Note di rilascio
Fogli di lavoro per l'autenticazione dell'amministratore e la configurazione RBAC
Suggerisci modifiche
PDF
Prima di creare account di accesso e impostare RBAC (role-based access control), è necessario raccogliere informazioni per ciascun elemento nei fogli di lavoro di configurazione.
Creare o modificare gli account di accesso
Questi valori vengono forniti con security login create Comando quando abiliti gli account di accesso per accedere a una VM di storage. Vengono forniti gli stessi valori con security login modify Comando quando si modifica il modo in cui un account accede a una VM storage.
Campo |
Descrizione |
Il tuo valore |
|
Il nome della VM di storage a cui accede l'account. Il valore predefinito è il nome della VM storage di amministrazione per il cluster. |
|
|
Il nome utente o il nome del gruppo dell'account. Specificando un nome di gruppo, è possibile accedere a ciascun utente del gruppo. È possibile associare un nome utente o un nome di gruppo a più applicazioni. |
|
|
Applicazione utilizzata per accedere alla VM di storage:
|
|
|
Il metodo utilizzato per autenticare l'account:
|
|
|
L'indirizzo IP dello switch remoto. Lo switch remoto può essere uno switch del cluster monitorato dal monitor di stato dello switch del cluster (CSHM) o uno switch Fibre Channel (FC) monitorato dal monitor di stato MetroCluster (MCC-HM). Questa opzione è applicabile solo quando l'applicazione è |
|
|
Il ruolo di controllo degli accessi assegnato all'account:
|
|
|
(Facoltativo) testo descrittivo per l'account. Racchiudere il testo tra virgolette doppie ("). |
|
|
Se l'account è un account di gruppo LDAP o NIS ( |
|
|
Secondo metodo di autenticazione in caso di autenticazione multifattore:
L'ordine di autenticazione è sempre la chiave pubblica seguita dalla password. |
|
|
A partire da ONTAP 9.11.1, se impostato su true, attiva il binding rapido LDAP per l'autenticazione nsswitch; l'impostazione predefinita è false. Per utilizzare l'associazione rapida LDAP, il |
Configurare le informazioni di protezione di Cisco Duo
Questi valori vengono forniti con security login duo create Comando quando si attiva l'autenticazione a due fattori Cisco Duo con gli accessi SSH per una VM di storage.
Campo |
Descrizione |
Il tuo valore |
|
La VM di storage (denominata vserver nell'interfaccia CLI di ONTAP) a cui si applicano le impostazioni di autenticazione Duo. |
|
|
La chiave di integrazione, ottenuta durante la registrazione dell'applicazione SSH con Duo. |
|
|
La chiave segreta, ottenuta durante la registrazione dell'applicazione SSH con Duo. |
|
|
Il nome host API, ottenuto durante la registrazione dell'applicazione SSH con Duo. Ad esempio: api-<HOSTNAME>.duosecurity.com |
|
|
In caso di errori di configurazione o di servizio che impediscono l'autenticazione Duo, non viene eseguita correttamente |
|
|
Utilizzare il proxy HTTP specificato. Se il proxy HTTP richiede l'autenticazione, includere le credenziali nell'URL del proxy. Ad esempio: http-proxy=http://username:password@proxy.example.org:8080 |
|
|
Entrambi Se configurato con |
|
|
Se un utente non riesce ad autenticarsi con un secondo fattore, Duo richiede all'utente di eseguire nuovamente l'autenticazione. Questa opzione consente di impostare il numero massimo di richieste visualizzate da Duo prima di negare l'accesso. Deve essere Ad esempio, quando Se configurato con Per una migliore esperienza, un utente con solo autenticazione a chiave pubblica avrà sempre |
|
|
Attiva l'autenticazione a due fattori Duo. Impostare su |
Definire ruoli personalizzati
Questi valori vengono forniti con security login role create quando si definisce un ruolo personalizzato.
