この章では、保護データベース内のユーザー、マシン、およびグループ記入項目の作成および保守方法を説明します。
本章では、指示されたコマンドを使用した以下のタスクの実行方法を説明します。
保護データベース項目の表示 | pts examine |
ユーザー、マシン、またはグループ名を AFS ID にマップする | pts examine |
項目の所有者または作成者の表示 | pts examine |
グループに属しているユーザーまたはマシン数の表示 | pts examine |
ユーザーまたはマシンが属しているグループ番号を表示する | pts examine |
グループ作成割り当て量の表示 | pts examine |
項目のプライバシー・フラグの表示 | pts examine |
ユーザーまたはマシンが属しているグループのメンバーを表示する | pts membership |
ユーザーまたはグループが所有しているグループを表示する | pts listowned |
保護データベースのすべての項目を表示する | pts listentries |
マシン項目の作成 | pts createuser |
グループ項目の作成 | pts creategroup |
ユーザーおよびマシンをグループに追加する | pts adduser |
ユーザーおよびマシンをグループから削除する | pts removeuser |
マシンまたはグループ項目の削除 | pts delete |
グループの所有者を変更する | pts chown |
記入項目の名前を変更する | pts rename |
グループ作成割り当て量を設定する | pts setfields |
項目のプライバシー・フラグを設定する | pts setfields |
AFS ID カウンターを表示する | pts listmax |
AFS ID カウンターを設定する | pts setmax |
保護データベースは、クライアントが AFS のデータにアクセスできるかどうかを決めるためにファイル・サーバー・プロセスで使用する、 AFS ユーザー、クライアント・マシン、およびグループに関する情報を保管します。
AFS セルへの認証済みアクセスを入手するためには、ユーザーは、必ず、そのセルの保護データベース記入項目にそのセル用の記入項目を所有していなければなりません。ユーザーがファイル・サーバー・マシンに保管されているデータへのアクセスを初めて要求するとき、そのマシンのファイル・サーバーは、保護サーバーと連絡を取り、ユーザーの現在の保護サブグループ (CPS) を要求します。保護サーバーは、そのユーザーが属するすべてのグループをリストします。ファイル・サーバーは、データのあるディレクトリーのアクセス制御リスト (ACL) をスキャンして、 CPS 上のグループを検索します。保護サーバーは、ACL がユーザーのグループまたは個々のユーザーに拡張するアクセス権に従って、アクセス権を許可します。(ファイル・サーバーは、CPS を保管し、ユーザーが同じトークンを持っている間、その CPS を使用します。ユーザーのグループ・メンバーシップが変更されると、ユーザーは、変更を認識するためにサイドファイル・サーバーに対して認証を行う必要があります)。
セルの system:administrators グループに属している管理者だけが、ユーザー項目 (システム・グループで説明するように、グループ自体が、保護データベースに定義されています) を作成することができます。system:administrators グループのメンバーは、マシン項目を作成することもできます。マシン項目は、アクセス要求の発信元であるマシンに基づいてアクセスを制御するために使用できます。マシン項目の作成後、マシン項目を保護データベース・グループに追加して、そのグループを ACL 上に配置します (マシンはACL 上に直接表示できません)。マシン項目は単一マシン、またはワイルドカード表記によって指定されるような、連続する IP アドレスを持つ複数マシンを表すことができます。説明については、ユーザーおよびマシン項目の作成を参照してください。ボリュームのすべてのレプリカは同じ ACL (ボリュームのルート・ディレクトリーのマウント・ポイント上のもの) を共有しているため、プログラムの製造業者が要求するマシン・ベースのライセンス協定に準拠している間は、プログラムのバイナリー・ファイルがあるボリュームを複写することができます。 ユーザーおよびマシン項目の作成 を参照してください。
