Konfigurieren des ONTAP SVM-Datenkollektors
Der ONTAP SVM Data Collector ermöglicht Workload Security die Überwachung von Datei- und Benutzerzugriffsaktivitäten auf NetApp ONTAP Storage Virtual Machines (SVMs). Dieses Handbuch führt Sie durch die Konfiguration und Verwaltung des SVM-Datensammlers, um eine umfassende Sicherheitsüberwachung Ihrer ONTAP Umgebung zu gewährleisten.
|  | Globale Änderungen können sich möglicherweise auf Ihre ONTAP Systeme auswirken. Es wird dringend empfohlen, Änderungen, die eine große Anzahl von Datensammlern betreffen, außerhalb der Spitzenzeiten vorzunehmen. | 
Bevor Sie beginnen
- 
Dieser Datensammler wird mit Folgendem unterstützt: - 
Data ONTAP 9.2 und spätere Versionen. Verwenden Sie für optimale Leistung eine Data ONTAP Version höher als 9.13.1. 
- 
SMB-Protokollversion 3.1 und früher. 
- 
NFS-Versionen bis einschließlich NFS 4.1 (Beachten Sie, dass NFS 4.1 mit ONTAP 9.15 oder höher unterstützt wird). 
- 
Flexgroup wird ab ONTAP 9.4 und späteren Versionen unterstützt 
- 
FlexCache wird für NFS mit ONTAP 9.7 und späteren Versionen unterstützt. 
- 
FlexCache wird für SMB mit ONTAP 9.14.1 und späteren Versionen unterstützt. 
- 
ONTAP Select wird unterstützt 
 
- 
- 
Es werden nur Datentyp-SVMs unterstützt. SVMs mit unbegrenzten Volumes werden nicht unterstützt. 
- 
SVM hat mehrere Untertypen. Davon werden nur default, sync_source und sync_destination unterstützt. 
- 
Ein Agent"muss konfiguriert werden" bevor Sie Datensammler konfigurieren können. 
- 
Stellen Sie sicher, dass Sie über einen ordnungsgemäß konfigurierten Benutzerverzeichnis-Connector verfügen. Andernfalls werden auf der Seite „Aktivitätsforensik“ verschlüsselte Benutzernamen und nicht der tatsächliche Name des Benutzers (wie in Active Directory gespeichert) angezeigt. 
- 
• ONTAP Persistent Store wird ab 9.14.1 unterstützt. 
- 
Für eine optimale Leistung sollten Sie den FPolicy-Server so konfigurieren, dass er sich im selben Subnetz wie das Speichersystem befindet. 
- 
Sie müssen eine SVM mit einer der folgenden beiden Methoden hinzufügen: - 
Durch Verwendung der Cluster-IP, des SVM-Namens sowie des Benutzernamens und Kennworts für die Clusterverwaltung. Dies ist die empfohlene Methode. - 
Der SVM-Name muss genau so lauten, wie er in ONTAP angezeigt wird, und die Groß-/Kleinschreibung muss beachtet werden. 
 
- 
- 
Durch Verwendung von SVM Vserver Management IP, Benutzername und Passwort 
- 
Wenn Sie den vollständigen Benutzernamen und das Kennwort für die Cluster-/SVM-Verwaltung des Administrators nicht verwenden können oder möchten, können Sie einen benutzerdefinierten Benutzer mit geringeren Berechtigungen erstellen, wie im Abschnitt„Ein Hinweis zu Berechtigungen“ Abschnitt unten. Dieser benutzerdefinierte Benutzer kann entweder für den SVM- oder Cluster-Zugriff erstellt werden. - 
o Sie können auch einen AD-Benutzer mit einer Rolle verwenden, die mindestens über die Berechtigungen von csrole verfügt, wie im Abschnitt „Hinweis zu Berechtigungen“ weiter unten erwähnt. Siehe auch die"ONTAP-Dokumentation" . 
 
- 
 
- 
- 
Stellen Sie sicher, dass die richtigen Anwendungen für die SVM eingestellt sind, indem Sie den folgenden Befehl ausführen: clustershell:> security login show -vserver <vservername> -user-or-group-name <username> 
Beispielausgabe:
- 
Stellen Sie sicher, dass für die SVM ein CIFS-Server konfiguriert ist: clustershell:> vserver cifs showDas System gibt den VServer-Namen, den CIFS-Servernamen und zusätzliche Felder zurück. 
