Skip to main content
La versione in lingua italiana fornita proviene da una traduzione automatica. Per eventuali incoerenze, fare riferimento alla versione in lingua inglese.

Applicare SHA-2 sulle password dell'account amministratore

Collaboratori
PDF

Gli account amministratore creati prima di ONTAP 9.0 continuano a utilizzare le password MD5 dopo l'aggiornamento, fino a quando le password non vengono modificate manualmente. MD5 è meno sicuro di SHA-2. Pertanto, dopo l'aggiornamento, è necessario richiedere agli utenti degli account MD5 di modificare le password per utilizzare la funzione hash SHA-512 predefinita.

A proposito di questa attività

La funzionalità di hash delle password consente di effettuare le seguenti operazioni:

  • Visualizza gli account utente che corrispondono alla funzione hash specificata.

  • Gli account con scadenza che utilizzano una funzione hash specificata (ad esempio MD5), costringendo gli utenti a modificare le password nel successivo accesso.

  • Bloccare gli account le cui password utilizzano la funzione hash specificata.

  • Quando si torna a una release precedente a ONTAP 9, reimpostare la password dell'amministratore del cluster affinché sia compatibile con la funzione hash (MD5) supportata dalla release precedente.

ONTAP accetta password SHA-2 pre-hash solo utilizzando l'SDK di gestione NetApp (security-login-create e. security-login-modify-password).

Fasi

  1. Migrare gli account amministratore MD5 alla funzione hash della password SHA-512:

    1. Scadenza di tutti gli account amministratore MD5: security login expire-password -vserver * -username * -hash-function md5

      In questo modo, gli utenti degli account MD5 devono modificare le password al successivo accesso.

    2. Chiedere agli utenti degli account MD5 di effettuare l'accesso tramite una console o una sessione SSH.

      Il sistema rileva che gli account sono scaduti e richiede agli utenti di modificare le password. SHA-512 viene utilizzato per impostazione predefinita per le password modificate.

  2. Per gli account MD5 i cui utenti non effettuano l'accesso per modificare le password entro un determinato periodo di tempo, forzare la migrazione dell'account:

    1. Bloccare gli account che utilizzano ancora la funzione hash MD5 (livello di privilegio avanzato): security login expire-password -vserver * -username * -hash-function md5 -lock-after integer

      Dopo il numero di giorni specificato da -lock-after, Gli utenti non possono accedere ai propri account MD5.

    2. Sbloccare gli account quando gli utenti sono pronti a modificare le proprie password: security login unlock -vserver svm_name -username user_name

    3. Chiedere agli utenti di accedere ai propri account tramite una console o una sessione SSH e modificare le password quando richiesto dal sistema.