グループ項目は、ユーザー項目、マシン項目、あるいはその両方 (グループは他のグループに属することができない) のリストです。ACL にグループを配置するのは、ユーザーを個別に ACL 上にリストしないでユーザーのセットへのアクセスを拡張または拒否するのに便利な方法です。同様に、グループにユーザーを追加すると、関連する ACL がそのグループをリストするすべてのファイルおよびディレクトリーへのアクセスが、自動的に許可されます。管理者および通常ユーザーは、どちらもグループを作成することができます。
ユーザーおよび管理者が作成できるグループに加えて、AFS は、以下の 3 つのシステム・グループを定義しています。保護サーバーは、セルの保護データベースの最初のバージョンを構築するときに、自動的にグループを作成して、常にそれらのグループに同じ AFS GID を割り当てます。
このグループを ACL に配置するのは、すべてのユーザーにアクセスを拡張するのに便利な方法です。ファイル・サーバーは、このグループを、ファイル・サーバー・マシンに保管されているデータへのアクセスを要求する任意のユーザーの CPS に自動的に配置します (すべての非認証ユーザーは、 anonymous という識別を割り当てられます。このグループは、 anonymous に対する CPS 上の唯一の項目です)。
したがって、このグループを ACL に配置するのは、すべての認証済みユーザーにアクセスを拡張するのに便利な方法です。ファイル・サーバーは、このグループを、ファイル・サーバー・マシンに保管されているデータへのアクセスを要求する任意の認証済みユーザーの CPS に自動的に配置します
この機能グループでは、保護データベース項目およびそれに関連する情報を表示するために使用できるコマンドについて説明します。名前と AFS ID のほかに、保護データベースには、各ユーザー、マシン、またはグループ項目について、以下の情報が保管されています。
% pts membership system:administrators
% pts examine <user or group name or id>+
ここで、
以下のフィールドが出力されます。例も示します。
通常、保護サーバーは、保護データベース記入項目を作成する際に自動的に AFS UID または GID を割り当てます。system:administrators のメンバーだけが、必要に応じて、ID を指定することができます。詳しくは、ユーザーおよびマシン項目の作成 と グループの作成 を参照してください。
このフィールドの anonymous の値は、一般に、保護サーバーが非認証モードで実行されているときの、おそらくそのセルの最初のファイル・サーバー・マシンの初期構成の間にその記入項目が作成されたことを示します。非認証モードについての説明は、 認証と許可の要件の管理を参照してください。
フラグに使用できる可能性のある値についての詳細な説明は、 データベース項目のプライバシー・フラグを設定を参照してください。
グループ作成割り当て量は、マシンまたはグループ項目に対しては何の意味もありません。保護サーバーは、pts creategroup コマンドの発行を、マシンやグループとしてではなく、認証済みユーザーとして、または anonymous ユーザーとしてのみ認識します。グループ項目のデフォルト値は、 0 (ゼロ) であり、変更する理由はありません。
以下の例は、pat というユーザー、IP アドレス 192.12.108.133 のマシン、および terry:friends というグループに対する出力を示しています。
% pts examine pat Name: pat, id: 1020, owner: system:administrators, creator: admin, membership: 12, flags: S----, group quota: 15. % pts ex 192.12.108.133 Name: 192.12.108.133, id: 5151, owner: system:administrators, creator: admin, membership: 1, flags: S----, group quota: 20. % pts examine terry:friends Name: terry:friends, id: -567, owner: terry, creator: terry, membership: 12, flags: SOm--, group quota: 0.
