Ý nghĩa các phân quyền nâng cao trên NAS Synology

Allow

Allow là cho phép user hoặc group thực hiện một hành động, ví dụ được đọc file hoặc ghi dữ liệu vào thư mục.

Deny

Deny là chặn quyền truy cập. Đây là quyền có mức ưu tiên rất cao khi xảy ra xung đột permission.

Thứ tự ưu tiên khi xung đột quyền

Khi một user vừa được cho phép từ một rule nhưng lại bị chặn từ rule khác, hệ thống sẽ ưu tiên theo thứ tự:

Deny > Allow

Với các mức quyền cơ bản ở shared folder, mức ưu tiên thường được hiểu là:

No Access > Read/Write > Read Only

Kế thừa quyền từ folder cha

Trên NAS Synology, quyền có thể được kế thừa từ folder cha xuống folder con. Điều này nghĩa là nếu bạn cấp quyền ở thư mục bên trên, các subfolder bên trong có thể tự động nhận quyền đó.

Vì sao inheritance quan trọng?

Đây là lý do rất nhiều trường hợp user có quyền dù bạn không cấp trực tiếp ở thư mục con. Ngược lại, cũng có trường hợp bạn sửa ở subfolder nhưng vẫn bị quyền từ folder cha tác động.

Explicit và inherited permission

Permission có thể là:

• Explicit: quyền được gán trực tiếp tại đối tượng hiện tại
• Inherited: quyền được kế thừa từ folder cha

Khi xử lý lỗi permission, đây là điểm cần kiểm tra đầu tiên.

Phạm vi áp dụng của rule

Khi tạo permission entry, mục Apply to cho biết rule đó sẽ áp dụng cho đâu:

• This folder
• Child folders
• Child files
• All descendants

Vì sao cần chọn đúng?

Nếu chọn sai phạm vi áp dụng, bạn có thể vô tình cấp quyền cho toàn bộ cây thư mục hoặc ngược lại chỉ cấp cho thư mục hiện tại mà không áp dụng xuống dữ liệu bên trong.

Nhóm quyền Administration

• Change permissions: cho phép thay đổi permission của file hoặc folder
• Take ownership: cho phép chiếm quyền sở hữu file hoặc folder
• Read permissions: cho phép xem permission hiện tại

Nhóm quyền Read

• Traverse folders / Execute files: đi xuyên qua folder hoặc chạy file thực thi
• List folders / Read data: xem nội dung folder hoặc đọc dữ liệu file
• Read attributes: xem thuộc tính file
• Read extended attributes: xem thuộc tính mở rộng

Nhóm quyền Write

• Create files / Write data: tạo file mới hoặc ghi dữ liệu
• Create folders / Append data: tạo thư mục mới hoặc thêm dữ liệu
• Write attributes: sửa thuộc tính file
• Write extended attributes: sửa thuộc tính mở rộng

Nhóm quyền Delete

• Delete: xóa file
• Delete subfolders and files: xóa thư mục con và file bên trong

Folder permission và application privileges là hai lớp khác nhau

Trên Synology, ngoài quyền truy cập dữ liệu, bạn còn có thể kiểm soát quyền dùng từng ứng dụng và dịch vụ như File Station, Synology Drive, Plex, Download Station...

Cấu hình Application Privileges ở đâu?

Vào Control Panel → Privileges, chọn ứng dụng cần chỉnh và nhấn Edit.

Bạn có thể xem theo tab User hoặc Group, sau đó chọn:

• Allow: cho phép dùng ứng dụng
• Deny: chặn truy cập ứng dụng
• By IP: cho phép hoặc chặn theo địa chỉ IP, nếu ứng dụng hỗ trợ

Vì sao phần này quan trọng?

Một user có thể đã được cấp quyền thư mục nhưng vẫn không truy cập được dữ liệu nếu bị chặn ở lớp ứng dụng, ví dụ bị Deny File Station.

Nói cách khác, muốn truy cập dữ liệu qua giao diện DSM thì thường phải có đủ:

• quyền truy cập thư mục
• quyền sử dụng ứng dụng tương ứng