- 
Legen Sie ein Kennwort für den SVM-Benutzer vsadmin fest. Wenn Sie einen benutzerdefinierten Benutzer oder einen Cluster-Administratorbenutzer verwenden, überspringen Sie diesen Schritt. clustershell:> security login password -username vsadmin -vserver svmname
- 
Entsperren Sie den SVM-Benutzer vsadmin für den externen Zugriff. Wenn Sie einen benutzerdefinierten Benutzer oder einen Cluster-Administratorbenutzer verwenden, überspringen Sie diesen Schritt. clustershell:> security login unlock -username vsadmin -vserver svmname
- 
Stellen Sie sicher, dass die Firewall-Richtlinie des Daten-LIF auf „mgmt“ (nicht „data“) eingestellt ist. Überspringen Sie diesen Schritt, wenn Sie zum Hinzufügen der SVM ein dediziertes Management-LIF verwenden. clustershell:> network interface modify -lif <SVM_data_LIF_name> -firewall-policy mgmt
- 
Wenn eine Firewall aktiviert ist, müssen Sie eine Ausnahme definiert haben, um TCP-Verkehr für den Port zuzulassen, der den Data ONTAP Data Collector verwendet. Sehen"Agentenanforderungen" für Konfigurationsinformationen. Dies gilt für lokale Agenten und in der Cloud installierte Agenten. 
- 
Wenn ein Agent in einer AWS EC2-Instanz installiert wird, um eine Cloud ONTAP SVM zu überwachen, müssen sich Agent und Speicher im selben VPC befinden. Wenn sie sich in separaten VPCs befinden, muss eine gültige Route zwischen den VPCs vorhanden sein. 
Testen der Konnektivität für Datensammler
Die Funktion zum Testen der Konnektivität (eingeführt im März 2025) soll Endbenutzern dabei helfen, die spezifischen Ursachen von Fehlern beim Einrichten von Datensammlern in Data Infrastructure Insights (DII) Workload Security zu identifizieren. Dadurch können die Benutzer Probleme im Zusammenhang mit der Netzwerkkommunikation oder fehlenden Rollen selbst beheben.
Mithilfe dieser Funktion können Benutzer vor dem Einrichten eines Datensammlers feststellen, ob alle netzwerkbezogenen Prüfungen durchgeführt wurden. Darüber hinaus werden Benutzer über die Funktionen informiert, auf die sie basierend auf der ONTAP Version, den Rollen und den ihnen in ONTAP zugewiesenen Berechtigungen zugreifen können.
|  | Testkonnektivität wird für Benutzerverzeichnis-Collectors nicht unterstützt. | 
Voraussetzungen für den Verbindungstest
- 
Damit diese Funktion vollständig funktioniert, sind Anmeldeinformationen auf Clusterebene erforderlich. 
- 
Die Überprüfung des Funktionszugriffs wird im SVM-Modus nicht unterstützt. 
- 
Wenn Sie Anmeldeinformationen für die Clusterverwaltung verwenden, sind keine neuen Berechtigungen erforderlich. 
- 
Wenn Sie einen benutzerdefinierten Benutzer verwenden (z. B. csuser), geben Sie die erforderlichen Berechtigungen und funktionsspezifischen Berechtigungen für die Funktionen an, die Sie verwenden möchten. 

Lesen Sie unbedingt dieBerechtigungen Abschnitt weiter unten.
Testen der Verbindung
Der Benutzer kann zur Seite „Collector hinzufügen/bearbeiten“ gehen, die Details auf Clusterebene (im Clustermodus) oder auf SVM-Ebene (im SVM-Modus) eingeben und auf die Schaltfläche Verbindung testen klicken. Workload Security verarbeitet dann die Anfrage und zeigt eine entsprechende Erfolgs- oder Fehlermeldung an.

Voraussetzungen für die Benutzerzugriffssperre
Beachten Sie Folgendes für"Sperrung des Benutzerzugriffs" :
Damit diese Funktion funktioniert, sind Anmeldeinformationen auf Clusterebene erforderlich.
Wenn Sie Anmeldeinformationen für die Clusterverwaltung verwenden, sind keine neuen Berechtigungen erforderlich.
