Versionshinweise
Rollen, Applikationen und Authentifizierung
Änderungen vorschlagen
-
PDF dieser Dokumentationssite
-
ONTAP einrichten, aktualisieren und zurücksetzen
-
Cluster-Administration
-
Volume-Administration
-
Logisches Storage-Management mit der CLI
-
Verwenden Sie Quoten, um die Ressourcennutzung zu beschränken oder zu verfolgen
-
-
-
NAS-Storage-Management
-
Konfigurieren Sie NFS mit der CLI
-
Verwalten Sie NFS mit der CLI
-
SMB lässt sich mit der CLI managen
-
Verwalten Sie SMB-Server
-
Verwalten Sie den Dateizugriff mit SMB
-
-
-
SAN-Storage-Management
-
Authentifizierung und Zugriffssteuerung
-
Sicherheit und Datenverschlüsselung
-
Datensicherung und Disaster Recovery
-
Managen Sie die SnapMirror Volume-Replizierung
-
-
Sammlung separater PDF-Dokumente
Creating your file...
ONTAP bietet sicherheitsbewussten Unternehmen die Möglichkeit, verschiedenen Administratoren anhand verschiedener Anmeldeanwendungen und -Methoden granularen Zugriff zu gewähren. So können Kunden ein datenorientiertes Zero-Trust-Modell aufbauen.
Dies sind die Rollen, die Administratoren von Administratoren und Storage Virtual Machines zur Verfügung stehen. Die Methoden der Anmeldeanwendung und die Methoden der Anmeldeauthentifizierung werden angegeben.
Rollen
Dank rollenbasierter Zugriffssteuerung (Role Based Access Control, RBAC) haben Benutzer nur Zugriff auf die Systeme und Optionen, die für ihre Rollen und Funktionen erforderlich sind. Die RBAC-Lösung in ONTAP beschränkt den administrativen Zugriff der Benutzer auf das Niveau, das für ihre Rolle festgelegt wurde. Administratoren können so Benutzer anhand der zugewiesenen Rolle managen. ONTAP bietet mehrere vordefinierte Rollen. Operatoren und Administratoren können benutzerdefinierte Zugriffskontrollrollen erstellen, ändern oder löschen und Kontobeschränkungen für bestimmte Rollen festlegen.
Vordefinierte Rollen für Cluster-Administratoren
Diese Rolle… |
Verfügt über diese Zugriffsebene… |
Zu den folgenden Befehlen oder Befehlsverzeichnissen |
|
Alle |
Alle Befehlsverzeichnisse ( |
|
Lese-/Schreibzugriff |
|
Schreibgeschützt |
|
Keine |
|
|
Alle |
|
Keine |
Alle anderen Befehlsverzeichnisse ( |
|
Alle |
|
Schreibgeschützt |
|
Keine |
Alle anderen Befehlsverzeichnisse ( |
|
Alle |
|
Keine |
|
Schreibgeschützt |
Alle anderen Befehlsverzeichnisse ( |
|
|
Der autosupport Rolle ist dem vordefinierten zugewiesen autosupport Konto, das von AutoSupport OnDemand verwendet wird. ONTAP verhindert, dass Sie den ändern oder löschen können autosupport Konto. ONTAP verhindert darüber hinaus, dass Sie das zuweisen autosupport Rolle für andere Benutzerkonten.
|
Vordefinierte Rollen für SVM-Administratoren (Storage Virtual Machine
Rollenname |
Sorgen |
|
|
|
|
|
|
|
|
|
|
|
|
Anwendungsmethoden
Die Anwendungsmethode gibt den Zugriffstyp der Anmeldemethode an. Mögliche Werte sind console, http, ontapi, rsh, snmp, service-processor, ssh, und telnet.
Durch Festlegen dieses Parameters wird service-processor dem Benutzer Zugriff auf den Service-Prozessor gewährt. Wenn dieser Parameter auf festgelegt service-processor`ist, muss der `-authentication-method Parameter auf festgelegt werden password , da der Service Processor nur die Kennwortauthentifizierung unterstützt. SVM-Benutzerkonten können nicht auf den Service-Prozessor zugreifen. Daher können Operatoren und Administratoren den Parameter nicht verwenden -vserver , wenn dieser Parameter auf eingestellt ist service-processor.
Um den Zugriff auf das weiter einzuschränken service-processor , verwenden Sie den Befehl system service-processor ssh add-allowed-addresses. Mit dem Befehl system service-processor api-service können die Konfigurationen und Zertifikate aktualisiert werden.
Aus Sicherheitsgründen sind Telnet und Remote Shell (RSH) standardmäßig deaktiviert, da NetApp Secure Shell (SSH) für sicheren Remote-Zugriff empfiehlt. Wenn Telnet oder RSH erforderlich ist oder nur einmalig benötigt wird, müssen diese aktiviert sein.
Mit dem security protocol modify Befehl wird die vorhandene Cluster-weite Konfiguration von RSH und Telnet geändert. Aktivieren Sie RSH und Telnet im Cluster, indem Sie das Feld aktiviert auf einstellen true.
Authentifizierungsmethoden
Der Parameter für die Authentifizierungsmethode gibt die Authentifizierungsmethode an, die für Anmeldungen verwendet wird.
| Authentifizierungsmethode | Beschreibung |
|---|---|
|
SSL-Zertifikatauthentifizierung |
|
SNMP-Community-Zeichenfolgen |
|
Active Directory-Authentifizierung |
|
LDAP- oder NIS-Authentifizierung |
|
Passwort |
|
Authentifizierung über öffentlichen Schlüssel |
|
SNMP-Benutzersicherheitsmodell |
|
|
Die Verwendung von NIS wird aufgrund von Schwachstellen bei der Protokollsicherheit nicht empfohlen. |
Ab ONTAP 9.3 steht die verkettete zwei-Faktor-Authentifizierung für lokale SSH-Konten mit und Passwort als die beiden Authentifizierungsmethoden zur Verfügung admin publickey . Zusätzlich zum Feld im Befehl wurde ein neues Feld mit dem -authentication-method security login Namen -second-authentication-method hinzugefügt. Der öffentliche Schlüssel oder das Kennwort können entweder als oder als angegeben werden -authentication-method -second-authentication-method. Während der SSH-Authentifizierung ist die Reihenfolge jedoch immer öffentlicher Schlüssel mit teilweiser Authentifizierung, gefolgt von der Kennwortaufforderung zur vollständigen Authentifizierung.
[user@host01 ~]$ ssh ontap.netapp.local Authenticated with partial success. Password: cluster1::>
Ab ONTAP 9.4 nsswitch kann als zweite Authentifizierungsmethode mit verwendet werden publickey.
Ab ONTAP 9.12.1 kann FIDO2 auch für die SSH-Authentifizierung über ein YubiKey oder andere mit FIDO2 kompatible Geräte genutzt werden.
Ab ONTAP 9.13.1:
-
domainKonten können als zweite Authentifizierungsmethode mit verwendet werdenpublickey. -
Time-Based One-time password (
totp) ist ein temporärer Passcode, der von einem Algorithmus generiert wird, der die aktuelle Tageszeit als einen seiner Authentifizierungsfaktoren für die zweite Authentifizierungsmethode verwendet. -
Public Key Revocation wird mit SSH publickeys sowie Zertifikaten unterstützt, die während SSH auf Ablauf/Widerruf überprüft werden.
Weitere Informationen zur Multi-Faktor-Authentifizierung (MFA) für ONTAP System Manager, Active IQ Unified Manager und SSH finden Sie unter "TR-4647: Multifaktor-Authentifizierung in ONTAP 9".