profil
können bestimmte Berechtigungen auf NDS/Dateisystem erteilt werden
·
Zusätzlich:
Login Skript (Profile Login Skript)
·
Unterschied
zur Gruppe:
o eine Gruppe kann Benutzer aufnehmen
o Profil: einem Benutzer wird ein (max. ein) Profil
zugewiesen
·
ist Gruppe von
mehrereren Usern im NDS-Verzeichnisbaum
erforderlich ÞGruppe
·
sollen mehrere
User mit ein und derselben Arbeitsumgebung arbeiten ÞProfil
Oranizational Role (org. Funktion)
·
falls
bestimmte Aufgaben eher an Verantwortlichkeiten als an konkreten User
ausgerichtet sind
·
alle
Berechtigungen, die ein Objekt der Klasse org. Funktion besitzt, gehen auf die
User über, die als Occupant (Träger) dieser Funktion
festgehalten sind (z.B. Operator von Netzwerkdrucker, Projektleiter,
Ferienarbeiter,...)
Netware-Server
·
ein mit
Netware arbeitender Server wird im NDS als Netware-Server geführt (NCP-Server (NCP = Network Core Protokol))
Volume
·
jedes im
Netware-Server (bei Installation) angelegte Volume
wird als Volume im NDS-Tree
repräsentiert
·
Name wird
automatisch vergeben:
ServerName_VolumeName
Beispiel:
Server CA, Volume SYS,
Vol1:
Þzwei Blattobjekte des
Typs „Volume“
CA_SYS
CA_VOL1
·
Blattobjekt Volume ist das einzige Objekt, das den direkten Zugang zum
Dateisystem eines Servers bietet
·
Þüber Blattobjekt Volume kann mit
Netware-Administrator (nwadmn32.exe) auch Verzeichnisse, Dateien und weitere
Informationen eingesehen bzw. bearbeitet werden
Directory Map (Verzeichniszuordnung)
·
referenziert ein Verzeichnis, das sich auf einem Volume
innerhalb des Netware Dateisystems befindet
·
z.B. tief
verschachteltes Verzeichnis auf einem Volume an die
„Oberfläche“ (im NDS-Tree) holen
·
wird Struktur
(im Dateisystem) verändert, so ist lediglich das Blattobjekt Directory Map zu verändern (®die Benutzer merken nichts, da diese nach wie vor auf das
gleiche Blattobjekt zugreifen)
Print Queue (Druckerwarteschlange)
·
repräsentiert
eine Druckerwarteschlange
Print Server (Druck-Server)
·
repräsentiert
Druck-Server
·
bearbeitet
Aufträge in Warteschlange und überträgt diese an Objekte des Typs Printer
Printer (Drucker)
·
beschreibt
Ausgabegerät Drucker
Alias
·
Alias verweist
auf Objekt, das sich in einem anderen Container befindet
·
Þein Objekt kann an mehreren Stellen im NDS-Verzeichnisbaum
erscheinen
·
kein Objekt im
eigentlichen Sinne, sondern Verweis auf das zu spiegelnde Original-Objekt
·
Alias hat
(Ausnahme: sein eigener Name) nur Eigenschaften des Original-Objektes
·
alle
Änderungen am Original-Objekt werden spiegeln sich im Alias wieder und
umgekehrt; Ausnahme: Löschen des Alias
·
wenn das
Original gelöscht wird, werden alle Aliase auf dieses Objekt gelöscht
AFP-Server
·
ein Server,
der mit AFP arbeitet (AFP = Talk Filing Protocol)
Computer
·
Workstation,
an der ein User arbeite, kann als Blattobjekt „Computer“ in NDS-Tree
eingetragen werden (NDS = strukturiertes Verzeichnis aller Ressourcen im
Netzwerk)
·
rein
informatorischer Charakter; Eigenschaften z.B. Eigentümer, Standort,
Beschreibung, Serien-Nr. Netzwerkadresse, ...
Template (Schablone)
·
Vorgaben
erstellen, um diese bei der Erstellung eines neuen Benutzers heranzuziehen
·
für
unterschiedliche Aufgaben lassen sich unterschiedliche Schablonen definieren
·
Änderungen an
der Schablone verändert bestehende User nicht
2000-11-14
\Stammobjekt CA
Organisation
CASERVER
XYZ
(User)
CA01
Server
(Alias)
CA02
DIRMAP
(Directory Mapping)
CA_SERVER_SYS
CA_SERVER_VOL1
CAServer
SYS VOL1
Public Login ... CA01 CA02 CA03 …
Nutzdaten
Fortsetzung Blattobjekte
Auditing File (Revisionsdatei)
·
für jedes zu
überwachende Objekt des NDS-Trees bzw. Netware-Dateisystems
wird automatisch ein Blattobjekt „Auditing File“
erstellt
·
über Objekt-
und Eigenschaftsrechte wird festgelegt, welcher User eine damit verbundene
Überwachung vornehmen darf
LSP-Server
·
(License Service Provider)
·
ein
Netware-Server, auf dem der NLS (Novell Licensing Services) läuft
·
Verwaltungt von Lizenzen
Namen
von Objekten (im NDS-Tree)
·
®Namens-Terminologie von Objekten
Name Types
·
Namensart gibt
an, um welche Kategorie und Klasse von Objekt es sich handelt
Common Name
(Eigenname) CN
Licensed Product
(Lizensiertes Produkt) LP
Organizational Unit
(organisatorische Einheit) OU
Organization
(Organisation) O
Locality (Standort) L bei Standort
S Bundesland/state
Country (Land) C
\Hugo
C=DE
USA DE
L=Bonn
Berlin Munchen Bonn
O=Verwaltung O=Verkauf
Verkauf Verwaltung
OU=Ausland
Inland Ausland
CN=CASERVER
CASERVER
CN=CA01
CA01
CN=CA02
CA02 NDS-Tree
Common Name
o
wird für
Blattobjekte verwendet
o
Beispiel:
Benutzer „Pohl“ wird durch „CN=Pohl“ repräsentiert
Organizational Unit
o
Behälterobjekte
der Klasse Org. Unit werden mit Namensart OU gekennzeichnet
o
Beispiel: OU=Marketing
Organization
o
O=Verwaltung
Locality
o
L=Munchen oder
o
S=NRW
Country
o
C=USA
Kontext
·
Kontext (Context) beschreibt in welchem Container sich ein Objekt
befindet
·
„Zeiger“ auf
die Position, an der sich ein
bestimmtes Objekt im NDS-Tree befindet („Pfad“
zum Objekt)
·
Regeln:
o
Kontext wird
immer ausgehend vom Behälter-Objekt über die höheren Ebenen zum Stammobjekt
gebildet („von unten nach oben“)
o
Ebenen
innerhalb des NDS-Trees werden mit „.“
getrennt
o
Behälterobjekte
werden zusammen mit ihrer Namensart angegeben (Abkürzung)
o
Kontext
beinhaltet niemals ein Blattobjekt
Beispiel:
Wie lautet der Kontext für Benutzer „CA01“ in Beispiel-NDS-Tree?
