La version française est une traduction automatique. La version anglaise prévaut sur la française en cas de divergence.

Présentation de la vérification multi-administrateur

Contributeurs

Depuis ONTAP 9.11.1, vous pouvez utiliser la vérification multi-administration (MAV) pour vous assurer que certaines opérations, telles que la suppression de volumes ou de copies Snapshot, ne peuvent être exécutées qu'après approbation d'administrateurs désignés. Cela empêche les administrateurs compromis, malveillants ou peu expérimentés d'effectuer des modifications ou de supprimer des données indésirables.

La configuration de la vérification multi-administrateurs comprend :

Après la configuration initiale, ces éléments ne peuvent être modifiés que par les administrateurs d'un groupe d'approbation MAV (administrateurs MAV).

Lorsque la vérification multiadministrateur est activée, la réalisation de chaque opération protégée nécessite les étapes suivantes :

Lorsqu'un utilisateur lance l'opération, un "la demande a été générée."
Avant de pouvoir être exécuté, au moins un "L'administrateur MAV doit approuver."
Après approbation, l'utilisateur termine l'opération.

Si vous avez besoin de désactiver la fonctionnalité de vérification multi-administrateurs sans l'approbation de l'administrateur MAV, contactez le support NetApp et mentionnez l'article suivant de la base de connaissances : "Comment désactiver la vérification multi-administrateur si MAV admin n'est pas disponible".

La vérification multi-administrateurs n'est pas destinée aux volumes ou aux flux de travail nécessitant une automatisation élevée, car chaque tâche automatisée nécessite une approbation avant que l'opération ne puisse être terminée. Si vous souhaitez utiliser l'automatisation et MAV ensemble, il est recommandé d'utiliser des requêtes pour des opérations MAV spécifiques. Vous pouvez, par exemple, appliquer volume delete MAV ne règle que les volumes où l'automatisation n'est pas impliquée et vous pouvez désigner ces volumes avec un schéma de nommage particulier.

La vérification multiadministrateur n'est pas disponible avec Cloud Volumes ONTAP.

Fonctionnement de la vérification multi-administration

La vérification multi-administrateurs comprend les éléments suivants :

Groupe d'un ou plusieurs administrateurs ayant des pouvoirs d'approbation et de veto.
Un ensemble d'opérations ou de commandes protégées dans une table rules.
Un moteur de règles pour identifier et contrôler l'exécution des opérations protégées.

Les règles MAV sont évaluées après les règles de contrôle d'accès basé sur des rôles (RBAC). Par conséquent, les administrateurs qui exécutent ou approuvent les opérations protégées doivent déjà posséder le minimum de privilèges RBAC pour ces opérations. "En savoir plus sur le RBAC".

Règles définies par le système

Lorsque la vérification multi-admin est activée, les règles définies par le système (également appelées règles Guard-rail) établissent un ensemble d'opérations MAV pour contenir le risque de contournement du processus MAV lui-même. Ces opérations ne peuvent pas être supprimées de la table des règles. Une fois MAV activé, les opérations désignées par un astérisque ( * ) nécessitent l'approbation d'un ou de plusieurs administrateurs avant l'exécution, à l'exception des commandes * show*.

security multi-admin-verify modify fonctionnement *

Contrôle la configuration de la fonctionnalité de vérification multi-administrateur.
security multi-admin-verify approval-group exploitation *

Contrôlez l'appartenance à un ensemble d'administrateurs avec des informations d'identification de vérification multi-administrateur.
security multi-admin-verify rule exploitation *

Contrôler le jeu de commandes qui nécessitent une vérification multi-administrateur.
security multi-admin-verify request exploitation

Contrôler le processus d'approbation.

Commandes protégées par des règles

Outre les opérations définies par le système, les commandes suivantes sont protégées par défaut lorsque la vérification multiadministrateur est activée, mais vous pouvez modifier les règles pour supprimer la protection de ces commandes.

security login password
security login unlock
set

Chaque version de ONTAP fournit plus de commandes que vous pouvez choisir de protéger avec des règles de vérification multi-admin. Choisissez votre version ONTAP pour obtenir la liste complète des commandes disponibles pour la protection.

