Skip to main content
Die deutsche Sprachversion wurde als Serviceleistung für Sie durch maschinelle Übersetzung erstellt. Bei eventuellen Unstimmigkeiten hat die englische Sprachversion Vorrang.

Strengere Zugriffskontrollen für Netgroups durch Überprüfung der Domains bei ONTAP NFS SVMs

Beitragende netapp-barbe netapp-aherbin
Änderungen vorschlagen
PDFs

Standardmäßig führt ONTAP bei der Überprüfung des Clientzugriffs auf eine Netgroup eine zusätzliche Verifizierung durch. Die zusätzliche Prüfung stellt sicher, dass die Domäne des Clients mit der Domänenkonfiguration der Storage Virtual Machine (SVM) übereinstimmt. Andernfalls verweigert ONTAP den Clientzugriff.

Über diese Aufgabe

Wenn ONTAP Exportregel für den Clientzugriff auswertet und eine Exportregel eine Netgroup enthält, muss ONTAP feststellen, ob die IP-Adresse eines Clients zu dieser Netgroup gehört. Zu diesem Zweck wandelt ONTAP die IP-Adresse des Clients mithilfe von DNS in einen Hostnamen um und ermittelt einen vollqualifizierten Domainnamen (FQDN).

Wenn in der Netgroup-Datei nur ein Kurzname für den Host aufgeführt ist und dieser Kurzname in mehreren Domänen existiert, ist es möglich, dass ein Client aus einer anderen Domäne ohne diese Überprüfung Zugriff erhält.

Um dies zu verhindern, vergleicht ONTAP die vom DNS für den Host zurückgegebene Domain mit der Liste der für die SVM konfigurierten DNS-Domainnamen. Wenn sie übereinstimmt, wird der Zugriff erlaubt. Wenn sie nicht übereinstimmt, wird der Zugriff verweigert.

Diese Überprüfung ist standardmäßig aktiviert. Sie kann durch Ändern des -netgroup-dns-domain-search Parameters verwaltet werden, der auf der erweiterten Berechtigungsebene verfügbar ist.

Schritte

  1. Stellen Sie die Berechtigungsstufe auf „Erweitert“ ein:

    set -privilege advanced

  2. Die gewünschte Aktion ausführen:

    Wenn die Domänenverifizierung für Netzgruppen erforderlich ist…​ Eingeben…​

    Aktiviert

    vserver nfs modify -vserver vserver_name -netgroup-dns-domain-search enabled

    Deaktiviert

    vserver nfs modify -vserver vserver_name -netgroup-dns-domain-search disabled

  3. Die Berechtigungsstufe wird auf Administrator gesetzt:

    set -privilege admin