Skip to main content
Die deutsche Sprachversion wurde als Serviceleistung für Sie durch maschinelle Übersetzung erstellt. Bei eventuellen Unstimmigkeiten hat die englische Sprachversion Vorrang.

Externe Verzeichnisdienste für den ONTAP S3-Zugriff konfigurieren

Beitragende netapp-dbagwell johnlantz netapp-barbe netapp-aaron-holt netapp-lenida netapp-aherbin netapp-ahibbard
Änderungen vorschlagen
PDFs

Ab ONTAP 9.14.1 sind Dienste für externe Verzeichnisse in ONTAP S3 Objektspeicher integriert. Diese Integration vereinfacht die Benutzer- und Zugriffsverwaltung über externe Verzeichnisdienste.

Sie können Benutzergruppen eines externen Verzeichnisdienstes Zugriff auf Ihre ONTAP Objektspeicherumgebung gewähren. Das Lightweight Directory Access Protocol (LDAP) ist eine Schnittstelle zur Kommunikation mit Verzeichnisdiensten wie Active Directory, die eine Datenbank und Dienste für Identitäts- und Zugriffsmanagement (IAM) bereitstellen. Um Zugriff bereitzustellen, ist die Konfiguration von LDAP-Gruppen in Ihrer ONTAP S3-Umgebung erforderlich. Nach der Konfiguration verfügen die Gruppenmitglieder über Berechtigungen für ONTAP S3 Buckets. Informationen zu LDAP finden sich unter "Informationen zur Verwendung von LDAP-Name-Services auf ONTAP NFS SVMs".

Sie können auch Active Directory-Benutzergruppen für den Fast-Bind-Modus konfigurieren, sodass Benutzeranmeldeinformationen validiert und S3-Anwendungen von Drittanbietern sowie Open-Source-S3-Anwendungen über LDAP-Verbindungen authentifiziert werden können.

Bevor Sie beginnen

Vor der Konfiguration von LDAP-Gruppen und der Aktivierung des Schnellbindungsmodus für den Gruppenzugriff sind die folgenden Punkte zu beachten:

  1. Es wurde eine S3-fähige Storage-VM mit einem S3-Server erstellt. Siehe "Eine SVM für S3 erstellen".

  2. In dieser Storage-VM wurde ein Bucket erstellt. Siehe "Einen Bucket erstellen".

  3. DNS ist auf der Speicher-VM konfiguriert. Siehe "DNS-Dienste konfigurieren".

  4. Ein selbstsigniertes Stammzertifizierungsstellenzertifikat (CA-Zertifikat) des LDAP-Servers ist auf der Storage-VM installiert. Siehe "Selbstsignierte Root-CA-Zertifikate auf der SVM installieren".

  5. Ein LDAP-Client ist mit aktiviertem TLS auf der SVM konfiguriert. Siehe "LDAP-Client-Konfigurationen für ONTAP NFS-Zugriff erstellen" und "Zu Informationszwecken können LDAP-Client-Konfigurationen mit ONTAP NFS SVMs verknüpft werden.".

S3-Zugriff für LDAP konfigurieren

  1. LDAP als Namensdienstdatenbank der SVM für die Gruppe und das Passwort für LDAP angeben:

    ns-switch modify -vserver <vserver-name> -database group -sources files,ldap
ns-switch modify -vserver <vserver-name> -database passwd -sources files,ldap

    Weitere Informationen zum Befehl vserver services name-service ns-switch modify finden Sie in der ONTAP Befehlsreferenz.