Campo |
Descrizione |
Il tuo valore |
|
(Opzionale) il nome della VM di storage (chiamato vserver nella CLI di ONTAP) associata al ruolo. |
|
|
Il nome del ruolo. |
|
|
La directory di comando a cui il ruolo dà accesso. I nomi delle sottodirectory dei comandi devono essere racimati tra virgolette doppie ("). Ad esempio, |
|
|
(Facoltativo) il livello di accesso per il ruolo. Per le directory dei comandi:
Per comandi non intrinseci (comandi che non finiscono in
Per concedere o negare l'accesso ai comandi intrinseci, è necessario specificare la directory dei comandi. |
|
|
(Facoltativo) oggetto query utilizzato per filtrare il livello di accesso, specificato sotto forma di un'opzione valida per il comando o per un comando nella directory dei comandi. Racchiudere l'oggetto di query tra virgolette doppie ("). Ad esempio, se la directory dei comandi è |
Associare una chiave pubblica a un account utente
Questi valori vengono forniti con security login publickey create Quando si associa una chiave pubblica SSH a un account utente.
Campo |
Descrizione |
Il tuo valore |
|
(Facoltativo) il nome della VM di storage a cui l'account accede. |
|
|
Il nome utente dell'account. Il valore predefinito, |
|
|
Il numero di indice della chiave pubblica. Il valore predefinito è 0 se la chiave è la prima chiave creata per l'account; in caso contrario, il valore predefinito è uno più del numero di indice più alto esistente per l'account. |
|
|
La chiave pubblica OpenSSH. Racchiudere la chiave tra virgolette doppie ("). |
|
|
Il ruolo di controllo degli accessi assegnato all'account. |
|
|
(Facoltativo) testo descrittivo per la chiave pubblica. Racchiudere il testo tra virgolette doppie ("). |
|
|
(Facoltativo) a partire da ONTAP 9.13.1, consente di gestire l'associazione del certificato X.509 con la chiave pubblica SSH. Quando si associa un certificato X.509 alla chiave pubblica SSH, ONTAP verifica la validità del certificato al momento dell'accesso SSH. Se è scaduto o è stato revocato, l'accesso non è consentito e la chiave pubblica SSH associata è disattivata. Valori possibili:
|
Installare un certificato digitale del server firmato dalla CA
Questi valori vengono forniti con security certificate generate-csr Comando quando si genera una richiesta di firma digitale del certificato (CSR) da utilizzare per l'autenticazione di una VM di storage come server SSL.
Campo |
Descrizione |
Il tuo valore |
|
Il nome del certificato, ovvero un nome di dominio completo (FQDN) o un nome comune personalizzato. |
|
|
Il numero di bit nella chiave privata. Maggiore è il valore, maggiore sarà la sicurezza della chiave. Il valore predefinito è |
|
|
Il paese della macchina virtuale di archiviazione, in un codice di due lettere. Il valore predefinito è |
|
|
Lo stato o la provincia della macchina virtuale di storage. |
|
|
La località della macchina virtuale storage. |
|
|
L'organizzazione della macchina virtuale di storage. |
|
|
L'unità nell'organizzazione della VM di storage. |
|
|
L'indirizzo e-mail dell'amministratore del contatto per la VM di storage. |
|
|
Funzione di hashing crittografico per la firma del certificato. Il valore predefinito è |
Questi valori vengono forniti con security certificate install Comando quando si installa un certificato digitale con firma CA da utilizzare per l'autenticazione del cluster o della VM di storage come server SSL. Nella tabella seguente sono riportate solo le opzioni relative alla configurazione dell'account.
Campo |
Descrizione |
Il tuo valore |
|
Il nome della VM di archiviazione su cui deve essere installato il certificato. |
|
|
Il tipo di certificato:
|
Configurare l'accesso al controller di dominio Active Directory
Questi valori vengono forniti con security login domain-tunnel create Comando quando è già stato configurato un server SMB per una macchina virtuale per lo storage dei dati e si desidera configurare la macchina virtuale per lo storage come gateway o tunnel per l'accesso al cluster da parte del controller di dominio Active Directory.
