Het principe van de minst benodigde permissies
|
Om
de netwerkbronnen met andere gebruikers te kunnen delen moet u zich
altijd eerst aanmelden.
Rechtsklik op de desktop: Configuratie (System Setup) / Aanmelden en Beheer Gebruikersprofielen (UPM Services) /Aanmelden. Het Requester programma wordt gestart.
U meldt zich na een verse netwerk installatie in eerste instantie aan bij het LAN onder het gebruikers-ID dat u bij de installatie instelde. Dat is het account van de (systeem) beheerder. Vergeet het niet!
Bij sommige PEER versies worden deze waarden er tijdens de MPTS installatie weer uitgegooid. Het speelt o.a. bij eComStation.
Probeer dan de standaard instellingen: Gebruiker USERID en wachtwoord PASSWORD. Maar maak in dat geval snel een nieuw account voor de beheerder en voor uzelf aan, onder een andere naam en wachtwoord, probeer ze uit en en wis daarna de beheerder met de gemakkelijk te raden naam USERID!!!!
Via Configuratie / Aanmelden en Beheer Gebruikersprofielen (Engels:UPM Services) / Beheer Gebruikers-accounts (User Account Management) / Beheren / Gebruikers beheren / Acties/ Gebruikers ID toevoegen kunt u gebruikers toevoegen. Zie Beheer Gebruikers-accounts verderop.
De gebruikersnamen, wachtwoorden en shares worden lokaal in \IBMLAN\ACCOUNTS\NET.ACC bewaard. Net als de INI nestanden van de WPS staat het altijd open. Neem NET.ACL altijd in een robosave of WPS backup mee. Een enkele keer raakt het bestand corrupt - met als gevolg dat u niet kunt meer inloggen. Een WPS backup kan het dan herstellen.
Ik koos voor een gemakkelijke te onthouden naam (warp), maar vertel u het wachtwoord natuurlijk niet. Daarna zult u als beheerder ook accounts moeten aanmaken uzelf en voor andere gebruikers.
IBM maakt onderscheid tussen een netwerk, de servers op het netwerk en de resources. Hieronder een screenshot van mijn Verbindingen (netwerkomgeving).
Het
PEER to PEER netwerk heet standaard LS (van Lan Server).
De servers in het netwerk zijn de computers die bestanden en
printers (resources, gedeelde netwerkbronnen )
aanbieden. Hier zijn dat OS/2 Warp (\\visser) en Linux (\\zolder). In
dit thuisnetwerk ontbreekt een domein controller die
gebruikerswachtwoorden controleert. Een aanmelding op de LAN server
(logon /vd) heeft dus geen zin. We moeten lokaal aanmelden of voor de
"Bestanden en Printers Client Aanmelding Werkstation"
kiezen. In het laatste geval krijgen ook andere servers een seintje
(broadcast) dat we er zijn.
Er
zijn drie plaatsen waar u zich op het NetBIOS netwerk aan kunt
melden. U vindt ze terug in de syntaxis van het commando logon
dat u onder de prompt kunt gebruiken (zie "help logon"):
LOGON [gebruikers-ID [/R]]
[/P[:|=]wachtwoord]
[[/L] | [/N[[:|=]knooppunt]] | [/V[:|=]{L | LOCAL | N | NONE}] |
[[/D[[:|=]domein]] [/V[:|=]{D | DOMAIN}]]]
[/T | /S]
LOGON [/O{[:|=]optie}]
U kunt uzelf via de startup.cmd automatisch aanmelden met:
De gebruikersnaam voor TCP/IP geeft u in met de %USER% omgevingsvariabele (meestal in de SET USER= in de CONFIG.SYS, maar het kan ook in een batch als u onder een andere naam wilt inloggen).
De map Aanmeldingen in Verbindingen geeft de situatie wat overzichtelijker weer.
De plaatsen van aanmelding zijn:
LAN Server Aanmelding = Verification by Domain: logon /vd meldt u aan op een domein van een IBM LAN Server (zakelijke omgeving).
Bestanden en Printers Client Aanmelding Werkstation: de eerste logon zonder opties meldt u aan op een Peer to Peer netwerk (netwerk aan huis).
Een lokale aanmelding wordt bewerkstelligt door de opdracht logon /l of door een tweede logon zonder opties.