OU=Inland.O=Verkauf.L=Munchen.C=DE
Um Benutzer die Anmeldung am Netzwerk zu erleichtern, kann
dessen Kontext bei der Client-Software eingestellt werden
NAME CONTEXT(Namenskontext)
(®Novell Client-Eigenschaften)
®aktueller
Kontext: der gegenwärtig an der Workstation eines Users eingestellte Kontext
ÞUnterscheidung
Kontext, aktueller Kontext
Kontext:
(=Position) eines Objektes ist in einem gegebenen NDS-Tree
fest, er kann sich nicht verändern
Der
aktuelle Kontext gibt die Position im NDS-Tree an,
der an der Workstation des Users während seiner gegewärtigen
Sitzung eingestellt ist
Complete Name
·
®vollständiger
Name
·
= Name des Blattobjekts + Kontext, in dem sich das
Blattobjekt befindet
·
vollständiger Name beginnt mit „.“
·
„von unten nach oben“
·
vollständiger Name zu CA01 im Beispiel-Tree
.CN=CA01.OU=Inland.O=Verkauf.L=Munchen.C=DE
·
vollständiger Name eines Objektes lautet :
.CN=Blattobjekt.[[.OU=OrgEinheit][.OU=OrgEinheit]...]
.O=Organisation[.S=State|.L=Standort][.C=Land]
·
kürzestmöglich:
.CN=Egon.O=CA
Partial
Name:
·
Partieller Name
·
weist den Weg zum aktuellen Kontext
·
= Partial Name spezifiziert den Weg eines Objektes
relativ zu aktuellen Kontext
.PartiellerName.AktuellerKontext = vollständiger Name
Beispiel:
vollständiger
Name von Pohl
.CN=Pohl.OU=Verwaltung.OU=Hugo.O=XYZ
aktueller
Kontext laute:
OU=Hugo.==XYZ
Wie lautet
partieller Name?
CN=Pohl.OU=Verwaltung
C:\
DOS
A B C
x.txt
Vollständiger Name: C:\DOS\B\x.txt
aktuelles Verz:
C:\DOS
relativerPfad B\xtxt
2000-11-15
Fortsetzung
Partielle Namen:
a)
wird
partiellem Namen ein Punkt hinten angestellt, so bezieht sich partieller Name
nicht auf aktuellen Kontext, sondern auf eine Ebene höher
Beispiel:
aktueller Kontext:
OU=Inland.O=Verkauf.L=Munchen.C=DE
partieller Name von "Egon"
CN=Egon.OU=Ausland.O=Verkauf ?
Test:
.partName.aktKontext=vollstName
.CN=Egon.OU=Ausland.O=Verkauf.OU=Inland.O=Verkauf.L=Munchen.C=DE
Þfalsch!!!
2.Versuch:
CN=Egon.OU=Ausland.
Þkorrekt!
b)
für jeden
einem partiellen Namen nachgestellten „.“ entfernt Netware eine Ebene
des NDS-Trees aus dem aktuellen Kontext, bevor der
Rest mit dem partiellen Namen zum vollständigen Namen kombiniert wird
a)
aktueller
Kontext
OU=Inland.O=Verkauf.L=Munchen.C=DE
partieller Name
CN=Egon.OU=Ausland.
vollständiger Name?
.CN=Egon.OU=Ausland.O=Verkauf.L=Munchen.C=DE
b)
aktueller
Kontext
OU=Inland.O=Verkauf.L=Munchen.C=DE
partieller Name
CN=Egon..
vollständiger Name?
.CN=Egon.L=Munchen.C=DE
c)
/
O=CA
OU=A OU=B
X Hugo
Y Egon
Z Willy
1)
aktueller
Kontext: OU=A.O=CA
Das Objekt „X“ soll angesprochen werden. Wie?
CN=X
.CN=X.OU=A.O=CA
2)
aktueller
Kontext: OU=B.O=CA
Das Objekt „X“ soll angesprochen werden. Wie?
CN=X.OU=A.
.CN=X.OU=A.O=CA
3)
aktueller
Kontext: OU=A.O=CA
Das Objekt „Admin“ soll
angesprochen werden. Wie?
CN=Admin.
.CN=Admin.O=CA
4)
aktueller
Kontext: O=CA
Das Objekt „X“ soll angesprochen werden. Wie?
CN=X.OU=A
C:\
DOS Win OS2
Dat Bin
a.txt a.txt
aktuelles
Verzeichnis: C:\WIN\DAT
Welche
Datei wird bearbeitet?
a) >edit a.txt C:\WIN\DAT\a.txt
b)
>edit ..\BIN\a.txt C:\WIN\BIN\a.txt
c) >edit
..\..\OS2\a.txt C:\OS2\a.txt
d) >edit
C:\WIN\DAT\a.txt C:\WIN\DAT\a.txt
e) >edit
C:\OS2\a.txt C:\OS2\a.txt
f)
>edit C:..\..\DOS\a.txt gibt’s
nicht!
g) >edit .\a.txt C:\WIN\DAT\a.txt
Typeless
Name
·
implizierter
Name
·
unter
Umständen ist es möglich, die Namensart bei der Angabe eines Objektes
wegzulassen
Vollständiger Name:
.CN=Pohl.OU=Consulting.OU=Frankfurt.O=ICG
Þmit Namensart
.Pohl.Consulting.Frankfurt.ICG
Þimplizierter Name (typeless Name)
·
für
vollständige und partielle Namen möglich
·
®Vereinfachung der Arbeit; aber: intern wird die Namensart
eines Objektes benötigt; Umwandlung erfolgt nach folgenden Regeln:
o
ist Objekt
ganz links ein Blatt, so wird CN= vorangestellt
o
Objekt ganz
rechts bekommt Namensart O=
o
die in der
Mitte stehenden (also zwischen CN und O) Objekte erhalten die Namensart OU=
Regeln
zur Namenswahl
·
Namen sollten
immer aussagekräftig, aber kurz sein
.CN=SchmitzOtto.OU=Abteilung Buchhaltung.OU=Frankfurter
Filiale.O=ICG
besser:
.CN=Schmitz.OU=Buchhaltung.OU=Frankfurt.O=ICG
Faustregeln
·
einheitliche
Namenskonvention verwenden (insbesondere wenn mehrere Administratoren
arbeiten), z.B. kurze, aussagekräftige Bezeichnungen (z.B. Abkürzungen)
·
formattechnische
Elemente (Großbuchstaben, Trennstriche) gezielt und einheitlich einsetzen ®leichtere Lesbarkeit
OttoSchmitz
Otto_Schmitz
Otto-Schmitz
Otto Schmitz
·
Leerzeichen
möglichst vermeiden (sind erlaubt, aber: bei Befehlen auf Kommandoebene
problematisch)
·
Benutzernamen
o
kompletter
Nachname
oder
o
6 Zeichen von
Nachnamen + 3 Zeichen vom Vornamen o.ä.
o
®Tools arbeiten meist mit alphabethischer Sortierung
·
„normale“
Zeichen verwenden (vermeiden: seltene Sonderzeichen,
Alt-Tastenkombinationen,...)
