dacscheck - ക്ലൗഡിൽ ഓൺലൈനിൽ

പട്ടിക:

NAME

dacscheck - അംഗീകാര പരിശോധന

സിനോപ്സിസ്

dacscheck [-അഡ്മിൻ] [-ആപ്പ് appname] [- സന്ദർഭം ഫയല്] [-Dപേര്=മൂല്യം]
[-F ഫീൽഡ്_സെപ്] [-fd ഡൊമെയ്ൻ] [-fh ഹോസ്റ്റ്നാമം] [-fj പേര്] [-fn ഫെഡ്നാമം]
[-ഡമ്പ്] [- ഗ്രൂപ്പുകൾ ഗ്രൂപ്പ്_വിഎഫ്എസ്] [-h] [-i ഐഡന്റിറ്റി] [-അവൻ ഐഡന്റിറ്റി]
[-ഇൽജി ഐഡന്റിറ്റി] [-ieuid] [-ieuidg] [-iuid] [-iuidg] [-എൽജി] [-ll ലോഗ്_ലെവൽ]
[-name_compare രീതി] [-q]
[- തിരിച്ചുവിടുക] [- വേഷങ്ങൾ റോളുകൾ_വിഎഫ്എസ്] [-നിയമങ്ങൾ റൂൾ_വിഎഫ്എസ്] [-v] [-var പേര്=മൂല്യം]
[-വിഎഫ്എസ് vfs_uri] [--] വസ്തു

വിവരണം

യുടെ ഭാഗമാണ് ഈ പരിപാടി DACS സ്യൂട്ട്. ഇത് രണ്ടുപേരും അംഗീകരിക്കാത്ത ഒരു ഒറ്റപ്പെട്ട പരിപാടിയാണ്
സാധാരണ DACS കമാൻഡ് ലൈൻ ഓപ്ഷനുകൾ (dacsoptions) അല്ലെങ്കിൽ ആക്സസ് ചെയ്യുന്നില്ല DACS കോൺഫിഗറേഷൻ
ഫയലുകൾ.

ലളിതമായി പറഞ്ഞാൽ, dacscheck നൽകിയിരിക്കുന്ന ഉപയോക്താവിന് അംഗീകാരമുണ്ടോ എന്ന് പരിശോധിക്കാൻ ആക്സസ് നിയന്ത്രണ നിയമങ്ങൾ നോക്കുന്നു
എന്തെങ്കിലും ചെയ്യാൻ അല്ലെങ്കിൽ എന്തെങ്കിലും ആക്സസ് ചെയ്യാൻ. കമാൻഡിന്റെ എക്സിറ്റ് സ്റ്റാറ്റസിന്റെ ഫലം നൽകുന്നു
ടെസ്റ്റ്, കൂടാതെ -q ഫ്ലാഗ് നൽകിയിരിക്കുന്നു, stdout-ലേക്ക് ഒരു ലൈൻ പ്രിന്റ് ചെയ്‌തിരിക്കുന്നു
ഫലമായി. ഇത് ലളിതവും പൊതുവായതുമായ പ്രവേശനം നൽകുന്നു DACSന്റെ പ്രവേശന നിയന്ത്രണ നിയമം
വെബ് സേവനങ്ങൾ ഒഴികെയുള്ള പ്രോഗ്രാമുകൾക്ക് പോലും മൂല്യനിർണ്ണയ എഞ്ചിൻ, അത് സ്വയം കടം കൊടുക്കുന്നു
സൂക്ഷ്മമായ പ്രവേശന നിയന്ത്രണ തീരുമാനങ്ങൾ.

കൂടുതൽ വ്യക്തമായി, dacscheck അനുസരിച്ച് ഒബ്‌ജക്‌റ്റിനായി ഒരു അഭ്യർത്ഥന നൽകേണ്ടതുണ്ടോ എന്ന് പരിശോധിക്കുന്നു
നിർദ്ദിഷ്ട ആക്സസ് നിയന്ത്രണ നിയമങ്ങളും നൽകിയിരിക്കുന്ന മൂല്യനിർണ്ണയ സന്ദർഭവും. അതിന്റെ ജോലി ചെയ്യാൻ, dacscheck
കുറച്ച് കാര്യങ്ങൾ മാത്രം അറിഞ്ഞിരിക്കണം:

1. പ്രയോഗിക്കുന്നതിനുള്ള ആക്സസ് നിയന്ത്രണ നിയമങ്ങൾ എവിടെ കണ്ടെത്താം;

2. ആക്സസ് ചെയ്യുന്ന വസ്തുവിന്റെ പേര്; ഒപ്പം

3. ഓപ്ഷണലായി, ആക്സസ് ചെയ്യുന്ന ഒരു ഐഡന്റിറ്റി വ്യക്തമാക്കുന്ന ഒരു മൂല്യനിർണ്ണയ സന്ദർഭം
പരിശോധിച്ചതും നിയമങ്ങളാൽ പരാമർശിക്കാവുന്ന വേരിയബിളുകളും.

കമാൻഡ് ഏതെങ്കിലും ആധികാരികത നൽകുന്നില്ല; വിളിക്കുന്നയാൾ (അല്ലെങ്കിൽ
എക്സിക്യൂഷൻ എൻവയോൺമെന്റ്) ഒരു ആക്സസ് കൺട്രോളിനുള്ള ഐഡന്റിറ്റി ഇതിനകം സ്ഥാപിച്ചിട്ടുണ്ട്
തീരുമാനം ആവശ്യമാണ്. മറ്റേതൊരു കമാൻഡും പോലെ ഇത് ഉപയോഗിക്കാം: കമാൻഡ് ലൈനിൽ നിന്ന് പ്രവർത്തിപ്പിക്കുക അല്ലെങ്കിൽ
ഒരു ഷെൽ സ്‌ക്രിപ്റ്റ്, ഒരു കംപൈൽ ചെയ്‌ത പ്രോഗ്രാം ഉപയോഗിച്ച് നടപ്പിലാക്കുന്നു, അല്ലെങ്കിൽ സ്‌ക്രിപ്റ്റിംഗ് ഭാഷയിൽ നിന്ന് വിളിക്കുന്നത്
as പേൾ[1], PHP[2]. പൈത്തൺ[3], മാണികം[4], ഒപ്പം Tcl/Tk[5].

എങ്ങനെയെന്ന് ചില ലളിതമായ ഉദാഹരണങ്ങൾ വ്യക്തമാക്കും dacscheck ഉപയോഗിക്കാന് കഴിയും.

കുറിപ്പ്
ഈ പ്രമാണത്തിലെ ഉദാഹരണങ്ങൾ വായനാക്ഷമതയ്ക്കായി ലളിതമാക്കിയിരിക്കുന്നു; യഥാർത്ഥ ഉപയോഗത്തിൽ,
സമ്പൂർണ്ണ പാതനാമങ്ങൾ ദൃശ്യമാകണം, പിശക് പരിശോധന നടത്തണം, തുടങ്ങിയവ. കൂടാതെ,
The dacscheck പ്രോഗ്രാമിനും അതിന് ആവശ്യമായ നിയമങ്ങൾക്കും ഫയൽ അനുമതികൾ സജ്ജീകരിച്ചിരിക്കണം
ഉചിതമായി.

ഒരു ഷെൽ സ്ക്രിപ്റ്റ് എങ്ങനെ വിളിക്കാമെന്ന് ആദ്യ ഉദാഹരണം കാണിക്കുന്നു dacscheck ഉപയോക്താവാണോ എന്ന് പരിശോധിക്കാൻ
പ്രവർത്തിപ്പിക്കുന്നത് അങ്ങനെ ചെയ്യാൻ അനുവദിച്ചിരിക്കുന്നു. ഇത് ഓപ്പറേറ്റിംഗ് സിസ്റ്റത്തിൽ നിന്ന് ഉപയോക്താവിന്റെ ഐഡന്റിറ്റി നേടുന്നു;
കമാൻഡ് ലൈനിൽ നിന്ന് ഉപയോക്താവ് സ്ക്രിപ്റ്റ് അഭ്യർത്ഥിച്ചുവെന്നും അതിനാൽ അങ്ങനെയാണെന്നും ഇത് അനുമാനിക്കുന്നു
സിസ്റ്റത്തിലേക്ക് ഇതിനകം സൈൻ ഇൻ ചെയ്‌തു. ഉദാഹരണത്തിൽ, dacscheck എ വഴി ഐഡന്റിറ്റി നേടുന്നു
സിസ്റ്റം കോൾ, എന്നാൽ ഒരു സ്ക്രിപ്റ്റ് അതിന്റെ മൂല്യം കൈമാറാൻ തിരഞ്ഞെടുത്തേക്കാം LOGNAME or USER
എൻവയോൺമെന്റ് വേരിയബിൾ.

ഷെൽ സ്ക്രിപ്റ്റ് ലളിതമായി ചോദിക്കുന്നു dacscheck ഫലപ്രദമായ uid ആണെങ്കിൽ (കാണുക ഗെറ്റ്യൂയിഡ്(2)[6]) ആണ്
/myapp ആക്സസ് ചെയ്യാൻ അനുവദിച്ചിരിക്കുന്നു. എക്സിറ്റ് സ്റ്റാറ്റസ് dacscheck ($?) ഫലം നൽകുന്നു. ദി
pathname /myapp പ്രധാനമായും ആക്സസ് കൺട്രോൾ റൂൾ കണ്ടെത്താൻ ഉപയോഗിക്കുന്ന ഒരു ലേബലാണ്
പ്രയോഗിക്കുക; ഈ ഉദാഹരണത്തിൽ ഇത് പ്രോഗ്രാമിന്റെ പേരിനെ പ്രതിനിധീകരിക്കുന്നു. അത് ആയിരിക്കാം
പ്രോഗ്രാമിന്റെ ഫയൽനാമം, പക്ഷേ അത് ആവശ്യമില്ല.

#! / bin / sh

dacscheck -q -ieuid -rules /usr/local/myapp/rules /myapp
st="$?"
"${st}" പരീക്ഷിച്ചാൽ != 0
അപ്പോള്
പ്രതിധ്വനി "ആക്സസ് നിരസിച്ചു"
പുറത്തുകടക്കുക "${st}"
fi

പ്രതിധ്വനി "ആക്സസ് അനുവദിച്ചിരിക്കുന്നു"

# കുറച്ച് കാര്യങ്ങൾ ചെയ്യുക

പുറത്തുകടക്കുക 0

/usr/local/myapp/rules എന്ന ഡയറക്ടറിയിൽ acl-app.0 എന്ന പേരിൽ ഒരു ഫയൽ ഉൾപ്പെട്ടേക്കാം
ബോബിലേക്കും ആലീസിലേക്കും മാത്രം പ്രവേശനം:








ഉപയോക്താവ്(":ബോബ്") അല്ലെങ്കിൽ ഉപയോക്താവ്(":ആലിസ്")




കുറിപ്പ്
പ്രവേശന നിയന്ത്രണ നിയമങ്ങൾ വിവരിച്ചിരിക്കുന്നു dacs.acls(5)[7]. എന്നപോലെ dacs_acs(8)[8], ഇവ
നിയമങ്ങൾ സൂചികയിലാക്കിയിരിക്കണം dacsacl(1)[9]. ഉദാഹരണത്തിന്, ഒരു സാധാരണ ഉപയോഗ കേസിൽ എ DACS
കോൺഫിഗറേഷൻ ഫയൽ ഉപയോഗിക്കുന്നില്ല, റൂൾസെറ്റ് കൺസൾട്ട് ചെയ്തു dacscheck ആകാം
ഇതുപോലുള്ള ഒരു കമാൻഡ് ഉപയോഗിച്ച് സൂചികയിലാക്കി:

% dacsacl -un -vfs "[acls]file:///users/bobo/my-rules" -vfs "[dacsacls]:file:///dev/null"

If dacsacl മുകളിലെ ഉദാഹരണത്തിൽ വിജയിച്ചു, INDEX എന്ന പേരിൽ ഒരു ഫയൽ സൃഷ്ടിക്കപ്പെടും അല്ലെങ്കിൽ
/users/bobo/my-rules ഡയറക്‌ടറിയിൽ അപ്‌ഡേറ്റ് ചെയ്‌തു, അവിടെ നിയമങ്ങൾ അടങ്ങിയ ഫയലുകൾ
എന്നിവയും കണ്ടെത്തി. INDEX ശരിയാണെന്ന് തോന്നിയാൽ മുന്നറിയിപ്പ് സന്ദേശങ്ങൾ സാധാരണയായി അവഗണിക്കാം.

