Skip to main content
La versione in lingua italiana fornita proviene da una traduzione automatica. Per eventuali incoerenze, fare riferimento alla versione in lingua inglese.

Gestire i gruppi di approvazione degli amministratori ONTAP per MAV

Collaboratori netapp-andreajost netapp-aaron-holt netapp-bhouser netapp-forry netapp-aoife netapp-dbagwell
PDF

Prima di attivare la verifica multi-amministratore (MAV), è necessario creare un gruppo di approvazione amministratore contenente uno o più amministratori a cui concedere l'autorizzazione di approvazione o veto. Una volta attivata la verifica multi-admin, qualsiasi modifica all'appartenenza al gruppo di approvazione richiede l'approvazione di uno degli amministratori qualificati esistenti.

A proposito di questa attività

È possibile aggiungere amministratori esistenti a un gruppo MAV o creare nuovi amministratori.

La funzionalità MAV rispetta le impostazioni RBAC (role-based access control) esistenti. I potenziali amministratori MAV devono disporre di privilegi sufficienti per eseguire operazioni protette prima di aggiungerli ai gruppi di amministratori MAV. "Scopri di più su RBAC."

È possibile configurare MAV per avvisare gli amministratori MAV che le richieste di approvazione sono in sospeso. A tale scopo, è necessario configurare le notifiche e-mail, in particolare l' Mail From e. Mail Server parametri—​oppure è possibile cancellare questi parametri per disattivare la notifica. Senza avvisi via email, gli amministratori MAV devono controllare manualmente la coda di approvazione.

A partire da ONTAP 9.15.1, è possibile configurare gli utenti di Active Directory (AD) come amministratori MAV. L'utente AD deve essere"configurato come amministratore ONTAP" .

A partire da ONTAP 9.20.1, i gruppi di approvazione possono includere anche gruppi di provider di identità (IdP), Active Directory (AD) o LDAP (nsswitch). I tipi di gruppo supportati includono Entra ID (precedentemente Azure AD), ADFS, gruppi di dominio AD e gruppi LDAP.

Le modifiche all'appartenenza di un utente ai gruppi nel provider di identità diventano effettive al successivo accesso riuscito dell'utente. Non è necessaria alcuna riconfigurazione di MAV.

Nota Prima di poter aggiungere un gruppo IdP, AD o LDAP a un gruppo di approvazione MAV, il gruppo deve già avere l'accesso di login configurato ed essere registrato nella security login group tabella con una mappatura dei ruoli. Consulta le procedure seguenti.

Procedura di System Manager

Se si desidera creare un gruppo di approvazione MAV per la prima volta, consultare la procedura di System Manager in "attiva la verifica multi-admin."

Per modificare un gruppo di approvazione esistente o creare un gruppo di approvazione aggiuntivo:

  1. Identificare gli amministratori per ricevere la verifica multi-admin.

    1. Seleziona Cluster > Impostazioni.

    2. Seleziona Icona a forma di freccia accanto a Utenti, gruppi e ruoli.

    3. Seleziona Icona Add (Aggiungi) in Utenti.

    4. Modificare il registro in base alle esigenze.

      Per ulteriori informazioni, vedere "Controllare l'accesso dell'amministratore."

  2. A partire da ONTAP 9.20.1, se vuoi aggiungere un gruppo IdP, AD o LDAP come approvatore MAV, devi prima registrare il gruppo in modo che sia possibile farvi riferimento nella configurazione MAV.

    1. In Groups, seleziona Icona Add (Aggiungi) per aggiungere un gruppo.

      Inserisci il nome del gruppo. Il campo UUID è obbligatorio solo per i gruppi Microsoft Entra; gli altri provider di identità utilizzano il nome del gruppo.

    2. In Mappatura gruppo-ruolo, seleziona Icona Add (Aggiungi), seleziona il gruppo e assegna un ruolo con privilegi sufficienti per approvare le richieste MAV.

  3. Creare o modificare il gruppo di approvazione MAV:

    1. Seleziona Cluster > Impostazioni.

    2. Seleziona Icona a forma di freccia accanto a Multi-Admin Approval nella sezione Security. (Vedrai l'icona Icona delle azioni se MAV non è ancora configurato.)

      • Name (Nome): Immettere un nome di gruppo.

      • Approvatori (utenti): seleziona i singoli approvatori da un elenco di utenti.

      • Approvatori (gruppi): a partire da ONTAP 9.20.1, puoi selezionare facoltativamente uno o più gruppi IdP, AD o LDAP registrati.

      • Email address (Indirizzo email): Inserire gli indirizzi email.

      • Default group (Gruppo predefinito): Selezionare un gruppo.

L'approvazione MAV è necessaria per modificare una configurazione esistente una volta abilitato MAV.

