Notas de la versión
Hojas de cálculo para la autenticación del administrador y la configuración de RBAC
Sugerir cambios
PDF
Antes de crear cuentas de inicio de sesión y configurar el control de acceso basado en roles (RBAC), debe recopilar información para cada elemento de las hojas de cálculo de configuración.
Crear o modificar cuentas de inicio de sesión
Se deben proporcionar estos valores con el security login create Comando cuando habilita las cuentas de inicio de sesión para acceder a una máquina virtual de almacenamiento. Se proporcionan los mismos valores con security login modify Comando al modificar la forma en que una cuenta accede a una máquina virtual de almacenamiento.
Campo |
Descripción |
Su valor |
|
El nombre de la máquina virtual de almacenamiento a la que accede la cuenta. El valor predeterminado es el nombre de la máquina virtual de almacenamiento de administrador para el clúster. |
|
|
El nombre de usuario o el nombre de grupo de la cuenta. La especificación de un nombre de grupo permite el acceso a cada usuario del grupo. Puede asociar un nombre de usuario o un nombre de grupo con varias aplicaciones. |
|
|
La aplicación que se utiliza para acceder a la VM de almacenamiento:
|
|
|
El método que se utiliza para autenticar la cuenta:
|
|
|
La dirección IP del switch remoto. El conmutador remoto puede ser un conmutador de clúster supervisado por el monitor de estado del conmutador de clúster (CSHM) o un conmutador Fibre Channel (FC) supervisado por el monitor de estado MetroCluster (MCC-HM). Esta opción sólo se aplica cuando la aplicación está |
|
|
El rol de control de acceso que se asigna a la cuenta:
|
|
|
(Opcional) texto descriptivo para la cuenta. El texto debe escribirse entre comillas dobles ("). |
|
|
Si la cuenta es una cuenta de grupo LDAP o una cuenta de grupo NIS ( |
|
|
Segundo método de autenticación en caso de autenticación multifactor:
El orden de autenticación es siempre la clave pública seguida de la contraseña. |
|
|
A partir de ONTAP 9.11.1, cuando se establece en true, habilita el enlace rápido LDAP para la autenticación nsswitch; el valor predeterminado es false. Para utilizar el enlace rápido LDAP, el |
Configurar la información de seguridad de Cisco Duo
Se deben proporcionar estos valores con el security login duo create Comando cuando se habilita la autenticación de dos factores Cisco Duo con inicios de sesión SSH para una máquina virtual de almacenamiento.
Campo |
Descripción |
Su valor |
|
El equipo virtual de almacenamiento (denominado Vserver en la CLI de ONTAP) al que se aplica la configuración de autenticación Duo. |
|
|
Su clave de integración, obtenida al registrar su aplicación SSH con Duo. |
|
|
Su clave secreta, obtenida al registrar su aplicación SSH con Duo. |
|
|
El nombre de host de la API, obtenido al registrar su aplicación SSH con Duo. Por ejemplo: api-<HOSTNAME>.duosecurity.com |
|
|
En los errores de servicio o configuración que impiden la autenticación Duo, se produce un error |
|
|
Utilice el proxy HTTP especificado. Si el proxy HTTP requiere autenticación, incluya las credenciales en la URL del proxy. Por ejemplo: http-proxy=http://username:password@proxy.example.org:8080 |
|
|
Uno de los dos Cuando se configura con |
|
|
Si un usuario no se autentica con un segundo factor, Duo solicita al usuario que se autentique de nuevo. Esta opción establece el número máximo de peticiones de datos que Duo muestra antes de denegar el acceso. Debe ser Por ejemplo, cuando Cuando se configura con Para la mejor experiencia, un usuario con solo autenticación publickey siempre tendrá |
|
|
Active la autenticación de dos factores Duo. Establezca en |
Definir funciones personalizadas
Se deben proporcionar estos valores con el security login role create comando al definir un rol personalizado.
