A partire da ONTAP 9.9,1, è supportata la funzione NFSv4,2 denominata NFS.

Labeled NFS è un modo per gestire l'accesso granulare a file e cartelle utilizzando le etichette SELinux e il Mandatory Access Control (MAC). Queste etichette MAC sono memorizzate con file e cartelle e funzionano in combinazione con autorizzazioni UNIX e ACL NFSv4.x.

Il supporto per NFS etichettato significa che ONTAP ora riconosce e comprende le impostazioni dell'etichetta SELinux del client NFS. NFS etichettato è coperto in RFC-7204.

I casi d'utilizzo per l'etichetta NFSv4,2 includono quanto segue:

È possibile attivare o disattivare NFS con la seguente opzione di privilegio avanzato:

Questo parametro è facoltativo e l'impostazione predefinita è disabled.

A partire da ONTAP 9.9,1, ONTAP supporta le seguenti modalità di applicazione:

Nell'esempio di configurazione riportato di seguito vengono illustrati i concetti che utilizzano Red Hat Enterprise Linux release 9,3 (Plow).

L'utente jrsmith, creato in base alle credenziali di John R. Smith, dispone del seguente account Privileges:

Esistono due ruoli: L'account admin che è un utente e un utente con privilegi jrsmith, come descritto nella seguente tabella MLS Privileges:

In questo ambiente di esempio, l'utente jrsmith ha accesso ai file ai s3 livelli di s0 . Possiamo migliorare le classificazioni di sicurezza esistenti, come descritto di seguito, per garantire che gli amministratori non abbiano accesso a dati specifici dell'utente.

Oltre alla protezione multilivello (MLS), un'altra funzionalità denominata protezione multi-categoria (MCS) consente di definire categorie come i progetti.

A partire da ONTAP 9.12,1, ONTAP supporta xattrs. Xattrs consente l'associazione dei metadati a file e directory oltre a quanto fornito dal sistema, come gli elenchi di controllo di accesso (ACL) o gli attributi definiti dall'utente.

Per implementare xattrs, è possibile utilizzare setfattr e getfattr le utilità della riga di comando in Linux per gestire xattrs di oggetti del file system. Questi strumenti forniscono un metodo efficace per gestire metadati aggiuntivi per file e directory. Devono essere utilizzati con cautela, anche se un uso improprio può causare comportamenti imprevisti o problemi di sicurezza. Per istruzioni dettagliate sull'uso, consultare sempre setfattr le pagine man e getfattr o altra documentazione affidabile.

Quando xattrs è abilitato su un filesystem ONTAP, gli utenti possono impostare, modificare e recuperare attributi arbitrari sui file. Questi attributi possono essere utilizzati per memorizzare informazioni aggiuntive sul file che non vengono acquisite dal set standard di attributi del file, come le informazioni sul controllo dell'accesso.

Gli xattrs sono utilizzati all'interno dello spazio dei nomi utente e non hanno alcun significato intrinseco per ONTAP stesso. Le loro applicazioni pratiche sono invece determinate e gestite esclusivamente dall'applicazione lato client che interagisce con il file system.

esempi di casi di utilizzo di xattr:

Una voce di controllo di accesso (ACE) è un componente di un elenco di controllo di accesso (ACL) che definisce i diritti di accesso o le autorizzazioni concessi a un singolo utente o a un gruppo di utenti per una risorsa specifica, ad esempio un file o una directory. Ogni ACE specifica il tipo di accesso consentito o negato ed è associato a un'identità di protezione particolare (identità utente o gruppo).

Spiegazione delle autorizzazioni richieste per xattrs:

Recupera xattr: Autorizzazioni necessarie per la lettura degli attributi estesi di un file o di una directory. La "R" indica che è necessario il permesso di lettura. Set xattrs: Le autorizzazioni necessarie per modificare o impostare gli attributi estesi. "A", "w" e "T" rappresentano diversi esempi di permessi, quali append, write e un permesso specifico relativo a xattrs. Files: Gli utenti hanno bisogno di aggiungere, scrivere e potenzialmente di un permesso speciale relativo a xattrs per impostare attributi estesi. Directory: Per impostare gli attributi estesi è necessaria un'autorizzazione specifica "T".

