Opciones de almacenamiento de credenciales para NetApp Workload Factory
Sugerir cambios
PDF
NetApp Workload Factory admite patrones de gestión de credenciales que preservan el principio de privilegio mínimo y reducen la exposición de los secretos administrativos de ONTAP. Las funciones de diagnóstico impulsadas por IA utilizan credenciales de ONTAP de solo lectura cuando están disponibles, así el agente de diagnóstico puede observar y diagnosticar sin modificar el entorno de almacenamiento. Puedes usar almacenamiento cifrado gestionado por Workload Factory o guardar la contraseña de ONTAP en AWS Secrets Manager y darle a Workload Factory una referencia. La elección afecta dónde se almacena la contraseña, cómo se cifra y cómo gestionas requisitos como la compatibilidad con GovCloud y la rotación de credenciales.
Modelo de acceso de solo lectura a ONTAP
Para funciones basadas en IA, como el análisis de eventos y el diagnóstico de latencia, Workload Factory utiliza credenciales ONTAP de solo lectura cuando están disponibles. El modelo de credenciales de solo lectura garantiza que el agente de diagnóstico de IA no pueda realizar modificaciones en tu entorno de almacenamiento; solo puede observar y diagnosticar.
Comparativa de opciones de almacenamiento de credenciales
Credenciales AWS
Las credenciales de AWS siempre se asumen a través de un rol de IAM. Workload Factory puede gestionar la información del rol internamente o consultarla en AWS Secrets Manager.
| Opción | Credenciales AWS | Qué se almacena | Cifrado |
|---|---|---|---|
Workload Factory gestionado |
ARN del rol de IAM + ID externo |
ARN del rol de IAM + ID externo |
El ARN del rol no es confidencial (se almacena tal cual) |
Credenciales ONTAP
Workload Factory puede gestionar las credenciales de ONTAP internamente con almacenamiento cifrado o hacer referencia a ellas desde AWS Secrets Manager. La elección afecta cómo se almacena, se cifra y se rota la contraseña.
Se requieren credenciales de ONTAP para que Workload Factory interactúe con las API del sistema de archivos ONTAP a través de un "Enlace Lambda".
| Opción | Credenciales ONTAP | Qué se almacena | Cifrado |
|---|---|---|---|
Workload Factory gestionado |
Contraseña (cifrada) |
Contraseña de administrador de ONTAP (cifrada) |
La contraseña de ONTAP utiliza cifrado de envolvente AES-256 |
AWS Secrets Manager |
Referencia ARN de Secrets Manager |
Secrets Manager ARN |
Secrets ARN no es un secreto (se almacena tal cual); AWS Secrets Manager cifra el secreto en tu cuenta |
Consideraciones adicionales
- GovCloud requisito
-
Se utiliza un rol IAM estándar; las credenciales de ONTAP deben usar Secrets Manager (no se permite el almacenamiento de contraseñas).
- Rotación
-
Las políticas de roles se han actualizado en tu cuenta. Actualiza la contraseña de ONTAP en Workload Factory (opción gestionada) o rótala en AWS Secrets Manager.