ഒരു CGI പ്രോഗ്രാമിന് അത് അഭ്യർത്ഥിക്കുന്ന ഉപയോക്താവിന്റെ ഐഡന്റിറ്റി ലഭിക്കും REMOTE_USER
പരിസ്ഥിതി വേരിയബിളും കോളും dacscheck, ഇനിപ്പറയുന്ന ഷെൽ സ്ക്രിപ്റ്റിൽ കാണിച്ചിരിക്കുന്നതുപോലെ,
മുകളിൽ പറഞ്ഞിരിക്കുന്ന അതേ നിയമം ഉപയോഗിക്കുന്നു:

#! / bin / sh

ടെസ്റ്റ് "${REMOTE_USER}x" = "x" ആണെങ്കിൽ
അപ്പോള്
idarg=""
മറ്റാരെങ്കിലും
idarg="-i ${REMOTE_USER}"
fi

പ്രതിധ്വനി "സന്ദർഭ-തരം: ടെക്സ്റ്റ്/പ്ലെയിൻ"
വെളിയിലക്ക് വലിച്ചെറിയുക ""

# കുറിപ്പ്: പിശക് സന്ദേശങ്ങൾ ക്യാപ്‌ചർ ചെയ്യുന്നതിന് അടുത്ത വരിയുടെ അവസാനം 2>&1 ചേർക്കുക
dacscheck -q ${idarg} -rules /usr/local/myapp/rules /myapp

st="$?"
ടെസ്റ്റ് "${st}" = 0 ആണെങ്കിൽ
അപ്പോള്
പ്രതിധ്വനി "ആക്സസ് അനുവദിച്ചിരിക്കുന്നു"
മറ്റാരെങ്കിലും
പ്രതിധ്വനി "ആക്സസ് നിരസിച്ചു"
fi

പുറത്തുകടക്കുക 0

ഈ ഉദാഹരണം എക്‌സ്‌റ്റേണൽ അനുവദിക്കുന്ന ഏത് സ്‌ക്രിപ്റ്റിംഗ് ഭാഷയിലേക്കും എളുപ്പത്തിൽ വിവർത്തനം ചെയ്യാൻ കഴിയും
വിളിക്കേണ്ട പ്രോഗ്രാമും അതിന്റെ എക്സിറ്റ് സ്റ്റാറ്റസും പരിശോധിക്കും. PHP-യിൽ സമാനമായ ഒരു ഉദാഹരണം ഇതാ:

$user = $_SERVER["REMOTE_USER"];
putenv("REMOTE_USER=$user");
സിസ്റ്റം("/usr/local/dacs/bin/dacscheck -q -fn DEMO -icgi
-റൂളുകൾ /usr/local/myapp/rules /myapp", $st);
എങ്കിൽ ($st != 0) {
// പ്രവേശനം നിഷേധിച്ചു, ജാമ്യം
പുറത്തുകടക്കുക($st);
}

// ആക്സസ് അനുവദിച്ചിരിക്കുന്നു, തുടരുക

കുറിപ്പ്
ഒരു പ്രോഗ്രാം കോൾ ഉള്ളതിന്റെ കാര്യം ചിലർ ചോദ്യം ചെയ്തേക്കാം dacscheck ഉപയോക്താവാണോ എന്ന് പരിശോധിക്കാൻ
അത് അഭ്യർത്ഥിച്ചുകൊണ്ട് പ്രോഗ്രാം പ്രവർത്തിപ്പിക്കാൻ മാത്രമേ അനുവദിക്കൂ. ഒറ്റനോട്ടത്തിൽ അങ്ങനെ തോന്നാം
ഫയൽ അനുമതികൾ മാത്രം സജ്ജീകരിക്കുന്നതിലൂടെ ഒരാൾക്ക് അതേ ഫലം നേടാനാകും
ബോബിനും ആലീസിനും പ്രോഗ്രാം പ്രവർത്തിപ്പിക്കാൻ കഴിയും. അത് ചെയ്യാൻ കഴിയുമെങ്കിൽ, നാടൻ-ധാന്യ പരിശോധന
നടക്കുന്ന dacscheck ഉദാഹരണങ്ങളിൽ അനാവശ്യമായിരിക്കും. ഉണ്ടെന്ന് അത് മാറുന്നു
അതിനേക്കാളേറെ.

ഒരു പരമ്പരാഗത യുണിക്സ്-ടൈപ്പ് സിസ്റ്റത്തിൽ ഇത് നേടുന്നതിന് ഫയൽ അനുമതികൾ ക്രമീകരിക്കേണ്ടതുണ്ട്
ഒരു പുതിയ ഗ്രൂപ്പ് സൃഷ്ടിക്കുന്നു / etc / group, പൊതുവെ a യ്ക്ക് മാത്രം ചെയ്യാൻ കഴിയുന്ന ഒന്ന്
സിസ്റ്റം അഡ്മിനിസ്ട്രേറ്റർ. അതിനാൽ സാധാരണ ഉപയോക്താക്കൾ ഒന്നുകിൽ സിസ്റ്റത്തെ ബുദ്ധിമുട്ടിക്കണം
ഓരോ തവണയും അഡ്‌മിനിസ്‌ട്രേറ്റർ അത്തരം ഒരു ഗ്രൂപ്പ് സൃഷ്‌ടിക്കുകയോ പരിഷ്‌ക്കരിക്കുകയോ അല്ലെങ്കിൽ മറ്റേതെങ്കിലും കണ്ടെത്തുകയോ ചെയ്യണം
ഒരേ ഫലം നേടാനുള്ള വഴി (ഉദാ, എൻക്രിപ്ഷൻ വഴി, ഒരു പ്രത്യേക സെറ്റൂയിഡ് അല്ലെങ്കിൽ സെറ്റ്ജിഡ് ഉപയോഗിച്ച്
പാസ്‌വേഡ്-പരിരക്ഷിത ആക്‌സസ് നൽകുന്ന കമാൻഡ്, അല്ലെങ്കിൽ മറ്റേതെങ്കിലും വിചിത്രവും ഒരുപക്ഷേ
സുരക്ഷിതമല്ലാത്ത പരിഹാരം).

ഈ പരിമിതിയും മറ്റുള്ളവയും പരിഹരിക്കുന്നതിനായി, നിരവധി യുണിക്സ്-ടൈപ്പ് ഓപ്പറേറ്റിംഗ് സിസ്റ്റങ്ങൾ ഇപ്പോൾ ഉൾപ്പെടുന്നു
പരമ്പരാഗത Unix ഫയൽ അനുമതികൾ ACL അടിസ്ഥാനമാക്കിയുള്ള ഫയൽ സിസ്റ്റങ്ങൾ
സംവിധാനം (ഉദാ. നൽകുന്നത് getfacl(1)[10] ഒപ്പം setfacl(1)[11] കമാൻഡുകൾ, കൂടാതെ
ACL(3)[12] ACL സുരക്ഷാ API).

dacscheck സമാനമായ പ്രവർത്തനം നൽകുന്നു, എന്നാൽ സ്വേച്ഛാധികാരം പേരുകൾ, വസ്തുക്കൾക്ക് മാത്രമല്ല
ഫയൽ സിസ്റ്റത്തിൽ, കൂടാതെ സ്വേച്ഛാധികാരം ഐഡന്റിറ്റികൾ, അറിയപ്പെടുന്നവർക്ക് മാത്രമല്ല
ഓപ്പറേറ്റിംഗ് സിസ്റ്റത്തിലേക്ക്. ഉദാഹരണത്തിന്, ഒരു CGI സ്ക്രിപ്റ്റ് വിളിക്കാൻ കഴിയും dacscheck പ്രവേശനം പരിശോധിക്കാൻ
വെബ് സെർവറിന് അറിയാവുന്ന ഒരു ഉപയോക്താവിന്റെ പേരിൽ (ഉദാ, ഉപയോഗിച്ച് സൃഷ്ടിച്ച ഒരു അക്കൗണ്ട് വഴി
htpasswd(1)[13]) എന്നാൽ അടിസ്ഥാന സിസ്റ്റത്തിൽ അക്കൗണ്ട് ഇല്ല. അതുകൊണ്ടു,
പ്ലാറ്റ്‌ഫോമുകളിലുടനീളം പോർട്ടബിൾ ആയിരിക്കുന്നതിനും ACL-ടൈപ്പ് ഫയലില്ലാത്ത സിസ്റ്റങ്ങളിൽ ലഭ്യമാകുന്നതിനും പുറമെ
അനുമതികൾ, dacscheck ഏറ്റവും കൂടുതൽ പ്രവർത്തിക്കുന്നതിനേക്കാൾ വളരെ പൊതുവായ ഒരു പരിഹാരമാണ്
സംവിധാനങ്ങൾ നൽകുന്നു. സിസ്റ്റം നൽകുന്ന ACL-അടിസ്ഥാന മെക്കാനിസത്തിന് വിപരീതമായി, എന്നിരുന്നാലും,
dacscheck is അല്ല സുതാര്യമായി അഭ്യർത്ഥിച്ചു (അതായത്, ഇത് യാന്ത്രികമായി വിളിക്കപ്പെടുന്നില്ല
ഒരു ഫയൽ പോലുള്ള ഒരു ഉറവിടം ആക്സസ് ചെയ്യുമ്പോൾ ഓപ്പറേറ്റിംഗ് സിസ്റ്റം). കൂടാതെ, സംബന്ധിച്ച്
ഒരു പ്രോഗ്രാം പ്രവർത്തിപ്പിക്കാൻ ഉപയോക്താവിനെ അനുവദിച്ചിട്ടുണ്ടോ എന്ന് പരിശോധിക്കുന്നത്, ആ പ്രോഗ്രാം സാധാരണഗതിയിൽ ചെയ്യും
പരീക്ഷണം തന്നെ നടത്തുകയും അതിനാൽ നിർവ്വഹണം ആരംഭിക്കുകയും വേണം.

കൂടുതൽ വിവരങ്ങൾക്ക്:

· ഉപയോഗിക്കുന്നു FreeBSD-കൾ ACL- കൾ[14], ഡ്രു ലവിഗ്നെ, ONLamp.com[15], 22-സെപ്തംബർ-05.

· POSIX ACL- കൾ in ലിനക്സ്[16], മൈക്ക് പീറ്റേഴ്സ്, linux.com[17], 2-ആഗസ്റ്റ്-04.

· സോളാരിസിന്, സൊളാരിസ് 10 ACL(2)[18], സൂര്യൻ മൈക്രോസിസ്റ്റംസ്[19] ഒപ്പം ഉപയോഗിക്കുന്നു സൊളാരിസ്
ACL- കൾ[20] വഴി വകുപ്പ് of കമ്പ്യൂട്ടർ ശാസ്ത്രം, ഡ്യൂക്ക് സര്വ്വകലാശാല[21].

കാരണം അംഗീകാര പരിശോധന നടത്തിയത് dacscheck അതിൽ നിന്ന് തികച്ചും വ്യത്യസ്തമാണ്
സിസ്റ്റം കോളുകൾക്കായി ഓപ്പറേറ്റിംഗ് സിസ്റ്റം നിർവ്വഹിക്കുന്നു, a യൂണിക്സ് റൂട്ട് പോലുള്ള ഐഡന്റിറ്റിക്ക് ഇല്ല
പ്രത്യേക അവകാശങ്ങൾ അല്ലെങ്കിൽ കഴിവുകൾ വരെ dacscheck നിയമങ്ങൾ ഉണ്ടായിട്ടില്ലെങ്കിൽ ആശങ്കയുണ്ട്
അവർക്ക് നൽകാൻ എഴുതിയതാണ്. യുടെ അപേക്ഷയ്ക്കും ഇത് ബാധകമാണ് യൂണിക്സ് ഗ്രൂപ്പുകൾ.

ചിലത് എങ്ങനെ സാധാരണമാണെന്ന് അടുത്ത ഉദാഹരണം കാണിക്കുന്നു പേൾ കോഡ് മെച്ചപ്പെടുത്താൻ കഴിയും dacscheck. ദി
കോഡ് ശകലം:

എങ്കിൽ ($logged_in_as_root || $logged_in_as_current_admin) {
# വിശേഷാധികാരമുള്ള എന്തെങ്കിലും ചെയ്യൂ...
}

മൂല്യത്തെ ആശ്രയിച്ച് രണ്ട് വേരിയബിളുകൾ ശരിയായി ആരംഭിക്കുന്നതിനെ ആശ്രയിച്ചിരിക്കുന്നു
$ ഉപയോക്തൃനാമം, ഇത് ഉപയോഗിച്ച് മാറ്റിസ്ഥാപിക്കാം:

# $username-ന് അഡ്‌മിൻ പ്രത്യേകാവകാശങ്ങളുണ്ടോ എന്ന് നിർണ്ണയിക്കുക
$ output = `dacscheck -q -i $username -app myapp /myapp/admin`;
$is_admin = ($? >> 8) == 0;

എങ്കിൽ ($is_admin) {
# വിശേഷാധികാരമുള്ള എന്തെങ്കിലും ചെയ്യൂ...
}

#പിന്നീട്...
എങ്കിൽ ($is_admin) {
# മറ്റെന്തെങ്കിലും പ്രിവിലേജ് ചെയ്യൂ...
}

പുതിയ അംഗീകാര പരിശോധന പ്രോഗ്രാം പ്രവർത്തിപ്പിക്കുന്ന ഐഡന്റിറ്റിയെ ആശ്രയിച്ചിരിക്കുന്നു ($ ഉപയോക്തൃനാമം)
ആ ഐഡന്റിറ്റിക്ക് ആക്‌സസ് അനുവദിക്കണമോ എന്ന് നിർണ്ണയിക്കുന്ന പ്രത്യേക റൂൾസെറ്റും
/myapp/admin, ഇത് ഇതുപോലെ കാണാവുന്ന ഒരു നിയമത്തിന്റെ ലേബൽ മാത്രമാണ്:








ഉപയോക്താവ്("%:അഡ്മിൻ")




എങ്കിൽ മാത്രമേ ഈ നിയമം ആക്സസ് അനുവദിക്കൂ $ ഉപയോക്തൃനാമം ഒരു അംഗം DACS അഡ്മിൻ എന്ന ഗ്രൂപ്പ്
അല്ലെങ്കിൽ അതുമായി ബന്ധപ്പെട്ടിരിക്കുന്നു DACS പങ്ക്. ആ ഗ്രൂപ്പിലെ അംഗത്വം ചലനാത്മകമായി മാറ്റാവുന്നതാണ്,
പൂജ്യമായി പോലും കുറയ്ക്കാം.

എന്നതാണ് പ്രധാന നിരീക്ഷണം The അവസ്ഥ ആ നിർണ്ണയിക്കുക എന്ന് The ഉപയോക്താവ് പ്രവർത്തിക്കുന്ന
ഈ പേൾ കോഡ് ഉണ്ട് അഡ്മിനിസ്ട്രേറ്റീവ് അധികാരങ്ങൾ ആകുന്നു നിർവചിച്ചിരിക്കുന്നത് പുറത്ത് of The പ്രോഗ്രാം ഒപ്പം കഴിയും be
മാറി കൂടാതെ പരിഷ്ക്കരിച്ചുകൊണ്ട് The കോഡ് ഒപ്പം പലപ്പോഴും കൂടാതെ പോലും പരിഷ്ക്കരിച്ചുകൊണ്ട് പ്രവേശനം നിയന്ത്രണം നിയമങ്ങൾ.

ഈ പ്രമാണത്തിൽ ഉപയോഗിച്ചിരിക്കുന്ന ചില ആശയങ്ങൾ മറ്റൊരിടത്ത് വിവരിച്ചിരിക്കുന്നു. വേരിയബിളുകൾ, വേരിയബിൾ
ആക്‌സസ് കൺട്രോൾ റൂളുകളിൽ ഉപയോഗിക്കുന്ന നെയിംസ്‌പേസുകളും എക്‌സ്‌പ്രഷനുകളും ചർച്ചചെയ്യുന്നു
dacs.exprs(5)[22]. നാമകരണം ചെയ്യുന്നു DACS എന്നതിൽ ചർച്ച ചെയ്യപ്പെടുന്നു ഡാക്സ്(1)[23], ഒപ്പം DACS ഗ്രൂപ്പുകളും റോളുകളും
മൂടിയിരിക്കുന്നു dacs.groups(5)[24].