Il supporto di ONTAP per il protocollo SMB/CIFS si estende alla gestione completa degli xattrs, che sono parte integrante dei metadati dei file negli ambienti Windows. Gli attributi estesi consentono agli utenti e alle applicazioni di memorizzare informazioni aggiuntive oltre all'insieme standard di attributi di file, come i dettagli dell'autore, i descrittori di protezione personalizzati o i dati specifici dell'applicazione. L'implementazione SMB/CIFS di ONTAP garantisce il supporto completo di questi xattrs, consentendo una perfetta integrazione con i servizi e le applicazioni Windows che dipendono da questi metadati per l'applicazione delle funzionalità e dei criteri.

Quando si accede ai file o li si trasferisce su condivisioni SMB/CIFS gestite da ONTAP, il sistema preserva l'integrità degli xattrs, garantendo che tutti i metadati vengano conservati e rimangano coerenti. Ciò è particolarmente importante per mantenere le impostazioni di protezione e per le applicazioni che si basano su xattrs per la configurazione o il funzionamento. La solida gestione degli xattrs di ONTAP all'interno del contesto SMB/CIFS garantisce che la condivisione dei file su piattaforme e ambienti diversi sia affidabile e sicura, offrendo agli utenti un'esperienza perfetta e agli amministratori la garanzia che le policy di governance dei dati siano rispettate. Sia per la collaborazione, l'archiviazione dei dati o la conformità, l'attenzione di ONTAP agli xattrs all'interno delle condivisioni SMB/CIFS rappresenta il suo impegno per l'eccellenza nella gestione dei dati e l'interoperabilità in ambienti con sistemi operativi misti.

In un sistema ABAC (Attribute-based Access Control), il PEP (Policy Enforcement Point) e il PDP (Policy Decision Point) svolgono ruoli fondamentali. Il PEP è responsabile dell'applicazione dei criteri di controllo degli accessi, mentre il PDP decide se concedere o negare l'accesso in base ai criteri.

Nel contesto del frammento di codice Python fornito, lo script stesso agisce come PEP. Applica la decisione di controllo dell'accesso concedendo l'accesso al file aprendolo e leggendo il suo contenuto o negando l'accesso sollevando un PermissionError.

Il PDP, d'altro canto, sarebbe parte del sistema SELinux sottostante. Quando lo script tenta di aprire il file con un contesto SELinux specifico, il sistema SELinux controlla le proprie policy per decidere se concedere o negare l'accesso. Questa decisione viene quindi imposta dallo script.

Di seguito è riportato un esempio dettagliato di come funziona questo codice in un ambiente ABAC:

Utilizzando python, il codice per ottenere il contesto è mostrato di seguito dove il percorso del file variabile è il documento che deve essere controllato:

Le tecnologie di clonazione e SnapMirror di ONTAP sono progettate per fornire funzionalità di replica e clonazione dei dati efficienti e affidabili, garantendo che tutti gli aspetti dei dati dei file, compresi gli attributi estesi (xattrs), vengano preservati e trasferiti insieme al file. Le xattrs sono fondamentali per la memorizzazione di metadati aggiuntivi associati a un file, come etichette di sicurezza, informazioni di controllo degli accessi e dati definiti dall'utente, essenziali per mantenere il contesto e l'integrità del file.

Quando un volume viene clonato utilizzando la tecnologia FlexClone di ONTAP, viene creata una replica scrivibile esatta del volume. Questo processo di cloning è istantaneo, efficiente in termini di spazio e include tutti i dati e i metadati dei file per assicurare la replica completa delle xattrs. Allo stesso modo, SnapMirror garantisce che i dati vengano mirrorati su un sistema secondario, con piena fedeltà. Questo include xattrs, che sono fondamentali per le applicazioni che si basano su questi metadati per funzionare correttamente.

Includendo xattrs in operazioni di cloning e replica, NetApp ONTAP garantisce che il set di dati completo, con tutte le sue caratteristiche, sia disponibile e coerente nei sistemi di storage primario e secondario. Questo approccio completo alla gestione dei dati è fondamentale per le organizzazioni che richiedono una data Protection coerente, un recovery rapido e il rispetto degli standard normativi e di compliance. Inoltre, semplifica la gestione dei dati in diversi ambienti, sia on-premise che nel cloud, offrendo agli utenti la certezza che i loro dati saranno completi e inalterati durante i processi.

La seguente voce di esempio per i dati memorizzati nel cert PKI di John R Smith mostra come l'approccio di NetApp può essere applicato a un file e fornire un controllo di accesso dettagliato.

Questi diritti PKI mostrano i dettagli di accesso di John R. Smith, incluso l'accesso per tipo di dati e attribuzione.