Hoewel
op een single-user systeem maar een gebruiker lokaal actief kan zijn,
opent de lokale login de mogelijkheid om bronnen vrij te geven,
zonder dat de hoofdgebruiker eerst van het LAN moet uitloggen. In het
voorbeeld hierboven ben ik als sjoerd nog ingelogd (om dit te
tikken), maar kan ik als Beheerder (warp) de lokale bronnen beheren.
Een andere toepassing van de lokale aanmelding zou kunnen zijn als u via de loopback interface TCP/IP applicaties wilde draaien. Maar voor zover ik weet is dan alleen de SET USER opdracht van belang.
Met het programma Beheer Gebruikers-accounts kunt u namen van gebruikers toevoegen, groepen creëren, accounts wijzigen e.d.
Log eerst in als beheerder, want als gebruiker kunt u alleen uw eigen wachtwoord wijzigen! Als u zich als beheerder lokaal aanmeldt, hoeft u zich niet eerst als gebruiker af te melden op het LAN. Zie hierboven.
Via
Configuratie / Aanmelden en Beheer Gebruikersprofielen komt u in
Beheer Gebruikers-accounts.
Het gaat om een PM programma dat ook vanaf de prompt te starten is: \MUGLIB\UPMACCTS.EXE.
Het vraagt u om een bestemming te selecteren. U hebt de keus tussen het profielbeheer op een Lokaal werkstation, Peer werkstation op afstand en Domein LAN server.
U kiest voor Lokaal werkstation tenzij er een domein controller aanwezig is. Uw computernaam (visser) opgeven als OS/2 Peer-werkstation op afstand geeft als het goed is hetzelfde beeld!
U komt in Beheer Gebruikersprofielen, dat uw eigen gebruikersprofiel toont. Via Beheer Gebruikers-accounts / Beheren / Gebruikers beheren / Acties / Gebruikers ID toevoegen kunt u nieuwe gebruikers toevoegen. Vergeet hierbij vooral uzelf niet.
Als wilt inloggen op een PC waar een gebruiker zonder wachtwoord inlogt, laat u het wachtwoord van de betreffende gebruiker blank (klinkt logisch nietwaar?)
In de regel is verstandiger om gewoon wachtwoorden te gebruiken. Voor het delen van bestanden op Linux en NT servers geldt dat inlognaam en wachtwoord van de gebruikers op beide PC's exact moeten corresponderen. Als ze op de server nog niet bestaan, moet u hen alsnog (laten) aanmaken.
Verder is het wijs om groepen met bepaalde rechten aan te maken. Zoiets als de groep users onder Linux. Bij meerdere gebruikers vereenvoudigt dit het LAN server beheer.
Hieronder is voor Beheren / gebruikers beheren gekozen. Deze toont de lijst met gebruikers. U kunt een gebruiker selecteren en Gebruikersgegevens Bijwerken als actie kiezen:
U
kunt nu zien dat er verschillende soorten (profielen) gebruikers
zijn.
Een gewone gebruiker kan na aanmelding op het netwerk bronnen elders benaderen, maar geen bronnen van zijn eigen PC vrijgeven. Dat kan alleen de Beheerder.
Een gebruiker kan tevens Beheerder van de profielen zijn: bepalen wie wel en niet mogen inloggen en dit via groepen beheren.
Een Lokale beheerder (een per PC, typisch de hoofdgebruiker) kan anderen (gebruikers, groepen) toestaan al dan niet bepaalde objecten te gebruiken. Hij heeft toegang tot de SYSADM database.
De Beheerder is de systeembeheerder. Er kunnen meerdere beheerders ingevoerd worden. Alleen de beheerder kan de bronnen van de OS/2 PC vrijgeven.
Een
andere (centrale) plaats waar u gebruikers en groepen kunt instellen
is het object Gemeenschappelijke Resources en Netwerkverbindingen
(zie verderop).
Een snel overzicht van gebruikers en groepen krijgt u resp. met de opdrachten "net user" en "net group".
[F:\]net user
Gebruikers-ID's voor\\VISSER
----------------------------------------------------------------
BOUKE GUEST NELLEKE
SJOERD WARP
De opdracht is uitgevoerd.
Als u er alleen maar op uit bent om met OS/2 andere servers te benaderen kunt u doorgaan naar Windows 95 voorbereiden en Zich toegang tot de bronnen verschaffen. Standaard biedt de OS/2 client geen netwerkbronnen aan.
