Skip to main content
La version française est une traduction automatique. La version anglaise prévaut sur la française en cas de divergence.

Rôles, applications et authentification

Contributeurs
PDF

ONTAP offre aux entreprises soucieuses de leur sécurité la possibilité de fournir un accès granulaire à différents administrateurs via différentes applications et méthodes de connexion. Les clients peuvent ainsi créer un modèle zéro confiance centré sur les données.

Il s'agit des rôles disponibles pour les administrateurs admin et Storage Virtual machine. Les méthodes d'application de connexion et les méthodes d'authentification de connexion sont spécifiées.

Rôles

Grâce au contrôle d'accès basé sur des rôles (RBAC), les utilisateurs n'ont accès qu'aux systèmes et aux options requis pour leurs rôles et fonctions. La solution RBAC d'ONTAP limite l'accès administratif des utilisateurs au niveau correspondant à leur rôle, ce qui permet aux administrateurs de gérer les utilisateurs par rôle attribué. ONTAP fournit plusieurs rôles prédéfinis. Les opérateurs et les administrateurs peuvent créer, modifier ou supprimer des rôles de contrôle d'accès personnalisés et peuvent spécifier des restrictions de compte pour des rôles spécifiques.

Rôles prédéfinis pour les administrateurs du cluster

Ce rôle…​

Dispose de ce niveau d'accès…​

Aux commandes ou répertoires de commandes suivants

admin

Tout

Tous les répertoires de commandes (DEFAULT)

admin-no-fsa (Disponible à partir de ONTAP 9.12.1)

Lecture/écriture

  • Tous les répertoires de commandes (DEFAULT)

  • security login rest-role

  • security login role

Lecture seule

  • security login rest-role create

  • security login rest-role delete

  • security login rest-role modify

  • security login rest-role show

  • security login role create

  • security login role create

  • security login role delete

  • security login role modify

  • security login role show

  • volume activity-tracking

  • volume analytics

Aucune

volume file show-disk-usage

autosupport

Tout

  • set

  • system node autosupport

Aucune

Tous les autres répertoires de commandes (DEFAULT)

backup

Tout

vserver services ndmp

Lecture seule

volume

Aucune

Tous les autres répertoires de commandes (DEFAULT)

readonly

Tout

  • security login password

    Pour la gestion du mot de passe local et des informations clés du compte utilisateur

  • set

Aucune

security

Lecture seule

Tous les autres répertoires de commandes (DEFAULT)

none
Remarque Le autosupport le rôle est affecté au prédéfini autosupport Compte, utilisé par AutoSupport OnDemand. ONTAP vous empêche de modifier ou de supprimer le autosupport compte. ONTAP vous empêche également d'attribuer le autosupport rôle vers d'autres comptes utilisateur.

Rôles prédéfinis pour les administrateurs des machines virtuelles de stockage (SVM)

