Wie ONTAP FPolicy mit externen FPolicy Servern funktioniert
Änderungen vorschlagen
PDFs
Nachdem FPolicy auf der Storage Virtual Machine (SVM) konfiguriert und aktiviert wurde, läuft FPolicy auf jedem Knoten, an dem die SVM beteiligt ist. FPolicy ist verantwortlich für den Aufbau und die Aufrechterhaltung von Verbindungen zu externen FPolicy Servern (FPolicy Server), für die Verarbeitung von Benachrichtigungen sowie für die Verwaltung von Benachrichtigungen an und von FPolicy Servern.
Darüber hinaus hat FPolicy im Rahmen des Verbindungsmanagements folgende Verantwortlichkeiten:
-
Stellt sicher, dass Dateibenachrichtigungen über die korrekte LIF an den FPolicy Server weitergeleitet werden.
-
Gewährleistet, dass bei der Zuordnung mehrerer FPolicy Server zu einer Richtlinie ein Lastausgleich beim Senden von Benachrichtigungen an die FPolicy Server erfolgt.
-
Versuche, die Verbindung wiederherzustellen, wenn die Verbindung zu einem FPolicy Server unterbrochen wird.
-
Sendet die Benachrichtigungen über eine authentifizierte Sitzung an die FPolicy Server.
-
Verwaltet die vom FPolicy Server eingerichtete Passthrough-Read-Datenverbindung zur Bearbeitung von Clientanfragen, wenn Passthrough-Read aktiviert ist.
Wie Kontrollkanäle für die FPolicy Kommunikation verwendet werden
FPolicy initiiert eine Steuerkanalverbindung zu einem externen FPolicy Server von den Daten-LIFs jedes Knotens einer Storage Virtual Machine (SVM). FPolicy verwendet Steuerkanäle zur Übertragung von Dateibenachrichtigungen, daher kann ein FPolicy Server je nach SVM-Topologie mehrere Steuerkanalverbindungen sehen.
Wie privilegierte Datenzugriffskanäle für synchronen Kommunikationsaustausch verwendet werden
Bei synchronen Anwendungsfällen greift der FPolicy Server über einen privilegierten Datenzugriffspfad auf Daten zu, die sich auf der Storage Virtual Machine (SVM) befinden. Der Zugriff über den privilegierten Pfad stellt dem FPolicy Server das gesamte Dateisystem zur Verfügung. Er kann auf Datendateien zugreifen, um Informationen zu sammeln, Dateien zu scannen, Dateien zu lesen oder in Dateien zu schreiben.
Da der externe FPolicy Server über den privilegierten Datenkanal auf das gesamte Dateisystem vom Stammverzeichnis der SVM aus zugreifen kann, muss die Verbindung über den privilegierten Datenkanal sicher sein.
Wie FPolicy Verbindungsinformationen mit privilegierten Datenzugriffskanälen verwendet werden
Der FPolicy Server stellt privilegierte Dateizugriffsverbindungen zu Cluster-Knoten her, indem er spezifische Windows-Benutzeranmeldeinformationen verwendet, die mit der FPolicy Konfiguration gespeichert sind. SMB ist das einzige unterstützte Protokoll für die Herstellung einer privilegierten Dateizugriffskanalverbindung.
Falls der FPolicy Server privilegierten Dateizugriff benötigt, müssen die folgenden Bedingungen erfüllt sein:
-
Auf dem Cluster muss eine SMB-Lizenz aktiviert sein.
-
Der FPolicy Server muss unter den in der FPolicy Konfiguration festgelegten Anmeldeinformationen ausgeführt werden.
Beim Herstellen einer Datenkanalverbindung verwendet FPolicy die Anmeldeinformationen für den angegebenen Windows-Benutzernamen. Der Dateizugriff erfolgt über die Adminfreigabe ONTAP_ADMIN$.
Was die Vergabe von Superuser-Berechtigungen für den Zugriff auf privilegierte Daten bedeutet
ONTAP verwendet die Kombination aus IP-Adresse und Benutzeranmeldeinformationen, die in der FPolicy Konfiguration festgelegt ist, um dem FPolicy Server Superuser-Berechtigungen zu erteilen.
Der Superuser-Status gewährt dem FPolicy Server die folgenden Berechtigungen beim Datenzugriff:
-
Berechtigungsprüfungen vermeiden
Der Benutzer umgeht Kontrollen des Datei- und Verzeichniszugriffs.
-
Spezielle Sperrberechtigungen
ONTAP ermöglicht Lese-, Schreib- oder Änderungszugriff auf beliebige Dateien, unabhängig von bestehenden Sperren. Wenn der FPolicy Server Bytebereichssperren für die Datei setzt, erfolgt die sofortige Entfernung bestehender Sperren für die Datei.
-
Jegliche FPolicy-Prüfungen umgehen
Access generiert keine FPolicy-Benachrichtigungen.
Wie FPolicy die Richtlinienverarbeitung verwaltet
Ihrer Storage Virtual Machine (SVM) können mehrere FPolicy Richtlinien mit jeweils unterschiedlicher Priorität zugewiesen sein. Für die Erstellung einer geeigneten FPolicy Konfiguration auf der SVM ist es wichtig zu verstehen, wie FPolicy die Richtlinienverarbeitung verwaltet.
Jede Dateizugriffsanfrage wird zunächst geprüft, um festzustellen, welche Richtlinien dieses Ereignis überwachen. Handelt es sich um ein überwachtes Ereignis, werden Informationen über das überwachte Ereignis sowie die relevanten Richtlinien an FPolicy übermittelt, wo sie ausgewertet werden. Jede Richtlinie wird in der Reihenfolge der zugewiesenen Priorität ausgewertet.
Folgende Empfehlungen sind bei der Konfiguration von Richtlinien zu berücksichtigen:
-
Wenn eine Richtlinie immer vor anderen Richtlinien ausgewertet werden soll, wird diese Richtlinie mit einer höheren Priorität konfiguriert.
-
Wenn der Erfolg einer angeforderten Dateizugriffsoperation bei einem überwachten Ereignis eine Voraussetzung für eine Dateianforderung ist, die anhand einer anderen Richtlinie ausgewertet wird, erhält die Richtlinie, die den Erfolg oder Misserfolg der ersten Dateioperation steuert, eine höhere Priorität.
Wenn beispielsweise eine Richtlinie die Archivierungs- und Wiederherstellungsfunktionalität von FPolicy-Dateien verwaltet und eine zweite Richtlinie Dateizugriffsvorgänge auf die Online-Datei verwaltet, muss die Richtlinie, die die Dateiwiederherstellung verwaltet, eine höhere Priorität haben, damit die Datei wiederhergestellt wird, bevor der von der zweiten Richtlinie verwaltete Vorgang zugelassen werden kann.
-
Wenn alle Richtlinien, die für einen Dateizugriff gelten könnten, ausgewertet werden sollen, ist synchronen Richtlinien eine niedrigere Priorität zuzuweisen.
Sie können die Prioritäten bestehender Richtlinien neu anordnen, indem Sie die Richtliniensequenznummer ändern. Damit FPolicy die Richtlinien jedoch anhand der geänderten Prioritätsreihenfolge auswertet, muss die Richtlinie mit der geänderten Sequenznummer deaktiviert und anschließend wieder aktiviert werden.