സുരക്ഷ
വ്യക്തമായും dacscheck, അതിന്റെ വിളിക്കുന്നയാളും സംശയാസ്പദമായ ഉറവിടങ്ങളും "ഒറ്റപ്പെട്ടതായിരിക്കണം"
ആരുടെ പേരിൽ ഉപയോക്താവ് dacscheck പ്രവർത്തിപ്പിക്കുന്നുണ്ട്, അല്ലാത്തപക്ഷം ഉപയോക്താവിന് ഇതിലേക്ക് ആക്സസ് ചെയ്യാൻ കഴിയും
ഉറവിടങ്ങൾ നേരിട്ട് അല്ലെങ്കിൽ പ്രവേശന നിയന്ത്രണ പരിശോധനകൾ അട്ടിമറിക്കുക. അതുകൊണ്ടു, dacscheck അതിന്റെ
വിളിക്കുന്നയാൾ ഒന്നുകിൽ അത് ആരുടെ പേരിൽ പ്രവർത്തിക്കുന്നുവോ അല്ലെങ്കിൽ ഉപയോക്താവിനേക്കാൾ കൂടുതൽ പ്രത്യേകാവകാശമുള്ളവനായിരിക്കണം
രണ്ട് പ്രോഗ്രാമുകളും സുരക്ഷിതമായ പശ്ചാത്തലത്തിൽ പ്രവർത്തിക്കണം. ഇത് പൊതുവെ അർത്ഥമാക്കുന്നത് രണ്ടും എന്നാണ് dacscheck
കൂടാതെ അതിന്റെ കോളർ ഉപയോക്താക്കളിൽ നിന്ന് (ഒരു റിമോട്ട് സെർവറിൽ പോലെ) അല്ലെങ്കിൽ ഒരു ആയി പ്രവർത്തിക്കണം
ഉപയോക്താവിൽ നിന്ന് വ്യത്യസ്തമായ ഫലപ്രദമായ ഉപയോക്തൃ ഐഡി.

പ്രയോജനങ്ങൾ
അംഗീകാര പരിശോധനകൾ നടത്തുന്ന പ്രോഗ്രാമുകളിൽ സാധാരണയായി ഇതുപോലുള്ള കോഡ് അടങ്ങിയിരിക്കുന്നു:

· "നിലവിലെ ഉപയോക്താവ് അനുയോജ്യമായ പാസ്‌വേഡ് നൽകിയിട്ടുണ്ടെങ്കിൽ, ഇനിപ്പറയുന്നവ നടപ്പിലാക്കുക
കോഡ്, അല്ലെങ്കിൽ ചെയ്യരുത്", അല്ലെങ്കിൽ

· "നിലവിലെ ഉപയോക്താവ് അഡ്മിനിസ്ട്രേറ്ററാണെങ്കിൽ, ഇനിപ്പറയുന്നവ ചെയ്യുക", അല്ലെങ്കിൽ

· "നിലവിലെ ഉപയോക്താവിനെ ഒരു അപ്ഡേറ്റ് ഓപ്പറേഷൻ നടത്താൻ അനുവദിക്കുകയാണെങ്കിൽ, ഈ മെനു കാണിക്കുക
ഇനങ്ങൾ, അല്ലാത്തപക്ഷം കാണിക്കരുത്"

സങ്കീർണ്ണമായ പ്രയോഗങ്ങൾ ഇത്തരം പരിശോധനകൾ കൊണ്ട് ചിതറിക്കിടക്കുന്നു, അത് അവയ്ക്ക് സാധ്യതയുള്ളതാക്കുന്നു
ബഗുകളും സുരക്ഷാ പ്രശ്നങ്ങളും. സുരക്ഷാ നയങ്ങളിലെ മാറ്റങ്ങളിൽ മാറ്റങ്ങൾ ഉൾപ്പെട്ടേക്കാം
ഒരു ആപ്ലിക്കേഷൻ അല്ലെങ്കിൽ ആപ്ലിക്കേഷനുകളുടെ സ്യൂട്ട് മുഴുവൻ. കൂടാതെ, പാസ്വേഡ് കൈകാര്യം ചെയ്യൽ പലപ്പോഴും
അത്തരം പ്രോഗ്രാമുകളിൽ ഉൾപ്പെടുത്തിയിട്ടുണ്ട്; കാരണം പാസ്‌വേഡ് മാനേജ്‌മെന്റിന് കാര്യമായ ഒരു കാര്യം ആവശ്യമായി വന്നേക്കാം
നടപ്പിലാക്കാനുള്ള ശ്രമവും സുരക്ഷിതമായി ചെയ്യാൻ പ്രയാസവുമാണ്, പ്രയോജനപ്പെടുത്താൻ ശ്രമിക്കുന്നത് ബുദ്ധിയാണെന്ന് തോന്നുന്നു
നിലവിലുള്ള നടപ്പാക്കലുകൾ.

ഇഷ്‌ടാനുസൃത കോഡ് ചെയ്‌ത പരിഹാരങ്ങളുമായി താരതമ്യപ്പെടുത്തുമ്പോൾ, dacscheck ധാരാളം ഗുണങ്ങളുണ്ട്:

ഡാറ്റാധിഷ്ഠിത നയങ്ങൾ
പ്രത്യേകമായി എഴുതിയ ആക്സസ് കൺട്രോൾ ലോജിക്കിന് വിരുദ്ധമായി, ഡാറ്റാധിഷ്ഠിത (റൂൾ ​​അടിസ്ഥാനമാക്കിയുള്ളത്)
പ്രവർത്തനം മികച്ചതാണ് കാരണം:

ആക്സസ് നിയന്ത്രണ നിയമങ്ങൾ കോഡിൽ നിന്ന് വ്യത്യസ്തമാണ്, അതിനാൽ ഒരു കൂട്ടം നിയമങ്ങളിലേക്ക് മാറുന്നു
ഒരു ആപ്ലിക്കേഷനിലോ സെറ്റിലോ ഉടനീളം ആ നിയമങ്ങളുടെ എല്ലാ ഉപയോഗങ്ങൾക്കും സ്വയമേവ ബാധകമാണ്
അപേക്ഷകളുടെ; നയം മാറ്റിയാൽ കോഡ് പരിഷ്‌ക്കരിക്കേണ്ടതില്ല.

ബഗ് പരിഹരിക്കലുകളും നിയമങ്ങളുടെ മെച്ചപ്പെടുത്തലുകളും പ്രോഗ്രാമുകൾക്ക് സ്വയമേവ ലഭ്യമാകും
ഉപയോഗം dacscheck; അപേക്ഷകളുടെ പുനഃസംയോജനം ആവശ്യമില്ല.

· നിയമങ്ങൾ നിയന്ത്രിക്കുന്ന വ്യക്തി അപേക്ഷയുടെ ആളായിരിക്കണമെന്നില്ല
പ്രോഗ്രാമർ (അല്ലെങ്കിൽ കോഡ് മനസ്സിലാക്കുന്ന ഒരാൾ പോലും), അതിനാൽ നിയോഗിക്കുന്നു
ഉത്തരവാദിത്തം വളരെ എളുപ്പമാണ്. ഇത് ആവശ്യമായ പ്രോഗ്രാമിംഗിന്റെ അളവ് കുറയ്ക്കുന്നു
മാറ്റങ്ങൾ ആവശ്യമായി വരുമ്പോൾ, കോഡ് മെയിന്റനൻസ് പ്രയത്നം കുറയ്ക്കുകയും കുറയുകയും ചെയ്യുന്നു
പിശക് സാധ്യത.

· ഒരു വിവരിക്കുന്ന നിയമങ്ങളുടെ ഒരു കൂട്ടം മനസ്സിലാക്കാൻ (പ്രകടിപ്പിക്കാനും) സാധാരണയായി എളുപ്പമാണ്
പ്രവേശന നിയന്ത്രണ നയം; അതേ നയം നടപ്പിലാക്കുന്ന കോഡ് കൂടുതൽ സങ്കീർണ്ണമായിരിക്കും
കൂടാതെ മനസ്സിലാക്കാൻ പ്രയാസമാണ്, പിശകിന്റെ സാധ്യത വർദ്ധിപ്പിക്കുന്നു.

പ്രോഗ്രാമിംഗ് കാര്യക്ഷമത

· ആപ്ലിക്കേഷനുകൾ ലളിതമാക്കുകയും പ്രോഗ്രാമിംഗ് സമയവും പരിശ്രമവും കുറയുകയും ചെയ്യുന്നു
നിലവിലുള്ള ആക്സസ് കൺട്രോൾ കോഡ് (അതായത്, dacscheck) വീണ്ടും ഉപയോഗിക്കുന്നു.

· ഒരു കോഡും എഴുതാതെ തന്നെ സങ്കീർണ്ണമായ നിയമങ്ങൾ നിർമ്മിക്കാൻ കഴിയും. DACS
റോളുകളും ഗ്രൂപ്പുകളും പോലുള്ള സവിശേഷതകൾ ലഭ്യമാണ്, അവ നിർമ്മിക്കാൻ ഉപയോഗിക്കാം
സാധ്യമായതിനേക്കാൾ ലളിതവും കൂടുതൽ പ്രകടമായ അംഗീകാര നയങ്ങൾ
കൈകൊണ്ട് കോഡ് ചെയ്ത.

പോർട്ടബിലിറ്റി
നിയമങ്ങൾ പ്ലാറ്റ്ഫോം സ്വതന്ത്രമാണ്, ഉപയോഗിക്കുന്ന ആപ്ലിക്കേഷനുകളിൽ നിന്ന് വിദൂരമായി സംഭരിക്കാൻ കഴിയും
അവ, വിദൂരമായി വിലയിരുത്താൻ സാധ്യതയുണ്ട്. dacscheck പലതരം ലഭ്യമാണ്
പ്ലാറ്റ്ഫോമുകളുടെ.

വർദ്ധിച്ച പങ്കിടൽ
വ്യത്യസ്ത സാഹചര്യങ്ങളിലും വ്യത്യസ്ത പ്രോഗ്രാമുകളിലും നിയമങ്ങൾ പങ്കിടാനും ഉപയോഗിക്കാനും കഴിയും.

സൌകര്യം

· ഇത് ഒരു വെബ് സെർവറിനെ ആശ്രയിക്കാത്തതിനാൽ, അത് ഫലത്തിൽ ആർക്കും ഉപയോഗിക്കാനാകും
CGI അടിസ്ഥാനമാക്കിയുള്ള പ്രോഗ്രാം.

· ബഹുമാനത്തോടെ DACS, ഇത് സാഹചര്യങ്ങളിൽ ഉപയോഗിക്കാൻ കഴിയും mod_auth_dacs[25]
മൊഡ്യൂൾ ഉപയോഗിച്ച് ഉപയോഗിക്കാൻ കഴിയില്ല അപ്പാച്ചെ, അല്ലെങ്കിൽ എവിടെ അപ്പാച്ചെ പൂർണ്ണമായും ഉപയോഗിക്കാൻ കഴിയില്ല.

· ഇത് ഒരു സാധാരണ കമാൻഡ് ആയി നടപ്പിലാക്കിയതിനാൽ, dacscheck മുതൽ ഉപയോഗിക്കാം
കമാൻഡ് ലൈൻ അല്ലെങ്കിൽ മിക്കവാറും ഏതെങ്കിലും സ്ക്രിപ്റ്റിൽ നിന്നോ പ്രോഗ്രാമിൽ നിന്നോ ഉള്ളത്.

· CGI അടിസ്ഥാനമാക്കിയുള്ള പ്രോഗ്രാമുകൾക്ക്, dacscheck ഒരു സിസ്റ്റത്തിൽ നിന്നുള്ള സഹായമില്ലാതെ ഉപയോഗിക്കാൻ കഴിയും
കാര്യനിർവാഹകൻ; ഉദാ, നൽകുന്നതിനായി ഒരു വെബ് സെർവർ കോൺഫിഗർ ചെയ്യേണ്ട ആവശ്യമില്ല
ഒരു CGI പ്രോഗ്രാമിനുള്ള അംഗീകാരം, കാരണം എല്ലാ ആക്സസ് കൺട്രോൾ പ്രവർത്തനങ്ങളും
പ്രോഗ്രാമിനുള്ളിൽ അവതരിപ്പിച്ചു.

സുരക്ഷ വർദ്ധിപ്പിച്ചു
dacscheck പ്രാമാണീകരണം നടത്തുകയോ ഏതെങ്കിലും പ്രത്യേക പ്രാമാണീകരണത്തെ ആശ്രയിക്കുകയോ ചെയ്യുന്നില്ല
രീതി, അതിനാൽ പ്രാമാണീകരണ രീതിയെ ബാധിക്കാതെ മാറ്റാൻ കഴിയും
ആപ്ലിക്കേഷന്റെ ഉപയോഗം dacscheck. പിന്തുണയ്‌ക്കുന്ന ഏതെങ്കിലും പ്രാമാണീകരണ മാർഗങ്ങൾ ഉപയോഗിക്കാൻ കഴിയും, അല്ല
സാധാരണ പാസ്‌വേഡ് അടിസ്ഥാനമാക്കിയുള്ള രീതി മാത്രം.

യുടെ പ്രകടനം നടക്കുമ്പോൾ dacscheck പല ആപ്ലിക്കേഷനുകൾക്കും ഒരു ഘടകമായിരിക്കരുത്
C/C++ API പ്രശ്‌നമുള്ളിടത്ത് ഉപയോഗിക്കാം. സംയോജിപ്പിക്കാൻ ഈ API ഉപയോഗിക്കാം dacscheck
കംപൈൽ ചെയ്ത പ്രോഗ്രാമുകളിലേക്കും വിപുലീകരിക്കാവുന്ന ഭാഷകളിലേക്കും ഉള്ള പ്രവർത്തനം പേൾ, പൈത്തൺ,
Tcl/Tk, ഒപ്പം PHP.

ഐഡന്റിറ്റികൾ
ആക്‌സസ് പരിശോധിക്കേണ്ട ഐഡന്റിറ്റി പ്രോഗ്രാമിന് നൽകിയിട്ടുണ്ട് അല്ലെങ്കിൽ നേടിയത്
അതിന്റെ നിർവ്വഹണ പരിതസ്ഥിതിയിൽ നിന്നുള്ള പ്രോഗ്രാം. ഈ ഐഡന്റിറ്റി ആയി പരിവർത്തനം ചെയ്യപ്പെടുന്നു DACS ന്റെ ആന്തരിക
പ്രാതിനിധ്യം.

ഒന്നിലധികം ഐഡന്റിറ്റികൾ വ്യക്തമാക്കാം; എല്ലാവരുടെയും യൂണിയന്റെ പേരിലാണ് പരിശോധന നടത്തുന്നത്
ഐഡന്റിറ്റികൾ. ബോബിന്റെയും ആലീസിന്റെയും ഐഡന്റിറ്റികൾ വ്യക്തമാക്കിയിട്ടുണ്ടെങ്കിൽ, ഉദാഹരണത്തിന്, ഒരു നിയമം
ആക്‌സസ് അനുവദിച്ചേക്കാവുന്ന ഒന്നുകിൽ ഐഡന്റിറ്റിയിൽ സംതൃപ്തനാണ്.