Wenn Sie einen benutzerdefinierten Benutzer (z. B. csuser) mit dem Benutzer erteilten Berechtigungen verwenden, befolgen Sie die Schritte in"Sperrung des Benutzerzugriffs" um Workload Security die Berechtigung zum Blockieren von Benutzern zu erteilen.
Ein Hinweis zu Berechtigungen
Berechtigungen beim Hinzufügen über Cluster Management IP:
Wenn Sie den Clusterverwaltungsadministratorbenutzer nicht verwenden können, um Workload Security Zugriff auf den ONTAP SVM-Datensammler zu gewähren, können Sie einen neuen Benutzer namens „csuser“ mit den in den folgenden Befehlen gezeigten Rollen erstellen. Verwenden Sie den Benutzernamen „csuser“ und das Kennwort für „csuser“, wenn Sie den Workload Security-Datenkollektor für die Verwendung der Cluster Management-IP konfigurieren.
Hinweis: Sie können eine einzelne Rolle erstellen, die für alle Funktionsberechtigungen eines benutzerdefinierten Benutzers verwendet wird. Wenn ein Benutzer vorhanden ist, löschen Sie zuerst den vorhandenen Benutzer und die Rolle mit diesen Befehlen:
security login delete -user-or-group-name csuser -application * security login role delete -role csrole -cmddirname * security login rest-role delete -role csrestrole -api * security login rest-role delete -role arwrole -api *
Um den neuen Benutzer zu erstellen, melden Sie sich bei ONTAP mit dem Benutzernamen/Passwort des Clusterverwaltungsadministrators an und führen Sie die folgenden Befehle auf dem ONTAP -Server aus:
security login role create -role csrole -cmddirname DEFAULT -access readonly
security login role create -role csrole -cmddirname "vserver fpolicy" -access all security login role create -role csrole -cmddirname "volume snapshot" -access all -query "-snapshot cloudsecure_*" security login role create -role csrole -cmddirname "event catalog" -access all security login role create -role csrole -cmddirname "event filter" -access all security login role create -role csrole -cmddirname "event notification destination" -access all security login role create -role csrole -cmddirname "event notification" -access all security login role create -role csrole -cmddirname "security certificate" -access all security login role create -role csrole -cmddirname "cluster application-record" -access all security login create -user-or-group-name csuser -application ontapi -authmethod password -role csrole security login create -user-or-group-name csuser -application ssh -authmethod password -role csrole security login create -user-or-group-name csuser -application http -authmethod password -role csrole
Berechtigungen beim Hinzufügen über Vserver Management IP:
Wenn Sie den Clusterverwaltungsadministratorbenutzer nicht verwenden können, um Workload Security Zugriff auf den ONTAP SVM-Datensammler zu gewähren, können Sie einen neuen Benutzer namens „csuser“ mit den in den folgenden Befehlen gezeigten Rollen erstellen. Verwenden Sie den Benutzernamen „csuser“ und das Kennwort für „csuser“, wenn Sie den Workload Security-Datensammler für die Verwendung der Vserver Management IP konfigurieren.
Hinweis: Sie können eine einzelne Rolle erstellen, die für alle Funktionsberechtigungen eines benutzerdefinierten Benutzers verwendet wird. Wenn ein Benutzer vorhanden ist, löschen Sie zuerst den vorhandenen Benutzer und die Rolle mit diesen Befehlen:
security login delete -user-or-group-name csuser -application * -vserver <vservername> security login role delete -role csrole -cmddirname * -vserver <vservername> security login rest-role delete -role csrestrole -api * -vserver <vservername>
Um den neuen Benutzer zu erstellen, melden Sie sich mit dem Benutzernamen/Passwort des Clusterverwaltungsadministrators bei ONTAP an und führen Sie die folgenden Befehle auf dem ONTAP Server aus. Kopieren Sie diese Befehle der Einfachheit halber in einen Texteditor und ersetzen Sie <vservername> durch Ihren Vserver-Namen, bevor Sie diese Befehle auf ONTAP ausführen:
security login role create -vserver <vservername> -role csrole -cmddirname DEFAULT -access none
security login role create -vserver <vservername> -role csrole -cmddirname "network interface" -access readonly security login role create -vserver <vservername> -role csrole -cmddirname version -access readonly security login role create -vserver <vservername> -role csrole -cmddirname volume -access readonly security login role create -vserver <vservername> -role csrole -cmddirname vserver -access readonly
security login role create -vserver <vservername> -role csrole -cmddirname "vserver fpolicy" -access all security login role create -vserver <vservername> -role csrole -cmddirname "volume snapshot" -access all
security login create -user-or-group-name csuser -application ontapi -authmethod password -role csrole -vserver <vservername> security login create -user-or-group-name csuser -application http -authmethod password -role csrole -vserver <vservername>
Protobuf-Modus
Workload Security konfiguriert die FPolicy-Engine im Protobuf-Modus, wenn diese Option in den Erweiterten Konfigurationseinstellungen des Collectors aktiviert ist. Der Protobuf-Modus wird in ONTAP Version 9.15 und höher unterstützt.
