Dynamische Autorisierung – Übersicht
Änderungen vorschlagen
PDFs
Ab ONTAP 9.15.1 können Administratoren dynamische Autorisierungen konfigurieren und aktivieren, um die Sicherheit des Remote-Zugriffs auf ONTAP zu erhöhen und gleichzeitig potenzielle Schäden zu minimieren, die durch einen böswilligen Akteur verursacht werden können. Mit ONTAP 9.15.1 bietet die dynamische Autorisierung einen ersten Rahmen für die Zuweisung einer Sicherheitsbewertung für Benutzer. Wenn ihre Aktivität verdächtig aussieht, werden sie durch zusätzliche Berechtigungsprüfungen oder die völlige Ablehnung eines Vorgangs in Frage gestellt. Administratoren können Regeln erstellen, Vertrauenswerte zuweisen und Befehle einschränken, um zu bestimmen, wann bestimmte Aktivitäten für einen Benutzer zugelassen oder verweigert werden. Administratoren können Cluster-weit oder für einzelne Storage VMs eine dynamische Autorisierung aktivieren.
Wie die dynamische Autorisierung funktioniert
Die dynamische Autorisierung verwendet ein System zur Vertrauensbewertung, um Benutzern je nach den Autorisierungsrichtlinien eine andere Vertrauensebene zuzuweisen. Je nach Vertrauensstufe des Benutzers kann eine Aktivität, die er durchführt, zugelassen oder verweigert werden, oder der Benutzer kann zur weiteren Authentifizierung aufgefordert werden.
"Dynamische Autorisierung anpassen"Weitere Informationen zum Konfigurieren von Gewichtungen für die Kriterienbewertung und anderen dynamischen Autorisierungsattributen finden Sie unter.
Vertrauenswürdige Geräte
Wenn die dynamische Autorisierung verwendet wird, ist die Definition eines vertrauenswürdigen Geräts ein Gerät, das von einem Benutzer verwendet wird, um sich bei ONTAP unter Verwendung der Authentifizierung mit öffentlichem Schlüssel als eine der Authentifizierungsmethoden anzumelden. Dem Gerät wird vertraut, weil nur dieser Benutzer den entsprechenden privaten Schlüssel besitzt.
Beispiel für eine dynamische Autorisierung
Nehmen wir das Beispiel von drei verschiedenen Benutzern, die versuchen, ein Volume zu löschen. Beim Versuch, den Vorgang durchzuführen, wird die Risikoeinstufung für jeden Benutzer untersucht:
-
Der erste Benutzer meldet sich von einem vertrauenswürdigen Gerät mit sehr wenigen früheren Authentifizierungsfehlern an, wodurch seine Risikoeinstufung gering wird. Der Vorgang ist ohne zusätzliche Authentifizierung zulässig.
-
Der zweite Benutzer meldet sich von einem vertrauenswürdigen Gerät mit einem moderaten Prozentsatz früherer Authentifizierungsfehler an, was die Risikoeinstufung moderat macht. Er wird zur zusätzlichen Authentifizierung aufgefordert, bevor der Vorgang zugelassen wird.
-
Der dritte Benutzer meldet sich von einem nicht vertrauenswürdigen Gerät mit einem hohen Prozentsatz früherer Authentifizierungsfehler an, wodurch die Risikoeinstufung hoch ist. Der Vorgang ist nicht zulässig.