Logische
Sicht auf das Netware Dateisystem:
Netware-Server
Festplatte Festplatte Festplatte
Volume Volume ... Netware
Partition Netware Partition
Volume Volume Volume
Verzeichnis Verzeichnis
Verzeichnis
Datei
Namen:
·
jedes Element
trägt bestimmten Namen
·
®Netware-Server, Volume,
Verzeichnis, Datei
Netware-Server:
·
2 bis 47
Zeichen
·
nach Name
folgt \ (alternativ /)
Volume
·
2 bis 15
Zeichen
·
nach Name
folgt :
Verzeichnis
·
1 bis 12
Zeichen
·
genau: NameDesVerzeichnis.Namenserweiterung
1 bis 8 Zeichen 1
bis 3 Zeichen
·
nach Name
folgt \ (alternativ /) zur Trennung von nächster Ebene
·
i.d.R. keine Namenserweiterung
Datei
·
wie
Verzeichnisname (nach Name folgt kein weiteres Zeichen)
·
Konventionen
für Dateien/Verzeichnisse entsprechen DOS (Netware Standard)
·
andere
Konventionen (z.B. Win98) möglich ®Name Space Module ®z.B. LONG.NAM Þes gelten die Regeln
des entsprechenden Moduls
Pfadangaben
unter Netware
·
vollständiger
Pfad zu einer Datei:
NetwareServer\Volume:Verzeichnis\Verzeichnis\...\Datei
optional
Beispiele:
CASERVER\SYS:PUBLIC\WIN32\NWADMN32.EXE
CASERVER\VOL1:USER\HUGO\UNWICHTIG.TXT
CASERVER/SYS:PUBLIC/MAP.EXE
·
unter
Verwendung von NDS-Objekten (bei Utilities
von Netware):
.CN=CASERVER_SYS.O=CA:PUBLIC\WIN32\NWADMN32.EXE
Volume als NDS-Objekt Pfad in Volume
UNC-Name
\\NetwareServer\Volume\Verzeichnis\Verzeichnis\…\Datei
optional
\\CASERVER\SYS\PUBLIC\WIN32\NWADMN32.EXE
Sicherheit
bei Netware
1.
Zugangssicherheit
(Anmeldung)
2.
Zugriffsrechte
auf NDS-Tree
3.
Zugriffsrechte
auf Netware-Dateisystem
4.
Serversicherheit
Zugangssicherheit
·
®nur durch ordnungsgemäße Identifizierung ist Zugriff auf
Netzwerk möglich
·
Mechanismus:
Benutzername/Kennwort
·
anhand des
Benutzernamens wird eine Person identifiziert und die entsprechende Rechte
erteilt
·
Kennworte sind
gesichert Þauch
Administrator kann Kennworte nicht einsehen
·
ausgefeiltes
Beglaubigungsverfahren: Verschlüsselungs-Technologie (RSA)
·
ständige
Überprüfung auf Echtheit während der Sitzung
·
sitzungsbezogene Echtheitsbestätigung
Beschränkungen
beim Systemzugang
·
Konto-Beschränkungen:
o
Kontosperre:
explizite Sperre (manuell)
§
®Zugang zum Netzwerk wird gesperrt; Benutzer und seine
Eigenschaften (Rechte,...) bleiben erhalten
§
Sperre kann
aufgehoben werden
2000-11-16
Fortsetzung
Beschränkungen beim Systemzugang
Ablaufdatum
des Kontos
Account Expiration Date
·
Angabe eines
Datums, ab dem das Konto ungültig ist – z.B.
o
für
Mitarbeiter, die befristet beschäftigt sind
Limitierung
gleichzeitiger Verbindungen
Limit Current Connections
·
Begrenzung der
Verbindungen, die gleichzeitig unter ein- und demselben Benutzernamen möglich
sind
Kennwort-Beschränkungen
Password Restrictions
·
Require Password
o
Zwingende
Verwendung eines Kennwortes
o
„Leere“
Kennworte können verhindert werden
Kennwort-Mindestlänge
Minimum Password Length
·
kürzere
Kennworte als gefordert werden abgelehnt
Kennwortänderung durch Benutzer
Allow User to change Password
Einmalige Kennwörter
Require Unique Passwords
·
bei
Kennwortwechsel wird das neue Kennwort mit den 10 letzten verglichen,
die mindestens 1 Tag lang benutzt wurden (Þes wird verhindert, dass Benutzer zwischen zwei
„Lieblingskennwörtern“ wechselt; Mindestdauer von 1 Tag verhindert, dass
Benutzer an einem Tag 10 Änderungen vornehmen und anschließend zum
ursprünglichen Kennwort zurückkehren kann); ist es bereits benutzt worden, so
wird Verwendung abgelehnt
Erzwingung von periodischen Kennwortänderungen
Periodic Password Changes
·
Kennwort wird
mit Gültigkeitsdauer in Tagen versehen, nach Ablauf der Zeit wird Benutzer
aufgefordert, das Kennwort zu ändern
·
Gültigkeitsdauer
®Days
between forced changes (Tage
zwischen erzwungenen Änderungen)
·
nach Ablauf
a)
Aufforderung
zum Wechsel (informativ)
b)
Kulanzanmeldungen
(Grace Login);
·
Anzahl der
Anmeldungen, die noch ohne Kennwortänderung möglich
sind, wird festgelegt
·
wird die
angegebene Anzahl überschritten, erfolgt Kontosperre
Zeitliche
Beschränkung
Time Restriction
·
es wird
festgelegt, wann ein Benutzer am System arbeiten kann
Beispiel:
Mo bis Fr 800 bis 1600
·
außerhalb
dieser Zeit ist keine Arbeit möglich (Anmeldung wird verhindert)
·
ist Benutzer
angemeldet:
o
automatische
Aufforderung vom Netzwerk, sich abzumelden
o
nach 5 Minuten
2. Aufforderung
o
nach weiteren
4 Minuten automatisches Logout von Netware
·
Zeitraster: 30
Minuten
Netzwerkadressen-Beschränkung
Network Adress Restrictions
·
bestimmter
Benutzer darf sich nur von Workstation(s) aus einloggen, deren Netzwerkadresse
(IP, IPX,...) aufgeführt ist
Speicherplatz-Beschränkung
Space Restrictions
·
pro Volume
·
individuelle
Festlegung, wie viel Speicherplatz von einem bestimmten User auf einem
bestimmten Volume belegt werden kann (nicht
verwechseln mit: verzeichnisbezogene Speicherplatzbeschränkung;
hier wird festgelegt, wie viel Daten insgesamt in einem Verzeichnis abgelegt
werden dürfen, egal von welchem Benutzer)
·
Eigenschaften
eines Volumes
Sicherheitsprüfung
·
halbstündlich
·
es wird
untersucht, ob User noch berechtigt ist, die Leistungen des Netzwerkes in
Anspruch zu nehmen
·
falls nicht
mehr: Information über Grund, Aufforderung zur Abmeldung in 5 Minuten; ggf.
Wiederholung der Aufforderung; ggf. nach 4 Minuten Hinweis auf automatischen
Abbruch nach 1 Minute
Arten
zum Aufstellen von Beschränkungen
Standardmäßige Beschränkungen
Default Restrictions
·
unter
Verwendung des Blattobjekts Schablone (Template)
a)
Schablone
erzeugen
b)
Beschränkungen
definieren
c)
neue Benutzer
unter Verwendung der Schablone einrichten
Þalle Benutzer im
Sinne von c) erhalten gewünschte Beschränkungen
Individuelle User-Beschränkung
User Restrictions
·
gezielte
Beschränkungen für einen Benutzer aufstellen (über Eigenschaften zu Objekt
User)
·
unabhängig von
anderen Benutzern und Schablone
Eindringlingserkennung
und –sperre
Intruder Detection and Lockout
·
Fehlversuche
beim Anmelden (falsches Kennwort) werden mitgezählt
·
nach voreingestellter Anzahl von Fehlversuchen wird Benutzer
gesperrt (Lockout), im Server-Fehlerprotokoll wird
Adresse der Workstation von der die Anmeldeversuche kamen, protokolliert
·
nach Ablauf
einer Sperrfrist wird Sperre wieder aufgehoben; Administrator kann Sperre
jederzeit aufheben
·
Aktivierung
des Mechanismus erfolgt für Behälter der Klasse Land, Organisation oder
Organisatorische Einheit
Sicherheit
bei der Arbeit im Netware-Dateisystem
·
®Trustee Rights (Zugriffsrechte)
·
Kern der
Sicherheitsmechanismen; Festlegung der Zugriffsarten auf Verzeichnisse bzw.