  2. Erstellen Sie eine Objektspeicher-Bucket-Richtlinienanweisung, bei der principal auf die LDAP-Gruppe gesetzt ist, der Zugriff gewährt werden soll:

    object-store-server bucket policy statement create -bucket <bucket-name> -effect allow -principal nasgroup/<ldap-group-name> -resource <bucket-name>, <bucket-name>/*

    Beispiel: Das folgende Beispiel erstellt eine Bucket-Richtlinienanweisung für buck1. Die Richtlinie erlaubt der LDAP-Gruppe group1 den Zugriff auf die Ressource (Bucket und seine Objekte) buck1.

    vserver object-store-server bucket policy add-statement -bucket buck1 -effect allow -action
GetObject,PutObject,DeleteObject,ListBucket,GetBucketAcl,GetObjectAcl,ListBucketMultipartUploads,ListMultipartUploadParts, ListBucketVersions,GetObjectTagging,PutObjectTagging,DeleteObjectTagging,GetBucketVersioning,PutBucketVersioning -principal nasgroup/group1 -resource buck1, buck1/*

  3. Es wird überprüft, ob ein Benutzer aus der LDAP-Gruppe group1 in der Lage ist, S3-Operationen vom S3-Client aus durchzuführen.

LDAP-Fast-Bind-Modus für die Authentifizierung verwenden

  1. LDAP als Namensdienstdatenbank der SVM für die Gruppe und das Passwort für LDAP angeben:

    ns-switch modify -vserver <vserver-name> -database group -sources files,ldap
ns-switch modify -vserver <vserver-name> -database passwd -sources files,ldap

    Weitere Informationen zum Befehl vserver services name-service ns-switch modify finden Sie in der ONTAP Befehlsreferenz.

  2. Stellen Sie sicher, dass ein LDAP-User, der auf den S3-Bucket zugreift, über die in den Bucket-Policies definierten Berechtigungen verfügt. Weitere Informationen finden sich unter "Ändern einer Bucket-Richtlinie".

  3. Es sollte überprüft werden, ob ein Benutzer der LDAP-Gruppe die folgenden Operationen ausführen kann:

    1. Der Zugriffsschlüssel wird auf dem S3-Client in diesem Format konfiguriert:
      "NTAPFASTBIND" + base64-encode(user-name:password) Beispiel: "NTAPFASTBIND" + base64-encode(ldapuser:password), was zu
      NTAPFASTBINDbGRhcHVzZXI6cGFzc3dvcmQ= führt

      Hinweis Der S3-Client fordert möglicherweise einen geheimen Schlüssel an. Falls kein geheimer Schlüssel vorhanden ist, kann ein beliebiges Passwort mit mindestens 16 Zeichen eingegeben werden.

    2. Grundlegende S3-Operationen können über den S3-Client ausgeführt werden, für die der Benutzer die entsprechenden Berechtigungen besitzt.

Base64-Anmeldeinformationen

Die Standardkonfiguration von ONTAP S3 schließt HTTP aus und verwendet ausschließlich HTTPS und eine Transport Layer Security (TLS)-Verbindung. ONTAP kann selbstsignierte Zertifikate generieren, aber die empfohlene Best Practice ist die Verwendung von Zertifikaten einer Drittanbieter-Zertifizierungsstelle (CA). Bei der Verwendung von CA-Zertifikaten entsteht eine Vertrauensbeziehung zwischen Client-Anwendungen und dem ONTAP Objektspeicher-Server.

Beachten Sie, dass mit Base64 codierte Anmeldeinformationen leicht entschlüsselt werden können. Die Verwendung von HTTPS verhindert, dass codierte Anmeldeinformationen von Man-in-the-Middle-Paketsniffern abgefangen werden.

Der LDAP-Fast-Bind-Modus sollte beim Erstellen vorab signierter URLs nicht für die Authentifizierung verwendet werden. Die Authentifizierung basiert ausschließlich auf dem Base64-Zugriffsschlüssel, der in der vorab signierten URL enthalten ist. Benutzername und Passwort werden jedem offengelegt, der den Base64-Zugriffsschlüssel entschlüsselt.