% pts membership system:administrators
% pts membership <user or group name or id>+
ここで、
ユーザーおよびマシン項目の場合、出力は以下の文字列から開始されます。そして、各グループは別々の行に出力されます。
Groups user_or_machine (id: AFS_UID) is a member of:
グループ項目の場合、出力は以下の文字列から開始されます。そして、各メンバーは別々の行に出力されます。
Members of group (id: AFS_GID) are:
システム・グループ system:anyuser および system:authuser の場合、初期ヘッダー文字列だけが出力されます。これらのグループには、保護データベース記入項目にリストされる、継続したメンバーシップがないからです。システム・グループ を参照してください。
以下の例は、terry というユーザー、および terry:friends というグループに対する出力例を示しています。
% pts mem terry Groups terry (id: 5347) is a member of: pat:friends sales acctg:general % pts mem terry:friends Members of terry:friends (id: -567) are: pat smith johnson
% pts membership system:administrators
% pts listowned <user or group name or id>+
ここで、
出力は以下の文字列から開始されます。そして、各グループは別々の行に出力されます。
Groups owned by user_or_group (id: AFS_ID) are:
以下の例は、terry というユーザー、および terry:friends というグループに対する出力例を示しています。
% pts listo terry Groups owned by terry (id: 5347) are: terry:friends terry:co-workers % pts listo terry:friends Groups owned by terry:friends (id: -567) are: terry:pals terry:buddies
% pts membership system:administrators
% pts listentries [-users] [-groups]
ここで、
以下の列を含むテーブルが出力されます。例も示します。
以下の例は、ABC Corporation セルからのものです。コマンドを発行する際にオプションを指定していないため、出力にはユーザーおよびマシン項目が含まれています。
% pts listentries Name ID Owner Creator anonymous 32766 -204 -204 admin 1 -204 32766 pat 1000 -204 1 terry 1001 -204 1 smith 1003 -204 1 jones 1004 -204 1 192.12.105.33 2000 -204 1 192.12.105.46 2001 -204 1
保護データベースの記入項目は、認証データベース内の項目と共に、すべての AFS ユーザー・アカウントの 2 つの必須コンポーネントの 1 つです。 uss コマンド組によるユーザー・アカウントの作成と削除 で説明するように uss add または uss bulk コマンドを使用して、あるいは AFS ユーザー・アカウントの作成で説明するように pts createuser コマンドを使用して、完全なユーザー・アカウントを作成するコンテキストに保護データベースのユーザー記入項目だけを作成するのが最も良い方法です。
pts createuser コマンドを使用して、保護データベースのマシン項目を作成することもできます。マシン項目は、アクセス要求の発信元であるマシンに基づいてアクセスを制御するために使用できます。マシン項目の作成後、マシン項目を保護データベース・グループに追加して、そのグループを ACL 上に配置します (マシンはACL 上に直接表示できません)。ボリュームのすべてのレプリカは同じ ACL (ボリュームのルート・ディレクトリーのマウント・ポイント上のもの) を共有しているため、プログラムの製造業者が要求するマシン・ベースのライセンス協定に準拠している間は、プログラムのバイナリー・ファイルがあるボリュームを複写することができます。ACL に他に何も項目を配置しない場合、指定したマシンで作業するユーザーだけがそのファイルにアクセスすることができます。
マシン項目を持つグループに対してそのマシンに ACL 項目を作成すると、そのマシンで作業している認証済みユーザーおよび非認証ユーザーの両方へのアクセスが拡張されることに留意してください。ただし、ファイルのパス名の親ディレクトリーの ACL から、system:anyuser グループの項目を削除することによって、非認証ユーザーへのアクセスを拒否することができます。反対に、マシン上の非認証ユーザーがファイルにアクセスできるようにしたい場合は、そのユーザーに続くすべてのディレクトリー上の ACL は、 system:anyuser グループ、またはマシン項目が属しているグループのいずれかに対する項目を組み込む必要があります。system:anyuser について詳しくは、 システム・グループ を参照してください。