ഒരു ഐഡന്റിറ്റിയും നൽകിയിട്ടില്ലെങ്കിൽ, ആധികാരികതയില്ലാത്ത ഒരു ഉപയോക്താവിന്റെ പേരിലാണ് പരിശോധന നടത്തുന്നത്.

ഒരു ഐഡന്റിറ്റി ഇതായിരിക്കാം:

· ഒരു ലോഗിൻ പേര് dacscheck പ്രോഗ്രാമിന്റെ യഥാർത്ഥ അല്ലെങ്കിൽ ഫലപ്രദമായ uid-ൽ നിന്ന് മാപ്പുകൾ
(അതായത്, പ്രോഗ്രാം പ്രവർത്തിപ്പിക്കുന്ന ഉപയോക്താവ്);

· എ DACS ഉപയോക്തൃ ഐഡന്റിറ്റി (ഉദാ: carol, DSS:bob, അല്ലെങ്കിൽ EXAMPLE-COM::DEMO:alice, കാണുക
ഡാക്സ്(1)[26]);

ഒരു ലളിതമായ പേര് (ബോബ്:ബോബിന് തുല്യമാണ്); അഥവാ

ൽ പ്രകടിപ്പിച്ച ഒരു പേര് സംക്ഷിപ്തമായ സിന്റാക്സ്[27], ഇത് ഒരു ഉപയോക്തൃനാമം നൽകുന്നു, കൂടാതെ ഓപ്ഷണലായി,
ഐഡന്റിറ്റിക്കുള്ള റോളുകളും ആട്രിബ്യൂട്ടുകളും. കാലഹരണപ്പെട്ട ഏതെങ്കിലും ഐഡന്റിറ്റി ഉപയോഗിക്കില്ല.

കുറിപ്പുകൾ
· dacscheck ഒരു ഐഡന്റിറ്റിയുടെ വാക്യഘടനയെ സാധൂകരിക്കുന്നു, അത് പരിവർത്തനം ചെയ്യുകയും വികസിപ്പിക്കുകയും ചെയ്യുന്നു
ആവശ്യമെങ്കിൽ സംക്ഷിപ്ത വാക്യഘടനയിലേക്ക്, തുടർന്ന് അതിനെ അതിന്റെ ആന്തരികതയിലേക്ക് പരിവർത്തനം ചെയ്യുന്നു
ക്രെഡൻഷ്യലുകൾക്കുള്ള പ്രാതിനിധ്യം. പ്രോഗ്രാം ചെയ്യുമ്പോൾ ഈ യോഗ്യതാപത്രങ്ങൾ നശിപ്പിക്കപ്പെടും
അവസാനിപ്പിക്കുന്നു.

അത് എങ്ങനെ വ്യക്തമാക്കിയാലും, ഓരോ ഐഡന്റിറ്റിയും വാക്യഘടനയെ തൃപ്തിപ്പെടുത്തണം
a യുടെ ആവശ്യകതകൾ DACS ഈ പരിവർത്തനത്തിനും വിപുലീകരണത്തിനും ശേഷമുള്ള ഉപയോക്തൃ ഐഡന്റിറ്റി (കാണുക
ഡാക്സ്(1)[26]). ഒരു ലോഗിൻ നാമം ഒരു ഐഡന്റിറ്റിയായി വ്യക്തമാക്കിയിട്ടുണ്ടെങ്കിൽ, ഉദാഹരണത്തിന്, അത് ആയിരിക്കണം
a യുടെ ഒരു ഘടകമായി സാധുവാണ് DACS ഉപയോക്തൃ ഐഡന്റിറ്റി; അതിനാൽ, അതിൽ ഒന്നും ഉൾക്കൊള്ളാൻ കഴിയില്ല
അസാധുവായ പ്രതീകങ്ങൾ.

· ഒരു ഐഡന്റിറ്റിക്ക് IP വിലാസം നൽകിയിട്ടില്ലെങ്കിൽ, അത് ഇതിൽ നിന്ന് ലഭിക്കും REMOTE_ADDR
എൻവയോൺമെന്റ് വേരിയബിൾ ലഭ്യമാകുമ്പോൾ, അല്ലെങ്കിൽ 127.0.0.1 ന്റെ സ്ഥിരസ്ഥിതി ഉപയോഗിക്കുന്നു. ദി
ക്രെഡൻഷ്യലുകളുമായി ബന്ധപ്പെട്ട ഐപി വിലാസം ഉപയോഗിച്ച് പരിശോധിക്കുന്നു ഉപയോക്താവ്() പ്രവചിക്കുക.

· പരീക്ഷിക്കപ്പെടുന്ന ഒരു ഐഡന്റിറ്റിയിൽ ഒരു ഫെഡറേഷൻ നാമം ഉൾപ്പെടുന്നുവെങ്കിൽ, ഡിഫോൾട്ട് മുതൽ
ഫെഡറേഷന്റെ പേര് ശരിയാകാൻ സാധ്യതയില്ല, ഒരുപക്ഷേ അത് പറയേണ്ടിവരും
dacscheck ഏത് ഫെഡറേഷന്റെ പേരാണ് ഉപയോഗിക്കുന്നതിനെതിരെ താരതമ്യം ചെയ്യേണ്ടത് -fn ഫ്ലാഗ്.

പിന്തുടരാനിടയുള്ള ഐഡന്റിറ്റികളുടെ ചില ഉദാഹരണങ്ങൾ ഇതാ -i ഫ്ലാഗ്:

ബോബ്
:ബോബ്
DSS:ബോബ്
{u = ബോബ്}
{u="bob"}
{u="alice",g="admin"}
{u="DSS:bob",g="guest"}
{u="bob",a="a", g="guest"}

കുറിപ്പ്
ബ്രേസ് ആയതിനാൽ കമാൻഡ് ലൈനിൽ ഈ സ്ട്രിംഗ് ഉചിതമായി ഉദ്ധരിക്കേണ്ടി വന്നേക്കാം
ചില ഷെല്ലുകൾക്ക് പ്രതീകങ്ങൾ പ്രധാനമാണ്; ഉദാ,

-i '{u="bob"}'

അപ്പാച്ചെ മറ്റ് വെബ് സെർവറുകൾ പരിസ്ഥിതി വേരിയബിൾ സജ്ജമാക്കുന്നു REMOTE_USER ആധികാരികതയിലേക്ക്
ഒരു വെബ് സേവനം അഭ്യർത്ഥിച്ച ഐഡന്റിറ്റി. അതിന്റെ വാക്യഘടന അനുയോജ്യമാണെങ്കിൽ, ഈ ഐഡന്റിറ്റി ആകാം
ലേക്ക് കൈമാറി dacscheck. വേണ്ടി DACS- പൊതിഞ്ഞ വെബ് സേവനങ്ങൾ, DACS ഐഡന്റിറ്റികൾ ഇതിൽ ലഭ്യമാണ്
വേരിയബിൾ.

സ്ഥിരസ്ഥിതിയായി, നിയമങ്ങളുമായി ബന്ധപ്പെട്ട ഫെഡറേഷൻ, അധികാരപരിധി, ഹോസ്റ്റ് നാമങ്ങൾ എന്നിവയാണ്
റിട്ടേൺ പ്രകാരം സിസ്റ്റത്തിന്റെ ഹോസ്റ്റ് നാമത്തിൽ നിന്ന് ഉരുത്തിരിഞ്ഞത് gethostname(3)[28]. ആ പേരാണെങ്കിൽ
ഇത് FQDN അല്ലാത്തതിനാൽ അനുയോജ്യമല്ല (അതായത്, ഇത് പൂർണ്ണ യോഗ്യതയുള്ള ഡൊമെയ്ൻ നാമമല്ല കാരണം
അതിൽ ഒരു കാലഘട്ടം അടങ്ങിയിട്ടില്ല), ഓരോ അപരനാമങ്ങളും പരിശോധിച്ചു (ഉപയോഗിക്കുന്നു
gethostbyname(3)[29]) ഒരു FQDN കണ്ടെത്തുന്നത് വരെ. അധികാരപരിധിയുടെ പേര് വന്നത്
തിരഞ്ഞെടുത്ത FQDN ന്റെ ഏറ്റവും ഇടത് ഘടകവും ഫെഡറേഷൻ ഡൊമെയ്‌നും പേരും ഇതിൽ നിന്നാണ് വരുന്നത്
ശേഷിക്കുന്ന ഘടകങ്ങൾ. FQDN ഒന്നും കണ്ടെത്തിയില്ലെങ്കിൽ, സിസ്റ്റത്തിന്റെ ഹോസ്റ്റ് നാമം ആയി തിരഞ്ഞെടുക്കും
അധികാരപരിധിയുടെ പേരും സ്ഥിരസ്ഥിതികളും ഫെഡറേഷൻ ഡൊമെയ്‌നായും നാമമായും ഉപയോഗിക്കും (EXAMPLE.COM
യഥാക്രമം EXAMPLE-COM എന്നിവയും).

സിസ്റ്റത്തിന്റെ ഹോസ്റ്റ്നാമം demo.example.com ആണെന്ന് കണ്ടെത്തിയാൽ (അല്ലെങ്കിൽ വ്യക്തമായി നൽകിയിരിക്കുന്നത്)
ഉദാഹരണത്തിന്, റൂൾ മൂല്യനിർണ്ണയ സമയത്ത് സൂചിപ്പിച്ചതുപോലെ ഇനിപ്പറയുന്ന വേരിയബിളുകൾ സജ്ജീകരിക്കും:

· ${Conf::FEDERATION_NAME} ഒപ്പം ${DACS::FEDERATION} രണ്ടും EXAMPLE-COM ആയി സജ്ജീകരിച്ചിരിക്കുന്നു (ഡോട്ടുകൾ
സാധുവായ ഒരു പേര് രൂപപ്പെടുത്തുന്നതിന് ഡാഷുകളിലേക്ക് മാപ്പ് ചെയ്‌തു)

· ${Conf::FEDERATION_DOMAIN} EXAMPLE.COM ആയി സജ്ജീകരിച്ചിരിക്കുന്നു

· ${Conf::JURISDICTION_NAME} ഒപ്പം ${DACS::JURISDIction} അധികാരപരിധിയുടെ പേരിൽ സജ്ജീകരിച്ചിരിക്കുന്നു,
ഡെമോ

· ${DACS::HTTP_HOST} demo.example.com:80 ആയി സജ്ജീകരിച്ചിരിക്കുന്നു

മിക്കപ്പോഴും, ഫെഡറേഷനായി തിരഞ്ഞെടുത്ത പേരുകൾ പോലെ നിയമങ്ങളും ഐഡന്റിറ്റികളും പ്രകടിപ്പിക്കാൻ കഴിയും
അധികാരപരിധി അപ്രധാനമാണ്. ഇത് അങ്ങനെയല്ലാത്തപ്പോൾ, എന്നിരുന്നാലും, സ്ഥിരസ്ഥിതികളും
തിരഞ്ഞെടുത്തത് dacscheck തെറ്റാണ്, അവ കമാൻഡ് ലൈനിൽ സജ്ജമാക്കാൻ കഴിയും. ചിലതിൽ
അധികാരപരിധിയുടെ പേര് അതിന്റെ പേരാകുന്നത് ഉചിതമായിരിക്കാം
ആപ്ലിക്കേഷൻ, ഉദാഹരണത്തിന്.

അവയുടെ ഉത്ഭവം പരിഗണിക്കാതെ തന്നെ, ഫെഡറേഷന്റെയും അധികാരപരിധിയുടെയും പേരുകൾ എപ്പോഴും ഉണ്ടായിരിക്കണം
വാക്യഘടനയിൽ സാധുതയുള്ളത് (കാണുക ഡാക്സ്(1)[26]).

വസ്തുക്കൾ
ഒരു ഒബ്‌ജക്റ്റ് പലപ്പോഴും ഒരു ഫയൽ, മെനു അല്ലെങ്കിൽ വേരിയബിൾ പോലെയുള്ള ഒരു യഥാർത്ഥ വസ്തുവായിരിക്കുമെങ്കിലും, അതിന് കഴിയും
ഒരു ഓപ്പറേഷൻ പോലെയുള്ള ഒരു അമൂർത്തതയും ആയിരിക്കുക. dacscheck പേരുകൾക്കൊപ്പം പ്രവർത്തിക്കുന്നു - രൂപത്തിൽ
URI-കൾ - വസ്തുക്കളേക്കാൾ ഓരോ se. It ചെയ്യുന്നവൻ അല്ല ബന്ധിപ്പിക്കുക എന്തെങ്കിലും പ്രത്യേക അർത്ഥം കൂടെ
പേരുകൾ, it വെറുതെ ഉപയോഗങ്ങൾ അവരെ ലേക്ക് കണ്ടെത്തൽ an ബാധകമാണ് പ്രവേശനം നിയന്ത്രണം ഭരണം. അതുകൊണ്ടു,
റൂൾ റൈറ്ററും നിയമങ്ങൾ പരിശോധിക്കുന്ന ആപ്ലിക്കേഷനുകളും പേരിടൽ അംഗീകരിക്കുന്നു
സ്കീം, തിരഞ്ഞെടുത്ത പേരുകൾ വലിയ തോതിൽ അപ്രസക്തമാണ്.

ഒരു ആപ്ലിക്കേഷൻ എല്ലാ ഒബ്‌ജക്റ്റിനും അല്ലെങ്കിൽ ഒബ്‌ജക്റ്റുകളുടെ ക്ലാസിനും പേരുകൾ നൽകുന്നു
ആക്സസ് കൺട്രോൾ നിയമങ്ങളാൽ പരാമർശിച്ചിരിക്കുന്നു. ഏറ്റവും ലളിതമായി, ഒരു പേര് മാത്രമേ ആവശ്യമുള്ളൂ (പേര്
ആപ്ലിക്കേഷന്റെ, ഉദാഹരണത്തിന്). കൂടുതൽ സങ്കീർണ്ണമായ സാഹചര്യങ്ങളിൽ, വൈവിധ്യമാർന്ന വസ്തുക്കൾ
പേരിടേണ്ടതുണ്ട്. പേരുകളുടെ തിരഞ്ഞെടുപ്പും നാമകരണ ശ്രേണിയുടെ വിശദാംശങ്ങളും വരെയുണ്ട്
ഒരു സോഫ്‌റ്റ്‌വെയർ പാക്കേജിന്റെ റൺ-ടൈമിന്റെ ഓർഗനൈസേഷൻ പോലെയുള്ള പ്രത്യേക ആപ്ലിക്കേഷൻ
ഫയലും ഡയറക്ടറി ഓർഗനൈസേഷനും പ്രത്യേക പാക്കേജിനെ ആശ്രയിച്ചിരിക്കുന്നു.

