Para controlar el acceso IPMI remoto al BMC en Grid Manager, ve a Configuración > Seguridad > Ajustes de seguridad > Dispositivos:

Direcciones privilegiadas: Puedes permitir que determinadas direcciones IP o subredes accedan a los puertos que están bloqueados mediante la configuración de la pestaña Gestionar acceso externo.

Gestiona el acceso externo: Puedes cerrar los puertos que están abiertos por defecto o volver a abrir los puertos que cerraste antes.

Red de clientes no fiables: Puedes especificar si un nodo considera fiable el tráfico entrante procedente de la red de clientes, así como los puertos adicionales que deseas mantener abiertos cuando se configura una red de clientes no fiables.

Protege todos los nodos de administración frente a clientes no fiables, como los que se encuentran en la red pública de Internet. Asegúrate de que ningún cliente no fiable pueda acceder a ningún nodo de administración en la red Grid, la red de administración o la red de clientes.

Los grupos de StorageGRID controlan el acceso a las funciones de Grid Manager y Tenant Manager. Concede a cada grupo de usuarios los permisos mínimos necesarios para su función y utiliza el modo de acceso de solo lectura para evitar que los usuarios modifiquen la configuración.

Cuando utilices los puntos de conexión del equilibrador de carga de StorageGRID, usa nodos de puerta de enlace en lugar de nodos de administración para el tráfico de clientes no fiables.

Si tienes inquilinos no de confianza, no les permitas tener acceso directo al Tenant Manager ni a la Tenant Management API. En su lugar, haz que los inquilinos no de confianza utilicen un portal de inquilinos o un sistema externo de gestión de inquilinos que interactúe con la Tenant Management API.

Si lo deseas, utiliza un proxy de administración para tener más control sobre la comunicación de AutoSupport desde los nodos de administración hacia NetApp Support. Consulta los pasos para "creando un proxy de administrador".

Si lo deseas, utiliza los puertos restringidos 8443 y 9443 para separar las comunicaciones entre Grid Manager y Tenant Manager. Bloquea el puerto compartido 443 y limita las solicitudes de los inquilinos al puerto 9443 para mayor protección.

Opcionalmente, usa nodos de administración independientes para los administradores del grid y los usuarios de los tenants.

No permitas que clientes no fiables se conecten directamente a los nodos de almacenamiento. Usa un endpoint de equilibrador de carga servido por un Gateway Node o un equilibrador de carga de terceros.

No habilites los servicios de salida para los inquilinos no fiables. Por ejemplo, al crear la cuenta de un inquilino no fiable, no permitas que este utilice su propia fuente de identidad ni que utilice los servicios de la plataforma. Consulta los pasos en "crear una cuenta de inquilino".

Utiliza un equilibrador de carga de terceros para el tráfico de clientes no fiables. El equilibrio de carga de terceros ofrece más control y capas adicionales de protección contra ataques.

Si lo deseas, usa un proxy de almacenamiento para tener más control sobre los Cloud Storage Pools y la comunicación de los servicios de la plataforma desde los nodos de almacenamiento hacia servicios externos. Consulta los pasos para "creación de un proxy de almacenamiento".

Si lo deseas, conéctate a servicios externos usando la Client Network. Luego, selecciona Configuration > Security > Firewall control > Untrusted Client Networks e indica que la Client Network en el Storage Node no es de confianza. El Storage Node ya no acepta ningún tráfico entrante en la Client Network, pero sigue permitiendo las solicitudes salientes para Platform Services.

Configura y usa los endpoints del balanceador de carga. Consulta "Aspectos a tener en cuenta para el equilibrio de carga".

Utiliza un equilibrador de carga de terceros entre el cliente y el nodo de puerta de enlace o los nodos de almacenamiento para el tráfico de clientes no fiables. El equilibrio de carga de terceros ofrece más control y capas adicionales de protección contra ataques. Si usas un equilibrador de carga de terceros, el tráfico de red también puede configurarse opcionalmente para pasar por un endpoint interno del equilibrador de carga o enviarse directamente a los nodos de almacenamiento.

Si utilizas puntos finales de equilibrador de carga, puedes optar por que los clientes se conecten a través de la Client Network. Luego, selecciona Configuration > Security > Firewall control > Untrusted Client Networks e indica que la Client Network en el Gateway Node no es de confianza. El Gateway Node solo acepta tráfico entrante en los puertos configurados explícitamente como puntos finales de equilibrador de carga.

Si el dispositivo utiliza SANtricity System Manager para la administración de los controladores de almacenamiento, evita que los clientes no de confianza accedan a SANtricity System Manager a través de la red.

Si el dispositivo cuenta con un controlador de gestión de placa base (BMC), ten en cuenta que el puerto de gestión del BMC permite el acceso de bajo nivel al hardware. Conecta el puerto de gestión del BMC solo a una red de gestión interna segura y de confianza.

Si el dispositivo admite la gestión remota del hardware del controlador a través de Ethernet mediante el estándar Intelligent Platform Management Interface (IPMI), bloquea el tráfico no fiable en el puerto 623.

Para los modelos de dispositivos que incluyan unidades SED, FDE o FIPS NL-SAS y que gestionas con SANtricity System Manager, "Habilitar y configurar SANtricity Drive Security".

Para los modelos de dispositivos que incluyen unidades SSD SED o FIPS NVMe y que gestionas usando el StorageGRID Appliance Installer y Grid Manager, "Habilita y configura el cifrado de unidades de StorageGRID".

En el caso de los dispositivos que no cuenten con unidades SED, FDE o FIPS, usa un servidor de gestión de claves (KMS) para "Habilita y configura el cifrado de los nodos de software de StorageGRID".