マシン項目には非認証ユーザーを組み込むことができるため、マシン項目およびユーザー項目の両方を同じグループに追加しないのが最も良い方法です。一般には、混合しないグループを使用して管理するほうが簡単です。マシン項目は単一マシン、またはワイルドカード表記によって指定されるような、連続する IP アドレス (すなわち、ネットワークまたはサブネット上のすべてのマシン) を持つ複数マシンを表すことができます。 保護データベースにマシン項目を作成する にある説明を参照してください。
デフォルトでは、保護サーバーは、次に使用可能な AFS UID を新規ユーザーまたはマシン項目に割り当てます。特に、マシン項目の場合は、これを許可するのが最も良い方法です。ユーザー項目の場合は、ユーザーが AFS UID に一致させる必要のある UNIX UID をすでに所有している場合のみ、AFS UID を割り当てることが意味をなします (一致する AFS と UNIX UID の割り当てを参照してください)。 AFS UID を自動的に割り当てるとき、保護サーバーは、 max user id カウンターを 1 ずつ増分して、その結果を新規項目に割り当てます。 AFS UID および GID カウンターの表示および設定に説明するように、pts listmaxコマンドを 使用して、カウンターを表示します。
ユーザーのセルを永久に離脱したユーザーの AFS UID または削除したマシン項目は、 ID の明らかな無駄を防ぐためであっても、再利用しないでください。保護データベースからユーザーまたはマシンの項目を削除しようとすると、fs listacl コマンドにより、名前ではなく以前の項目に関連する AFS UID が表示されます。その後、 AFS UID を新規ユーザーまたはマシンに割り当てると、新規ユーザーまたはマシンは、 ID の直前のプロセッサーに付与されたアクセス権を自動的に継承します。使用されなくなった AFS UID を ACL から削除するには、古くなった AFS ID を ACL から除去する で説明するように、fs cleanacl コマンドを使用します。
名前および AFS UID のほかに、保護サーバーは、新規ユーザーまたはマシン項目の指定されたフィールドに、以下の値を記録します。項目の表示についての詳細な説明は、保護データベース項目を表示する を参照してください。
% pts membership system:administrators
% pts createuser -name <user name>+
ここで、
すべてのマシンと一致する名前 0.0.0.0 を持つマシン項目を定義しないでください。system:anyuser グループがこれに相当します。内の実際の値を表します。
下記の例では、192.12のネットワーク内のすべてのマシン用にマシン記入項目を作成します。
% pts cu 192.12.0.0
必ずグループ記入項目を作成してからでなければ、グループにメンバーを追加できません。この機能グループでは、通常のグループおよび接頭部を持たないグループの両方の作成方法を説明します。
owner_name:group_name
どのユーザーも通常グループを作成することができます。グループ名は、常にフルネームを入力しなければならないので、グループの用途またはそのメンバーの共通する関心を示す短い group_name が実際的です。terry:1 および terry:2 などのグループ名は、用途が不明確なため、あまり役に立ちません。通常グループ名の必須形式についての詳細は、 グループの作成方法 の説明を参照してください。
system:administrators グループのメンバーだけが接頭部を持たないグループを作成することができます。接頭部を持たないグループの目的については、接頭部を持たないグループの使用 を参照してください。
デフォルトでは、保護サーバーは、次に使用可能な AFS GID を新規グループ項目に割り当てます。また、これを許可するのが最も良い方法です。AFS GID (負の整数) を自動的に割り当てるとき、保護サーバーは、 max group id カウンターを 1 ずつ減分して、その結果を新規グループに割り当てます。 AFS UID および GID カウンターの表示および設定に説明するように、pts listmaxコマンドを 使用して、カウンターを表示します。
名前および AFS GID のほかに、保護サーバーは、新規グループの項目の指定されたフィールドに、以下の値を記録します。保護データベース項目を表示する を参照してください。
グループを作成する主な理由は、グループを ACL に配置することです。これにより、複数のユーザーのアクセスを、ACL 上で個別にリストする必要なく制御することができます。グループの基本的な使用方法は 3 つあり、それぞれが異なる目的に適しています。
グループの存在およびそのメンバーの識別は、必ずしもシークレットである必要はありません。他のユーザーは、fs listacl コマンドを使用して、ACL のディレクトリーでグループの名前を参照したり、 pts membership コマンドを使用して、そのユーザー自体が属しているグループをリストすることができます。グループの 3 番目のプライバシー・フラグを設定して、誰が pts membership コマンドを使用してグループのメンバーシップをリストできるかを制限することができますが、それを行うことができるのは常に system:administrators グループのメンバーだけです。 データベース項目のプライバシー・フラグを設定 を参照してください。
