Skip to main content
Die deutsche Sprachversion wurde als Serviceleistung für Sie durch maschinelle Übersetzung erstellt. Bei eventuellen Unstimmigkeiten hat die englische Sprachversion Vorrang.

Informationen zum sicheren ONTAP SMB Dateizugriff mit Storage-Level Access Guard

Beitragende netapp-aaron-holt netapp-aherbin
Änderungen vorschlagen
PDFs

Zusätzlich zur Sicherung des Zugriffs durch native Dateisicherheits- sowie Export- und Freigabesicherheitsmechanismen kann Storage-Level Access Guard konfiguriert werden, eine dritte Sicherheitsebene, die von ONTAP auf Volume-Ebene angewendet wird. Storage-Level Access Guard gilt für den Zugriff aus allen NAS-Protokollen auf das Speicherobjekt, auf das sie angewendet wird.

Es werden ausschließlich NTFS-Zugriffsberechtigungen unterstützt. Damit ONTAP Sicherheitsprüfungen für UNIX-Benutzer beim Zugriff auf Daten auf Volumes durchführen kann, für die Storage-Level Access Guard angewendet wurde, muss der UNIX-Benutzer einem Windows-Benutzer auf der SVM zugeordnet sein, der das Volume besitzt.

Verhalten des Storage-Level Access Guard

  • Storage-Level Access Guard gilt für alle Dateien oder alle Verzeichnisse in einem Storage-Objekt.

    Da alle Dateien oder Verzeichnisse in einem Volume den Einstellungen des Storage-Level Access Guard unterliegen, ist eine Vererbung durch Weitergabe nicht erforderlich.

  • Storage-Level Access Guard kann so konfiguriert werden, dass es nur für Dateien, nur für Verzeichnisse oder sowohl für Dateien als auch für Verzeichnisse innerhalb eines Volumes gilt.

    • Datei- und Verzeichnissicherheit

      Gilt für jedes Verzeichnis und jede Datei innerhalb des Speicherobjekts. Dies ist die Standardeinstellung.

    • Dateisicherheit

      Gilt für jede Datei innerhalb des Speicherobjekts. Die Anwendung dieser Sicherheitsmaßnahme wirkt sich nicht auf den Zugriff auf oder die Überwachung von Verzeichnissen aus.

    • Verzeichnissicherheit

      Gilt für jedes Verzeichnis innerhalb des Speicherobjekts. Die Anwendung dieser Sicherheitsmaßnahme wirkt sich nicht auf den Zugriff auf oder die Überwachung von Dateien aus.

  • Storage-Level Access Guard wird verwendet, um Berechtigungen einzuschränken.

    Es gibt niemals zusätzliche Zugriffsrechte.

  • Wenn die Sicherheitseinstellungen einer Datei oder eines Verzeichnisses von einem NFS- oder SMB-Client aus angezeigt werden, ist die Storage-Level Access Guard Sicherheit nicht sichtbar.

    Sie wird auf Ebene des Speicherobjekts angewendet und in den Metadaten gespeichert, die zur Bestimmung der effektiven Berechtigungen verwendet werden.

  • Die Sicherheit auf Storage-Ebene kann einem Client nicht entzogen werden, auch nicht von einem Systemadministrator (Windows oder UNIX).

    Es ist so konzipiert, dass es nur von Speicheradministratoren geändert werden kann.

  • Sie können Storage-Level Access Guard auf Volumes mit NTFS- oder gemischtem Sicherheitsstil anwenden.

  • Sie können Storage-Level Access Guard auf Volumes mit UNIX-Sicherheitsstil anwenden, sofern auf der SVM, die das Volume enthält, ein CIFS-Server konfiguriert ist.

  • Wenn Volumes unter einem Volume Verbindungspfad gemountet werden und Storage-Level Access Guard auf diesem Pfad vorhanden ist, wird es nicht auf die darunter gemounteten Volumes übertragen.

  • Der Storage-Level Access Guard Sicherheitsdeskriptor wird mit SnapMirror Datenreplizierung und mit SVM-Replikation repliziert.

  • Für Virenscanner gelten Sonderregelungen.

    Diesen Servern wird ein Ausnahmezugriff zum Durchsuchen von Dateien und Verzeichnissen gewährt, selbst wenn Storage-Level Access Guard den Zugriff auf das Objekt verweigert.

  • FPolicy-Benachrichtigungen werden nicht gesendet, wenn der Zugriff aufgrund von Storage-Level Access Guard verweigert wird.

Reihenfolge der Zugriffskontrollen

Der Zugriff auf eine Datei oder ein Verzeichnis wird durch die kombinierte Wirkung der Export- oder Freigabeberechtigungen, der auf Volumes festgelegten Storage-Level Access Guard-Berechtigungen und der nativ auf Dateien und/oder Verzeichnisse angewendeten Dateiberechtigungen bestimmt. Alle Sicherheitsebenen werden ausgewertet, um zu bestimmen, welche effektiven Berechtigungen eine Datei oder ein Verzeichnis hat. Die Sicherheitszugriffsprüfungen erfolgen in folgender Reihenfolge:

  1. SMB-Freigabe- oder NFS-Export-Berechtigungen

  2. Zugriffsschutz auf Storage-Ebene

  3. NTFS-Datei-/Ordnerzugriffskontrolllisten (ACLs), NFSv4-ACLs oder UNIX-Modusbits