Opções de armazenamento de credenciais para o NetApp Workload Factory
Sugerir alterações
PDFs
O NetApp Workload Factory oferece padrões de gerenciamento de credenciais que preservam o menor privilégio e reduzem a exposição de segredos administrativos do ONTAP. Recursos de diagnóstico com inteligência artificial usam credenciais do ONTAP somente leitura quando disponíveis, para que o agente de diagnóstico possa observar e diagnosticar sem modificar o ambiente de storage. Você pode usar o armazenamento criptografado gerenciado pelo Workload Factory ou armazenar a senha do ONTAP no AWS Secrets Manager e fornecer uma referência ao Workload Factory. Essa escolha afeta onde a senha é armazenada, como ela é criptografada e como você gerencia requisitos como suporte ao GovCloud e rotação de credenciais.
Modelo de acesso somente leitura do ONTAP
Para funcionalidades baseadas em IA, como análise de eventos e diagnóstico de latência, o Workload Factory utiliza credenciais ONTAP somente leitura quando disponíveis. O modelo de credencial somente leitura garante que o agente de diagnóstico de IA não possa fazer modificações no seu ambiente de storage; ele só pode observar e diagnosticar.
Comparação de opções de armazenamento de credencial
Credenciais AWS
As credenciais da AWS são sempre assumidas por meio de uma função do IAM. O Workload Factory pode gerenciar as informações da função internamente ou referenciá-las no AWS Secrets Manager.
| Opção | Credenciais AWS | O que está armazenado | Criptografia |
|---|---|---|---|
Workload Factory gerenciado |
ARN da função IAM + ID externo |
ARN da função IAM + ID externo |
O ARN da função não é um segredo (armazenado tal como está) |
Credenciais ONTAP
O Workload Factory pode gerenciar as credenciais do ONTAP internamente com armazenamento criptografado ou referenciá-las a partir do AWS Secrets Manager. Essa escolha afeta como a senha é armazenada, criptografada e rotacionada.
As credenciais do ONTAP são necessárias para o Workload Factory interagir com as APIs do sistema de arquivos ONTAP por meio de um "Link Lambda".
| Opção | Credenciais ONTAP | O que está armazenado | Criptografia |
|---|---|---|---|
Workload Factory gerenciado |
Senha (criptografada) |
Senha de administrador do ONTAP (criptografada) |
A senha do ONTAP usa criptografia envelope AES-256 |
O AWS Secrets Manager |
Referência ARN do Secrets Manager |
ARN do Secrets Manager |
O ARN de segredos não é um segredo (armazenado tal como está); o AWS Secrets Manager criptografa o segredo na sua conta |
Considerações adicionais
- GovCloud exigência
-
É utilizada a função padrão do IAM; as credenciais do ONTAP devem usar o Secrets Manager (o armazenamento de senhas não é permitido).
- Rotação
-
As políticas de função são atualizadas na sua conta. Atualize a senha do ONTAP no o NetApp Workload Factory (opção gerenciada) ou faça a rotação no AWS Secrets Manager.