注: | 自分の ACL に誰か別の人が所有しているグループを追加する場合は、その所有者が自分に知らせることなくそのグループのメンバーシップを変更することができます。したがって、誰か新しい人が、あなたが知らないうちに、あなたが意図しなかった方法でアクセスを取得することが可能です。 |
グループを所有者として指定することの主な利点は、複数のユーザー間で 1 つのグループを管理する責任を共有できることにあります。 1 人がすべての管理タスクを実行する必要がなく、また、元々の作成者がグループを抜けても、所有権を移す必要はありません。
ただし、所有者グループのメンバーは誰でも、他のメンバーに悪影響を及ぼす変更を行うことができます。グループからメンバーを不当に追加または削除したり、グループの所有権を自分が独占できるように設定を変更したりすることができます。これらの問題は、自己所有のグループに特に要注意となる可能性があります。所有者グループを使用して最もうまくいくのは、メンバー全員がお互いによく知っており、信頼し合っている場合です。 1 つの所有者グループの人数を少なく保つのが賢い方法と言えるかもしれません。
% pts membership system:administrators
% pts creategroup -name <group name>+ [-owner <owner of the group>]
ここで、
接頭部を持たないグループの名前に、コロン (:) を使用することはできません。コロンは、通常グループの名前の 2 つの部分を区切るために使用しているからです。
owner_name:group_name
保護サーバーでは、通常グループの owner_name プレフィックスがグループの所有者を示していなければなりません。デフォルトではユーザーは所有者として記録され、 owner_name には AFS ユーザー名が入っていなければなりません。 -owner 引き数を組み込み、owner_name フィールドに必要な値を指定して、他の AFS ユーザー、通常グループ、または接頭部を持たないグループを所有者として指定することができます。
(あるグループが他のグループを所有していると便利な理由については、 グループの効果的な使用 を参照してください。)
グループの所有者としてマシンを指定しないでください。マシンは認証できないため、マシンがグループを管理する方法はありません。
% pts creategroup <group name>
% pts adduser -user <user name>+ -group <group name>+
% pts chown <group name> <new owner>
system:administrators のメンバーは、接頭部を持たないグループを作成することができます。このグループは、グループ使用 (グループの効果的な使用 で説明しています) に特に適しています。
たとえば、ABC Corporation の会計部長である、ユーザー smith が、同社の会計士全員を組み込むグループを作成し、そのグループを、部門レコードを収容しているディレクトリーの ACL に配置したと仮定します。通常グループではなく、接頭部を持たないグループを使用するのが適当である理由には、以下があげられます。
可能な解決策は、acctg という架空のユーザーに認証アカウントを作成し、そのユーザーを、owner_name の接頭部として acctg が付いている通常グループの所有者にすることです。ただし、acctg アカウントが他の目的にも使用されている場合、ユーザー acctg のパスワードを知る必要がある人数は、所有するグループを管理する必要がある人数より多くなります。
acctg という名前の接頭部を持たないグループは、不適切な所有者名の問題を解決します。そのグループが所有するグループは、 owner_name の接頭部が acctg であり、部長の名前を付けるよりもその目的が正確に反映されます。接頭部を持たないグループは、ダミーの認証アカウントよりも責任があります。グループに属すると、そのグループが ACL 上に所有しているアクセス権を個人個人が実行できますが、皆、ダミーのユーザー名よりも今まで通り自分の名前でタスクを実行します。グループが自己所有している場合でも、限られた人数だけがグループ記入項目を管理することができます。
ユーザーおよびマシンは、グループのメンバーであることができます。グループは他のグループに属することができません。新規に作成されたグループにはメンバーを持っていません。メンバーを追加するには、 pts adduser コマンドを使用します。メンバーを削除するにはpts removeuser コマンドを使用します。
% pts membership system:administrators
% pts adduser -user <user name>+ -group <group name>+
ここで、
% pts membership system:administrators
% pts removeuser -user <user name>+ -group <group name>+
ここで、
保護データベースのユーザー項目は、完全なユーザー・アカウントを削除しているときのみ削除することが最も良い方法です。uss delete コマンドによる個別アカウントの削除 で説明するように uss delete コマンドを使用するか、またはユーザー・アカウントの削除 で説明するように pts delete コマンドを使用します。
