Sichern Sie eine ONTAP Select Bereitstellung
Es gibt mehrere damit verbundene Aufgaben, die Sie im Rahmen der Sicherung einer ONTAP Select Bereitstellung durchführen können.
Ändern des Deploy-Administratorkennworts
Sie können das Kennwort für das Administratorkonto der virtuellen Maschine „Deploy“ bei Bedarf über die Webbenutzeroberfläche ändern.
-
Sign in mit dem Administratorkonto bei der Web-Benutzeroberfläche des Bereitstellungsdienstprogramms an.
-
Klicken Sie oben rechts auf der Seite auf das Zahlensymbol und wählen Sie Passwort ändern.
-
Geben Sie das aktuelle und das neue Passwort wie aufgefordert ein und klicken Sie auf Senden.
Hinzufügen eines Verwaltungsserverkontos
Sie können der Anmeldeinformationsspeicherdatenbank von Deploy ein Verwaltungsserverkonto hinzufügen.
Sie sollten mit den Arten von Anmeldeinformationen und ihrer Verwendung durch ONTAP Select Deploy vertraut sein.
-
Sign in mit dem Administratorkonto bei der Web-Benutzeroberfläche des Bereitstellungsdienstprogramms an.
-
Klicken Sie oben auf der Seite auf die Registerkarte Verwaltung.
-
Klicken Sie auf Verwaltungsserver und dann auf vCenter hinzufügen.
-
Geben Sie die folgenden Informationen ein und klicken Sie auf Hinzufügen.
In diesem Bereich … Gehen Sie wie folgt vor … Name/IP-Adresse
Geben Sie den Domänennamen oder die IP-Adresse des vCenter-Servers an.
Benutzername
Geben Sie den Kontobenutzernamen ein, um auf vCenter zuzugreifen.
Passwort
Geben Sie das Passwort für den zugehörigen Benutzernamen ein.
-
Nachdem der neue Management-Server hinzugefügt wurde, können Sie optional auf
und wählen Sie eine der folgenden Optionen aus:
-
Anmeldeinformationen aktualisieren
-
Anmeldeinformationen überprüfen
-
Entfernen des Verwaltungsservers
-
MFA konfigurieren
Ab ONTAP Select 9.13.1 wird die Multifaktor-Authentifizierung (MFA) für das ONTAP Select Deploy-Administratorkonto unterstützt:
ONTAP Select Deploy CLI MFA-Anmeldung mit YubiKey PIV- oder FIDO2-Authentifizierung
YubiKey PIV
Konfigurieren Sie die YubiKey-PIN und generieren oder importieren Sie den privaten Schlüssel und das Zertifikat des Remote Support Agent (RSA) oder Elliptic Curve Digital Signature Algorithm (ECDSA) mit den Schritten in "TR-4647: Multifaktor-Authentifizierung in ONTAP" .
-
Für Windows: Der Abschnitt YubiKey PIV-Client-Konfiguration für Windows des technischen Berichts.
-
Für MacOS: Der Abschnitt YubiKey PIV-Clientkonfiguration für MAC OS und Linux des technischen Berichts.
FIDO2
Wenn Sie sich für die YubiKey FIDO2-Authentifizierung entscheiden, konfigurieren Sie die YubiKey FIDO2-PIN mit dem YubiKey Manager und generieren Sie den FIDO2-Schlüssel mit einer PuTTY-CAC (Common Access Card) für Windows oder einem ssh-keygen für MacOS. Die Schritte dazu finden Sie im technischen Bericht. "TR-4647: Multifaktor-Authentifizierung in ONTAP" .
-
Für Windows: Der Abschnitt YubiKey FIDO2-Clientkonfiguration für Windows des technischen Berichts.
-
Für MacOS: Der Abschnitt YubiKey FIDO2-Clientkonfiguration für Mac OS und Linux des technischen Berichts.
Besorgen Sie sich den öffentlichen YubiKey PIV- oder FIDO2-Schlüssel
Das Abrufen des öffentlichen Schlüssels hängt davon ab, ob Sie ein Windows- oder MacOS-Client sind und ob Sie PIV oder FIDO2 verwenden.
