"Wie kan aan dit bestand?" beantwoorden over een tiental servers

Situatie

Jaren aan Windows-bestandsservers, verspreid over verschillende vestigingen, en geen enkel gedeeld beeld erop. Drie vragen hadden geen betrouwbaar antwoord.

Wat staat er eigenlijk op die servers? Niemand kon dat zeggen zonder op elke server afzonderlijk aan te melden. Wat is er veranderd? Dat viel pas op wanneer er iets ontbrak. En de vraag die telt op het moment van een audit: wie kan aan deze map?

Die laatste lijkt beantwoordbaar — de NTFS-rechten staan gewoon in het eigenschappenvenster. Maar rechten worden aan groepen toegekend, groepen zitten in groepen, en het echte antwoord is een uitgerekende lijst van personen. Dat met de hand samenstellen, voor honderdduizenden mappen over een tiental machines, is geen taak die iemand ooit afwerkt.

Wat ik gebouwd heb

Een indexeerdienst die op elke bestandsserver draait en zijn eigen volumes doorloopt, met de metagegevens en NTFS-rechten lokaal uitgelezen in plaats van alles over het netwerk te slepen, en die wegschrijft naar één centrale PostgreSQL-databank. Eén webinterface leest daarna over alle servers heen.

Wat er staat is een doorzoekbare inventaris over alle servers: groottes, ouderdom, types, en waar het gewicht effectief zit.

Wat er veranderd is werkt omdat scans als geschiedenis bewaard worden in plaats van overschreven. Het systeem beantwoordt verandering over een interval — wat erbij kwam, wat groeide, wat verdween tussen twee datums — en dat maakt van groeiende opslag een trend in plaats van een verrassing.

Wat dubbel staat wordt over servers heen gedetecteerd, niet enkel binnen één. Net daar zit de terug te winnen ruimte: dezelfde projectmap die door drie verschillende mensen over vijf jaar op drie machines gezet is.

Wie eraan kan rekent de NTFS-rechten door geneste groepslidmaatschappen uit tot een gewone lijst van personen, per map. Dat is de vorm waar een auditor om vraagt, en de vorm die geen enkel ingebouwd hulpmiddel oplevert.

Resultaat

Beslissingen over opslag werden gebaseerd op cijfers in plaats van op gevoel, en een toegangscontrole werd een query die iemand uitvoert in plaats van een project dat iemand inplant.

Structureel is dit dezelfde vorm als het industriële werk: verzamel aan de rand waar de data staat, centraliseer in één opslag, en lees er vanuit één interface overheen. Het domein heeft er niets mee te maken; de architectuur wel.