マシンおよびグループ項目を削除するには、この機能グループで説明するように、pts delete コマンドを使用します。オペレーションの結果は次のとおりです。
使用されなくなった AFS ID を ACL から削除するには、 古くなった AFS ID を ACL から除去する で説明するように、fs cleanacl コマンドを使用します。
% pts membership system:administrators
% pts delete <user or group name or id>+
ここで、
ユーザーおよびマシン項目を作成するときに、保護サーバーは、その所有権を system:administrators グループに自動的に割り当てます。これは変更することができません。グループ項目の場合、所有権を変更できます。これにより、その所有権に対する管理責任を他のユーザーまたはグループに移すことができます (他のグループのグループ所有権については、グループの効果的な使用 を参照してください)。
通常グループを作成するとき、グループの owner_name 接頭部は、グループの作成方法 に説明するように、その所有者を正確に反映していなければなりません。
通常グループの所有者を変更するときは、保護サーバーは、その名前の owner_name 接頭部を自動的に適切に変更します。たとえば、ユーザー pat がグループ terry:friendsの新規所有者になる場合、その名前は、保護データベースおよび ACL の両方で pat:friends に自動的に変わります。
ただし、保護サーバーは、そのグループが所有する通常サーバーの owner_name 接頭部をどれも自動的に変更しません。前の例の続きで、グループ terry:friends がグループ terry:pals を所有していると考えてください。pat が terry:friends の新規所有者になっても、 terry:pals は変わりません。他のグループが所有する通常グループの owner_name 接頭部を変更する (この例では、グループ名を pat:pals に変更する) には、 保護データベース項目の名前の変更 で説明するように、pts rename コマンドを使用します。
% pts membership system:administrators
% pts membership <user or group name or id>
ユーザーおよびマシンをグループに追加するにはに詳しく説明されているように、pts adduser コマンドを発行します。
% pts adduser <user name> <group name>
% pts chown <group name> <new owner>
ここで、
% pts listowned <user or group name or id>
接頭部を新規に所有するグループに一致させて変更したい場合は、 マシンまたはグループ項目の名前を変更するには で説明するように、pts rename コマンドを 1 つごとに使用します。
% pts rename <old name> <new name>
保護データベース項目の名前を変更するには、pts rename コマンドを使用します。ユーザー項目の名前は、ユーザー・アカウント全体の名前を変更するときにのみ変更するのが最も良い方法です。アカウントの非常に多くのコンポーネント (認証データベース項目、ボリューム名、ホーム・ディレクトリーのマウント・ポイントなど) がその名前を共有しているからです。説明については、ユーザー名の変更を参照してください。マシン項目の名前は、1 つまたは複数のマシンの実際の IP アドレスにマップするので、項目の名前の変更は、IP アドレスが変更された場合にのみ適切です。
その場合は、最も頻繁にグループ名の変更が必要なときです。可能な名前変更のタイプを以下に示します。
pts rename コマンドを使用して、owner_name 接頭部を変更または変更なしで、通常グループ名の group_name 部分を変更することもできます。
ただし、グループの所有者および system:administrators グループのメンバーは、その名前を別の通常グループの名前に変更することができます。
グループの所有者および system:administrators グループのメンバーは、どちらも、その名前を別の接頭部を持たないグループの名前に変更することができます。
system:administrators グループのメンバーだけがこのタイプの名前変更を行うことができます。
% pts membership system:administrators
% pts rename <old name> <new name>
ここで、
システム資源の濫用を防ぐため、保護サーバーは、 グループ作成割り当て量 を課して、ユーザーがあとどれだけグループを作成できるかを制限します。新規ユーザー項目が作成されるとき、割り当て量は 20 ですが、system:administrators グループのメンバーは、 pts setfields コマンドを発行して、割り当て量をいつでも増加または減少させることができます。
マシンまたはグループ項目に対する割り当て量を変更するのは、無意味です。グループまたはマシンとして認証して、その後グループを作成することはできません。
グループ作成割り当て量を表示するには、保護データベース項目を表示する で説明するように、 pts examine コマンドを使用して、ユーザー項目の グループ割り当て量フィールドを表示します。