-
Exportieren Sie den öffentlichen PIV-Schlüssel mithilfe der Funktion In die Zwischenablage kopieren unter SSH → Zertifikat, wie im Abschnitt Konfigurieren des Windows PuTTY-CAC SSH-Clients für die YubiKey PIV-Authentifizierung auf Seite 16 von TR-4647 beschrieben.
-
Exportieren Sie den öffentlichen FIDO2-Schlüssel mithilfe der Funktion In die Zwischenablage kopieren unter SSH → Zertifikat, wie im Abschnitt Konfigurieren des Windows PuTTY-CAC SSH-Clients für die YubiKey FIDO2-Authentifizierung auf Seite 30 von TR-4647 beschrieben.
-
Der öffentliche PIV-Schlüssel sollte mit dem
ssh-keygen -e
Befehl wie im Abschnitt Konfigurieren des Mac OS- oder Linux-SSH-Clients für die YubiKey-PIV-Authentifizierung auf Seite 24 von TR-4647 beschrieben. -
Der öffentliche FIDO2-Schlüssel befindet sich im
id_ecdsa_sk.pub
Datei oderid_edd519_sk.pub
Datei, je nachdem, ob Sie ECDSA oder EDD519 verwenden, wie im Abschnitt Konfigurieren des MAC OS- oder Linux-SSH-Clients für die YubiKey FIDO2-Authentifizierung auf Seite 39 von TR-4647 beschrieben.
Konfigurieren Sie den öffentlichen Schlüssel in ONTAP Select Deploy
SSH wird vom Administratorkonto für die Authentifizierung mit öffentlichem Schlüssel verwendet. Der verwendete Befehl ist derselbe, unabhängig davon, ob es sich bei der Authentifizierungsmethode um die standardmäßige SSH-Authentifizierung mit öffentlichem Schlüssel, die YubiKey PIV- oder FIDO2-Authentifizierung handelt.
Für hardwarebasiertes SSH MFA lauten die Authentifizierungsfaktoren zusätzlich zum auf ONTAP Select Deploy konfigurierten öffentlichen Schlüssel wie folgt:
-
Die PIV- oder FIDO2-PIN
-
Besitz des YubiKey-Hardwaregeräts. Bei FIDO2 wird dies durch physisches Berühren des YubiKey während des Authentifizierungsprozesses bestätigt.
Legen Sie den öffentlichen PIV- oder FIDO2-Schlüssel fest, der für den YubiKey konfiguriert ist. Der ONTAP Select Deploy CLI-Befehl security publickey add -key
ist für PIV oder FIDO2 gleich und die öffentliche Schlüsselzeichenfolge ist unterschiedlich.
Der öffentliche Schlüssel wird bezogen von:
-
Die Funktion In die Zwischenablage kopieren für PuTTY-CAC für PIV und FIDO2 (Windows)
-
Exportieren des öffentlichen Schlüssels in einem SSH-kompatiblen Format mithilfe der
ssh-keygen -e
Befehl für PIV -
Die öffentliche Schlüsseldatei befindet sich im
~/.ssh/id_***_sk.pub
Datei für FIDO2 (MacOS)
-
Den generierten Schlüssel finden Sie im
.ssh/id_***.pub
Datei. -
Fügen Sie den generierten Schlüssel zu ONTAP Select Deploy hinzu, indem Sie
security publickey add -key <key>
Befehl.(ONTAPdeploy) security publickey add -key "ssh-rsa <key> user@netapp.com"
-
Aktivieren Sie die MFA-Authentifizierung mit dem
security multifactor authentication enable
Befehl.(ONTAPdeploy) security multifactor authentication enable MFA enabled Successfully
Melden Sie sich bei ONTAP Select Deploy mit der YubiKey PIV-Authentifizierung über SSH an
Sie können sich bei ONTAP Select Deploy mit der YubiKey PIV-Authentifizierung über SSH anmelden.