Campo |
Descripción |
Su valor |
|
(Opcional) Nombre del equipo virtual de almacenamiento (denominado Vserver en la CLI de ONTAP) asociado al rol. |
|
|
El nombre del rol. |
|
|
El comando o el directorio de comandos al que tiene acceso el rol. Debe escribir los nombres de subdirectorio de comandos entre comillas dobles ("). Por ejemplo: |
|
|
(Opcional) el nivel de acceso del rol. Para directorios de comandos:
Para comandos no intrínsecos (comandos que no terminan en
Para conceder o denegar el acceso a comandos intrínsecos, debe especificar el directorio de comandos. |
|
|
(Opcional) el objeto de consulta que se utiliza para filtrar el nivel de acceso, que se especifica en forma de una opción válida para el comando o para un comando en el directorio de comandos. El objeto de consulta debe escribirse entre comillas dobles ("). Por ejemplo, si el directorio de comandos es |
Asociar una clave pública a una cuenta de usuario
Se deben proporcionar estos valores con el security login publickey create Cuando asocia una clave pública SSH a una cuenta de usuario.
Campo |
Descripción |
Su valor |
|
(Opcional) Nombre de la máquina virtual de almacenamiento a la que accede la cuenta. |
|
|
El nombre de usuario de la cuenta. El valor predeterminado, |
|
|
El número de índice de la clave pública. El valor predeterminado es 0 si la clave es la primera clave que se crea para la cuenta; de lo contrario, el valor predeterminado es uno más que el número de índice más alto existente para la cuenta. |
|
|
La clave pública de OpenSSH. La clave debe escribirse entre comillas dobles ("). |
|
|
El rol de control de acceso que se asigna a la cuenta. |
|
|
(Opcional) texto descriptivo para la clave pública. El texto debe escribirse entre comillas dobles ("). |
|
|
(Opcional) A partir de ONTAP 9.13.1, le permite gestionar la asociación de certificados X,509 con la clave pública SSH. Cuando asocia un certificado X,509 a la clave pública SSH, ONTAP comprueba el inicio de sesión SSH para ver si este certificado es válido. Si ha caducado o se ha revocado, el inicio de sesión no está permitido y la clave pública SSH asociada está deshabilitada. Los posibles valores son los siguientes:
|
Instale un certificado digital de servidor firmado por CA
Se deben proporcionar estos valores con el security certificate generate-csr Comando cuando se genera una solicitud de firma de certificación digital (CSR) para utilizarla en la autenticación de una máquina virtual de almacenamiento como un servidor SSL.
Campo |
Descripción |
Su valor |
|
El nombre del certificado, que es un nombre de dominio completo (FQDN) o un nombre común personalizado. |
|
|
El número de bits de la clave privada. Cuanto mayor sea el valor, más segura será la clave. El valor predeterminado es |
|
|
El país de la máquina virtual de almacenamiento, en un código de dos letras. El valor predeterminado es |
|
|
El estado o la provincia de la máquina virtual de almacenamiento. |
|
|
La localidad de la máquina virtual de almacenamiento. |
|
|
La organización de la máquina virtual de almacenamiento. |
|
|
La unidad de la organización de la máquina virtual de almacenamiento. |
|
|
La dirección de correo electrónico del administrador de contacto para la máquina virtual de almacenamiento. |
|
|
Función de hash criptográfico para firmar el certificado. El valor predeterminado es |
Se deben proporcionar estos valores con el security certificate install Comando cuando instala un certificado digital firmado por CA para utilizarlo en la autenticación del clúster o de la máquina virtual de almacenamiento como un servidor SSL. En la siguiente tabla solo se muestran las opciones relevantes para la configuración de la cuenta.
Campo |
Descripción |
Su valor |
|
Nombre de la máquina virtual de almacenamiento en la que se va a instalar el certificado. |
|
|
El tipo de certificado:
|
Configurar el acceso al controlador de dominio de Active Directory
Se deben proporcionar estos valores con el security login domain-tunnel create Comando cuando ya configuró un servidor SMB para una máquina virtual de almacenamiento de datos y desea configurar la máquina virtual de almacenamiento como una puerta de enlace o tunnel para el acceso de la controladora de dominio de Active Directory al clúster.
