Skip to main content
Die deutsche Sprachversion wurde als Serviceleistung für Sie durch maschinelle Übersetzung erstellt. Bei eventuellen Unstimmigkeiten hat die englische Sprachversion Vorrang.

Erstellen von Security-Trace-Filtern in ONTAP SVMs

Beitragende netapp-aherbin netapp-barbe netapp-aaron-holt netapp-thomi
Änderungen vorschlagen
PDFs

Sie können Sicherheits-Trace-Filter erstellen, die SMB- und NFS-Client-Operationen auf Storage Virtual Machines (SVMs) erkennen und alle Zugriffsprüfungen protokollieren, die dem Filter entsprechen. Die Ergebnisse dieser Sicherheits-Traces können zur Validierung der Konfiguration oder zur Fehlerbehebung bei Zugriffsproblemen verwendet werden.

Über diese Aufgabe

Für den Befehl zum Erstellen des vserver security trace filter sind zwei Parameter erforderlich:

Erforderliche Parameter

Beschreibung

-vserver vserver_name

SVM Name

Der Name der SVM, die die Dateien oder Ordner enthält, auf welche der Sicherheitsverfolgungsfilter angewendet werden soll.

-index index_number

Filterindexnummer

Die Indexnummer, die Sie auf den Filter anwenden möchten. Pro SVM sind maximal 10 Trace-Filter zulässig. Die zulässigen Werte für diesen Parameter sind 1 bis 10.

Eine Reihe optionaler Filterparameter ermöglicht es Ihnen, den Sicherheitstrace-Filter anzupassen, sodass die von der Sicherheitstrace erzeugten Ergebnisse eingegrenzt werden können:

Filterparameter

Beschreibung

-client-ip IP_Address

Dieser Filter legt die IP-Adresse fest, von der aus der Benutzer auf die SVM zugreift.

-path path

Dieser Filter gibt den Pfad an, auf den der Berechtigungsverfolgungsfilter angewendet wird. Der Wert für -path kann eines der folgenden Formate verwenden:

  • Der vollständige Pfad, beginnend beim Stammverzeichnis der Freigabe oder des Exports

  • Ein Teilpfad, relativ zum Stammverzeichnis der Freigabe

Im Pfadwert sind Verzeichnistrennzeichen im NFS-Stil beziehungsweise UNIX-Stil zu verwenden.

-windows-name win_user_name oder -unix-name``unix_user_name

Sie können entweder den Windows-Benutzernamen oder den UNIX-Benutzernamen angeben, dessen Zugriffsanfragen Sie verfolgen möchten. Die Variable „Benutzername“ unterscheidet nicht zwischen Groß- und Kleinschreibung. Es kann nicht gleichzeitig ein Windows-Benutzername und ein UNIX-Benutzername im selben Filter angegeben werden.

Hinweis

Auch wenn SMB- und NFS-Zugriffsereignisse nachverfolgt werden können, könnten der zugeordnete UNIX-Benutzer und die zugeordneten UNIX-Benutzergruppen bei Zugriffsprüfungen auf gemischte oder UNIX-Sicherheitsstil-Daten verwendet werden.

-trace-allow {yes

no}

Das Tracing für Ablehnungsereignisse ist für einen Security Trace-Filter immer aktiviert. Optional ist das Tracing von Zulassungsereignissen möglich. Zum Tracing von Zulassungsereignissen wird dieser Parameter auf yes gesetzt.

-enabled {enabled

disabled}

Sie können den Security Trace Filter aktivieren oder deaktivieren. Standardmäßig ist der Security Trace Filter aktiviert.

-time-enabled integer

Sie können eine Zeitüberschreitung für den Filter festlegen, nach deren Ablauf er deaktiviert wird.
Schritte

  1. Einen Sicherheits-Trace-Filter erstellen:

    vserver security trace filter create -vserver vserver_name -index index_numberfilter_parameters

    filter_parameters ist eine Liste optionaler Filterparameter.

    Weitere Informationen zu vserver security trace filter create finden sich in der "ONTAP-Befehlsreferenz".

  2. Der Eintrag des Sicherheitsverfolgungsfilters wird überprüft:

    vserver security trace filter show -vserver vserver_name -index index_number

Beispiele

Der folgende Befehl erstellt einen Security Trace-Filter für jeden Benutzer, der von der IP-Adresse 10.10.10.7 auf eine Datei mit einem Freigabepfad \\server\share1\dir1\dir2\file.txt zugreift. Der Filter verwendet einen vollständigen Pfad für die -path Option. Die IP-Adresse des Clients, die für den Zugriff auf die Daten verwendet wird, ist 10.10.10.7. Der Filter läuft nach 30 Minuten ab.

cluster1::> vserver security trace filter create -vserver vs1 -index 1 -path /dir1/dir2/file.txt -time-enabled 30 -client-ip 10.10.10.7
cluster1::> vserver security trace filter show -index 1
Vserver  Index   Client-IP            Path            Trace-Allow  Windows-Name
-------- -----  -----------  ----------------------   -----------  -------------
vs1        1    10.10.10.7   /dir1/dir2/file.txt          no       -

Der folgende Befehl erstellt einen Security-Trace-Filter mit einem relativen Pfad für die -path Option. Der Filter verfolgt den Dateizugriff eines Windows-Benutzers namens „joe“. Joe greift auf eine Datei mit einem Freigabepfad \\server\share1\dir1\dir2\file.txt zu. Der Filter protokolliert Zulassungs- und Ablehnungsereignisse.

cluster1::> vserver security trace filter create -vserver vs1 -index 2 -path /dir1/dir2/file.txt -trace-allow yes -windows-name mydomain\joe

cluster1::> vserver security trace filter show -vserver vs1 -index 2
                                 Vserver: vs1
                            Filter Index: 2
              Client IP Address to Match: -
                                    Path: /dir1/dir2/file.txt
                       Windows User Name: mydomain\joe
                          UNIX User Name: -
                      Trace Allow Events: yes
                          Filter Enabled: enabled
               Minutes Filter is Enabled: 60