Hier ga ik verder in op het vrijgeven van de bronnen van de/2 PC voor andere gebruikers die OS/2 via het NetBIOS protocol (LAN) en /of via NetBIOS over TCP/IP (LAN, WAN, internet) benaderen. Hiervoor moet u ingelogd zijn als beheerder.
Een
snelle (maar niet de beste) manier om de netwerkbronnen op de OS/2
Warp PC vrij te geven is via het Stations object. In dit geval is er
rechts geklikt op Station M, een FAT32 schijf met data.
U ziet onderaan vier opties die betrekking hebben op het NetBIOS.
Gemeenschappelijk gebruik starten
Gemeenschappelijk gebruik beëindigen
Gemeenschappelijk resource bijwerken
Toegang beheren
Alleen als u ingelogd bent als Beheerder kunt u deze netwerkopties zien! Een gewone sterveling mag zijn schijven slechts formatteren (er wordt gelukkig nog wel om bevestiging gevraagd), maar nooit vrijgeven...
De datapartitie M had ik al vrijgegeven (Gemeenschappelijk gebruik starten). Op een station als L dat niet eerder vrijgeven is, ziet u alleen de opties Gemeenschappelijk gebruik starten en Toegang beheren.
Kiest
u Gemeenschappelijk gebruik starten dan ziet u het volgende
dialoogvenster. De verplichte netbios Naam kunt u aanpassen,
een Beschrijving is handig, maar niet verplicht. Naam en
beschrijving zijn in de Netwerkomgeving en bij "net share
\\computernaam" opdrachten te zien.
Het Maximum aantal verbindingen staat standaard op onbeperkt. Uit veiligheidsoverwegingen zou u deze bij gebruik van NetBIOS via TCP/IP tot een minimum kunnen beperken!
Resource beschikbaar stellen bij starten werkstation is de default. Ook hier geldt weer om niet meer netwerkbronnen vrij te geven dan u nodig hebt. Gelukkig is de standaard instelling dat niemand toegang tot de data heeft...
De standaard instelling van Toegang beheren is dezelfde toegang voor alle gebruikers.
Hierbij
hebt u de keus uit de Toegangsmachtigingen:
Geen toegang, Alleen lezen en Lees- en schijftoegang.
Omdat Geen toegang de standaardinstelling van een map of station is, kan nog niemand van buiten de bronnen via het netwerk benaderen. Voor printers en COM poorten geldt dit overigens niet.
In de Geen toegang situatie is de resource wel zichtbaar in "net view \\server" opdracht, maar de inhoud niet.
Tip: U kunt uw resources voor anderen onzichtbaar maken door in \IBMLAN\IBMLAN.INI serverhidden op "yes" in plaats van "no" te zetten. Bij het opzetten van een netwerk is de onzichtbare server lastig. Maar vanuit beveiligingsoptiek is er veel voor te zeggen om hem na het opzetten van het netwerk weer op "yes" te zetten. Net share blijft het doen, maar de shares zijn niet meer te browsen.
Onder HPFS worden de toegangsrechten in het bestand \IBMLAN\ACCOUNTS\NET.ACC bewaard. Dit bestand, dat wegens een sharing violation normaal niet te openen is, begint met de term MICROSOFT LANMAN. Neem het altijd mee in een WPS backup!!!!
Het is veel verstandiger om niet een geheel station, maar slechts het benodigde deel ervan (een datamap of enkele datamappen met submappen) aan te bieden! Dat raad ik u zeker aan als OS/2 op een enkele HPFS partitie staat: In dat geval zouden andere gebruikers van het LAN gemakkelijk uw wachtwoordbestanden kunnen inzien en al dan niet met opzet cruciale bestanden kunnen wissen of vernietigen, bijv. door ze met ongeschikte applicaties te bewerken.
De OS/2 Warp client biedt wel enige beveiliging (zie verderop), maar is geen beveiligd multi-user systeem zoals Linux , waar lokale wachtwoordbestanden alleen door de systeembeheerder kunnen worden ingezien, een gewone gebruiker geen schijven kan formatteren, andermans bestanden niet kan wissen etc. De kans op ongelukken (bijv. een OS/2 INI bestand openen met het Windows kladblok) en/of opzettelijk misbruik is onder Warp (en Windows) vele malen groter.
Door voor Aangepast te kiezen kunt u exact bepalen wie welke toegang krijgt tot de betreffende netwerkbron. Dit is ingewikkeld, maar als u het goed doet - volgens het principe van de minst benodigde permissies - wel zo veilig.