Weitere Einzelheiten zu dieser Funktion finden Sie im"ONTAP-Dokumentation" .
Für protobuf sind bestimmte Berechtigungen erforderlich (einige oder alle davon sind möglicherweise bereits vorhanden):
Cluster-Modus:
security login role create -role csrole -cmddirname "vserver fpolicy" -access all VServer-Modus:
security login role create -vserver <vservername> -role csrole -cmddirname "vserver fpolicy" -access all
Berechtigungen für ONTAP Autonomous Ransomware Protection und ONTAP Access Denied
Wenn Sie Anmeldeinformationen für die Clusterverwaltung verwenden, sind keine neuen Berechtigungen erforderlich.
Wenn Sie einen benutzerdefinierten Benutzer (z. B. csuser) mit dem Benutzer erteilten Berechtigungen verwenden, führen Sie die folgenden Schritte aus, um Workload Security die Berechtigung zum Sammeln von ARP-bezogenen Informationen von ONTAP zu erteilen.
Weitere Informationen finden Sie unter"Integration mit ONTAP Access Denied"
Konfigurieren des Datensammlers
- 
Melden Sie sich als Administrator oder Kontoinhaber bei Ihrer Data Infrastructure Insights Umgebung an. 
- 
Klicken Sie auf Workload-Sicherheit > Collectors > +Datensammler Das System zeigt die verfügbaren Datensammler an. 
- 
Bewegen Sie den Mauszeiger über die Kachel * NetApp SVM und klicken Sie auf +Überwachen. Das System zeigt die ONTAP SVM-Konfigurationsseite an. Geben Sie für jedes Feld die erforderlichen Daten ein. 
| Feld | Beschreibung | 
| Name | Eindeutiger Name für den Datensammler | 
| Agent | Wählen Sie einen konfigurierten Agenten aus der Liste aus. | 
| Verbindung über Management-IP für: | Wählen Sie entweder Cluster-IP oder SVM-Verwaltungs-IP | 
| Cluster-/SVM-Verwaltungs-IP-Adresse | Die IP-Adresse für den Cluster oder die SVM, abhängig von Ihrer obigen Auswahl. | 
| Name SVM | Der Name der SVM (dieses Feld ist erforderlich, wenn eine Verbindung über die Cluster-IP hergestellt wird) | 
| Benutzername | Benutzername für den Zugriff auf SVM/Cluster. Beim Hinzufügen über die Cluster-IP sind die Optionen: 1. Cluster-Administrator 2. 'csuser' 3. AD-Benutzer mit ähnlicher Rolle wie csuser. Beim Hinzufügen über die SVM-IP sind die Optionen: 4. vsadmin 5. 'csuser' 6. AD-Benutzername mit ähnlicher Rolle wie csuser. | 
| Passwort | Passwort für den oben genannten Benutzernamen | 
| Filtern von Anteilen/Volumes | Wählen Sie, ob Freigaben/Volumes in die Ereigniserfassung einbezogen oder ausgeschlossen werden sollen | 
| Geben Sie die vollständigen Freigabenamen ein, die ausgeschlossen/eingeschlossen werden sollen | Durch Kommas getrennte Liste von Freigaben, die (je nach Bedarf) aus der Ereignissammlung ausgeschlossen oder eingeschlossen werden sollen | 
| Geben Sie vollständige Volumenamen ein, die ausgeschlossen/eingeschlossen werden sollen | Durch Kommas getrennte Liste der Datenträger, die (je nach Bedarf) von der Ereigniserfassung ausgeschlossen oder eingeschlossen werden sollen | 
| Ordnerzugriff überwachen | Wenn diese Option aktiviert ist, werden Ereignisse für die Ordnerzugriffsüberwachung aktiviert. Beachten Sie, dass das Erstellen/Umbenennen und Löschen von Ordnern auch ohne Auswahl dieser Option überwacht wird. Durch die Aktivierung wird die Anzahl der überwachten Ereignisse erhöht. | 