9.15.1

cluster date modify ³
cluster log-forwarding create ³
cluster log-forwarding delete ³
cluster log-forwarding modify ³
cluster peer delete
cluster time-service ntp server create ³
cluster time-service ntp server delete ³
cluster time-service ntp server key create ³
cluster time-service ntp server key delete ³
cluster time-service ntp server key modify ³
cluster time-service ntp server modify ³
event config modify
lun delete ³
security anti-ransomware volume attack clear-suspect ¹
security anti-ransomware volume disable ¹
security anti-ransomware volume pause ¹
security audit modify ³
security ipsec config modify ³
security ipsec policy create ³
security ipsec policy delete ³
security ipsec policy modify ³
security login create
security login delete
security login modify
security saml-sp create ³
security saml-sp delete ³
security saml-sp modify ³
snaplock legal-hold end ³
storage aggregate delete ³
storage encryption disk destroy ³
storage encryption disk modify ³
storage encryption disk revert-to-original-state ³
storage encryption disk sanitize ³
system bridge run-cli ³
system controller flash-cache secure-erase run ³
system controller service-event delete ³
system health alert delete ³
system health alert modify ³
system health policy definition modify ³
system node autosupport modify ³
system node autosupport trigger modify ³
system node coredump delete ³
system node coredump delete-all ³
system node hardware nvram-encryption modify ³
system node run
system node systemshell
system script delete ³
system service-processor ssh add-allowed-addresses ³
system service-processor ssh remove-allowed-addresses ³
system smtape restore ³
system switch ethernet log disable-collection ³
system switch ethernet log modify ³
timezone ³
volume create ³
volume delete
volume encryption conversion start ³
volume encryption rekey start ³
volume file privileged-delete ³
volume flexcache delete
volume modify ³
volume recovery-queue modify ²
volume recovery-queue purge ²
volume recovery-queue purge-all ²
volume snaplock modify ¹
volume snapshot autodelete modify
volume snapshot create ³
volume snapshot delete
volume snapshot modify ³
volume snapshot policy add-schedule
volume snapshot policy create
volume snapshot policy delete
volume snapshot policy modify
volume snapshot policy modify-schedule
volume snapshot policy remove-schedule
volume snapshot rename ³
volume snapshot restore
vserver audit create ³
vserver audit delete ³
vserver audit disable ³
vserver audit modify ³
vserver audit rotate-log ³
vserver delete ³
vserver modify ²
vserver object-store-server audit create ³
vserver object-store-server audit delete ³
vserver object-store-server audit disable ³
vserver object-store-server audit modify ³
vserver object-store-server audit rotate-log ³
vserver options ³
vserver peer delete
vserver security file-directory apply ³
vserver security file-directory remove-slag ³
vserver vscan disable ³
vserver vscan on-access-policy create ³
vserver vscan on-access-policy delete ³
vserver vscan on-access-policy disable ³
vserver vscan on-access-policy modify ³
vserver vscan scanner-pool create ³
vserver vscan scanner-pool delete ³
vserver vscan scanner-pool modify ³

9.14.1

cluster peer delete
event config modify
security anti-ransomware volume attack clear-suspect ¹
security anti-ransomware volume disable ¹
security anti-ransomware volume pause ¹
security login create
security login delete
security login modify
system node run
system node systemshell
volume delete
volume flexcache delete
volume recovery-queue modify ²
volume recovery-queue purge ²
volume recovery-queue purge-all ²
volume snaplock modify ¹
volume snapshot autodelete modify
volume snapshot delete
volume snapshot policy add-schedule
volume snapshot policy create
volume snapshot policy delete *
volume snapshot policy modify
volume snapshot policy modify-schedule
volume snapshot policy remove-schedule
volume snapshot restore
vserver modify ²
vserver peer delete

9.13.1

cluster peer delete
event config modify
security anti-ransomware volume attack clear-suspect ¹
security anti-ransomware volume disable ¹
security anti-ransomware volume pause ¹
security login create
security login delete
security login modify
system node run
system node systemshell
volume delete
volume flexcache delete
volume snaplock modify ¹
volume snapshot autodelete modify
volume snapshot delete
volume snapshot policy add-schedule
volume snapshot policy create
volume snapshot policy delete *
volume snapshot policy modify
volume snapshot policy modify-schedule
volume snapshot policy remove-schedule
volume snapshot restore
vserver peer delete

