NFSサーバー上のパーミッションの設定

Question

NFSサーバーの構築の勉強をしています。

環境としては、
Windows7上のVMware Workstation 12 player上にCentS6.6のマシンを2台用意
内1台をNFSサーバー、1台をNFSクライアントに設定
しています。

NFSサーバー上の/exportというディレクトリを
NFSで共有しようと思っており、no_root_squashオプションを利用すれば、
クライアントからrootでアクセスしファイルの作成や編集が可能な状態です。

ですが、セキュリティなどを考えたとき、
no_root_squashはあまり使わない方が良いと思います。
しかし、no_root_squashをはずしてしまうと、
クライアントからファイルをアクセスしたり・編集したりができなくなってしまいます。
（rootでも別のアカウントでも）

また、/exportディレクトリのパーミッションを777にすれば、
上記の問題を解決できることも確認しましたが、
やはりセキュリティ・運用的に問題があるように思えます。

この考え方はあっていますでしょうか？
（実はなにも問題ないのであれば、no_root_squashや777を使おうと思います）
この通り、問題があるというのであれば
どのようなパーミッションや設定にするのが一般的に良いとされているのでしょうか？

回答よろしくお願いします。

Answer 1

一般論としては、サーバ上のリソースにアクセス権限を付与するのであれば必要最小限にすべきですし、無条件にrootアクセスを許す設定は避けるべきです。(NFSに限った話ではありません)
ただ、NFSサーバ/クライアント両方ともFWの内側にあって、十分な防御がされている、ネットワーク的に外部と孤立しているという事が確信できるレベルであればその限りにあらず、だと思います。

Comments

[hwhshsq]

やはりno_root_squashは避けるべき設定なのですね。認識があっていてよかったです。
ディレクトリのパーミッションを777に設定するのはどうなのでしょう？こちらもあまりよくないとは思いますが、no_root_squashに比べたらリスクは少ないのでしょうか？

[ynakano]

777だと「誰でも何でもOK」なので、リスク面ではやはり大きいと思います。
no_root_squashと変わらない気がします。