| ONTAP Sendepuffergröße festlegen | Legt die Größe des ONTAP Fpolicy-Sendepuffers fest. Wenn eine ONTAP Version vor 9.8p7 verwendet wird und Leistungsprobleme auftreten, kann die Größe des ONTAP Sendepuffers geändert werden, um die ONTAP Leistung zu verbessern. Wenden Sie sich an den NetApp -Support, wenn Sie diese Option nicht sehen und sie ausprobieren möchten. | 
- 
Verwenden Sie auf der Seite „Installierte Datensammler“ das Optionsmenü rechts neben jedem Sammler, um den Datensammler zu bearbeiten. Sie können den Datensammler neu starten oder die Konfigurationsattribute des Datensammlers bearbeiten. 
Empfohlene Konfiguration für MetroCluster
Folgendes wird für MetroCluster empfohlen:
- 
Verbinden Sie zwei Datensammler, einen mit dem Quell-SVM und einen mit dem Ziel-SVM. 
- 
Die Datensammler sollten über Cluster-IP verbunden sein. 
- 
Der Datensammler des aktuell „laufenden“ SVM wird jederzeit als „Läuft“ angezeigt. Der aktuell „gestoppte“ Datensammler des SVM wird als Gestoppt angezeigt. 
- 
Bei jeder Umschaltung ändert sich der Status des Datensammlers von Läuft zu Gestoppt und umgekehrt. 
- 
Es dauert bis zu zwei Minuten, bis der Datensammler vom Status „Gestoppt“ in den Status „Läuft“ wechselt. 
Servicerichtlinie
Wenn Sie die Servicerichtlinie mit ONTAP Version 9.9.1 oder neuer verwenden, ist zum Herstellen einer Verbindung mit dem Data Source Collector der Dienst data-fpolicy-client zusammen mit dem Datendienst data-nfs und/oder data-cifs erforderlich.
Beispiel:
Testcluster-1:*> net int service-policy create -policy only_data_fpolicy -allowed-addresses 0.0.0.0/0 -vserver aniket_svm -services data-cifs,data-nfs,data,-core,data-fpolicy-client (network interface service-policy create)
In ONTAP -Versionen vor 9.9.1 muss data-fpolicy-client nicht festgelegt werden.
Play-Pause-Datensammler
Wenn sich der Datensammler im Status „Wird ausgeführt“ befindet, können Sie die Sammlung anhalten. Öffnen Sie das „Drei-Punkte“-Menü für den Collector und wählen Sie PAUSE. Während der Collector angehalten ist, werden keine Daten von ONTAP gesammelt und keine Daten vom Collector an ONTAP gesendet. Dies bedeutet, dass keine Fpolicy-Ereignisse von ONTAP zum Datensammler und von dort zu Data Infrastructure Insights fließen.
Beachten Sie, dass Workload Security die Daten nicht sammelt, wenn auf ONTAP neue Volumes usw. erstellt werden, während der Collector angehalten ist, und dass diese Volumes usw. nicht in Dashboards oder Tabellen angezeigt werden.
|  | Ein Collector kann nicht angehalten werden, wenn er über eingeschränkte Benutzer verfügt. Stellen Sie den Benutzerzugriff wieder her, bevor Sie den Collector anhalten. | 
Beachten Sie Folgendes:
- 
Gemäß den für einen angehaltenen Collector konfigurierten Einstellungen wird keine Snapshot-Bereinigung durchgeführt. 
- 
EMS-Ereignisse (wie ONTAP ARP) werden auf einem angehaltenen Collector nicht verarbeitet. Das bedeutet, dass Data Infrastructure Insights Workload Security dieses Ereignis nicht erfassen kann, wenn ONTAP einen Ransomware-Angriff erkennt. 