ദി വസ്തു ആക്‌സസ്സിൽ വ്യക്തമാക്കിയ സേവനങ്ങളുമായി പൊരുത്തപ്പെടുന്ന പേരാണ് വാദം
നിയന്ത്രണ നിയമങ്ങൾ. ഇത് ഒന്നുകിൽ ഒരു URI അല്ലെങ്കിൽ ഒരു കേവല പാത്ത് നെയിം ആകാം (a എന്നതിൽ തുടങ്ങുന്ന ഒന്ന്
പ്രതീകം സ്ലാഷ് ചെയ്യുക), കൂടാതെ ഒന്നുകിൽ ഒരു ഓപ്ഷണൽ ക്വറി സ്ട്രിംഗ് ഘടകം അറ്റാച്ചുചെയ്യാം. എ
സമ്പൂർണ്ണ പാതനാമം പാത ഫയലായി ഒരു URI-ലേക്ക് ആന്തരികമായി മാപ്പ് ചെയ്തിരിക്കുന്നു:പാത; ഉദാ, /myapp ആണ്
file:///myapp ആയി വ്യാഖ്യാനിച്ചു (കാണുക ആർഎഫ്സി 1738[30]).

ഒബ്‌ജക്‌റ്റിന് പേര് നൽകുന്ന യുആർഐയുടെ വിവിധ ഘടകങ്ങൾ ഇങ്ങനെ ലഭ്യമാണ് DACS വേരിയബിളുകൾ
പരിസ്ഥിതി വേരിയബിളുകളും (ചുവടെ കാണുക). ഒരു ക്വറി സ്ട്രിംഗ് നൽകിയാൽ, അത് പാഴ്‌സ് ചെയ്‌തിരിക്കുന്നു
വഴി നിയമങ്ങൾക്ക് വ്യക്തിഗത വാദങ്ങൾ ലഭ്യമാക്കുന്നു ആർഗ്സ് നെയിംസ്പേസ്, അതുപോലെ തന്നെ
DACS- പൊതിഞ്ഞ വെബ് സേവനങ്ങൾ.

കുറിപ്പ്
മാത്രം പാത യുആർഐയുടെ ഘടകം എപ്പോൾ പരിഗണിക്കപ്പെടുന്നു DACS ഒരു വസ്തുവിന്റെ പേരുമായി പൊരുത്തപ്പെടുന്നു
ഒരു ആക്‌സസ് കൺട്രോൾ റൂളിന്റെ url_pattern-ന് എതിരാണ്. നിലവിൽ, വസ്തുവിന്റെ പേര് ഇല്ല
യാന്ത്രികമായി കാനോനിക്കലൈസ് ചെയ്യപ്പെടുകയോ പരിഹരിക്കുകയോ ചെയ്യുക (കാണുക ആർഎഫ്സി 3986[31]), സാധാരണ ചെയ്യുന്നത് പോലെ a
വെബ് സെർവർ, അതിനാൽ "." പോലുള്ള ആപേക്ഷിക പാത്ത് ഘടകങ്ങൾ ".." എന്നിവ ഒഴിവാക്കണം.

ചട്ടം വിലയിരുത്തൽ സന്ദർഭം
എക്‌സ്‌പ്രഷൻ മൂല്യനിർണ്ണയത്തെ ബാധിച്ചേക്കാവുന്ന ഒരു നിർവ്വഹണ സന്ദർഭത്തിലാണ് നിയമങ്ങൾ വിലയിരുത്തപ്പെടുന്നത്
പരോക്ഷമായി അല്ലെങ്കിൽ വേരിയബിളുകളിലൂടെ വ്യക്തമായി പരിശോധിക്കാം.

മുതലുള്ള dacscheck കൂടിയാലോചിക്കുന്നില്ല DACS കോൺഫിഗറേഷൻ ഫയലുകൾ, the കോൺ നെയിംസ്പേസ് ആണ്
കുറച്ച് വേരിയബിളുകൾ ഉപയോഗിച്ച് ഉടനടി. നിലവിൽ, വിഎഫ്എസ് നിർദ്ദേശങ്ങൾ മാത്രമേ ഇതിൽ ലഭ്യമാകൂ.

ദി ആർഗ്സ് ഒരു എങ്കിൽ നെയിംസ്പേസ് തൽക്ഷണം വസ്തു ആർഗ്യുമെന്റിന് ഒരു ചോദ്യ സ്ട്രിംഗ് ഘടകമുണ്ട്.

ദി DACS കുറച്ച് സ്റ്റാൻഡേർഡ് വേരിയബിളുകൾ ഉപയോഗിച്ചാണ് നെയിംസ്പേസ് ഇൻസ്റ്റൻഷ്യേറ്റ് ചെയ്തിരിക്കുന്നത് (ഉദാ
${DACS::JURISDIction}) എന്നാൽ കമാൻഡ് ലൈനിൽ നിന്ന് വിവിധ രീതികളിൽ തൽക്ഷണം ചെയ്യാനും കഴിയും
ഫയലുകളിൽ നിന്നും.

ദി എൻവ നെയിംസ്പേസ് പരിസ്ഥിതിയിൽ നിന്ന് ഉടനടി രൂപപ്പെടുത്തിയതാണ്. വാക്യഘടനാപരമായി അസാധുവായ വേരിയബിൾ
പേരുകൾ നിശബ്ദമായി അവഗണിക്കപ്പെടുന്നു.

ഒരു വെബ് സെർവർ സാധാരണയായി സജ്ജീകരിക്കുന്ന പല വേരിയബിളുകളും തൽക്ഷണം നൽകുന്നു dacscheck അതിനെ അടിസ്ഥാനമാക്കി
വസ്തുവിന്റെ പേര്. ഈ വേരിയബിളുകൾ ലഭ്യമാണ് എൻവ ഒപ്പം DACS നെയിംസ്പേസുകൾ. ഉദാഹരണത്തിന്, എങ്കിൽ
ഒബ്ജക്റ്റ് നാമം https://example.com:8443/myapp/edit-menu?entry=item1 ആണ്, ഇനിപ്പറയുന്നവ
സൂചിപ്പിച്ചതുപോലെ വേരിയബിളുകൾ സജ്ജീകരിക്കും:

${Env::HTTPS}=ഓൺ
${Env::SERVER_NAME}=example.com
${Env::SERVER_ADDR}=142.179.101.118
${Env::HTTP_HOST}=example.com:8443
${Env::SERVER_PORT}=8443
${Env::REQUEST_URI}=/myapp/edit-menu
${Env::DOCUMENT_ROOT}=/
${Env::REQUEST_METHOD}=നേടുക
${Env::SERVER_SOFTWARE}=dacscheck-1.4.8b
${Env::QUERY_STRING}=entry=item1
${Env::ARG_COUNT}=1
${Env::CURRENT_URI}=/myapp/edit-menu?entry=item1
${Env::CURRENT_URI_NO_QUERY}=/myapp/edit-menu

എന്നതിൽ അതേ പേരിലുള്ള വേരിയബിളുകളും സജ്ജീകരിക്കും DACS നെയിംസ്‌പെയ്‌സ് കൂടാതെ എക്‌സ്‌പോർട്ട് ചെയ്‌തു
പരിസ്ഥിതി വേരിയബിളുകൾ. മൂല്യം ${Args::entry} ഇനം1 ആയിരിക്കും. അഭ്യർത്ഥന രീതി
GET ലേക്ക് സ്ഥിരസ്ഥിതികൾ. വേരിയബിൾ ${Env::REMOTE_USER} (അതിനാൽ ${DACS::REMOTE_USER} ഒപ്പം
പരിസ്ഥിതി വേരിയബിൾ REMOTE_USER) വ്യക്തമാക്കിയ ആദ്യ ഐഡന്റിറ്റിയെ അടിസ്ഥാനമാക്കി സജ്ജീകരിക്കും
കമാൻഡ് ലൈൻ; ഒരു ഐഡന്റിറ്റിയും വ്യക്തമാക്കിയിട്ടില്ലെങ്കിൽ, ഈ വേരിയബിൾ നിർവചിക്കപ്പെടില്ല.

An ഉദാഹരണം അപേക്ഷ
കഷണങ്ങൾ എങ്ങനെ ഒത്തുചേരുന്നു എന്ന് വ്യക്തമാക്കുന്നതിന്, നമുക്ക് ഒരു സാങ്കൽപ്പിക (എന്നാൽ യാഥാർത്ഥ്യമായത്) പരിഗണിക്കാം.
എന്ന കലണ്ടർ ആപ്ലിക്കേഷൻ കല എന്ന് എഴുതിയിരിക്കുന്നു പേൾ ഒരു CGI പ്രോഗ്രാമായി അഭ്യർത്ഥിച്ചു. ഞങ്ങൾ ചെയ്യും
വെബ് സെർവർ പ്രാമാണീകരിച്ച ഉപയോക്താവിനെ വായിക്കാനോ സൃഷ്‌ടിക്കാനോ അപ്‌ഡേറ്റ് ചെയ്യാനോ മാത്രം അനുവദിക്കുക
അവളുടെ സ്വന്തം കലണ്ടറുകൾ, ഒരു കലണ്ടറിന്റെ ഉടമ അവൾക്ക് ഒരു വായന നടത്താൻ അനുമതി നൽകുന്നില്ലെങ്കിൽ
അല്ലെങ്കിൽ കലണ്ടറിലെ പ്രവർത്തനം അപ്ഡേറ്റ് ചെയ്യുക. ഓരോ ഉടമയ്ക്കും ഏതൊക്കെ ഉപയോക്താക്കൾക്ക് അവളിലേക്ക് ആക്സസ് ഉണ്ടെന്ന് വ്യക്തമാക്കാൻ കഴിയും
സ്വന്തം കലണ്ടറും അനുവദനീയമായ പ്രവേശനത്തിന്റെ തരവും.

ഈ അംഗീകാര നയം വളരെ എളുപ്പത്തിൽ വ്യക്തമാക്കാവുന്നതാണ്. ഒരു സമീപനം ഉപയോഗിക്കുക എന്നതാണ്:

· ഓരോന്നിനും ഒരു സുരക്ഷാ നയം വ്യക്തമാക്കുന്നതിനുള്ള ഉത്തരവാദിത്തം ഏൽപ്പിക്കുന്ന ഒരു പ്രധാന നിയമം
ഉപയോക്താവിന്റെ കലണ്ടറുകൾ ആ ഉപയോക്താവിന്.

· ഏത് ഉപയോക്താക്കൾക്ക് ഒരു കലണ്ടർ ആക്‌സസ് ചെയ്യാമെന്നും എന്തിലാണെന്നും പറയുന്ന ഓരോ ഉപയോക്താവിനും ഓരോ കലണ്ടർ നിയമങ്ങൾ
വഴി അല്ലെങ്കിൽ വഴികൾ.

പ്രോഗ്രാമിന്റെ അഡ്മിനിസ്ട്രേറ്റർ ആപ്ലിക്കേഷന്റെ എല്ലാ റൺ-ടൈം ഫയലുകളും ശേഖരിച്ചേക്കാം
ഡയറക്‌ടറി /usr/local/cal, അതിന്റെ ഉപഡയറക്‌ടറികൾ, ഇനിപ്പറയുന്ന രീതിയിൽ ക്രമീകരിക്കുക:

/usr/local/cal/rules/{acl-rule.0,acl-rule.1,...}
അപേക്ഷയ്ക്കുള്ള പൊതു നിയമങ്ങൾ

/usr/local/cal/users/ഉപയോക്തൃനാമം
ഉടമസ്ഥതയിലുള്ള കലണ്ടറുകൾക്കുള്ള റൂട്ട് ഡയറക്ടറി ഉപയോക്തൃനാമം

/usr/local/cal/users/ഉപയോക്തൃനാമം/cal-1/data/*
ഓരോ കലണ്ടർ ഡാറ്റ ഫയലുകൾ

/usr/local/cal/users/ഉപയോക്തൃനാമം/റൂൾസ്/{acl-cal1.0,acl-cal2.0,...}
ഓരോ കലണ്ടറും DACS നിയന്ത്രണ ഫയലുകൾ ആക്സസ് ചെയ്യുക

/usr/local/cal/users/ഉപയോക്തൃനാമം/ഗ്രൂപ്പുകൾ/*
ഓരോ ഉപയോക്താവിനും DACS ഗ്രൂപ്പ് ലിസ്‌റ്റുകൾ, ഓരോ ഫയലിനും ഒന്ന്

ഈ പേരിടൽ കൺവെൻഷനുകൾ നൽകി:

ഒരു പ്രത്യേക പ്രവർത്തനം നടത്തണമോ എന്ന് പരിശോധിക്കാൻ, ആപ്ലിക്കേഷൻ വിളിക്കും
dacscheck, /usr/local/cal/rules-ൽ അത് കണ്ടെത്തുന്ന നിയമങ്ങൾ ഉപയോഗിക്കാൻ പറയുന്നു.

· ആപ്ലിക്കേഷന്റെ പൊതു നിയമങ്ങൾ ആക്സസ് നിയന്ത്രണ തീരുമാനങ്ങൾ നിയോഗിക്കും
/ഉപയോക്താക്കൾ/ പൊരുത്തപ്പെടുന്ന പേരുകളുള്ള വസ്തുക്കൾഉപയോക്തൃനാമം/* എന്നതിൽ കണ്ടെത്തിയ നിയന്ത്രണ നിയമങ്ങൾ ആക്സസ് ചെയ്യാൻ
ഡയറക്ടറി /usr/local/cal/users/ഉപയോക്തൃനാമം/നിയമങ്ങൾ. ഈ നിയമങ്ങൾ ഏത് ഉപയോക്താക്കളെ വിവരിക്കും,
എന്തെങ്കിലും ഉണ്ടെങ്കിൽ, കലണ്ടറിൽ നൽകിയിരിക്കുന്ന പ്രവർത്തനം നടത്താൻ അനുവദിക്കും.