Om
bijv. een bestand te kunnen maken en beschrijven hebt u lees-,
schrijf- en maakrechten (RWC) nodig in de map waarin het bestand zich
moet bevinden. Om een programma op een bron uit te voeren lees- en
uitvoerrechten (RX). Maar het is niet nodig om een gebruiker in een
gedeelde map het recht te geven andermans bestanden te wissen (RWX).
In dat geval zou ik iemand een persoonlijke map geven.
In het voorbeeld hiernaast heeft zoon Bouke een aparte datamap Bouke in zijn persoonlijke map. Hij kan via het netwerk niet aan morrelen aan zijn configuratiebestanden in /home/bouke. Ook kan hij hier geen programma's uitvoeren.
De aangepaste toegangsrechten staan in het online handboek beschreven. Ze lijken wat op de toegangsrechten onder Linux/UNIX. Ook hier bestaat een complex samenspel van groepen en gebruikers.
De permissies worden vastgelegd in Access Control Lists (ACL), waarvan \ibmlan\accounts\net.acc de belangrijkste is.
Op Warp Server worden de toegangsrechten op het bestandssysteem (HPFS386) zelf bewaard. Met het utility prepacl zijn ze te bewerken (backup, verwijderen en herstellen)
N (none) Geen toegang tot de resource. Alle andere vinkjes zullen verdwijnen.
R (read) Read-only lezen van bestanden in een map of een station. Nodig voor het kunnen uitvoeren van programma's.
W (write) Beschrijven van bestanden in mappen, stations en seriële apparaten.
X (execute) Het uitvoeren van programma's in de map of het station.
C (create) Bestanden en submappen mogen maken in mappen en stations en het mogen beschrijven van mappen, stations, printers en seriële apparaten.
D (delete) Bestanden en submappen mogen wissen in de map of het station.
A (attributes) Bestandskenmerken mogen wijzigen van de bestanden in de map of het station.
P (permissions) Toegangsmachtiging mogen wijzigen in een map, station, printer of een seriële apparaat.
In het dialoogvenster Toegang beheren kunt u gebruikers en groepen definieren. De hoofdgebruiker van de PC (sjoerd) en de systeembeheerder staan niet in de lijst van gebruikers vermeld: ze hebben bij mij alle rechten.
Een vinkje bij Audit-functie voor resource activeren zorgt ervoor dat bijgehouden wordt wie er daadwerkelijk toegang heeft gehad tot de bron.
Het nadeel van deze methode (via het stations object) is dat u snel het overzicht kunt verliezen. Op een gegeven moment weet u niet meer wat er allemaal open staat. De net opdrachten kunnen u helpen.
Hier ziet u dat de share van zoon Bouke nog niet is vrijgegeven. Er is zelfs nog geen naam voor de bron ingesteld. De beste plaats om dat te doen is in het het object Gemeenschappelijke Resources en Netwerkverbindingen, dat in een overzichtelijk tabblad de configuratie van alle belangrijke NetBIOS functies regelt.
Het
vrijgeven van bronnen kunt u met de net opdrachten ook heel goed aan
batches uitbesteden.
Hebt u het gemeenschappelijk gebruik nog niet gestart:
Maar start u het gemeenschappelijk gebruik met de standaard waarden (Standaard - dezelfde toegang voor alle gebruikers: Geen toegang), dan is het toch merkwaardig dat de hoofdgebruiker sjoerd via de Linux PC wel toegang krijgt. Via SecureShell/2 was de share //visser/ldrive op de Linux PC nu reeds te mounten:
OS/2 leverde als SMB server voor Linux bij mij doorvoersnelheden op van 300-900 k/s: beduidend sneller dan de klojo Win95, maar weer iets langzamer dan de bèta Windows 2000 met 128 MB Ram.
Wordt de de share //visser/ldrive gemount met de optie - U(ser) guest, dan ontstaat een vreemde situatie. Het mountpoint op de Linux bak is door niemand te benaderen omdat de toegang voor de gebruiker guest op N(one) staat.
NB Het is mij nog onduidelijk waarom Warp standaard een gebruiker "guest" aanmaakt. Om de "guest" onder OS/2 toegang tot \temp te geven gaat mij te ver, omdat een ongenode gast onder OS/2 de door anderen bewerkte bestanden al zou kunnen lezen. Wilt u een guest logon op uw werkstation toestaan (ik niet) maak dan een lege map voor de guest aan.