Se John R. Smith creasse e salvasse un documento denominato "sample_analysis.doc", in base alle pertinenti direttive politiche, l'utente aggiungerebbe i contrassegni di intestazione e porzione appropriati, l'agenzia e l'ufficio di origine e il blocco dell'autorità di classificazione appropriato in base alla classificazione del documento come mostrato nell'immagine seguente. Questi metadati ricchi sono comprensibili solo dopo che sono stati scansionati da Natural Language Processing (NLP) e che sono state applicate regole per rendere il significato dai contrassegni. Strumenti come la classificazione NetApp BlueXP  possono fare questo, ma sono meno efficienti per le decisioni relative al controllo dell'accesso perché richiedono l'autorizzazione a esaminare il documento.

Negli scenari in cui i metadati IC-TDF vengono archiviati separatamente dal file, NetApp sostiene la necessità di un ulteriore livello di controllo degli accessi dettagliato. Ciò comporta l'archiviazione delle informazioni di controllo dell'accesso sia a livello di directory che in associazione con ciascun file. Ad esempio, considerare i seguenti tag collegati a un file:

Le seguenti coppie di valori chiave sono esempi di metadati che possono essere memorizzati come xattrs e offrono informazioni dettagliate sull'autore del file e sulle relative classificazioni di sicurezza. Tali metadati possono essere utilizzati dalle applicazioni client per prendere decisioni di accesso informate e organizzare i file in base a standard e requisiti organizzativi.

Il controllo delle modifiche alle etichette di sicurezza xattrs o NFS è un aspetto critico della gestione e della sicurezza del file system. Gli strumenti standard di audit del file system consentono il monitoraggio e la registrazione di tutte le modifiche apportate a un file system, incluse le modifiche agli attributi estesi e alle etichette di sicurezza.

Negli ambienti Linux, il auditd demone è comunemente usato per stabilire il controllo degli eventi del file system. Consente agli amministratori di configurare le regole per controllare chiamate di sistema specifiche correlate alle modifiche xattr, quali setxattr, lsetxattr e per impostare gli attributi e, lremovexattr e fsetxattr per la fremovexattr rimozione degli attributi removexattr.

ONTAP FPolicy estende queste funzionalità fornendo un solido framework per il monitoraggio e il controllo in tempo reale delle operazioni sui file. FPolicy può essere configurato per supportare vari eventi xattr, offrendo un controllo granulare sulle operazioni dei file e la capacità di applicare policy di gestione dei dati complete.

Per gli utenti che utilizzano xattrs, specialmente negli ambienti NFSv3 e NFSv4, sono supportate solo alcune combinazioni di operazioni e filtri per il monitoraggio. L'elenco delle combinazioni di operazioni e filtri supportate per il monitoraggio FPolicy degli eventi di accesso ai file NFSv3 e NFSv4 è descritto di seguito:

L'attivazione di ONTAP FPolicy per gli utenti che lavorano con xattrs fornisce un livello di visibilità e controllo essenziale per mantenere l'integrità e la sicurezza del file system. Sfruttando le funzionalità di monitoraggio avanzate di FPolicy, le organizzazioni possono garantire che tutte le modifiche apportate agli xattrs vengano monitorate, controllate e allineate ai loro standard di sicurezza e conformità. Questo approccio proattivo alla gestione del file system è per questo motivo l'attivazione di ONTAP FPolicy è vivamente consigliata a tutte le organizzazioni che desiderano migliorare le proprie strategie di data governance e protezione.

Per sfruttare appieno le funzionalità del controllo degli accessi basato sugli attributi (ABAC), ONTAP può integrarsi con un software di gestione degli accessi e delle identità orientato all'ABAC.

In un ambiente pratico, un'organizzazione impiegherebbe una combinazione di etichette di sicurezza NFS e xattrs. Vengono utilizzati per rappresentare una varietà di metadati, tra cui classificazione, protezione, applicazione e contenuto, che sono tutti elementi fondamentali per prendere decisioni ABAC. XATTR, ad esempio, può essere utilizzato per memorizzare gli attributi delle risorse utilizzati da PDP per il processo decisionale. È possibile definire un attributo per rappresentare il livello di classificazione di un file (ad esempio, "non classificato", "riservato", "segreto" o "Segreto principale"). Il PDP potrebbe quindi utilizzare questo attributo per applicare un criterio che limita l'accesso degli utenti solo ai file con un livello di classificazione uguale o inferiore al livello di verifica.