Wie sich Signaturrichtlinien auf die Kommunikation mit ONTAP SMB-Servern auswirken
Änderungen vorschlagen
PDFs
Zusätzlich zu den SMB-Signatur-Sicherheitseinstellungen des CIFS-Servers steuern zwei SMB-Signaturrichtlinien auf Windows-Clients die digitale Signatur der Kommunikation zwischen Clients und dem CIFS-Server. Es kann die Einstellung konfiguriert werden, die den Geschäftsanforderungen entspricht.
Die SMB-Clientrichtlinien werden über die lokalen Sicherheitsrichtlinieneinstellungen von Windows gesteuert, die mithilfe der Microsoft Management Console (MMC) oder Active Directory GPOs konfiguriert werden. Weitere Informationen zur SMB-Clientsignierung und zu Sicherheitsproblemen enthält die Microsoft Windows-Dokumentation.
Hier sind Beschreibungen der beiden SMB-Signaturrichtlinien auf Microsoft Clients:
-
Microsoft network client: Digitally sign communications (if server agrees)Diese Einstellung steuert, ob die SMB-Signaturfunktion des Clients aktiviert ist. Sie ist standardmäßig aktiviert. Wenn diese Einstellung auf dem Client deaktiviert ist, hängt die Kommunikation des Clients mit dem CIFS-Server von der SMB-Signatureinstellung auf dem CIFS-Server ab.
-
Microsoft network client: Digitally sign communications (always)Diese Einstellung steuert, ob der Client für die Kommunikation mit einem Server eine SMB-Signatur benötigt. Sie ist standardmäßig deaktiviert. Wenn diese Einstellung auf dem Client deaktiviert ist, richtet sich das Verhalten bei der SMB-Signatur nach der Richtlinieneinstellung für
Microsoft network client: Digitally sign communications (if server agrees)und der Einstellung auf dem CIFS-Server.
Wenn Ihre Umgebung Windows-Clients umfasst, die so konfiguriert sind, dass sie SMB-Signierung erfordern, muss die SMB-Signierung auf dem CIFS-Server aktiviert werden. Andernfalls kann der CIFS-Server diesen Systemen keine Daten bereitstellen.
Die effektiven Ergebnisse der SMB-Signatureinstellungen von Client und CIFS-Server hängen davon ab, ob die SMB-Sitzungen SMB 1.0 oder SMB 2.x und höher verwenden.
Die folgende Tabelle fasst das effektive SMB-Signaturverhalten zusammen, wenn die Sitzung SMB 1.0 verwendet:
| Client | ONTAP Unterschrift nicht erforderlich | ONTAP Unterschrift erforderlich |
|---|---|---|
Signieren deaktiviert und nicht erforderlich |
Nicht unterschrieben |
Unterzeichnet |
Signierung aktiviert und nicht erforderlich |
Nicht unterschrieben |
Unterzeichnet |
Signieren deaktiviert und erforderlich |
Unterzeichnet |
Unterzeichnet |
Signierung aktiviert und erforderlich |
Unterzeichnet |
Unterzeichnet |
|
|
Ältere Windows SMB 1 Clients und einige Nicht-Windows SMB 1 Clients können möglicherweise keine Verbindung herstellen, wenn die Signierung auf dem Client deaktiviert ist, aber auf dem CIFS-Server erforderlich ist. |
Die folgende Tabelle fasst das effektive SMB-Signaturverhalten zusammen, wenn die Sitzung SMB 2.x oder SMB 3.0 verwendet:
|
|
Für SMB 2.x und SMB 3.0 Clients ist die SMB-Signierung immer aktiviert. Sie kann nicht deaktiviert werden. |
| Client | ONTAP Unterschrift nicht erforderlich | ONTAP Unterschrift erforderlich |
|---|---|---|
Unterschrift nicht erforderlich |
Nicht unterschrieben |
Unterzeichnet |
Unterschrift erforderlich |
Unterzeichnet |
Unterzeichnet |
Die folgende Tabelle fasst das Standardverhalten von Microsoft-Client und -Server bei der SMB-Signierung zusammen:
| Protokoll | Hash-Algorithmus | Kann aktiviert/deaktiviert werden | Kann erforderlich sein/nicht erforderlich sein | Client-Standard | Serverstandard | DC Standard |
|---|---|---|---|---|---|---|
SMB 1.0 |
MD5 |
Ja |
Ja |
Aktiviert (nicht erforderlich) |
Deaktiviert (nicht erforderlich) |
Erforderlich |
SMB 2.x |
HMAC SHA-256 |
Nein |
Ja |
Nicht erforderlich |
Nicht erforderlich |
Erforderlich |
SMB 3.0 |
AES-CMAC. |
Nein |
Ja |
Nicht erforderlich |
Nicht erforderlich |
Erforderlich |
|
|
Microsoft empfiehlt nicht mehr, |