Dateien
Directory Rights
(Verzeichnisrechte)
File Rights (Dateirechte)
·
Verzeichnis-
und Dateirechte können den Blattobjekten User, Gruppe, Organisatorische
Funktion und den Behälterobjekten Land, Organisation und Org. Einheit zugeteilt
werden
Wer darf auf Verzeichnisse/Dateien zugreifen?
Was darf der Berechtigte (Trustee,
Treuhänder) mit diesem Objekt erledigen?
Trustee
Bevollmächtigter, Treuhänder, ®Zugriffsberechtigter
·
jedes Objekt
(User, Gruppe,...), das über eine Zuweisung (Trustee-Zuweisung)
auf das Dateisystem verfügt, ist ein Trustee für das
damit verbundene Verzeichnis/Datei
·
Þein Trustee hat Zugriff auf
Verzeichnis/Datei
Verzeichnisrechte
Directory
Rights
Supervisor (S)
·
Kombination
aller anderen 7 Verzeichnisrechte, vollständiger Zugriff auf Verzeichnis
Read (R)
·
Lesen von
Dateien im Verzeichnis (impliziert öffnen einer Datei)
Write (W)
·
Schreiben in
eine Datei
Create (C)
·
Anlegen neuer
Dateien bzw. Verzeichnisse
Erase (E)
·
Löschen von
Dateien und Verzeichnissen
Modify (M)
·
Änderung von
Datei- und Verzeichnisattributen; Umbenennung von Dateien und Verzeichnissen
File Scan (F)
·
ermöglicht das
Durchsuchen von Verzeichnissen nach Dateien und Unterverzeichnissen
Access Control
(A)
·
erlaubt die
Veränderung von Zugriffsrechten auf Verzeichnisse bzw. enthaltene Dateien und
Verzeichnisse
Darstellung
der Verzeichnisrechte
[SRWCEMFA] ®alle Rechte erteilt
[_R____F_]
[S_______] fehlende Rechte werden durch
Leerzeichen dargestellt
[_RWCEMFA]
Dateirechte
File Rights
S alle
Zugriffsrechte auf eine Datei
R Lesen der
Datei (inkl. öffnen)
W Schreiben der
Datei (inkl. öffnen)
E Löschen der
Datei
C hier:
Wiederherstellen der Datei (falls diese gelöscht wurde)
M Änderung der
Attribute der Datei inkl. Dateinamen
F Auflistung
der Datei
A Veränderung
der Dateirechte
Darstellung wie Verzeichnisrechte
Zuweisung
von Zugriffsrechten
Trustee Assignments
VOL1
Hugo Egon Meier
A B C
C D E
1.txt
2.txt
·
Einem Objekt
im Dateisystem (also Verzeichnis oder Datei) werden ein oder mehrere Trustees (=Objekte im NDS-Tree
wie z.B. User, Gruppe) zugeordnet (=Trustee Directory
Assignment bzw. Trustee
File Assignment). Jeder Trustee
erhält seine eigenen Rechte.
·
Ein Trustee Directory Assignment gilt
für das zugeordnete Verzeichnis und i.d.R. für alle
enthaltenen Dateien und Verzeichnisse.
Vererbung
von Zugriffsrechten
·
Zugriffsrechte
vererben sich auotmatisch auf Unterverzeichnisse,
also auf darunterliegende Verzeichnisebenen (»Rechte werden
übertragen, weitergegeben)
·
durch ein
neues Trustee Assignment
auf tieferliegender Ebene wird Vererbung durchbrochen
Þes
gelten die Zugriffsrechte der neuen Trustee-Liste
·
Filterung von
Rechten durch Inherited Rights
Filter (IRF)
2000-11-17
„Die
Platte ist voll.“...
Wie äußert sich das Problem?
·
Mitteilung
(Nachricht) an Workstation
·
Nachricht auf
Konsole (mit Mitteilung, welches Volume betroffen
ist)
Was tun?
·
Dateien
löschen
·
®Daten werden logisch gelöscht und „eine Weile“ aufgehoben
(zur Wiederherstellung)
·
®noch immer kein Platz vorhanden
·
Þlogisch gelösche Daten müssen
physikalisch gelöscht werden ÞPurge
es existiere ein Drive Mapping
F ®SYS:Public
Eingabeaufforderung starten:
>F: <Enter>
>cd F:\public <Enter>
>FILER (Menüorientiertes
Tool)
>purge vol1: /all
(logisch gelöschte Dateien des
ges.
Volumes werden
gelöscht; ohne /all:
nur die im akt. Verzeichnis
logisch
gelöschten)
Bei Eingaben von
>purge /?
erscheint die Auflistung aller Parameter
weiter Befehle: ncopy, ndir, nlist,...
Inherited Rights Filter (IRF)
·
®Filter für vererbte
Rechte
·
Filter gibt
an, welche Zugriffsrechte in Dateisystem von einer darüberliegenden
Ebene geerbt werden dürfen
·
zu jedem
Verzeichnis und jeder Datei wird eine IRF angelegt
·
Standardwert
der IRF: alle 8 Zugriffsrechte [SRWCEMFA] sind erteilt
·
dies bedeutet
aber nicht, dass Objekt (Benutzer, Gruppe,...) alle Rechte haben, sondern sie
können von den Rechten Gebrauch machen, die ihnen in Trustee-Zuordnungen
erteilt wurden
·
ein
Zugriffsrecht, das im IRF enthalten ist, wird durchgelassen (=darf geerbt
werden); ein fehlendes Zugriffsrecht kann nicht geerbt werden; Ausnahme: S
(kann nicht entzogen werden)
·
ÞTrustee-Zuordnung und IRF steuern Zugriff auf Verzeichnisse und Dateien
Effektive
Rechte
Effective Rights
aus Kombination von Trustee Assignment und IRF ergibt sich, welche Zugriffe ein
User im Dateisystem tatsächlich ausüben darf ®Effective Rights
Ermittlung der effektiven Rechte
zu beachten
sind:
·
Rechte, die
durch Trustee Assignment
auf höherliegenden Verzeichnissen (und durch
Sicherheitsäquivalenz) übernommen werden
·
Berücksichtigung
des IRF
·
Existenz eines
Trustee Assignments
·
Zugriffsrecht Supervisor
Beispiel:
Bestimmung der ER (effektiven Rechte) für Benutzer Hans im
Verzeichnis Arbeit/Projekt1 (Hans ist Mitglied der Gruppe Schreiber)
ARBEIT
PROJEKT
ER [ ]
IRF
[S ]
TZ
Gruppe „Schreiber“ [ R F ]
TZ
Hans [ WCEM ]
ER
[ ]?
®[ RWCEMF ]
Benutzer Hans im Projekt1: WCEM durch Trustee-Zuordnung
Gruppe Schreiber im Projekt1: RF durch Trustee-Zuordnung
Hans ist Mitglied von Schreiber
Þdie Summe der Rechte
der Trustee-Zuordnungen sind die effektiven Rechte
von Benutzer Hans
(Hinweis: IRF hat hier keinen Einfluß,
da diese von Trustee-Zuordnung grundsätzlich
überschrieben wird)
Z2
3 weitere Beispiele:
1)
Wie werden
Rechte bestimmt, wenn für einen Benutzer keine neuen Trustee-Zuordnungen
vorgenommen werden?
