Die vserver nfs tls interface Befehlsfamilie-enable, disable, modify und show ist SVM-spezifisch. Sie kann von der Cluster admin-Rolle oder von der vsadmin der zugehörigen SVM ausgeführt werden.

Das -allow-nfs-tls-only Feld auf vserver export-policy rule ist ein Schreibfeld des bestehenden Exportregel-Objekts. Es verwendet die standardmäßige Export-Policy-Regel-RBAC.

REST-Endpunkte unter /api/protocols/nfs/tls/interfaces entsprechen eins zu eins den oben genannten CLI-Befehlen. Es wird die standardmäßige NAS-Admin-RBAC verwendet. Es ist keine separate REST-Rolle definiert.

Die Aktivierung von NFS über TLS auf einem LIF erfordert ein Server-X.509-Zertifikat, das auf der SVM über security certificate install installiert ist. Das Zertifikat wird pro LIF zum Zeitpunkt der Aktivierung mit -certificate-name gebunden.

ONTAP führt zwei Prüfungen des bereitgestellten Serverzertifikats durch:

Ein optionaler -skip-san-validation`boolescher Wert (Standardwert `false) unterdrückt die SAN Prüfung beim Aktivieren oder Ändern.

Jeder fehlgeschlagene Prüfvorgang liefert eine eindeutige Fehlermeldung.

Die gegenseitige TLS (mTLS) Host-Authentifizierung ist optional. -enforce-host-auth true auf vserver nfs tls interface enable oder modify kann gesetzt werden, um sie zu aktivieren. Standardmäßig ist false eingestellt, was bedeutet, dass nur die Server-Authentifizierung erfolgt. Client-Zertifikate werden anhand der auf dem SVM installierten CA-Vertrauenskette validiert, für deren Bereitstellung Sie verantwortlich sind.

Alle Änderungen der NFS-over-TLS-Konfiguration werden im standardmäßigen ONTAP Revisionsprotokoll (security audit log show) aufgezeichnet. Die folgenden Vorgänge werden protokolliert:

Schreibgeschützte show und GET Operationen folgen der standardmäßigen ONTAP Revisionsprotokollrichtlinie und werden in der Regel nicht aufgezeichnet, es sei denn, das Revisionsprotokoll ist so konfiguriert, dass sie protokolliert werden.

Drei für den Kunden sichtbare EMS-Ereignisse werden auf dem NFS-over-TLS Datenpfad ausgegeben. Details zu den Ereignissen, Auslösebedingungen und Ratenbegrenzungen sind unter "EMS-Nachrichten" zu finden.

Die NFS over TLS Konfiguration ist pro SVM. Ein SVM-Administrator kann nur die TLS-Konfiguration auf LIFs der eigenen SVM sehen und verwalten. Cluster-Administratoren sehen alle SVMs.

Serverzertifikatsreferenzen sind SVM-lokal. Die Konfiguration wird clusterweit repliziert, sodass jeder Knoten, der einen bestimmten LIF bedient, dieselbe TLS-Konfiguration anwendet.

Warnung vor selbstsignierten Zertifikaten. Die CLI enable und modify-Befehle weisen darauf hin, dass selbstsignierte Zertifikate Sie einem Man-in-the-Middle-Angriff aussetzen. Ein von einer Zertifizierungsstelle signiertes Zertifikat, das über security certificate install installiert wurde, sollte verwendet werden.

Mutual TLS ist optional. Mit der Standardeinstellung -enforce-host-auth false schützt NFS over TLS die Vertraulichkeit und Integrität der Übertragung und authentifiziert den Server gegenüber dem Client, jedoch erfolgt keine kryptografische Authentifizierung des Client-Hosts. Wenn dies erforderlich ist, muss mTLS explizit aktiviert werden.

Die ausschließliche Verwendung von TLS wird pro Exportrichtlinienregel erzwungen, nicht global. Bis -allow-nfs-tls-only true in der entsprechenden Exportrichtlinienregel gesetzt ist, kann derselbe LIF weiterhin Nicht-TLS-NFS-Verbindungen von Clients akzeptieren, die ansonsten durch die Regel zugelassen sind.