Procedura CLI

  1. Verificare che siano stati impostati i valori per Mail From e. Mail Server parametri. Inserire:

    event config show

    Il display dovrebbe essere simile a quanto segue:

    cluster01::> event config show
                           Mail From:  admin@localhost
                         Mail Server:  localhost
                           Proxy URL:  -
                          Proxy User:  -
 Publish/Subscribe Messaging Enabled:  true

    Per configurare questi parametri, immettere:

    event config modify -mail-from email_address -mail-server server_name

    Ulteriori informazioni su event config show e event config modify nella "Riferimento al comando ONTAP".

  2. Identifica gli amministratori che parteciperanno alla verifica multi-admin.

    Se si desidera… Immettere questo comando

    Visualizza gli amministratori correnti

    security login show

    Modificare le credenziali degli amministratori correnti

    security login modify <parameters>

    Creare nuovi account amministratore

    security login create -user-or-group-name admin_name -application ssh -authentication-method password

    Ulteriori informazioni su security login show, security login modify e security login create nella "Riferimento al comando ONTAP".

  3. A partire da ONTAP 9.20.1, se vuoi aggiungere un gruppo IdP, AD o LDAP come approvatore MAV, verifica che il gruppo abbia l'accesso di login configurato, quindi registralo per MAV.

    Se il gruppo non ha già configurato l'accesso di login, inserisci:

    security login create -user-or-group-name group_name -application http|ssh -authentication-method domain|nsswitch|saml|oauth2 -role role

    Successivamente, registra il gruppo in modo che sia possibile farvi riferimento nella configurazione MAV e associalo a un ruolo:

    security login group create -vserver svm_name -name group_name [-uuid uuid]

    security login group role-mapping create -group-id group_id -role role

    Il -uuid parametro è richiesto solo per i gruppi Microsoft Entra ID. I gruppi del dominio AD, ADFS/SAML e LDAP (nsswitch) sono identificati solo dal nome.

    Esempio: I seguenti comandi registrano il gruppo AD mydomain\mav_approvers per MAV e lo associano al admin ruolo.

    cluster-1::> security login group create -vserver cluster-1 -name mydomain\mav_approvers
cluster-1::> security login group show -vserver cluster-1

     Vserver: cluster-1
  Group Name: mydomain\mav_approvers
    Group ID: 1
  Group UUID: -
     Comment: -

cluster-1::> security login group role-mapping create -group-id 1 -role admin

    Scopri di più su security login group create e security login group role-mapping create nel "Riferimento al comando ONTAP".

  4. Creare il gruppo di approvazione MAV:

    security multi-admin-verify approval-group create [ -vserver svm_name] -name group_name [-approvers approver1[,approver2…]] [-groups group1[,group2…]] [[-email address1], address1…​]

    • -vserver - Solo la SVM amministrativa è supportata in questa versione.

    • -name - Il nome del gruppo MAV, composto da un massimo di 64 caratteri.

    • -approvers - L'elenco di uno o più approvatori individuali. Per gli utenti AD, usa il formato domain\user. Ad esempio, mydomain\pavan.

    • -groups - L'elenco di uno o più gruppi IdP, AD o LDAP da includere nel gruppo di approvazione. Ciascun gruppo deve essere già registrato nella `security login group`tabella con una mappatura dei ruoli.

    • -email - Uno o più indirizzi e-mail che vengono notificati quando una richiesta viene creata, approvata, sottoposta a veto o eseguita.

      Esempio: Il seguente comando crea un gruppo MAV con due approvatori individuali e un gruppo Entra ID.

    cluster-1::> security multi-admin-verify approval-group create -name mav-grp1 -approvers pavan,julia -groups entra-group-mav-approvers -email pavan@myfirm.com,julia@myfirm.com

  5. Verificare la creazione e l'appartenenza del gruppo:

    security multi-admin-verify approval-group show

    Esempio:

    cluster-1::> security multi-admin-verify approval-group show
Vserver  Name        Approvers        Approver Groups                  Email
-------  ---------------- ------------------  ------------------------------- ------------------------------------------------------------
svm-1    mav-grp1   pavan,julia      entra-group-mav-approvers        pavan@myfirm.com,julia@myfirm.com

Utilizzare questi comandi per modificare la configurazione iniziale del gruppo MAV.

Nota: tutti richiedono l'approvazione dell'amministratore MAV prima dell'esecuzione.

Se si desidera… Immettere questo comando

Modificare le caratteristiche del gruppo o le informazioni sui membri esistenti

security multi-admin-verify approval-group modify [-vserver svm_name] -name group_name [-approvers approver1[,approver2…]] [-groups group1[,group2…]] [[-email address1], address1…​]

Aggiungere o rimuovere membri

security multi-admin-verify approval-group replace [-vserver svm_name] -name group_name [-approvers-to-add approver1[,approver2…]][-approvers-to-remove approver1[,approver2…]] [-groups-to-add group1[,group2…]][-groups-to-remove group1[,group2…]]

Eliminare un gruppo

security multi-admin-verify approval-group delete [-vserver svm_name] -name group_name
Informazioni correlate