% pts membership system:administrators
% pts setfields -nameorid <user or group name or id>+ \ -groupquota <set limit on group creation>
ここで、
system:administrators グループのメンバーは、保護データベース項目を常にどのようにでも表示および管理することができます。通常ユーザーは、その独自の項目およびそのユーザーが所有する任意のグループ項目を表示および管理することができます。保護データベース項目のプライバシー・フラグ は、他のユーザーが項目から特定の情報を表示できるか、およびグループ内のメンバーを追加および削除できるかを指定します。
フラグを表示するには、pts examine コマンドを使用します (保護データベース項目を表示する を参照)。フラグは、出力の flags フィールドに表示されます。フラグを設定するには、pts setfields コマンドに -access 引き数を組み込みます。
常に、5 つのフラグが表示され、常に、以下の順序で設定しなければなりません。
各フラグは、3 つのタイプの値を使用して、さまざまなユーザーのセットが、対応するコマンドを発行できるようにします。
たとえば、グループ項目に対するフラグ SOmar は、誰でもグループの項目を調べることができ、それが所有するグループを表示することができるということ、およびそのグループのメンバーだけがそのメンバーを表示、追加、または削除できるということを示します。
ユーザーおよびマシン項目に対するデフォルトのプライバシーは、S---- です。これは、誰でもその項目を表示できることを意味します。その他の機能を実行する権限は、 system:administrators グループのメンバーおよびその項目の所有者に制限されます (ユーザー項目のユーザーと同様に)。
グループ項目に対するデフォルトのプライバシーは、S-M-- です。これは、すべてのユーザーが項目を表示し、グループのメンバーを表示できることを意味しますが、その他の機能を実行できるのは、項目の所有者およびsystem:administrators グループのメンバーだけです。
% pts membership system:administrators
% pts setfields <user or group name or id>+ -access <set privacy flags>
ここで、
pts createuser コマンドを使用して、保護データベースにユーザーまたはマシン項目を作成するとき、保護サーバーは、AFS ユーザー ID (AFS UID) をデフォルトで自動的に項目に割り振ります。同様に、 pts creategroup コマンドによって作成する各グループ項目に対しても、デフォルトで、 AFS グループ ID (AFS GID) を割り振ります。保護データベースは、次に使用可能な AFS UID (正の整数) および AFS GID (負の整数) を、それぞれ、max user id および max group id カウンターによって追跡します。
system:administrators グループのメンバーは、 -id 引き数をいずれかのpts 作成コマンドに組み込み、新規ユーザー、マシン、またはグループに特定の ID を割り当てることができます。 一致する AFS と UNIX UID の割り当て で説明するように、既存の UNIX アカウントを持つユーザーに対して AFS アカウントを作成するとき、 AFS UID を明示的に割り当てると効果的であることがよくあります。また、部門提携 (たとえば、300 から 399 までのAFS UID をある部門のメンバーに割り当て、 400 から 499 までのAFS UID を別の部門に割り当てる、など) に対応する ID の範囲を設定したい場合にも便利です。
カウンターの現在の値を表示するには、 pts listmax コマンドを使用します。次にユーザーまたはマシン項目を作成するときに AFS UID を指定しないと、保護サーバーは、 max user id カウンターを 1 ずつ増分して、その値を新規項目に割り当てます。新規グループを作成するときに AFS GID を指定しないと、保護サーバーは、 max group id カウンターを 1 ずつ減分して (負の数が大きくなります)、その値を新規グループに割り当てます。
いずれか一方または両方のカウンター値を、以下の 2 つの方法のうち 1 つを使用して変更することができます。
-id 引き数によって指定した値が、max user id カウンターより小さい場合、または max group id カウンターより大きい (より負) 場合、カウンターは変更されません。
% pts listmax
ここで、listm は、listmax の受け入れ可能な省略形です。
以下の例は、出力の形式を示しています。この場合、次に自動的に割り当てられる AFS UID は 5439 で、AFS GIDは -469 となります。
% pts listmax Max user id is 5438 and max group id is -468.
% pts membership system:administrators
% pts setmax [-group <group max>] [-user <user max>]
ここで、