- 
Für einen pausierten Collector werden KEINE E-Mails mit Gesundheitsbenachrichtigungen gesendet. 
- 
Manuelle oder automatische Aktionen (wie Snapshot oder Benutzerblockierung) werden bei einem angehaltenen Collector nicht unterstützt. 
- 
Bei Agent- oder Collector-Upgrades, Neustarts/Neustarts der Agent-VM oder Neustarts des Agent-Dienstes bleibt ein angehaltener Collector im Status Angehalten. 
- 
Wenn sich der Datensammler im Status Fehler befindet, kann der Sammler nicht in den Status Pausiert geändert werden. Die Schaltfläche „Pause“ wird nur aktiviert, wenn der Status des Collectors „Wird ausgeführt“ ist. 
- 
Wenn die Verbindung zum Agenten getrennt wird, kann der Collector nicht in den Status Pausiert versetzt werden. Der Collector wechselt in den Status „Gestoppt“ und die Schaltfläche „Pause“ wird deaktiviert. 
Persistenter Speicher
Persistenter Speicher wird mit ONTAP 9.14.1 und höher unterstützt. Beachten Sie, dass die Anweisungen für Volumenamen von ONTAP 9.14 bis 9.15 variieren.
Der persistente Speicher kann durch Aktivieren des Kontrollkästchens auf der Seite „Bearbeiten/Hinzufügen“ des Collectors aktiviert werden. Nach dem Aktivieren des Kontrollkästchens wird ein Textfeld zur Annahme des Datenträgernamens angezeigt. Der Volumename ist ein Pflichtfeld zum Aktivieren des persistenten Speichers.
- 
Für ONTAP 9.14.1 müssen Sie das Volume vor der Aktivierung der Funktion erstellen und im Feld Volume Name denselben Namen angeben. Die empfohlene Volumegröße beträgt 16 GB. 
- 
Für ONTAP 9.15.1 wird das Volume vom Collector automatisch mit einer Größe von 16 GB erstellt, wobei der im Feld Volume Name angegebene Name verwendet wird. 
Für den persistenten Speicher sind bestimmte Berechtigungen erforderlich (einige oder alle davon sind möglicherweise bereits vorhanden):
Cluster-Modus:
security login role create -role csrole -cmddirname "vserver fpolicy" -access all security login role create -role csrole -cmddirname "job show" -access readonly
VServer-Modus:
security login role create -vserver <vservername> -role csrole -cmddirname "vserver fpolicy" -access all security login role create -vserver <vservername> -role csrole -cmddirname "job show" -access readonly
Migrieren von Collectoren
Sie können einen Workload Security-Collector problemlos von einem Agenten auf einen anderen migrieren und so einen effizienten Lastenausgleich der Collector-Instanzen zwischen den Agenten ermöglichen.
Voraussetzungen
- 
Der Quellagent muss sich im Status verbunden befinden. 
- 
Der zu migrierende Collector muss sich im Status „Laufend“ befinden. 
Hinweis:
- 
Migrate wird sowohl für Daten- als auch für Benutzerverzeichnis-Sammler unterstützt. 
- 
Die Migration eines Collectors wird für manuell verwaltete Mandanten nicht unterstützt. 
Migrieren des Collectors
Um einen Collector zu migrieren, führen Sie die folgenden Schritte aus:
- 
Gehen Sie zur Seite „Collector bearbeiten“. 
- 
Wählen Sie einen Zielagenten aus der Agenten-Dropdownliste aus. 
- 
Klicken Sie auf die Schaltfläche „Collector speichern“. 
Workload Security verarbeitet die Anfrage. Nach erfolgreicher Migration wird der Benutzer zur Seite mit der Sammlerliste weitergeleitet. Im Fehlerfall wird auf der Bearbeitungsseite eine entsprechende Meldung angezeigt.
Hinweis: Alle zuvor auf der Seite „Collector bearbeiten“ vorgenommenen Konfigurationsänderungen bleiben auch nach der erfolgreichen Migration des Collectors zum Zielagenten wirksam.

Fehlerbehebung
Siehe die"Fehlerbehebung beim SVM Collector" Seite für Tipps zur Fehlerbehebung.
 PDFs
PDFs