-
Nachdem das YubiKey-Token, der SSH-Client und ONTAP Select Deploy konfiguriert sind, können Sie die MFA YubiKey PIV-Authentifizierung über SSH verwenden.
-
Melden Sie sich bei ONTAP Select „Bereitstellen“. Wenn Sie den Windows PuTTY-CAC SSH-Client verwenden, wird ein Dialogfeld angezeigt, in dem Sie zur Eingabe Ihrer YubiKey-PIN aufgefordert werden.
-
Melden Sie sich von Ihrem Gerät mit angeschlossenem YubiKey an.
login as: admin Authenticating with public key "<public_key>" Further authentication required <admin>'s password: NetApp ONTAP Select Deploy Utility. Copyright (C) NetApp Inc. All rights reserved. Version: NetApp Release 9.13.1 Build:6811765 08-17-2023 03:08:09 (ONTAPdeploy)
ONTAP Select Deploy CLI MFA-Anmeldung mit ssh-keygen
Der ssh-keygen
Der Befehl ist ein Tool zum Erstellen neuer Authentifizierungsschlüsselpaare für SSH. Die Schlüsselpaare werden zur Automatisierung von Anmeldungen, Single Sign-On und zur Authentifizierung von Hosts verwendet.
Der ssh-keygen
Der Befehl unterstützt mehrere Public-Key-Algorithmen für Authentifizierungsschlüssel.
-
Die Auswahl des Algorithmus erfolgt mit dem
-t
Option -
Die Auswahl der Schlüsselgröße erfolgt mit dem
-b
Option
ssh-keygen -t ecdsa -b 521 ssh-keygen -t ed25519 ssh-keygen -t ecdsa
-
Den generierten Schlüssel finden Sie im
.ssh/id_***.pub
Datei. -
Fügen Sie den generierten Schlüssel zu ONTAP Select Deploy hinzu, indem Sie
security publickey add -key <key>
Befehl.(ONTAPdeploy) security publickey add -key "ssh-rsa <key> user@netapp.com"
-
Aktivieren Sie die MFA-Authentifizierung mit dem
security multifactor authentication enable
Befehl.(ONTAPdeploy) security multifactor authentication enable MFA enabled Successfully
-
Melden Sie sich nach der Aktivierung von MFA beim ONTAP Select Deploy-System an. Sie sollten eine Ausgabe ähnlich dem folgenden Beispiel erhalten.
[<user ID> ~]$ ssh <admin> Authenticated with partial success. <admin>'s password: NetApp ONTAP Select Deploy Utility. Copyright (C) NetApp Inc. All rights reserved. Version: NetApp Release 9.13.1 Build:6811765 08-17-2023 03:08:09 (ONTAPdeploy)
Migrieren Sie von MFA zur Einzelfaktor-Authentifizierung
MFA kann für das Deploy-Administratorkonto mit den folgenden Methoden deaktiviert werden:
-
Wenn Sie sich als Administrator über Secure Shell (SSH) bei der Deploy-CLI anmelden können, deaktivieren Sie MFA, indem Sie den
security multifactor authentication disable
Befehl von der Bereitstellungs-CLI.(ONTAPdeploy) security multifactor authentication disable MFA disabled Successfully
-
Wenn Sie sich nicht als Administrator per SSH bei der Deploy-CLI anmelden können:
-
Stellen Sie über vCenter oder vSphere eine Verbindung zur Videokonsole „Deploy Virtual Machine“ (VM) her.
-
Melden Sie sich mit dem Administratorkonto bei der Deploy-CLI an.
-
Führen Sie den
security multifactor authentication disable
Befehl.Debian GNU/Linux 11 <user ID> tty1 <hostname> login: admin Password: NetApp ONTAP Select Deploy Utility. Copyright (C) NetApp Inc. All rights reserved. Version: NetApp Release 9.13.1 Build:6811765 08-17-2023 03:08:09 (ONTAPdeploy) security multifactor authentication disable MFA disabled successfully (ONTAPdeploy)
-
-
Der Administrator kann den öffentlichen Schlüssel löschen mit:
security publickey delete -key