Werden keine neuen Trustee-Zuordnungen
vorgenommen (d.h. ein Benutzer hat keine TZ im betrachteten Verzeichnis), so
bestimmt IRF , welche Effektive Rechte ein Benutzer vom übergeordneten
Verzeichnis erbt
2)
Wie werden
Rechte bestimmt, wenn für einen Benutzer neue Trustee-Zuordnungen
vorgenommen werden?
Er bekommt die in der Trustee-Zuordnung
erteilten Rechte
3)
Wie werden
Rechte bestimmt, wenn für einen Benutzer das Recht Supervisor
erteilt wurde?
Er bekommt alle Rechte, weil ein einmal erteiltes S-Recht
auch nicht durch eine neue Trustee-Zuordnung
überschrieben werden kann
Allgemein:
1.
Bestimmung der
ER im übergeordneten Verzeichnis
2.
IRF des
betrachteten Verzeichnisses beachten:
·
lässt IRF alle
Rechte zu, so entsprechen die ER des Benutzers im Verzeichnis den ER des
übergeordneten Verzeichnisses
·
lässt IRF
nicht alle Rechte zu, so werden ER im übergeordneten Verzeichnis mit IRF
verglichen; nur Rechte, die in beiden Listen vorhanden sind, sind die ER im
aktuellen Verzeichnis
Zusammenfassung
Besteht S als
effektives Recht im übergeordneten Verzeichnis?
effektive Rechte
= alle Rechte besteht eine Trustee-Zuordnung?
effektive Rechte
= Trustee-Zuordnung Werden aufgrund
der IRF alle Rechte vererbt?
effektive Rechte = effektive Rechte des übergeordneten
Verzeichnisses ER = ER des übergeordneten Verzeichnisses MINUS alle
Rechte, die in der IRF wiederrufen werden
2000-11-20
Effektive
Dateirechte
Bestimmung:
·
durch
Feststellen der effektiven Rechte im Verzeichnis und Anwendung der IRF der
Datei
·
durch Trustee-Zuordnung
·
durch
Feststellen der effektiven Rechte des Benutzers im übergeordneten Verzeichnis,
einschließlich des Rechts Supervisor
Beispiel 1:
Wurde für eine Datei keine Trustee-Zuordnung
vorgenommen, ist durch die IRF der Datei festgelegt, welche Effektiven Rechte
ein Benutzer vom Verzeichnis erben kann
Wurde für eine Datei eine Trustee-Zuordnung
vorgenommen, werden die effektiven Rechte genauso bestimmt wie für ein
Verzeichnis.
Wurde einem Benutzer im übergeordneten Verzeichnis das Recht
Supervisor erteilt, verfügt er über alle Rechte für
Dateien (unabhängig von anderen Trustee-Zuordnungen
oder IRF).
Zusammenfassung:
Besteht S als ER im übergeordneten Verzeichnis?
ER = alle Rechte Besteht eine Datei-TZ? ER = Rechte der
TZ Werden durch IRF
alle Rechte vererbt?
ER = ER des Verzeichnisses ER = ER des
Verzeichnisses minus Rechte, die in IRF widerrufen werden
Erteilen
von Rechten
·
jede
Kombination von Datei- und Verzeichnisrechten ist möglich, aber nicht sinnvoll
Beispiel:
1.
Benutzer
erhält in einem Verzeichnis S-Recht, alle anderen Rechte werden widerrufen
®nicht besonders
sinnvoll, da alle widerrufenen Rechte dennoch vorhanden sind
2.
Benutzer
erhält R und F, aber Anwendung will beim Lesen einer Datei temporäre Daten
schreiben
®Anwendung
kann nicht arbeiten, da C/E/M fehlen ÞR und F sind hier auch sinnlos, da Benutzer nicht arbeiten
kann
Rechte müssen mit Bedacht erteilt
werden!
·
hat Benutzer zu viele Rechte, kann er Daten löschen,
beschädigen, stehlen
·
hat er zu wenig Rechte, kann er seine Aufgaben nicht
erfüllen
Aufgabe Recht x
Trustee-Zuordnung ändern A
IRF ändern A
Neues Verzeichnis anlegen C
Datei ( oder Verzeichnis) in
Verzeichnis kopieren C
aus geschlossener Datei lesen R
(normalerweise mit F)
Hauptverzeichnis anzeigen beliebiges
der Rechte
Datei aus Verzeichnis kopieren RF
Dateiname anzeigen F
Unterverzeichnis anzeigen F
Datei löschen E
leeres Unterverzeichnis löschen E
in geschlossene Datei schreiben WCEM
(norm. mit F)
Verzeichnis-/Dateiattribute ändern M
Datei-/Verzeichnis umbenennen M
Sicherheitsäquivalenz
Security Equivalence
·
ein Benutzer erhält dieselben Rechte wie ein anderer
Benutzer
Beispiel:
Hugo sei
sicherheitsäquivalent zu Erika
Einsatz:
wenn ein
Benutzer vorübergehend Zugriff auf bestehende Objekte benötigt, die
normalerweise von jemand anderen verwaltet werden
®“gefährlich“:
Benutzer verfügt über alle Rechte des anderen Benutzers (also auch auf dessen
Stammverzeichnis)
®Security Equivalence zu einem Netzwerkadministrator ist möglich ®Benutzer
hat gleiche Rechte wie Netadmin
®keine Verschachtelung
User B ist
sicherheitsäquivalent zu User A
User C ist
sicherheitsäquivalent zu User B
Welche
Rechte hat B?
Seine
eigenen Rechte + die Rechte von A
Welche
Rechte hat C?
Seine
eigenen Rechte + die Rechte von B
®wird User, zu dem eine Sicherheitsäquivalenz besteht
gelöscht, so hat der andere Benutzer die Rechte des gelöschten Benutzers nicht
mehr
Der Trustee [Public]
·
virtuelles NDS-Objekt
·
spezielle Gruppe, der alle Objekte (User, Gruppen,…)
automatisch und unentfernbar angehören
·
Þalle
Rechte, die [Public] erteilt werden (z.B. durch Trustee
Assignment) wird automatisch an Alle übertragen
·
®auf SYS:login ist intern („fest verdrahtet“) ein Trustee Assignment zu [Public] mit
Rechten R und F vorhanden
·
Þin
SYS:LOGIN stehen Daten, die zum Anmelden notwendig sind, z.B. login.exe für
DOS-Benutzer
·
Þ[Public]
gehören nicht nur angemeldete Benutzer an, sondern alle
Attribute für Dateien und
Verzeichnisse
·
Attribut ist bestimmte Eigenschaft, mit der ein
Verzeichnis bzw. Datei ausgestattet werden kann
·
Zuweisung von Attributen nennet man flaggen
·
Attribute gelten für alle Benutzer eines Objektes
·
Attribute besitzen Vorrang gegenüber
Zugriffsrechten Þauch
Netzwerkadministrator unterliegt Attributen
·
®Attribute
werden an Dateien und Verzeichnisse vergeben, d.h. völlig losgelöst von Usern
oder Gruppen, etc.
Verfügen
Benutzer über das Effektive Recht „Modify“ (M),
können diese Attribute ändern und jede Aufgabe ausführen, die die Effektiven Rechte
zulassen!