Campo |
Descrizione |
Il tuo valore |
|
Nome della VM di storage per cui è stato configurato il server SMB. |
Questi valori vengono forniti con vserver active-directory create Comando quando non è stato configurato un server SMB e si desidera creare un account di un computer VM di archiviazione nel dominio Active Directory.
Campo |
Descrizione |
Il tuo valore |
|
Il nome della VM di storage per cui si desidera creare un account di computer Active Directory. |
|
|
Il nome NetBIOS dell'account del computer. |
|
|
Il nome di dominio completo (FQDN). |
|
|
L'unità organizzativa nel dominio. Il valore predefinito è |
Configurare l'accesso al server LDAP o NIS
Questi valori vengono forniti con vserver services name-service ldap client create Comando quando si crea una configurazione del client LDAP per la VM di storage.
Nella seguente tabella sono riportate solo le opzioni relative alla configurazione dell'account:
Campo |
Descrizione |
Il tuo valore |
||
|
Nome della VM di storage per la configurazione client. |
|||
|
Il nome della configurazione del client. |
|||
|
Elenco separato da virgole di indirizzi IP e nomi host per i server LDAP a cui si connette il client. |
|||
|
Lo schema utilizzato dal client per eseguire query LDAP. |
|||
|
Se il client utilizza Start TLS per crittografare la comunicazione con il server LDAP (
|
Questi valori vengono forniti con vserver services name-service ldap create Comando quando si associa una configurazione client LDAP alla VM di storage.
Campo |
Descrizione |
Il tuo valore |
|
Nome della VM di storage a cui deve essere associata la configurazione client. |
|
|
Il nome della configurazione del client. |
|
|
Se la VM di storage può utilizzare la configurazione del client LDAP ( |
Questi valori vengono forniti con vserver services name-service nis-domain create Quando crei una configurazione di dominio NIS su una VM di storage.
Campo |
Descrizione |
Il tuo valore |
|
Nome della VM di storage su cui deve essere creata la configurazione del dominio. |
|
|
Il nome del dominio. |
|
|
Se il dominio è attivo ( |
|
|
ONTAP 9.0, 9.1: Un elenco separato da virgole di indirizzi IP per i server NIS utilizzati dalla configurazione del dominio. |
|
|
Elenco separato da virgole di indirizzi IP e nomi host per i server NIS utilizzati dalla configurazione di dominio. |
Questi valori vengono forniti con vserver services name-service ns-switch create quando si specifica l'ordine di ricerca per le origini del servizio nome.
Campo |
Descrizione |
Il tuo valore |
|
Il nome della VM di storage su cui deve essere configurato l'ordine di ricerca del servizio dei nomi. |
|
|
Il database name service:
|
|
|
L'ordine in cui cercare le origini del servizio dei nomi (in un elenco separato da virgole):
|
Configurare l'accesso SAML
A partire da ONTAP 9.3, si forniscono questi valori con security saml-sp create Comando per configurare l'autenticazione SAML.
Campo |
Descrizione |
Il tuo valore |
|
L'indirizzo FTP o HTTP dell'host IdP (Identity Provider) da cui è possibile scaricare i metadati IdP. |
|
|
Il nome host o l'indirizzo IP dell'host del provider di servizi SAML (sistema ONTAP). Per impostazione predefinita, viene utilizzato l'indirizzo IP della LIF di gestione del cluster. |
|
|
I dettagli del certificato del server dell'host del provider di servizi (sistema ONTAP). È possibile immettere l'autorità di certificazione (CA) di emissione del certificato del provider di servizi e il numero di serie del certificato oppure il nome comune del certificato del server. |
|
|
Se l'identità del server di metadati IdP deve essere convalidata |