ഫോമിന്റെ /ഉപയോക്താക്കളുടെ/ ഒബ്ജക്റ്റ് നാമങ്ങൾ ആപ്ലിക്കേഷൻ ഉപയോഗിക്കുംഉപയോക്തൃനാമം/cal-1?OP=ഓപ്പറേഷൻ
വാദങ്ങൾ പോലെ dacscheck. cal-1-ന്റെ റൂൾസെറ്റ് നൽകിയിട്ടുണ്ടോ എന്ന് നിർണ്ണയിക്കും
ഐഡന്റിറ്റി ആവശ്യപ്പെട്ടത് നടപ്പിലാക്കാൻ അനുവദിച്ചിരിക്കുന്നു ഓപ്പറേഷൻ കലണ്ടറിൽ. ഉദാഹരണത്തിന്,
ആലിസിന് (ഉടമ) മൂല്യം പരിഗണിക്കാതെ തന്നെ പ്രവേശനം അനുവദിച്ചേക്കാം OP വാദം,
OP=വായിച്ചാൽ മാത്രമേ ബോബിന് പ്രവേശനം ലഭിക്കൂ, മറ്റെല്ലാം നിരസിക്കപ്പെട്ടേക്കാം
പ്രവേശനം. പിന്നീട്, ആലീസ് ഒരു കൂട്ടം ഉപയോക്താക്കളെ നിർവചിച്ചേക്കാം, അവർ കുടുംബത്തിന് പേരിടുകയും അത് മാറ്റുകയും ചെയ്യും
ആ ഗ്രൂപ്പിലെ ഏതൊരു അംഗത്തിനും വായിക്കാനും അപ്‌ഡേറ്റ് ചെയ്യാനും ആക്‌സസ് അനുവദിക്കണം.

ഉപയോക്താക്കളുടെ ആക്സസ് നിയന്ത്രണ നിയമങ്ങൾ സ്വയം ആക്സസ് നിയന്ത്രണത്തിലായിരിക്കാം. ഒരു കമാൻഡ് ലൈൻ, GUI,
അല്ലെങ്കിൽ വെബ് ഇന്റർഫേസ് അഡ്മിനിസ്ട്രേറ്റർക്കും ഉപയോക്താക്കൾക്കും നിയമങ്ങൾ കൈകാര്യം ചെയ്യാനുള്ള കഴിവ് നൽകും.

കാണുക ഉദാഹരണങ്ങൾ[32] ഉദാഹരണത്തിന് നിയമങ്ങൾക്കുള്ള വിഭാഗം.

ഇത് ഒരു തരത്തിലും കലണ്ടറുകൾ സംഘടിപ്പിക്കുന്നതിനുള്ള ഒരേയൊരു മാർഗ്ഗമല്ല, ഒരു ഡെലിഗേഷൻ അടിസ്ഥാനമാക്കിയുള്ളതാണ്
സമീപനം ആവശ്യമില്ല. അഡ്‌മിനിസ്‌ട്രേറ്റർ എല്ലാ നിയമങ്ങളും a ന് കീഴിൽ ഉൾപ്പെടുത്തിയേക്കാം
പൊതു ഡയറക്ടറി, /usr/local/cal/rules/acl- പോലെഉപയോക്തൃനാമം.0/{acl-cal1.0,acl-cal2.0,...}, അല്ലെങ്കിൽ
അവർ നിയന്ത്രിക്കുന്ന കലണ്ടറിലേക്ക് അവരെ അടുപ്പിക്കുക
/usr/local/cal/users/ഉപയോക്തൃനാമം/cal-1/acl-cal1.0.

ഒരു ഓപ്പറേഷൻ അനുവദനീയമാണോ എന്ന് പരിശോധിക്കുന്നതിനുപകരം, a റിട്ടേൺ ചെയ്യാൻ നിയമങ്ങൾ എഴുതാം
ഏത് തരത്തിലുള്ള (അല്ലെങ്കിൽ തരങ്ങൾ) ആക്‌സസ്സ് അനുവദനീയമാണെന്ന് വിളിക്കുന്നയാളോട് പറയുന്ന നിയന്ത്രണ സ്ട്രിംഗ്. ദി
പ്രോഗ്രാമിന്റെ ഔട്ട്‌പുട്ട് ലൈനിൽ ഉദ്ധരണികൾക്കുള്ളിലെ കൺസ്ട്രൈന്റ് സ്ട്രിംഗ് ഉൾപ്പെടും.

താരതമ്യം ചെയ്യുന്നു dacscheck കൂടെ dacs_acs
dacs_acs(8)[8] ആണ് DACS എന്ന ഘടകം അപ്പാച്ചെ (നാൽ DACS
mod_auth_dacs[25] മൊഡ്യൂൾ, യഥാർത്ഥത്തിൽ) വെബ് സേവനത്തിൽ ആക്സസ് കൺട്രോൾ പ്രോസസ്സിംഗ് നടത്താൻ
അഭ്യർത്ഥിക്കുന്നു. അതിന്റെ പ്രവർത്തനം സാധാരണയായി വെബ് സേവനങ്ങൾക്ക് അദൃശ്യമാണ്; dacs_acs അതിന്റെ എല്ലാം ചെയ്യുന്നു
ഒരു വെബ് സേവനം നടപ്പിലാക്കുന്നതിന് മുമ്പോ ഒരു വെബ് പേജ് തിരികെ നൽകുന്നതിന് മുമ്പോ പ്രവർത്തിക്കുക.

dacscheck എന്നതിന് സമാനമായ ഒരു പ്രവർത്തനം നിർവ്വഹിക്കുന്നു -ചെക്ക്_മാത്രം പ്രവർത്തന രീതി dacs_acs in
അത് കേവലം ഒരു ആക്സസ് കൺട്രോൾ തീരുമാനം നൽകുന്നു. തമ്മിൽ പ്രധാനപ്പെട്ട വ്യത്യാസങ്ങളുണ്ട്
എന്നിരുന്നാലും, രണ്ട് പ്രോഗ്രാമുകൾ.

dacscheck:

· ഒരു CGI പ്രോഗ്രാമല്ല (ഇത് ഒന്നിൽ നിന്ന് വിളിക്കാമെങ്കിലും);

· ആവശ്യമില്ല mod_auth_dacs[25];

· ഒന്നും ഉപയോഗിക്കുന്നില്ല DACS കോൺഫിഗറേഷൻ ഫയലുകൾ;

· ഒരു വെബ് സെർവറുമായോ മറ്റെന്തെങ്കിലുമോ നേരിട്ട് സംവദിക്കുന്നില്ല DACS പ്രോഗ്രാമുകൾ; ഒപ്പം

· പ്രിവിലേജ് ലെവലിനെക്കാൾ ഉപയോക്താക്കൾ അത് അഭ്യർത്ഥിക്കുന്ന പ്രിവിലേജ് തലത്തിലാണ് പ്രവർത്തിക്കുന്നത്
അപ്പാച്ചെ.

അതേസമയം dacscheck സാധാരണ ഉപയോഗിക്കുന്നു DACS പ്രവേശന നിയന്ത്രണ നിയമങ്ങൾ (dacs.acls(5)[7]), മിക്കവരിൽ നിന്നും വ്യത്യസ്തമായി
DACS ആജ്ഞാപിക്കുന്നു, അത് ആരോടും കൂടിയാലോചിക്കുന്നില്ല DACS കോൺഫിഗറേഷൻ ഫയലുകൾ. മൂല്യനിർണ്ണയ അന്തരീക്ഷം
പ്രവേശന നിയന്ത്രണ നിയമങ്ങൾ ആണ് സമാനമായ വെബ് സർവീസ് ടെസ്റ്റിംഗിലേക്ക്, പക്ഷേ അങ്ങനെയല്ല
ചിത്രത്തിൽ ഒരു വെബ് സെർവർ ആവശ്യമില്ലാത്തതിനാൽ സമാനമാണ്. ആട്രിബ്യൂട്ടുകൾക്ക് പുറമെ
നിയന്ത്രണങ്ങളുമായി ബന്ധപ്പെട്ട, pass_credentials പോലുള്ള ആട്രിബ്യൂട്ടുകൾക്ക് അർത്ഥമില്ല dacscheck.

ഉപയോഗവും കോൺഫിഗറേഷനും DACS by dacscheck യാഥാർത്ഥ്യമില്ലാത്തതിനാൽ വളരെ ലളിതമാക്കിയിരിക്കുന്നു
ഫെഡറേഷൻ അല്ലെങ്കിൽ അധികാരപരിധി നിർവചിച്ചിരിക്കുന്നു; പൂർണ്ണമായും സ്വയം ഉൾക്കൊള്ളുന്ന പരിസ്ഥിതിയാണ്
ഒരു പ്രോഗ്രാമിന് അല്ലെങ്കിൽ അനുബന്ധ പ്രോഗ്രാമുകളുടെ ഒരു കൂട്ടത്തിന് രണ്ടും നിർവഹിക്കാൻ കഴിയുന്ന തരത്തിൽ സൃഷ്ടിച്ചു
കോഴ്‌സ്-ഗ്രെയ്‌ൻഡ്, ഫൈൻ-ഗ്രെയിൻഡ് ആക്‌സസ് കൺട്രോൾ ടെസ്റ്റുകൾ. ഫെഡറേഷനോ അധികാരപരിധിയോ ഇല്ല
ക്രിപ്‌റ്റോഗ്രാഫിക് കീകൾ ഉപയോഗിക്കുന്നു, യഥാർത്ഥമല്ല DACS ക്രെഡൻഷ്യലുകൾ സൃഷ്ടിക്കപ്പെടുന്നു. ഫെഡറേഷനും
അധികാരപരിധിയുടെ പേരുകൾ ഉടനടിയുള്ളതാണ്, എന്നാൽ നിയമങ്ങൾ എഴുതുന്നവർക്ക് പലപ്പോഴും അത് ആവശ്യമില്ല
അവരെ കുറിച്ച് ബോധവാന്മാരാണ്.

ഓപ്ഷനുകൾ

ആർഗ്യുമെന്റുകൾ പരിശോധിച്ച് (ഇടത്തുനിന്നും വലത്തോട്ടും) അവയുടെ ക്രമം ക്രമപ്പെടുത്തുന്നതിനനുസരിച്ച് പ്രോസസ്സ് ചെയ്യുന്നു
കാര്യമായ; ഉദാഹരണത്തിന്, സ്ഥാപിച്ച മൂല്യങ്ങൾ -fh ഫ്ലാഗ് ഓപ്ഷനുകളെ ബാധിച്ചേക്കാം
സ്ട്രിംഗ് ഇന്റർപോളേഷൻ ഉപയോഗിക്കുന്നവ പോലെ അത് പിന്തുടരുക. കൃത്യമായി ഒന്ന് വസ്തു എന്നതാണ് വാദം
ആവശ്യമാണ്.

-അഡ്മിൻ
കമാൻഡ് ലൈനിൽ പിന്തുടരുന്ന എല്ലാ ഐഡന്റിറ്റികളും DACS തൃപ്തിപ്പെടുത്തുന്ന ഐഡന്റിറ്റികൾ
dacs_admin() പ്രവർത്തനം. ADMIN_IDENTITY കോൺഫിഗറേഷൻ നിർദ്ദേശം കാണുക
dacs.conf(5)[33] ഐഡന്റിറ്റികൾക്കുള്ള "a" ആട്രിബ്യൂട്ടും.

-ആപ്പ് appname
സ്ഥിരസ്ഥിതി പാതകൾ നിർമ്മിക്കാൻ ഉപയോഗിക്കേണ്ട ഒരു ആപ്ലിക്കേഷന്റെ പേര് വ്യക്തമാക്കുക (കാണുക -നിയമങ്ങൾ ഒപ്പം
- ഗ്രൂപ്പുകൾ പതാകകൾ).

- സന്ദർഭം ഫയല്
എന്നതിനായുള്ള വേരിയബിൾ നിർവചനങ്ങൾ DACS നെയിംസ്‌പെയ്‌സ് ഫോർമാറ്റിൽ ഒരു വരിയിൽ ഒന്ന് വായിക്കുന്നു
പേര്=മൂല്യം (ചുറ്റും ഓപ്ഷണൽ ഉദ്ധരണികളോടെ മൂല്യം). എസ് പേര് വാക്യഘടനയിലായിരിക്കണം
സാധുവായ. എങ്കിൽ ഫയല് is -, സ്റ്റാൻഡേർഡ് ഇൻപുട്ട് വായിച്ചു. ഉദാഹരണത്തിന്, എങ്കിൽ ഫയല് രണ്ടും ഉൾക്കൊള്ളുന്നു
ലൈനുകൾ:

FOO=ഒന്ന്
BAZ=രണ്ട്

തുടർന്ന് പ്രവേശന നിയന്ത്രണ നിയമങ്ങൾക്കുള്ളിൽ ${DACS::FOO} "ഒന്ന്" എന്ന മൂല്യം ഉണ്ടായിരിക്കും
${DACS::BAZ} "രണ്ട്" എന്ന മൂല്യം ഉണ്ടായിരിക്കും. ഈ പതാക ആവർത്തിക്കാം, എന്നിരുന്നാലും
സാധാരണ ഇൻപുട്ട് ഒരിക്കൽ മാത്രമേ വായിക്കാൻ കഴിയൂ.

-Dപേര്=മൂല്യം
ഇതിന് തുല്യമാണ് -var പേര്=മൂല്യം.

-ഡമ്പ്
എല്ലാ സമാരംഭങ്ങളും നടത്തുക, മൂല്യനിർണ്ണയ സന്ദർഭം പ്രദർശിപ്പിക്കുക, തുടർന്ന് പുറത്തുകടക്കുക.

-F ഫീൽഡ്_സെപ്
റോളുകൾ നോക്കുമ്പോൾ, കഥാപാത്രം ഉപയോഗിക്കുക ഫീൽഡ്_സെപ് ഫീൽഡ് സെപ്പറേറ്റർ കഥാപാത്രമായി
സ്ഥിരസ്ഥിതിക്ക് പകരം. വിശദാംശങ്ങൾക്ക്, VFS നിർദ്ദേശത്തിന്റെ വിവരണം കാണുക
dacs.conf(5)[34].

കുറിപ്പ്
കഥാപാത്രത്തിന്റെ ആദ്യ സംഭവം (ഇടത്തുനിന്ന് വലത്തോട്ട്) മാത്രമാണെന്ന കാര്യം ശ്രദ്ധിക്കുക
സെപ്പറേറ്റർ പ്രതീകമായി കണക്കാക്കുന്നു.

-fd ഡൊമെയ്ൻ
ഉപയോഗം ഡൊമെയ്ൻ ഫെഡറേഷന്റെ ഡൊമെയ്ൻ നാമമായി. ഇത് വാക്യഘടനാപരമായി സാധുതയുള്ളതായിരിക്കണം.