Verzeichnisattribute
Directory
Attributes
Hidden (H):
verbirgt
ein Verzeichnis, so dass es z.B. bei DIR nicht mehr erscheint; Löschen oder
Kopieren nicht mehr möglich
System (Sy):
weist
Verzeichnis als Systemverzeichnis aus; Auswirkungen wie H
Purge (P)
alle
Daten, die gelöscht werden, werden sofort physisch gelöscht; Wiederherstellung
nicht möglich; Speicherplatz steht sofort wieder zur Verfügung
Delete Inhibit
(Di)
verhindert
Löschen des Verzeichnisses
Rename Inhibit
(Ri)
verhindert
umbenennen des Verzeichnisses
Immediate Compress (IC)
alle im
Verzeichnis enthaltenen Dateien sind so schnell wie möglich zu komprimieren; es
wird nicht auf den globalen Komprimierungszeitpunkt gewartet
Don’t Compress
(DC)
verhindert,
dass Dateien im Verzeichnis komprimiert werden; auch wenn die
Komprimierungsfunktion für ein Volume aktiviert ist
Don’t Migrate
(DM)
verhindert
das Migrieren von Dateien, die in einem Verzeichnis
liegen, auch wenn die Migrationsfunktion
Standard:
Verzeichnis ist nicht mit Attributen versehen ÞAttribute müssen manuell vergeben werden (z.B. mit Netware
Administrator)
Dateiattribute
File
Attributes
·
diejenigen Attribute, die einer Datei zugewiesen
werden können
Shareble (SH)
mehrere
Benutzer dürfen gleichzeitig auf die Datei zugreifen; i.d.R.
mit RO angewendet, um gleichzeitige Schreibzugriffe zu verhindern
Read Only
(RO)
nur
Zugriffe lesender sind erlaubt
Read Write
(RW)
ist RO
nicht gesetzt, gilt automatisch RW ®Lesen und Schreiben möglich
Hidden (H)
wie
Verzeichnisattribut
System
(SY)
wie
Verzeichnisattribut
Archieve Needed
(A)
zeigt
inhaltliche Veränderung einer Datei an; wird automatisch bei Veränderung
gesetzt; Backupprogramme entfernen A, wenn Datei gesichert worden ist Þman kann
feststellen, ob Datei seit letzter Sicherung verändert wurde
Purge (P)
wie
Verzeichnisattribut
Transactional (T)
die Datei
wird durch das TTS überwacht
Execute Only (X)
§
nur für Programmdateien (*.exe,
*.com)
§
Datei kann nur noch ausgeführt werden, nicht aber
kopiert werden
§
Þauch keine
Datensicherung
§
kann nicht wieder aufgehoben werden (ÞLöschen,
neu Einspeichern)
§
Probleme unter Windows möglich
Copy Inhibit (Ci)
verhindert
Kopieren (nur Apple Mac OS)
Delete Inhibit
(Di)
verhindert
Löschen der Datei
Rename Inhibit
(Ri)
verhindert
Umbennen der Datei
Immediate Compress (IC)
wie
Verzeichnisattribut
Don’t compress
(DC)
wie
Verzeichnisattribut
Don’t migrate
(DM)
wie
Verzeichnisattribut
Standard:
kein Dateiattribut gesetzt Þimplizit
gilt RW ÞLesen und
Schreiben möglich
Statusattribute
File Compressed (CO)
zeigt an, daß Datei in komprimierter Form auf dem Volume
liegt
Can’t Compress
(CC)
zeigt an,
dass Datei nicht komprimiert werden konnte (Þkeine Ersparnis oder gar größer)
File Migrated
Datei
wurde ausgelagert; befindet sich nicht mehr auf Volume
2000-11-21
Zustand
des Dateisystems nach der Installation
·
mindestens Volume SYS:; SYS hat bestimmte Verzeichnisse:
o
NETWARE
§
hidden, Dateien für NDS einschl. der NDS-Reproduktion
o
CDROM$$.ROM
§
hidden, dient zur Aufnahme von Index-Dateien, die von CDROM.NLM
erstellt werden
o
DELETED.SAV
§
wurden
Verzeichnisse gelöscht, so werden die in dem Verzeichnis (logisch) gelöschten
Dateien hier aufbewahrt
o
ETC
§
für diverse
Dateien, z.B. Config-Dateien für TCP/IP (z.B. /etc/hosts, /etc/services,...)
o
JAVA
§
javabezogene Dateien
o
LOGIN
§
steht
unmittelbar nach dem Laden der Client Software an Workstation bereit, enthält
Dateien, die für den Anmeldevorgang notwendig sind
o
MAIL
§
historisch,
aus Gründen der Kompatibilität zu Netware 3.X
o
NDPS
§
für den Betrieb
NDPS (Novell Distributed Print Services)
o
NETBASIC
§
Dateien für
den NetBasic-Interpreter
o
NI
§
Netware
Installationsdateien
·
Unterverzeichnisse
NLS; z.B. in:
o SYS:LOGIN
o SYS:PUBLIC
o SYS:PUBLIC/WIN32
o …
o
Inhalt der NLS-Unterverzeichnisse: Dateien, die Meldungen (Texte) der Utilities in verschiedenen Sprachen enthalten
·
NOVDOC
o
elektronische
Dokumentation (sofern installiert)
·
PERL
o
für PERL-Interpreter (PERL.NLM) relevante Dateien
·
PUBLIC
o
alle Programme
(z.B. Netware-Befehle, Menü- und Windows Utilities),
die für User bei der Arbeit mit NW5)
·
QUEUES
o
Druckerwarteschlangen
und Druckaufträge
·
README
o
„wichtige“ LiesMich-Dateien
·
SYSTEM
o
alle Dateien,
die vom Netware Server benötigt werden (Treiber, Libraries,
Module,...)
Zugriffsrechte
nach Installation auf Netware-Dateisystem
·
Trustee-Zuordnung: Behälter, der Server enthält (hier CA):
o
SYS:PUBLIC mit
Recht [RF]
·
Trustee-Zuordnung: [PUBLIC]:
o
SYS:LOGIN mit
Recht [RF]
Operatoren
·
Operator hat
bestimmte Privilegien, um eine Einheit (z.B. Drucker, Server,...) zu betreuen
·
User, Gruppen,
etc. können in den Status eines oder mehrerer Operatoren erhoben werden Þder User (etc.) kann
dann entsprechende logische oder physikalische Netzwerk-Ressource, für die er
Operator ist verwalten
Druckerwarteschlangen-Operator
Print Queue Operator
·
verfügt über
Berechtigung zur Verwaltung von Druckerwarteschlangen (löschen von Einträgen,
Start, Stopp, Reset,...)
Druckserver-Operator
Print Server Operator
·
Berechtigung
zur Manipulation des Druck-Servers: Warteschlangen, zuordnen, Priorität ändern,
Warteschlangen erzeugen, Drucker kontrollieren, Drucker zuordnen,...)
NDPS-Operator
·
Verwaltung von
NDPS-Druckern (Drucker steuern, Reihenfolge abändern,etc.)
Console Operator
·
[aus
Sicherheitsgründen sollte Server-Konsole = Bildschirm + Tastatur des
Server-Computers für User nicht zugänglich sein]
·
Console Operator kann von seiner Workstation aus mit RCONSOLE einen
Netware Server fernsteuern, wie z.B. NLMs laden und
entladen
Operator einer Workstation
·
mit Z.E.N.
Works verfügbar
·
Berechtigung
zur Modifikation einer Workstation vom Netzwerk aus
File
Server-Sicherheit
·
Sicherung der
Konsole (Bildschirm und Tastatur am Server)
Konsole:
·
Steuerung und
Anzeige der Aktivitäten des Servers
·
Nachrichten
senden
·
Systemzeit
ändern (®Manipulation
von Backups Login-Zeiten, Ausführen von Programmen
überspringen, etc.)
·
herunterfahren
(®Lahmlegen
des Netzwerks)
Eindringen von Unbefugten in das Netz von der Konsole aus
kann katastrophale Auswirkungen haben; Konsole muß
gesperrt werden!