Authentifizierungsverfahren ist nsswitch und LDAP ist aktiviert Beispiel

$curl -siku <user>:<user_password> -X POST https://<LIF_IP_Address>/api/protocols/s3/services/<SVM_UUID>/users -d {"comment":"<S3_user_name>", "name":<user>,"key_time_to_live":"PT6H3M"}
Hinweis Die API ist an das Cluster-Management-LIF und nicht an das Daten-LIF der SVM zu richten. Um Benutzern das Generieren eigener Schlüssel zu ermöglichen, sind ihrer Rolle HTTP-Berechtigungen für die Nutzung von curl hinzuzufügen. Diese Berechtigung kommt zu den S3-API-Berechtigungen hinzu.

S3-Zugriff für Active Directory oder SMB-Server konfigurieren

Wenn für die in der Bucket-Richtlinie angegebene nasgroup oder die Benutzer, die dieser nasgroup angehören, keine UID und GID festgelegt sind, schlagen Suchvorgänge fehl, wenn diese Attribute nicht gefunden werden. Active Directory verwendet SID, nicht UID. Können SID-Einträge nicht UID zugeordnet werden, müssen die erforderlichen Daten zu ONTAP gebracht werden.

Dazu "vserver active-directory create" verwenden, damit sich die SVM bei Active Directory authentifizieren und die erforderlichen Benutzer- und Gruppeninformationen abrufen kann.

Alternativ kann "vserver cifs create" verwendet werden, um einen SMB-Server in einer Active Directory-Domäne zu erstellen.

Wenn Sie unterschiedliche Domänennamen für Nameserver und Objektspeicher verwenden, kann es zu Namensauflösungsfehlern kommen. Um Namensauflösungsfehler zu vermeiden, empfiehlt NetApp, für die Ressourcenautorisierung vertrauenswürdige Domänen im UPN-Format zu verwenden: nasgroup/group@trusted_domain.com Vertrauenswürdige Domänen sind solche, die der Liste der vertrauenswürdigen Domänen des SMB-Servers hinzugefügt wurden. Es wird erläutert, wie "Bevorzugte vertrauenswürdige Domänen hinzufügen, entfernen und ändern" in der SMB-Serverliste vorzugehen ist.

Schlüssel werden generiert, wenn das Authentifizierungsverfahren „Domäne“ ist und vertrauenswürdige Domänen in Active Directory konfiguriert sind.

Der `s3/services/<svm_uuid>/users`Endpoint wird mit Benutzern im UPN-Format verwendet. Beispiel:

$curl -siku FQDN\\user:<user_password> -X POST https://<LIF_IP_Address>/api/protocols/s3/services/<SVM_UUID>/users -d {"comment":"<S3_user_name>", "name":<user@fqdn>,"key_time_to_live":"PT6H3M"}
Hinweis Die API ist an das Cluster-Management-LIF und nicht an das Daten-LIF der SVM zu richten. Um Benutzern das Generieren eigener Schlüssel zu ermöglichen, sind ihrer Rolle HTTP-Berechtigungen für die Nutzung von curl hinzuzufügen. Diese Berechtigung kommt zu den S3-API-Berechtigungen hinzu.

Schlüssel generieren, wenn das Authentifizierungsverfahren „Domäne“ ist und keine vertrauenswürdigen Domänen vorhanden sind

Diese Aktion ist möglich, wenn LDAP deaktiviert ist oder wenn Nicht-POSIX-Benutzer keine UID und GID konfiguriert haben. Beispiel:

$curl -siku FQDN\\user:<user_password> -X POST https://<LIF_IP_Address>/api/protocols/s3/services/<SVM_UUID>/users -d {"comment":"<S3_user_name>", "name":<user[@fqdn]>,"key_time_to_live":"PT6H3M"}
Hinweis Die API ist an das Cluster-Management-LIF und nicht an das Daten-LIF der SVM zu richten. Um Benutzern das Generieren eigener Schlüssel zu ermöglichen, sind ihrer Rolle HTTP-Berechtigungen für die Nutzung von curl hinzuzufügen. Diese Berechtigung kommt zu den S3-API-Berechtigungen hinzu. Der optionale Domänenwert (@fqdn) ist einem Benutzernamen nur hinzuzufügen, wenn keine vertrauenswürdigen Domänen vorhanden sind.