9.12.1/9.11.1

cluster peer delete
event config modify
security login create
security login delete
security login modify
system node run
system node systemshell
volume delete
volume flexcache delete
volume snapshot autodelete modify
volume snapshot delete
volume snapshot policy add-schedule
volume snapshot policy create
volume snapshot policy delete *
volume snapshot policy modify
volume snapshot policy modify-schedule
volume snapshot policy remove-schedule
volume snapshot restore
vserver peer delete

Nouvelle commande protégée par des règles pour 9.13.1
Nouvelle commande protégée par des règles pour 9.14.1
Nouvelle commande protégée par des règles pour 9.15.1

*Cette commande n'est disponible qu'avec l'interface de ligne de commande et n'est pas disponible pour System Manager.

Fonctionnement de l'approbation multi-admin

Chaque fois qu'une opération protégée est saisie sur un cluster protégé par MAV, une demande d'exécution d'opération est envoyée au groupe d'administrateurs MAV désigné.

Vous pouvez configurer :

Les noms, les coordonnées et le nombre d'administrateurs du groupe MAV.

Un administrateur MAV doit avoir un rôle RBAC avec des privilèges d'administrateur de cluster.
Nombre de groupes d'administrateurs MAV.
- Un groupe MAV est attribué pour chaque règle d'opération protégée.
- Pour plusieurs groupes MAV, vous pouvez configurer quel groupe MAV approuve une règle donnée.
Nombre d'approbations MAV nécessaires à l'exécution d'une opération protégée.
Période_d'expiration_ de l'approbation au cours de laquelle un administrateur MAV doit répondre à une demande d'approbation.
Période_d'expiration_ de l'exécution pendant laquelle l'administrateur demandeur doit effectuer l'opération.

Une fois ces paramètres configurés, l'approbation MAV est requise pour les modifier.

Les administrateurs MAV ne peuvent pas approuver leurs propres demandes d'exécution d'opérations protégées. Par conséquent :

MAV ne doit pas être activé sur les clusters avec un seul administrateur.
S'il n'y a qu'une seule personne dans le groupe MAV, cet administrateur MAV ne peut pas lancer des opérations protégées ; les administrateurs réguliers doivent lancer des opérations protégées et l'administrateur MAV peut uniquement approuver.
Si vous souhaitez que les administrateurs MAV puissent exécuter des opérations protégées, le nombre d'administrateurs MAV doit être supérieur d'un au nombre d'approbations requises. Par exemple, si deux approbations sont requises pour une opération protégée et que vous voulez que les administrateurs MAV les exécutent, il doit y avoir trois personnes dans le groupe administrateurs MAV.

Les administrateurs MAV peuvent recevoir des demandes d'approbation dans des alertes par e-mail (à l'aide d'EMS) ou interroger la file d'attente des requêtes. Lorsqu'ils reçoivent une demande, ils peuvent effectuer l'une des trois actions suivantes :

Approuver
Rejet (veto)
Ignorer (aucune action)

Les notifications par e-mail sont envoyées à tous les approbateurs associés à une règle MAV lorsque :

Une demande est créée.
Une demande est approuvée ou vetotée.
Une requête approuvée est exécutée.

Si le demandeur se trouve dans le même groupe d'approbation pour l'opération, il recevra un e-mail lorsque sa demande est approuvée.

Un demandeur ne peut pas approuver ses propres demandes, même s'il fait partie du groupe d'approbation. Ils peuvent recevoir des notifications par e-mail. Les demandeurs qui ne sont pas dans les groupes d'approbation (c'est-à-dire qui ne sont pas des administrateurs MAV) ne reçoivent pas de notifications par e-mail.

Fonctionnement de l'exécution des opérations protégées

Si l'exécution est approuvée pour une opération protégée, l'utilisateur demandeur continue avec l'opération à l'invite. Si l'opération est mise au veto, l'utilisateur requérant doit supprimer la demande avant de continuer.

Les règles MAV sont évaluées après les autorisations RBAC. Par conséquent, un utilisateur sans autorisations RBAC suffisantes pour l'exécution de l'opération ne peut pas lancer le processus de requête MAV.