-fh ഹോസ്റ്റ്നാമം
ഉപയോഗം ഹോസ്റ്റ്നാമം, സിസ്റ്റത്തിന്റെ ഹോസ്റ്റ്നാമമായും ഉരുത്തിരിഞ്ഞുമുള്ള പൂർണ്ണ യോഗ്യതയുള്ള ഡൊമെയ്ൻ നാമം
ഫെഡറേഷന്റെയും അധികാരപരിധിയുടെയും പേരുകൾ. ഇത് വാക്യഘടനാപരമായി സാധുതയുള്ളതായിരിക്കണം.

-fj പേര്
ഉപയോഗം പേര് അധികാരപരിധിയുടെ പേരായി. ഇത് വാക്യഘടനാപരമായി സാധുതയുള്ളതായിരിക്കണം.

-fn ഫെഡ്നാമം
ഉപയോഗം ഫെഡ്നാമം ഫെഡറേഷന്റെ പേരായി. ഇത് വാക്യഘടനാപരമായി സാധുതയുള്ളതായിരിക്കണം.

- ഗ്രൂപ്പുകൾ ഗ്രൂപ്പ്_വിഎഫ്എസ്
സ്ഥിരസ്ഥിതിയായി, dacscheck കണ്ടെത്തുമെന്ന് പ്രതീക്ഷിക്കുന്നു DACS ഡയറക്‌ടറിയിൽ വേരൂന്നിയ ഗ്രൂപ്പ് നിർവചനങ്ങൾ
DACS_HOME-മായി ബന്ധപ്പെട്ട dacscheck/groups (ഉദാ: /usr/local/dacs/dacscheck/groups), അല്ലെങ്കിൽ എങ്കിൽ
-ആപ്പ് appname നൽകിയിരിക്കുന്നത്, dacscheck/ എന്ന ഡയറക്ടറിയിൽ വേരൂന്നിയതാണ്appname/ ബന്ധപ്പെട്ട ഗ്രൂപ്പുകൾ
DACS_HOME (ഉദാ, /usr/local/dacs/dacscheck/myapp/groups) ഈ ഫ്ലാഗ് ഒരു വ്യക്തമാക്കുന്നു
വ്യത്യസ്ത സ്ഥാനം. ഇത് ഒരു സമ്പൂർണ്ണ പാത്ത് നെയിം ആകാം (അത് സ്ട്രിംഗ് ഇന്റർപോളേറ്റഡ് ആയിരിക്കും
- കാണുക dacs.conf(5)[35]) അല്ലെങ്കിൽ വാക്യഘടനയിലെ ഒരു URI വി.എഫ്.എസ്[34] കോൺഫിഗറേഷൻ നിർദ്ദേശം.
ഉദാഹരണങ്ങൾ:

-ഗ്രൂപ്പുകൾ "[ഗ്രൂപ്പുകൾ]dacs-fs:/local/groups"
-ഗ്രൂപ്പുകൾ /ഹോം/ബോബ്/മൈഗ്രൂപ്പുകൾ

സ്ഥിരസ്ഥിതിയായി, %FOO:ആളുകൾ എന്ന ഗ്രൂപ്പിലേക്കുള്ള ഒരു റഫറൻസ് പേരുള്ള ഒരു ഫയലിലേക്ക് മാപ്പ് ചെയ്യപ്പെടും
FOO എന്ന ഡയറക്‌ടറിക്കുള്ളിലെ people.grp എന്നതുമായി ബന്ധപ്പെട്ട് DACS ഗ്രൂപ്പ് ഡയറക്ടറി.

-h
ഉപയോഗ ബ്ലർബ് പ്രിന്റ് ചെയ്യുന്നു.

-i ഐഡന്റിറ്റി
നൽകിയിരിക്കുന്ന ഐഡന്റിറ്റി പരിശോധിക്കുമ്പോൾ പ്രാബല്യത്തിൽ വരുന്ന ഐഡന്റിറ്റികളുടെ സെറ്റിലേക്ക് ചേർക്കുന്നു. ഈ
ഐഡന്റിറ്റിക്ക് സിസ്റ്റത്തിൽ ഒരു അക്കൗണ്ട് ഉണ്ടായിരിക്കണമെന്നില്ല. എങ്കിൽ ഐഡന്റിറ്റി ശൂന്യമാണ്
സ്ട്രിംഗ്, എന്നിരുന്നാലും, പതാകയ്ക്ക് യാതൊരു ഫലവുമില്ല; പതാകയായിരിക്കുമ്പോൾ ഇത് സൗകര്യപ്രദമാണ്
പോലെ ഉപയോഗിച്ചു -i ${Env::REMOTE_USER:-""}, ഉദാഹരണത്തിന്, എവിടെ REMOTE_USER ഇല്ലായിരിക്കാം
സജ്ജമാക്കുക.

-icgi
പരിസ്ഥിതി വേരിയബിൾ ആണെങ്കിൽ REMOTE_USER ഒരു സാധുവായ ലളിതമായ പേരിലേക്ക് സജ്ജീകരിച്ചിരിക്കുന്നു അല്ലെങ്കിൽ DACS
ഐഡന്റിറ്റി, ഇത് പരിശോധിക്കുമ്പോൾ പ്രാബല്യത്തിൽ വരുന്ന ഐഡന്റിറ്റികളുടെ സെറ്റിലേക്ക് ചേർക്കുന്നു. എങ്കിൽ
വേരിയബിൾ സജ്ജമാക്കിയിട്ടില്ല അല്ലെങ്കിൽ അസാധുവാണ്, ഈ ഫ്ലാഗിന് യാതൊരു ഫലവുമില്ല.

-icgig
അത് പോലെ -icgi ഫ്ലാഗ്, ഉപയോക്തൃനാമവുമായി ബന്ധപ്പെട്ട ഏതെങ്കിലും റോളുകൾ ഒഴികെ ചേർക്കപ്പെടും.

-അവൻ ഐഡന്റിറ്റി
നൽകിയിരിക്കുന്ന ഐഡന്റിറ്റി "ലോക്കൽ" ആണ് കൂടാതെ സിസ്റ്റത്തിലെ ഒരു അക്കൗണ്ടുമായി പൊരുത്തപ്പെടണം; എങ്കിൽ
- ഗ്രൂപ്പുകൾ ഫ്ലാഗ് പ്രാബല്യത്തിൽ ഉണ്ട്, അക്കൗണ്ടിന്റെ ഗ്രൂപ്പ് അംഗത്വം റോളുകളായി ചേർക്കും
ഐഡന്റിറ്റി.

-ഇൽജി ഐഡന്റിറ്റി
അത് പോലെ -ഇൽജി ഫ്ലാഗ്, അക്കൗണ്ടിന്റെ ഗ്രൂപ്പ് അംഗത്വം ഒഴികെയുള്ള റോളുകളായി ചേർക്കും
ഐഡന്റിറ്റി എന്നത് പരിഗണിക്കാതെ തന്നെ - ഗ്രൂപ്പുകൾ പതാക പ്രാബല്യത്തിൽ ഉണ്ട്.

-ieuid
പ്രോഗ്രാമിന്റെ ഫലപ്രദമായ uid ഐഡന്റിറ്റികളുടെ സെറ്റിലേക്ക് ചേർത്തിരിക്കുന്നു. എങ്കിൽ - ഗ്രൂപ്പുകൾ
ഫ്ലാഗ് പ്രാബല്യത്തിൽ ഉണ്ട്, അക്കൗണ്ടിന്റെ ഗ്രൂപ്പ് അംഗത്വം റോളുകളായി ചേർക്കും ഐഡന്റിറ്റി.

-ieuidg
പ്രോഗ്രാമിന്റെ ഫലപ്രദമായ uid ഐഡന്റിറ്റികളുടെ സെറ്റിലേക്ക് ചേർത്തിരിക്കുന്നു. അക്കൗണ്ടിന്റെ
ഗ്രൂപ്പിലെ അംഗത്വം റോളുകളായി ചേർക്കും ഐഡന്റിറ്റി എന്നത് പരിഗണിക്കാതെ തന്നെ - ഗ്രൂപ്പുകൾ
പതാക പ്രാബല്യത്തിൽ ഉണ്ട്.

-iuid
പ്രോഗ്രാമിന്റെ യഥാർത്ഥ യുഐഡി ഐഡന്റിറ്റികളുടെ സെറ്റിലേക്ക് ചേർത്തിരിക്കുന്നു. എങ്കിൽ - ഗ്രൂപ്പുകൾ പതാക ആണ്
ഫലത്തിൽ, അക്കൗണ്ടിന്റെ ഗ്രൂപ്പ് അംഗത്വം റോളുകളായി ചേർക്കും ഐഡന്റിറ്റി.

-iuidg
പ്രോഗ്രാമിന്റെ യഥാർത്ഥ യുഐഡി ഐഡന്റിറ്റികളുടെ സെറ്റിലേക്ക് ചേർത്തിരിക്കുന്നു. അക്കൗണ്ടിന്റെ ഗ്രൂപ്പ്
അംഗത്വം റോളുകളായി ചേർക്കും ഐഡന്റിറ്റി എന്നത് പരിഗണിക്കാതെ തന്നെ - ഗ്രൂപ്പുകൾ പതാക ആണ്
ഫലത്തിൽ.

-എൽജി
കമാൻഡ് ലൈനിൽ പിന്തുടരുന്ന ഓരോ പ്രാദേശിക ഐഡന്റിറ്റിക്കും, അതിന്റെ Unix ഗ്രൂപ്പ് ഉപയോഗിക്കുക
ഐഡന്റിറ്റിയുടെ റോളുകളിലേക്കുള്ള അംഗത്വം.

-ll ലോഗ്_ലെവൽ
ഡീബഗ്ഗിംഗ് ഔട്ട്പുട്ട് ലെവൽ ഇതിലേക്ക് സജ്ജമാക്കുക ലോഗ്_ലെവൽ (കാണുക ഡാക്സ്(1)[23]). ഡിഫോൾട്ട് ലെവൽ ആണ്
മുന്നറിയിപ്പ്, ഒപ്പം -v ഫ്ലാഗ് ഡീബഗ് ചെയ്യാനോ കണ്ടെത്താനോ ലെവൽ ബമ്പ് ചെയ്യുന്നു.

-name_compare രീതി
കൃത്യമായി പോലെ NAME_COMPARE[36] ഡയറക്റ്റീവ്, താരതമ്യം ചെയ്യാൻ ഉപയോഗിക്കുന്ന ഡിഫോൾട്ട് രീതി സജ്ജമാക്കുക
വിവിധ സന്ദർഭങ്ങളിൽ DACS പേരുകൾ രീതി, അത് (കേസ്-ഇൻസെൻസിറ്റീവ് ആയി) ആയിരിക്കാം,
nocase, അല്ലെങ്കിൽ സ്ഥിരസ്ഥിതി.

-q
പിശക് സന്ദേശങ്ങൾ ഒഴികെ നിശബ്ദത പാലിക്കുക; ഫലം stdout-ലേക്ക് അച്ചടിക്കില്ല. ദി -v
ഒപ്പം -ll പതാകകൾ ഇതിൽ നിന്ന് സ്വതന്ത്രമാണ്.

- തിരിച്ചുവിടുക
ആക്സസ് നിരസിക്കുകയും ബാധകമായ നിയമം വിളിക്കുകയും ചെയ്താൽ തിരിച്ചുവിടൽ()[37] കൂടെ
BY_SIMPLE_REDIRECT ആർഗ്യുമെന്റ്, തുടർന്ന് നിർദ്ദിഷ്ട URL stdout-ലേക്ക് പ്രിന്റ് ചെയ്യുന്നു. ഈ പതാക
പ്രാപ്തമാക്കുന്നു -q ഫ്ലാഗ്.

- വേഷങ്ങൾ റോളുകൾ_വിഎഫ്എസ്
കമാൻഡ് ലൈനിൽ പിന്തുടരുന്ന ഓരോ ഐഡന്റിറ്റിക്കുമുള്ള റോളുകൾ ഉപയോഗിച്ച് നോക്കും
റോളുകൾ_വിഎഫ്എസ്. ഇത് ഒരു കേവല പാത്ത് നെയിം ആകാം (ഇത് സ്ട്രിംഗ് ഇന്റർപോളേറ്റഡ് ആയിരിക്കും - കാണുക
dacs.conf(5)[35]) അല്ലെങ്കിൽ വാക്യഘടനയിലെ ഒരു URI വി.എഫ്.എസ്[34] കോൺഫിഗറേഷൻ നിർദ്ദേശം. എങ്കിൽ
ഏതെങ്കിലും റോളുകൾ കണ്ടെത്തി, അവ ഉപയോക്താവിനായി വ്യക്തമാക്കിയ മറ്റേതെങ്കിലും റോളുകളിലേക്കും ചേർക്കും
(വ്യക്തമായി ലിസ്റ്റ് ചെയ്തതോ Unix ഗ്രൂപ്പ് അംഗത്വത്തിൽ നിന്ന് ലഭിച്ചതോ ആകട്ടെ). ഉദാഹരണത്തിന്, എങ്കിൽ
/usr/local/myapp/roles അടങ്ങിയിരിക്കുന്നു:

bobo:ഉപയോക്താക്കൾ
auggie:അഡ്മിൻ, ഉപയോക്താക്കൾ
ഹാർലി:അതിഥി

തുടർന്ന് കമാൻഡ് ലൈൻ:

% dacscheck -roles /usr/local/myapp/roles -i auggie /myapp/admin

{u="auggie",g="admin,users"} എന്ന ഐഡന്റിറ്റിയുടെ ആക്‌സസ് പരിശോധിക്കും.

-നിയമങ്ങൾ റൂൾ_വിഎഫ്എസ്
സ്ഥിരസ്ഥിതിയായി, dacscheck dacscheck/acls എന്ന ഡയറക്ടറിയിൽ വേരൂന്നിയ ഒരു റൂൾസെറ്റ് ഉപയോഗിക്കുമെന്ന് പ്രതീക്ഷിക്കുന്നു
DACS_HOME-ന് ആപേക്ഷികം (ഉദാ, /usr/local/dacs/dacscheck/acls), അല്ലെങ്കിൽ ഫ്ലാഗ് ആണെങ്കിൽ -ആപ്പ്
appname നൽകിയിരിക്കുന്നത്, dacscheck/ എന്ന ഡയറക്ടറിയിൽ വേരൂന്നിയതാണ്appnameDACS_HOME എന്നതുമായി ബന്ധപ്പെട്ട /acls
(ഉദാ, /usr/local/dacs/dacscheck/myapp/acls). ഈ ഫ്ലാഗ് മറ്റൊരു റൂൾസെറ്റ് വ്യക്തമാക്കുന്നു
ഉപയോഗിക്കേണ്ടത്. ഇത് ഒരു കേവല പാത്ത് നെയിം ആകാം (ഇത് സ്ട്രിംഗ് ഇന്റർപോളേറ്റഡ് ആയിരിക്കും - കാണുക
dacs.conf(5)[35]) അല്ലെങ്കിൽ വാക്യഘടനയിലെ ഒരു URI വി.എഫ്.എസ്[34] കോൺഫിഗറേഷൻ നിർദ്ദേശം.
ഉദാഹരണങ്ങൾ:

-റൂളുകൾ "[acls1]dacs-fs:/local/acls"
-റൂൾസ് /usr/local/myrules

ഈ പതാക ആവർത്തിക്കാം; നിയമങ്ങൾ അവ ഏത് ക്രമത്തിലാണ് പരിശോധിക്കുന്നത്
കമാൻഡ് ലൈനിൽ വ്യക്തമാക്കിയിരിക്കുന്നു.

