NetApp Workload Factoryの認証情報の保存オプション
変更を提案
PDF
NetApp Workload Factory は、最小権限を維持し、ONTAP 管理シークレットの露出を低減する認証情報の処理パターンをサポートします。AI を活用した診断機能は、診断エージェントがストレージ環境を変更することなく監視および診断できるように、利用可能な場合は読み取り専用の ONTAP 認証情報を使用します。Workload Factory が管理する暗号化ストレージを使用するか、AWS Secrets Manager に ONTAP パスワードを保存して Workload Factory に参照情報を提供することができます。この選択は、パスワードの保存場所、暗号化方法、および GovCloud サポートや認証情報のローテーションなどの要件の管理方法に影響します。
読み取り専用ONTAPアクセスモデル
イベント分析やレイテンシー診断などのAIを活用した機能では、Workload Factoryは利用可能な場合に読み取り専用のONTAP認証情報を使用します。読み取り専用の認証情報モデルにより、AI診断エージェントはストレージ環境を変更することができず、監視と診断のみを行います。
認証情報保存オプションの比較
AWS クレデンシャル
AWS認証情報は常にIAMロールを通じて取得されます。Workload Factoryは、ロール情報を内部的に管理することも、AWS Secrets Managerから参照することもできます。
| オプション | AWS クレデンシャル | 何が保存されているか | 暗号化 |
|---|---|---|---|
Workload Factory が管理 |
IAMロールARN + 外部ID |
IAMロールARN + 外部ID |
ロールARNは秘密情報ではありません（そのまま保存されます） |
ONTAP クレデンシャル
Workload Factory は、ONTAP 認証情報を暗号化されたストレージに内部的に管理するか、AWS Secrets Manager から参照することができます。この選択は、パスワードの保存方法、暗号化方法、およびローテーション方法に影響します。
Workload Factory が "ラムダリンク" を通じて ONTAP ファイルシステム API と連携するには、ONTAP 認証情報が必要です。
| オプション | ONTAP クレデンシャル | 何が保存されているか | 暗号化 |
|---|---|---|---|
Workload Factory が管理 |
パスワード（暗号化済み） |
ONTAP管理者パスワード（暗号化済み） |
ONTAPパスワードはAES-256エンベロープ暗号化を使用します |
AWS Secrets Manager |
Secrets Manager ARN リファレンス |
Secrets Manager ARN |
Secrets ARN はシークレットではありません（そのまま保存されます）。AWS Secrets Manager がアカウント内のシークレットを暗号化します。 |
その他の考慮事項
- GovCloud 要件
-
標準のIAMロールが使用されます。ONTAP認証情報はSecrets Managerを使用する必要があります（パスワードの保存は許可されていません）。
- 回転
-
アカウント内のロールポリシーが更新されました。Workload Factory でONTAPパスワードを更新する（マネージドオプション）か、AWS Secrets Manager でパスワードをローテーションしてください。