Nom du rôle

Capacités

vsadmin

  • Gérer le mot de passe et les informations de clé locaux du compte utilisateur

  • Gérez les volumes, à l'exception des déplacements de volumes

  • Gérez les quotas, les qtrees, les copies Snapshot et les fichiers

  • Gérer les LUN

  • Effectuer des opérations SnapLock, sauf la suppression privilégiée

  • Configuration des protocoles : NFS, SMB, iSCSI, FC, FCoE, NVMe/FC et NVMe/TCP

  • Configuration des services : DNS, LDAP et NIS

  • Surveiller les tâches

  • Surveiller les connexions réseau et l'interface réseau

  • Surveiller l'état de santé du SVM

vsadmin-volume

  • Gérer le mot de passe et les informations de clé locaux du compte utilisateur

  • Gérez les volumes, notamment les déplacements de volumes

  • Gérez les quotas, les qtrees, les copies Snapshot et les fichiers

  • Gérer les LUN

  • Configuration des protocoles : NFS, SMB, iSCSI, FC, FCoE, NVMe/FC et NVMe/TCP

  • Configuration des services : DNS, LDAP et NIS

  • Interface réseau du moniteur

  • Surveiller l'état de santé du SVM

vsadmin-protocol

  • Gérer le mot de passe et les informations de clé locaux du compte utilisateur

  • Configuration des protocoles : NFS, SMB, iSCSI, FC, FCoE, NVMe/FC et NVMe/TCP

  • Configuration des services : DNS, LDAP et NIS

  • Gérer les LUN

  • Interface réseau du moniteur

  • Surveiller l'état de santé du SVM

vsadmin-backup

  • Gérer le mot de passe et les informations de clé locaux du compte utilisateur

  • Gestion des opérations NDMP

  • Effectuez une lecture/écriture de volume restauré

  • Gestion des relations SnapMirror et des copies Snapshot

  • Afficher les volumes et les informations réseau

vsadmin-snaplock

  • Gérer le mot de passe et les informations de clé locaux du compte utilisateur

  • Gérez les volumes, à l'exception des déplacements de volumes

  • Gérez les quotas, les qtrees, les copies Snapshot et les fichiers

  • Effectuer des opérations SnapLock, y compris la suppression privilégiée

  • Configuration des protocoles : NFS et SMB

  • Configuration des services : DNS, LDAP et NIS

  • Surveiller les tâches

  • Surveiller les connexions réseau et l'interface réseau

vsadmin-readonly

  • Gérer le mot de passe et les informations de clé locaux du compte utilisateur

  • Surveiller l'état de santé du SVM

  • Interface réseau du moniteur

  • Vision des volumes et des LUN

  • Vision des services et protocoles

Méthodes d'application

La méthode d'application spécifie le type d'accès de la méthode de connexion. Les valeurs possibles incluent console, http, ontapi, rsh, snmp, service-processor, ssh, et telnet.

La définition de ce paramètre sur accorde à service-processor l'utilisateur l'accès au processeur de service. Lorsque ce paramètre est défini sur service-processor, le -authentication-method paramètre doit être défini sur password car le processeur de service ne prend en charge que l'authentification par mot de passe. Les comptes utilisateurs SVM ne peuvent pas accéder au processeur de service. Par conséquent, les opérateurs et les administrateurs ne peuvent pas utiliser le -vserver paramètre lorsque ce paramètre est défini sur service-processor.

Pour restreindre davantage l'accès à l' service-processor , utilisez la commande system service-processor ssh add-allowed-addresses. La commande system service-processor api-service peut être utilisée pour mettre à jour les configurations et les certificats.

Pour des raisons de sécurité, Telnet et le shell distant (RSH) sont désactivés par défaut car NetApp recommande le shell sécurisé (SSH) pour un accès distant sécurisé. S'il existe une exigence ou un besoin unique de Telnet ou RSH, ils doivent être activés.

La security protocol modify commande modifie la configuration existante de RSH et Telnet au niveau du cluster. Activez RSH et Telnet dans le cluster en définissant le champ activé sur true.

Méthodes d'authentification

Le paramètre de méthode d'authentification spécifie la méthode d'authentification utilisée pour les connexions.

METHODE d'authentification Description

cert

Authentification par certificat SSL

community

Chaînes de communauté SNMP

domain

Authentification Active Directory

nsswitch

Authentification LDAP ou NIS

password

Mot de passe

publickey

Authentification par clé publique

usm

Modèle de sécurité utilisateur SNMP
Remarque L'utilisation de NIS n'est pas recommandée en raison des faiblesses de sécurité du protocole.

Depuis la version ONTAP 9.3, une authentification à deux facteurs est disponible dans les chaînes pour les comptes SSH locaux admin et utilise le publickey mot de passe comme deux méthodes d'authentification. En plus du -authentication-method champ de la security login commande, un nouveau champ nommé -second-authentication-method a été ajouté. La clé publique ou le mot de passe peuvent être spécifiés comme ou comme -authentication-method -second-authentication-method. Toutefois, lors de l'authentification SSH, l'ordre est toujours une clé publique avec authentification partielle, suivie de l'invite de mot de passe pour une authentification complète.

[user@host01 ~]$ ssh ontap.netapp.local
Authenticated with partial success.
Password:
cluster1::>

À partir de ONTAP 9.4, nsswitch peut être utilisé comme deuxième méthode d'authentification avec publickey.

A partir de ONTAP 9.12.1, FIDO2 peut également être utilisé pour l'authentification SSH à l'aide d'un dispositif d'authentification matérielle YubiKey ou d'autres appareils compatibles FIDO2.

À partir de ONTAP 9.13.1 :

  • domain les comptes peuvent être utilisés comme deuxième méthode d'authentification avec publickey.

  • Mot de passe à usage unique basé sur l'heure (totp) est un code d'accès temporaire généré par un algorithme qui utilise l'heure actuelle comme l'un de ses facteurs d'authentification pour la deuxième méthode d'authentification.

  • La révocation des clés publiques est prise en charge avec les clés publiques SSH ainsi que les certificats qui seront vérifiés pour leur expiration/révocation au cours de SSH.

Pour plus d'informations sur l'authentification multifacteur (MFA) pour ONTAP System Manager, Active IQ Unified Manager et SSH, consultez la section "Tr-4647 : authentification multifacteur dans ONTAP 9".