Campo |
Descripción |
Su valor |
|
El nombre de la máquina virtual de almacenamiento para la que se configuró el servidor SMB. |
Se deben proporcionar estos valores con el vserver active-directory create Comando cuando no configuró un servidor SMB y desea crear una cuenta de equipo virtual de almacenamiento en el dominio de Active Directory.
Campo |
Descripción |
Su valor |
|
Nombre de la máquina virtual de almacenamiento para la que desea crear una cuenta de equipo de Active Directory. |
|
|
Nombre NetBIOS de la cuenta de equipo. |
|
|
El nombre de dominio completo (FQDN). |
|
|
La unidad organizativa del dominio. El valor predeterminado es |
Configurar el acceso a servidores LDAP o NIS
Se deben proporcionar estos valores con el vserver services name-service ldap client create Comando cuando crea una configuración de cliente LDAP para la máquina virtual de almacenamiento.
En la tabla siguiente solo se muestran las opciones relevantes para la configuración de la cuenta:
Campo |
Descripción |
Su valor |
||
|
El nombre de la máquina virtual de almacenamiento para la configuración del cliente. |
|||
|
El nombre de la configuración del cliente. |
|||
|
Lista separada por comas de direcciones IP y nombres de host para los servidores LDAP a los que se conecta el cliente. |
|||
|
Esquema que utiliza el cliente para realizar consultas LDAP. |
|||
|
Si el cliente utiliza Start TLS para cifrar la comunicación con el servidor LDAP (
|
Se deben proporcionar estos valores con el vserver services name-service ldap create Comando cuando se asocia una configuración de cliente LDAP a la máquina virtual de almacenamiento.
Campo |
Descripción |
Su valor |
|
Nombre de la máquina virtual de almacenamiento a la que se asociará la configuración del cliente. |
|
|
El nombre de la configuración del cliente. |
|
|
Si la máquina virtual de almacenamiento puede usar la configuración de clientes LDAP ( |
Se deben proporcionar estos valores con el vserver services name-service nis-domain create Comando cuando se crea una configuración de dominio NIS en una máquina virtual de almacenamiento.
Campo |
Descripción |
Su valor |
|
Nombre de la máquina virtual de almacenamiento en la que se creará la configuración del dominio. |
|
|
El nombre del dominio. |
|
|
Si el dominio está activo ( |
|
|
ONTAP 9.0, 9.1: Lista separada por comas de direcciones IP para los servidores NIS que se utilizan en la configuración de dominio. |
|
|
Lista separada por comas de direcciones IP y nombres de host para los servidores NIS que utiliza la configuración de dominio. |
Se deben proporcionar estos valores con el vserver services name-service ns-switch create al especificar el orden de búsqueda para fuentes de servicio de nombres.
Campo |
Descripción |
Su valor |
|
Nombre de la máquina virtual de almacenamiento en la que se va a configurar el orden de consulta del servicio de nombres. |
|
|
La base de datos del servicio de nombres:
|
|
|
El orden en el que buscar fuentes de servicio de nombres (en una lista separada por comas):
|
Configure el acceso SAML
A partir de ONTAP 9.3, se proporcionan estos valores con el security saml-sp create Comando para configurar la autenticación SAML.
Campo |
Descripción |
Su valor |
|
La dirección FTP o la dirección HTTP del host del proveedor de identidades (IDP) desde el que se pueden descargar los metadatos de IDP. |
|
|
El nombre de host o la dirección IP del host del proveedor de servicios SAML (sistema ONTAP). De manera predeterminada, se utiliza la dirección IP de la LIF de administración del clúster. |
|
|
Los detalles del certificado de servidor del host del proveedor de servicios (sistema ONTAP). Puede introducir la entidad emisora de certificados (CA) del proveedor de servicios y el número de serie del certificado o el nombre común del certificado del servidor. |
|
|
Si la identidad del servidor de metadatos de IDP debe validarse |