Gefahr der Manipulation von Server Software, z.B. OS
Debugger ®Sicherheitssystem
durchbrechen, Programme manipulieren (z.B. das Protokollieren von Dateien,
etc.)
Befehl (an der Konsole): SECURE CONSOLE
·
es können
keine fremden Programme mehr ausgeführt werden (nur solche, die in SYS:SYSTEM
stehen)
·
kein
Dateitransfer mehr (also z.B. von Disketten-Laufwerk am Server auf SYS:SYSTEM)
·
(nach Neustart
ist Befehl SECURE CONSOLE aufgehoben ®Konsole ist „unsecure“) Þgegen Neustart
sichern (z.B. Kennwort im BIOS)
Manipulation
der Hardware
·
Server muß an einem „sicheren“ Ort stehen ®Schutz vor Diebstahl
des Servers insgesamt ®Schutz vor Ausbau der Festplatte ®...
Ladbare
Module
·
Erweiterung
für das Betriebssystem (=Programme)
·
NLMs sollten von Novell genehmigt sein
(Beibehaltung der Betriebssicherheit durch freigegebene (geprüfte) Programme)
·
Wichtig:
Instabilität des Servers beeinträchtigt die Arbeit vieler Benutzer (die
Instabilität einer Workstation beeinträchtigt nur einen Benutzer)
NDS-Sicherheit
·
im NDS-Sicherheit gibt es Zugriffsrechte auf Objekte (=Object Rights =Objektrechte) und
auf Eigenschaften (=Property Rights
=Eigenschaftsrechte)
·
Þes wird festgestellt, welches Objekt im NDS-Tree
auf welche anderen Objekte, in welcher Richtung sowie auf die damit verbundenen
Eigenschaften zugreifen kann
Wichtig:
NDS-Sicherheit bezieht sich auf den NDS-Tree
(hierarchische Struktur von Objekten, sprich Land, Standort, Org. Einheit,
Server, Benutzer, Gruppe,...) und nicht auf das Netware-Dateisystem
(hierarchische Struktur von Objekten, sprich Volumes,
Verzeichnisse, Dateien)
Trustee
Bevollmächtigter
·
jedem Objekt
können Zugriffsrechte auf ein anderes Objekt im NDS-Tree
eingeräumt werden
·
Trustee =Objekt, dem ein Recht an einem anderen Objekt erteilt
wurde
Access
Control List
Zugriffskontrollliste
·
jedes Objekt
hat Eigenschaft „Access Control List“ (ACL)
·
enthält alle
Objekte, die auf das Objekt zugreifen dürfen
Object Rights
·
Festlegung welche Handlung von anderen Objekten für
ein gegebenes Objekt vorgenommen werden dürfen
·
Objektrechte beziehen sich immer auf das Objekt als Ganzes;
legen nicht den Zugriff auf den Inhalt eines Objektes (=seine Eigenschaften ®Property Rights)
fest
Objektrecht Supervisor (S)
·
alle Zugriffsberechtigungen auf das Objekt
(=Kombination der anderen Objektrechte); zusätzlich: Zugriff auf Eigenschaften
möglich (sofern nicht mit IRF ausgefiltert)
Objektrecht
Browse (B)
·
ermöglicht es einem Trustee
eines Objektes diese zu sehen
Objektrecht
Create (C)
·
ermöglicht es einem Trustee
eines Objektes (Behälterobjekt), darunter ein neues Objekt zu erstellen; Create beinhaltet keine Berechtigungen für das neu
erstellte Objekt
Objektrecht
Delete (D)
·
ermöglicht es einem Trustee
eines Objektes, dieses zu löschen
Objektrecht
Rename (R)
·
ermöglicht es einem Trustee
eines Objektes, dieses umzubenennen
Objektrecht
Inheritable (I)
·
vererbbar; die dem Trustee
zugewiesenen Rechte auf das Objekt werden auf die darunterliegenden
Ebenen weitervererbt; Standard: NDS setzt Objektrecht I (=Netware 4.X),
bei Bedarf manuell entziehen (ab Netware 5.0)
[SBCDRI] ®alle 6
Objektrechte sind erteilt
[ B RI]
®nur Browse, Rename und Inheritable sind erteilt
Property Rights
Eigenschaftsrechte
·
Eigenschaftsrechte regeln, welcher Trustee auf die einzelnen Eigenschaften eines Objekts
zugreifen darf
Supervisor (S)
·
vollständige Kontrolle über die Eigenschaften eines
Objektes (=Kombination der anderen Rechte)
Compare (C)
·
ermöglicht es einem Trustee,
den Wert einer Eigenschaft des Objekts mit einem wählbaren Wert zu vergleichen
(ohne dabei den Wert der Eigenschaft einsehen zu können); Ergebnis des
Vergleichs: Wahr, Falsch
Read (R)
·
ermöglicht Trustee, der
Eigenschaft den Wert der Eigenschaft zu lesen (beinhaltet automatisch Recht C)
Write(W)
·
Trustee einer
Eigenschaft kann den Wert der Eigenschaft verändern (oder löschen); auch neuen
Wert hinzufügen (falls Eigenschaft mehrere Werte hat); schließt recht A ein
Add or Delete Self (A)
·
ermöglicht es einem Trustee,
sich selbst (also seinen eigenen NDS-Objektnamen) als
Wert einer Eigenschaft hinzuzufügen
Inheritable (I)
·
die dem Trustee zugewiesenen
Eigenschaftsrechte werden auf alle Objekte vererbt, die sich innerhalb des
betreffenden Objektes (Behälter) befinden; Standard: I gesetzt
(Voraussetzung: einem Trustee werden
Eigenschaftsrechte auf die Eigenschaft „Alle Eigenschaften“ (all properties) erteilt); I steht nur für Objekte der Klasse
Behälter zur Verfügung
[SCRWAI] ®alle 6
Eigenschaftsrechte sind erteilt
[ CR ]
®nur Compare und Read sind erteilt
Zugriffsrechte,
die gezielt an eine bestimmte Eigenschaft vergeben werden, überschreiben
Zugriffsrechte, die an alle Eigenschaften vergeben werden
Objekt
User
Eigenschaft des Objekt User: Name
des Objektes =Hugo Login
Skript ={map F: =VOL1\...} [RW] Vorname =XYZ Anmeldezeit ={8-12, 14-16} Alle
Eigenschaften [R]
2000-11-22
Wiederholung:
Console One
·
Administration des Servers (sys:public/mgmt/consoleone/1.2/bin/consoleone.exe;
Java-Programm), wie Netware Administrator
(nwadmn32.exe)
Objektrecht
„S“
®Trustee
erhält auch Eigenschaftsrecht „S“ auf alle Eigenschaften
kann problematisch sein, im Zusammenhang mit:
·
Objekt Trustees
·
Gruppenmitgliedschaft Eigenschaften zu einem Objekt
·
Rechtegleichsetzung
z.B. Gruppenmitgliedschaft:
Hinzufügen/Löschen von Gruppenzuordnungen sind möglich ÞTrustee dieses Objektes hat weitreichende Möglichkeiten (z.B.
Erweiterung der eigenen Rechte)
Zuweisung
von Zugriffsrechten
Trustee Assignment
·
Objekt- und
Eigenschaftsrechte können für und auf alle Behälter und Blattobjekte vergeben
werden
Trustee
Objekt Assignment
Þein Objekt (z.B.
