Pour contrôler l'accès IPMI à distance au BMC dans Grid Manager, allez dans Configuration > Sécurité > Paramètres de sécurité > Appareils :

Adresses privilégiées : Vous pouvez autoriser certaines adresses IP ou certains sous-réseaux à accéder à des ports fermés par les paramètres de l’onglet Manage external access.

Gérer l'accès externe : Vous pouvez fermer les ports ouverts par défaut ou rouvrir les ports précédemment fermés.

Réseau client non fiable : Vous pouvez spécifier si un nœud fait confiance au trafic entrant provenant du réseau client, ainsi que les ports supplémentaires que vous souhaitez ouvrir lorsque le réseau client non fiable est configuré.

Sécurisez tous les nœuds d'administration contre les clients non fiables, notamment ceux situés sur Internet. Assurez-vous qu'aucun client non fiable ne puisse accéder à un nœud d'administration sur le réseau Grid, le réseau d'administration ou le réseau client.

Les groupes StorageGRID contrôlent l'accès aux fonctionnalités de Grid Manager et de Tenant Manager. Attribuez à chaque groupe d'utilisateurs les autorisations minimales requises pour leur rôle et utilisez le mode d'accès en lecture seule pour empêcher les utilisateurs de modifier la configuration.

Lorsque vous utilisez des points de terminaison d'équilibrage de charge StorageGRID, utilisez des nœuds de passerelle au lieu de nœuds d'administration pour le trafic client non fiable.

Si vous avez des locataires non fiables, ne leur accordez pas d'accès direct au Tenant Manager ni à l'API de gestion des locataires. À la place, demandez à ces locataires non fiables d'utiliser un portail locataire ou un système de gestion des locataires externe, qui interagit avec l'API de gestion des locataires.

Vous pouvez également utiliser un proxy d'administration pour un meilleur contrôle des communications AutoSupport des nœuds d'administration vers le support NetApp. Consultez la procédure pour "création d'un proxy d'administration".

Vous pouvez utiliser les ports restreints 8443 et 9443 pour séparer les communications entre Grid Manager et Tenant Manager. Bloquez le port partagé 443 et limitez les requêtes des locataires au port 9443 pour une protection supplémentaire.

Vous pouvez également utiliser des nœuds d'administration distincts pour les administrateurs de grille et les utilisateurs locataires.

N'autorisez pas les clients non fiables à se connecter directement aux nœuds de stockage. Utilisez un point de terminaison d'équilibrage de charge fourni par un nœud de passerelle ou un équilibreur de charge tiers.

N’activez pas les services sortants pour les locataires non approuvés. Par exemple, lors de la création du compte pour un locataire non approuvé, n’autorisez pas le locataire à utiliser sa propre source d’identité et n’autorisez pas l’utilisation des services de la plateforme. Consultez la procédure pour "création d'un compte locataire".

Utilisez un répartiteur de charge tiers pour le trafic des clients non fiables. L'équilibrage de charge tiers offre un meilleur contrôle et des niveaux de protection supplémentaires contre les attaques.

Vous pouvez également utiliser un proxy de stockage pour un contrôle accru des Cloud Storage Pools et des communications des services de plateforme des nœuds de stockage vers les services externes. Consultez les étapes pour "création d'un proxy de stockage".

Vous pouvez éventuellement vous connecter à des services externes via le Client Network. Ensuite, sélectionnez Configuration > Security > Firewall control > Untrusted Client Networks et indiquez que le Client Network sur le Storage Node n'est pas approuvé. Le Storage Node n'accepte plus aucun trafic entrant sur le Client Network, mais continue d'autoriser les requêtes sortantes pour les Platform Services.

Configurez et utilisez les points de terminaison de l'équilibreur de charge. Voir "Considérations relatives à l'équilibrage de charge".

Utilisez un équilibreur de charge tiers entre le client et le nœud de passerelle ou les nœuds de stockage pour le trafic client non fiable. L'équilibrage de charge tiers offre un meilleur contrôle et une protection renforcée contre les attaques. Si vous utilisez un équilibreur de charge tiers, le trafic réseau peut toujours être configuré pour transiter par un point de terminaison d'équilibrage de charge interne ou être envoyé directement aux nœuds de stockage.

Si vous utilisez des points de terminaison d'équilibrage de charge, vous pouvez éventuellement faire en sorte que les clients se connectent via le réseau client. Ensuite, sélectionnez Configuration > Sécurité > Contrôle du pare-feu > Réseaux clients non approuvés et indiquez que le réseau client sur le nœud passerelle n'est pas approuvé. Le nœud passerelle n'accepte le trafic entrant que sur les ports explicitement configurés comme points de terminaison d'équilibrage de charge.

Si l'appliance utilise SANtricity System Manager pour la gestion du contrôleur de stockage, empêchez les clients non fiables d'accéder à SANtricity System Manager via le réseau.

Si l'appareil est équipé d'un contrôleur de gestion de carte mère (BMC), sachez que le port de gestion du BMC permet un accès matériel de bas niveau. Connectez le port de gestion du BMC uniquement à un réseau de gestion interne sécurisé et de confiance.

Si l'appareil prend en charge la gestion à distance du matériel du contrôleur via Ethernet à l'aide de la norme Intelligent Platform Management Interface (IPMI), bloquez le trafic non fiable sur le port 623.

Pour les modèles d'appliances contenant des disques SED, FDE ou FIPS NL-SAS que vous gérez avec SANtricity System Manager, "activer et configurer SANtricity Drive Security".

Pour les modèles d'appliances contenant des SSD NVMe SED ou FIPS que vous gérez à l'aide de StorageGRID Appliance Installer et de Grid Manager, "activer et configurer le chiffrement des disques StorageGRID".

Pour les appareils sans disques SED, FDE ou FIPS, utilisez un serveur de gestion de clés (KMS) pour "activer et configurer le chiffrement du nœud logiciel StorageGRID".