-v
ഡീബഗ്ഗിംഗ് ഔട്ട്പുട്ടിന്റെ ലെവൽ വർദ്ധിപ്പിക്കുക. പതാക ആവർത്തിക്കാം.

-var പേര്=മൂല്യം
അത് പോലെ - സന്ദർഭം ഫ്ലാഗ്, ഇത് ഒരു വേരിയബിൾ നിർവചനം ചേർക്കുന്നു DACS നെയിംസ്പേസ്. ദി
വേരിയബിൾ DACS:: പേര് സ്ട്രിംഗ് അസൈൻ ചെയ്യും മൂല്യം. ദി പേര് വാക്യഘടനയിലായിരിക്കണം
സാധുവായ. ഈ പതാക ആവർത്തിക്കാം.

-വിഎഫ്എസ് vfs_uri
ചേർക്കുക vfs_uri പോലെ വി.എഫ്.എസ്[34] കോൺഫിഗറേഷൻ നിർദ്ദേശം. കൂടെ ഈ പതാക ആവർത്തിക്കാം
മുമ്പത്തേതിനേക്കാൾ ഉയർന്ന "മുൻഗണന" ഉള്ള പിന്നീടുള്ള സംഭവങ്ങൾ (അത് പോലെ തന്നെ
പിന്നീട് dacs.conf-ൽ പ്രത്യക്ഷപ്പെട്ടു; കാണുക dacs.conf(5)[33]).

--
ഇത് പതാക വാദങ്ങളുടെ അവസാനത്തെ അടയാളപ്പെടുത്തുന്നു.

ഉദാഹരണങ്ങൾ

എങ്ങനെയെന്ന് വ്യക്തമാക്കാൻ dacscheck യഥാർത്ഥ ആപ്ലിക്കേഷനുകൾക്കൊപ്പം ഉപയോഗിക്കാം, ചില ഉദാഹരണങ്ങൾ ഇതാ.
ആദ്യത്തെ കുറച്ച് മുമ്പ് വിവരിച്ച സാങ്കൽപ്പിക കലണ്ടർ പ്രയോഗത്തിൽ തുടരുന്നു.

1. ഫയൽ /usr/local/cal/rules/acl-rule.0 ഇതുപോലെ കാണപ്പെടാം:



<delegate url_pattern="/users/alice/*"
rule_uri="/usr/local/cal/users/alice/rules/>
<delegate url_pattern="/users/bob/*"
rule_uri="/usr/local/cal/users/bob/rules/>





ഉപയോക്താവ് ("ഓഥ്")




ഈ നിയമം ഒരു പ്രത്യേക ഉപയോക്താവിന്റെ കലണ്ടറിനായുള്ള അഭ്യർത്ഥനകളെ ആ ഉപയോക്താവിന്റെ ആക്‌സസിലേക്ക് റീഡയറക്‌ട് ചെയ്യുന്നു
നിയന്ത്രണ നിയമങ്ങൾ. ആപ്ലിക്കേഷന്റെ ബൈനറികളിലേക്കുള്ള പ്രവേശനം പരിമിതപ്പെടുത്തിയിട്ടുണ്ടെന്നും ഇത് പറയുന്നു
അംഗീകൃത ഉപയോക്താക്കൾ. ആപ്ലിക്കേഷൻ ഇതുപോലുള്ള ഒരു കമാൻഡ് നൽകിയേക്കാം:

% dacscheck -i $REMOTE_USER -rules /usr/local/cal/rules വസ്തു

എങ്കിൽ 0 എന്ന എക്സിറ്റ് സ്റ്റാറ്റസ് നൽകും REMOTE_USER എന്നതിലേക്ക് പ്രവേശനം അനുവദിച്ചിരിക്കുന്നു വസ്തു;
അല്ലെങ്കിൽ 1 എന്ന എക്സിറ്റ് സ്റ്റാറ്റസ് തിരികെ നൽകും. കമാൻഡ് ഉപയോഗിക്കുന്നതാണ് മികച്ച തിരഞ്ഞെടുപ്പ്:

% dacscheck -icgi -rules /usr/local/cal/rules വസ്തു

എങ്കിൽ അത് ഉപയോക്താവിനെ ആധികാരികതയില്ലാത്തതാക്കും REMOTE_USER സജ്ജീകരിച്ചിട്ടില്ല അല്ലെങ്കിൽ അസാധുവാണ്.

2. /usr/local/cal/users/alice/rules/acl-cal1.0 എന്ന ഫയലിൽ ഉപയോക്താവിനുള്ള നിയമം അടങ്ങിയിരിക്കുന്നു
ആലീസിന്റെ "കലണ്ടർ 1" ഇതുപോലെയായിരിക്കാം:








ഉപയോക്താവ്(":ആലിസ്")


മടക്കം(1)





${Args::OP} eq "വായിക്കുക"


ഉപയോക്താവ്(":ബോബ്")





ആലീസിന് കലണ്ടറിലേക്ക് പൂർണ്ണ ആക്സസ് അനുവദിച്ചിട്ടുണ്ടെന്ന് ഈ നിയമം പറയുന്നു (ഇല്ല
പ്രവർത്തനത്തിനുള്ള നിയന്ത്രണം), എന്നാൽ ബോബിന് റീഡ് ആക്‌സസ് മാത്രമേയുള്ളൂ. dacscheck ഉണ്ടാകും
/users/alice/cal-1?OP=സൃഷ്ടിക്കുക, /users/alice/cal-1?OP=update, അല്ലെങ്കിൽ
/users/alice/cal-1?OP=ഒരു സൃഷ്‌ടിക്കുന്നതിനും അപ്‌ഡേറ്റ് ചെയ്യുന്നതിനും അല്ലെങ്കിൽ നടത്തുന്നതിനുമുള്ള അംഗീകാരം പരിശോധിക്കാൻ വായിക്കുക
യഥാക്രമം കലണ്ടറിലെ പ്രവർത്തനം വായിക്കുക.

3. ആലീസ് നിർവ്വചിച്ചാൽ a DACS അവൾ കുടുംബത്തെ വിളിക്കുകയും ജൂലിയ എന്നും പേരുകൾ ചേർക്കുകയും ചെയ്യുന്ന ഗ്രൂപ്പ്
ആ ഗ്രൂപ്പിലേക്ക് auggie, ഇനിപ്പറയുന്നവ ചേർത്തുകൊണ്ട് അവൾ മുകളിലെ നിയമം പരിഷ്കരിച്ചേക്കാം:



${Args::OP} eq "വായിക്കുക"
അല്ലെങ്കിൽ ${Args::OP} eq "update"


ഉപയോക്താവ്("%:ആലിസ്-കുടുംബം")



ആലിസ്-കുടുംബത്തിലെ ഏതൊരു അംഗത്തിനും വായിക്കാനും അപ്‌ഡേറ്റ് ചെയ്യാനും അനുവാദമുണ്ടെന്ന് ഈ നിയമം പറയുന്നു
ഈ കലണ്ടറിലേക്കുള്ള പ്രവേശനം. കമാൻഡ്:

% dacscheck -i julia /users/alice/cal-1?OP=update

പ്രവേശനം അനുവദിച്ചതായി റിപ്പോർട്ട് ചെയ്യും.

4. ആലീസ്-ഫാമിലി എന്ന ആലീസിന്റെ ഗ്രൂപ്പിന്റെ അംഗത്വം ഫയലിൽ വ്യക്തമാക്കിയേക്കാം
/usr/local/cal/users/alice/groups/family








ഉപയോക്താവ്(":ആലിസ്")


മടക്കം(1)




ഈ ഗ്രൂപ്പിന്റെ അംഗത്വം നിയന്ത്രിക്കാൻ ആലീസിനെ മാത്രമേ ഈ നിയമം അനുവദിക്കൂ, പക്ഷേ അവൾ സ്വതന്ത്രയാണ്
അവളുടെ ഗ്രൂപ്പുകൾ നിയന്ത്രിക്കാൻ മറ്റുള്ളവരെ അനുവദിക്കുന്നതിന് നിയമം പരിഷ്ക്കരിക്കുക.

5. ഈ ആപ്ലിക്കേഷന്റെ അവസാന ഉദാഹരണമെന്ന നിലയിൽ, ആലീസിന്റെ നിയമങ്ങളും ആക്‌സസിന് കീഴിലായിരിക്കാം
നിയന്ത്രണം:








ഉപയോക്താവ്(":ആലിസ്")


മടക്കം(1)




ഈ ഗ്രൂപ്പിന്റെ അംഗത്വം നിയന്ത്രിക്കാൻ ആലീസിനെ മാത്രമേ ഈ നിയമം അനുവദിക്കൂ, പക്ഷേ അവൾ സ്വതന്ത്രയാണ്
അവളുടെ ഗ്രൂപ്പുകൾ നിയന്ത്രിക്കാൻ മറ്റുള്ളവരെ അനുവദിക്കുന്നതിന് നിയമം പരിഷ്ക്കരിക്കുക.

6. പേളിൽ എഴുതിയ ഒരു ജനപ്രിയ ഓപ്പൺ സോഴ്‌സ് വെബ് ലോഗ് അനലൈസർ പ്രോഗ്രാം, ഒരു
CGI പ്രോഗ്രാം. പ്രോഗ്രാമിൽ ആക്സസ് നിയന്ത്രിക്കാൻ കഴിയുന്ന സുരക്ഷാ വ്യവസ്ഥകൾ ഉൾപ്പെടുന്നു
ഉപയോക്തൃനാമം പ്രകാരം വെബ് സെർവർ പ്രാമാണീകരിച്ച ഏതൊരു ഉപയോക്താവിനും (ഉപയോഗിക്കുന്നത് REMOTE_USER, as
വെബ് സെർവർ കയറ്റുമതി ചെയ്‌തത്), അല്ലെങ്കിൽ ഉപയോക്താവിന്റെ IP വിലാസത്തെ അടിസ്ഥാനമാക്കി (ഉപയോഗിക്കുന്നത് REMOTE_ADDR).
നടപ്പിലാക്കുന്ന കോഡിന്റെ ഏകദേശം 40 വരികൾ (കൂടാതെ തരംതിരിച്ച ഇനീഷ്യലൈസേഷനുകൾ).
ഈ സുരക്ഷാ നയം അടിസ്ഥാനപരമായി കുറച്ച് കോഡുകളാൽ മാറ്റിസ്ഥാപിക്കാനാകും:

എന്റെ $exit_value = 0;
സിസ്റ്റം "/usr/local/dacs/bin/dacscheck", "-q", "-icgi", "-rules",
"/usr/local/webstats/acls", "/webstats";
$exit_value = $? >> 8;
\"$remote_user\"\n" എന്ന ഉപയോക്താവിന് # പ്രിന്റ് "dacscheck $exit_value തിരികെ നൽകി;
എങ്കിൽ ($exit_value != 0) {
# dacscheck പ്രവേശനം നിഷേധിക്കുന്നു; സന്ദേശം അച്ചടിച്ച് പുറത്തുകടക്കുക
പുറത്തുകടക്കുക 1;
}

# dacscheck പ്രവേശനം നൽകുന്നു, അതിനാൽ തുടരുക

ടിപ്പ്
ദി DACS വിതരണത്തിൽ ഒരു പേൾ മൊഡ്യൂൾ ഉൾപ്പെടുന്നു
(/usr/local/dacs/lib/perl/DACScheck.pm) ഉണ്ടാക്കാൻ dacscheck ഉപയോഗിക്കാൻ കുറച്ച് എളുപ്പമാണ്.
മുകളിലുള്ള ഉദാഹരണം ഇങ്ങനെ എഴുതപ്പെടും:

DACScheck.pm ഉപയോഗിക്കുക;
dacscheck_rules("/usr/local/webstats/acls");

എന്റെ $ഫലം = dacscheck_cgi("/webstats");
എങ്കിൽ ($ഫലം != 1) {
# dacscheck പ്രവേശനം നിഷേധിക്കുന്നു; സന്ദേശം അച്ചടിച്ച് പുറത്തുകടക്കുക
പുറത്തുകടക്കുക 1;
}

# dacscheck പ്രവേശനം നൽകുന്നു, അതിനാൽ തുടരുക

ഒരു ലളിതമായ DACS പ്രോഗ്രാമിന്റെ സുരക്ഷ തനിപ്പകർപ്പാക്കാൻ ആക്സസ് കൺട്രോൾ റൂൾ എഴുതാം
പ്രവർത്തനക്ഷമത (ഉപയോഗിക്കുന്നത് ഉപയോക്താവ്() ഒപ്പം നിന്ന് () പ്രവചിക്കുന്നു, കാണുക dacs.exprs(5)[22]), പക്ഷേ
കൂടുതൽ സങ്കീർണ്ണമായ നയങ്ങൾ എളുപ്പത്തിൽ ചേർക്കാൻ കഴിയും, എല്ലാം Perl പരിഷ്ക്കരിക്കാതെ തന്നെ
വീണ്ടും പ്രോഗ്രാം.

ഡയഗ്നോസ്റ്റിക്സ്

ആക്സസ് അനുവദിച്ചാൽ പ്രോഗ്രാം 0-ൽ നിന്നും ആക്സസ് നിരസിച്ചാൽ 1-ൽ നിന്നും പുറത്തുകടക്കുന്നു. മറ്റേതെങ്കിലും എക്സിറ്റ് സ്റ്റാറ്റസ്
ഒരു പിശക് സംഭവിച്ചതായി സൂചിപ്പിക്കുന്നു.

onworks.net സേവനങ്ങൾ ഉപയോഗിച്ച് dacscheck ഓൺലൈനായി ഉപയോഗിക്കുക