Benutzer Schulze) erhält Rechte an einem anderen Objekt (z.B. Org. Einheit
„Test“)
Þer kann Handlungen an
den Objekt vornehmen, die durch die Objektrechte erlaubt sind (aber nicht etwa
dessen „Inhalt“= Eigenschaften sehen, etc.)
Trustee
Property Assignment
durch Property-TZ wird einem
Objekt (hier: Schulze) das Recht an einer Eigenschaft des Objekts (hier: alle
Eigenschaften) erteilt; hier also darf Schulze alle Eigenschaften lesen
Vererbung
von Zugriffsrechten
·
alle
erforderlichen Zugriffsrechte einzeln zu vergeben wäre mühsam ®Vererbung
·
für Berhälterobjekte gibt es I-Recht (als Eigenschaftsrecht und
als Objektrecht)
·
®es wird festgelegt, ob die in TZ enthaltenen Objekt- oder
Eigenschaftsrechte an Objekte weiter vererbt werden
Vererbung
bei Objektrechten
CASERVER
CA01
CA02
...
·
ein
Objektrecht, das ein Trustee eines Objektes durch
eine TZ erhält, kann an Objekte, die sich unterhalb des Objektes
befinden, weitergegeben werden ®Objektrecht I muß erteilt
sein
·
hier: Hugo hat
I auf Berlin ÞHugo
hat auch Rechte auf A, B, C, CASERVER, CA01, CA02. Hans hat nur Rechte auf
Berlin
·
Þist I erteilt, wird vererbt; Ausnahme:
1.
entsprechender
Inherited Rights Filter auf
untergeordnetem Objekt
2.
neue TZ zu
einem untergeordneten Objekt (®direkte Zuweisung von Objektrechten haben Priorität
gegenüber von übergeordneten Objekten geerbten Rechten)
CASERVER
Hugo
CASERVER_SYS: ®SYS:
·
Objektrechte,
die auf ein Objekt im NDS-Tree vergeben worden sind,
werden nicht an das Netware-Dateisystem weitergegeben – Ausnahme:
o
Objektrecht Supervisor wird in die Form des Verzeichnis- und
Dateirechtes Supervisor für den Trustee
weitergegeben
·
hier: Hans hat
alle Rechte auf dem Volume SYS
Vererbung
von Eigenschaftsrechten
a)
Auf welche
Eigenschaftsrechten hat Hans welche Rechte?
·
CA: durch TZ
zu „Alle Eigenschaften“ ist CRWAI
·
CC: Hans hat
auf die Eigenschaften Name, Post und Y (=alle Eigenschaften) die Rechte
[CRWAI], weil TZ auf Objekt CA besteht, wobei I für „Alle Eigenschaften“
erteilt ist
·
CD: Hans hat
auf Eigenschaft „Name“, „blub“ (=“Alle
Eigenschaften“) das Recht R, weil TZ besteht; TZ hat Priorität gegenüber
geerbten Rechten
b)
Auf welche
Eigenschaften hat Hugo welche Rechte bei Objekt CA?
·
CA: Hugo hat
auf Eigenschaft „Name“ das Recht [CRWAI], weil TZ besteht
·
CB: Hugo hat
keine Rechte auf Eigenschaften, weil: Eigenschaftsrechte werden nur vererbt, wenn
I bei „Alle Eigenschaften“ erteilt ist
Sicherheitsäquivalenz
·
Berechtigungen
eines Users nicht nur durch Vererbung erweiterbar, sondern auch durch
Sicherheitsäquivalenzen
·
besitzt User
Hugo Sicherheitsäquivalenz zu Objekt X, so hat Hugo in NDS-Tree
folgende Rechte:
o
Objektrechte
von Hugo
o
Eigenschaftsrechte
von Hugo
o
Objektrechte
von X
o
Eigenschaftsrechte
von X
·
es existieren
Standard-Sicherheitsäquivalenzen (nicht editierbar, veränderbar oder aufhebbar)
o
®alle Objekte haben Sicherheitsäquivalenz zum Stammobjekt [root]
o
®jedes Objekt hat Sicherheitsäquivalenz zu [Public]
o
®alle Objekte haben Sicherheitsäquivalenz zu den
Behälterobjekten, die Bestandteil ihres vollständigen Namens sind
Inherited
Rights Filter
für Objekte und Eigenschaften
· ®Festlegung, was geerbt werden darf
· ÞEinschränkung der bedingungslosen Vererbung von Zugriffsrechten im NDS-Tree
· wie im Dateisystem
[SBCDRI] lässt alle Objektrechte passieren
[ ] filtert
alle Objektrechte heraus
[SCRWAI] lässt alle Eigenschaftsrechte passieren
[ ] filtert
alle Eigenschaftsrechte heraus
· keine Beachtung, wenn TZ besteht
· auch „S“ kann entfernt werden (im Gegensatz zu Dateisystem)
Welche
Objekte darf der Hauptadmin verwalten?
A, B, D
(aufgrund der Vererbung; C nicht, da IRF alles wegfiltert)
Welche
Objekte darf AdminC verwalten?
C, E, F
(TZ zu C und Vererbung)
ÞAbschaltung
nach oben hin; hier wird bsp. der Hauptadministrator
von der Administration der Objekte ab einer bestimmten Ebene ausgeschlossen
Effektive Rechte
®welches
Zugriffsrecht hat ein Objekt auf ein anderes Objekt nun tatsächlich?
ER ergibt
sich aus Kombination von TZ, IRF, Vererbungsmechanismus und der
Sicherheitsäquivalenzen
Effektive
Objektrechte
Welche
Berechtigungen hat Trustee auf bestimmtes Objekt
tatsächlich?
·
Gültigkeit von Objektrechten, die von übergeordneten
Objekten vererbt oder durch Sicherheitsäquivalenzen übernommen werden
·
Berücksichtigung der Objekt-IRF
·
Einbeziehung einer Trustee-Zuordnung
für Objekt
Effektive
Eigenschaftsrechte
·
Gültigkeit von Eigenschaftsrechten, die von
übergeordneten Objekten vererbt bzw. durch Sicherheitsäquivalenzen übernommen
werden
·
Berücksichtigung der IRF für die betrachtete
Eigenschaft
·
Einbeziehung einer Trustee-Zuordnung
für betrachtete Eigenschaft
Ein
selektiv vergebenens Eigenschaftsrecht hat Vorrang
vor einem Recht, das durch Zuweisung an „Alle Eigenschaften“ übernommen wird.
Vorhandene Standardrechte
Admin erhält [SI] auf Stammobjekt
ÞAdmin kann kompletten NDS-Tree
verwalten
[Public] erhält
[BI] auf Stammobjekt
Þjeder kann
NDS-Tree sehen
für jeden im Tree
installierten Nerware-Server:
User, der
Netware-Server erstellt: [S] auf Blattobjekt Netware-Server
Stammobjekt erhält
Eigenschaftsrecht [R] auf Eigenschaft, „Host-Server“ + „Volume“
für jeden User:
Stammobjekt: [B] auf
neuen User
neuer User
selbst:
·
Objektrecht [BR] für sich selbst
·
Eigenschaftsrecht [R] auf „Alle Eigenschaften“
·
Eigenschaftsrecht [RW] auf Login Skript, Print Job Configuration
[Public]:
Eigenschaftsrecht [R] für Eigenschaft „Standard-Server“
2000-11-23
Eigenschaftsrechte,
Objektrechte
Objekt hat Objektrechte (Objekt als Ganzes)
jedes Objekt hat Eigenschaften (=Inhalt)
kurz und schmerzlos...J
2000-11-24
Während
Herr Ameis die Klausur korrigierte, nutzten wir die
Zeit für produktive Dinge...