Client-Authentifizierung und -Autorisierung
Änderungen vorschlagen
PDFs
ONTAP verwendet Standardmethoden, um den Zugriff von Clients und Administratoren auf den Speicher zu sichern und vor Viren zu schützen. Für die Verschlüsselung von Daten im Ruhezustand und für WORM-Speicherung stehen fortschrittliche Technologien zur Verfügung.
ONTAP authentifiziert einen Clientrechner und Benutzer, indem die Identitäten mit einer vertrauenswürdigen Quelle überprüft werden. ONTAP autorisiert einen Benutzer für den Zugriff auf eine Datei oder ein Verzeichnis, indem die Anmeldeinformationen des Benutzers mit den auf der Datei oder dem Verzeichnis konfigurierten Berechtigungen verglichen werden.
Authentifizierung
Es können lokale oder Remote-Benutzerkonten erstellt werden:
-
Bei einem lokalen Konto befinden sich die Kontoinformationen auf dem Speichersystem.
-
Bei einem Remote-Konto werden die Kontoinformationen auf einem Active Directory Domänencontroller, einem LDAP Server oder einem NIS Server gespeichert.
ONTAP verwendet lokale oder externe Namensdienste, um Hostnamen, Benutzer, Gruppen, Netzgruppen und Namenszuordnungsinformationen abzurufen. ONTAP unterstützt die folgenden Namensdienste:
-
Lokale Benutzer
-
DNS
-
Externe NIS-Domänen
-
Externe LDAP-Domänen
Eine Namensdienst-Umschalttabelle legt die Quellen für die Suche nach Netzwerkinformationen und deren Suchreihenfolge fest (entspricht der Funktionalität der Datei /etc/nsswitch.conf auf UNIX-Systemen). Wenn sich ein NAS-Client mit dem SVM verbindet, prüft ONTAP die angegebenen Namensdienste, um die benötigten Informationen zu erhalten.
Kerberos-Unterstützung Kerberos ist ein Netzwerk-Authentifizierungsprotokoll, das „starke Authentifizierung“ bietet, indem Benutzerpasswörter in Client-Server-Implementierungen verschlüsselt werden. ONTAP unterstützt Kerberos 5 Authentifizierung mit Integritätsprüfung (krb5i) und Kerberos 5 Authentifizierung mit Datenschutzprüfung (krb5p). |
Autorisierung
ONTAP wertet drei Sicherheitsstufen aus, um zu bestimmen, ob eine Entität berechtigt ist, eine angeforderte Aktion an Dateien und Verzeichnissen auf einer SVM durchzuführen. Der Zugriff ergibt sich aus den effektiven Berechtigungen nach Auswertung der Sicherheitsstufen:
-
Export (NFS) und Freigabe (SMB) Sicherheit
Die Export- und Freigabesicherheit gilt für den Clientzugriff auf einen bestimmten NFS-Export oder eine SMB-Freigabe. Benutzer mit Administratorrechten können die Export- und Freigabesicherheit von SMB- und NFS-Clients aus verwalten.
-
Storage-Level Access Guard Datei- und Verzeichnissicherheit
Die Storage-Level Access Guard-Sicherheitsfunktion gilt für den Zugriff von SMB- und NFS-Clients auf SVM-Volumes. Es werden ausschließlich NTFS-Zugriffsberechtigungen unterstützt. Damit ONTAP Sicherheitsprüfungen für UNIX-Benutzer beim Zugriff auf Daten auf Volumes durchführen kann, für die Storage-Level Access Guard angewendet wurde, muss der UNIX-Benutzer einem Windows-Benutzer auf der SVM zugeordnet sein, der das Volume besitzt.
-
NTFS-, UNIX- und NFSv4 native Dateiebene-Sicherheit
Die native Dateiebene-Sicherheit besteht auf der Datei oder dem Verzeichnis, das das Speicherobjekt repräsentiert. Die Dateiebene-Sicherheit kann von einem Client aus festgelegt werden. Dateiberechtigungen sind unabhängig davon wirksam, ob SMB oder NFS für den Datenzugriff verwendet wird.
Authentifizierung mit SAML
ONTAP unterstützt Security Assertion Markup Language (SAML) zur Authentifizierung von Remote-Benutzern. Mehrere gängige Identitätsanbieter (IdPs) werden unterstützt. Weitere Informationen zu den unterstützten IdPs und Anweisungen zur Aktivierung der SAML-Authentifizierung finden Sie unter "SAML-Authentifizierung konfigurieren".
OAuth 2.0 mit ONTAP REST API Clients
Die Unterstützung für das Open Authorization (OAuth 2.0) Framework ist ab ONTAP 9.14 verfügbar. OAuth 2.0 kann nur für Autorisierungs- und Zugriffskontrollentscheidungen verwendet werden, wenn der Client die ONTAP REST API nutzt, um auf ONTAP zuzugreifen. Die Funktion kann jedoch mit jeder der ONTAP-Verwaltungsschnittstellen konfiguriert und aktiviert werden, einschließlich der ONTAP CLI, dem System Manager und der ONTAP REST API.
Die Standardfunktionen von OAuth 2.0 werden zusammen mit mehreren gängigen Autorisierungsservern unterstützt. Die ONTAP Sicherheit kann zusätzlich erhöht werden, indem senderbeschränkte Zugriffstoken auf Basis von Mutual TLS verwendet werden. Es steht eine breite Auswahl an Autorisierungsoptionen zur Verfügung, darunter eigenständige Scopes sowie die Integration mit den ONTAP REST-Rollen und lokalen Benutzerdefinitionen. Siehe "Überblick über die ONTAP OAuth 2.0 Implementierung" für weitere Informationen.