了解 Active IQ Unified Manager 中的集群合规性类别
建议更改
PDF
此表描述了 Unified Manager 评估的集群安全合规性参数、NetApp 建议，以及该参数是否影响集群合规或不合规的整体判定。
在集群上具有不合规的 SVM 将影响集群的合规值。因此，在某些情况下，在集群安全被视为合规之前，您可能需要解决 SVM 的安全问题。
请注意，并非所有安装都会显示下面列出的所有参数。例如，如果没有对等群集，或者在群集上禁用了 AutoSupport，则不会在 UI 页面中看到群集对等或 AutoSupport HTTPS 传输项目。
| 参数 | 问题描述 | 建议 | 影响集群合规性 |
|---|---|---|---|
全局 FIPS |
指示是否启用或禁用全球 FIPS（联邦信息处理标准）140-2 合规模式。启用 FIPS 后，TLSv1 和 SSLv3 将被禁用，只允许 TLSv1.1 和 TLSv1.2。 |
已启用 |
是 |
Telnet |
指示对系统的 Telnet 访问是启用还是禁用。NetApp 建议使用安全 Shell （SSH）进行安全远程访问。 |
已禁用 |
是 |
不安全 SSH 设置 |
指示 SSH 是否使用不安全密码，例如以 *cbc 开头的密码。 |
否 |
是 |
登录横幅 |
指示是否为访问系统的用户启用或禁用登录横幅。 |
已启用 |
是 |
创建集群对等关系 |
指示对等集群之间的通信是加密还是未加密。必须在源和目标集群上配置加密，才能将此参数视为合规。 |
已加密 |
是 |
网络时间协议 |
指示集群是否具有一个或多个配置的 NTP 服务器。为了保证冗余和最佳服务，NetApp 建议至少将三个 NTP 服务器与集群相关联。 |
已配置 |
是 |
OCSP |
从 9.14.1 开始，Active IQ Unified Manager 在 Storage Virtual Machine（SVM，以前称为 Vserver）级别提供在线证书状态协议（OCSP）状态信息。这意味着 OCSP 验证将应用于与 SVM 建立的所有 SSL/TLS 连接，并确保这些连接中使用的证书的完整性和有效性。 |
已启用 |
否 |
远程审核日志记录 |
指示日志转发（Syslog）是否已加密。 |
已加密 |
是 |
AutoSupport HTTPS 传输 |
指示是否使用 HTTPS 作为默认传输协议，用于向 NetApp 支持发送 AutoSupport 消息。 |
已启用 |
是 |
默认管理员用户 |
指示是否启用或禁用默认管理员用户（内置）。NetApp 建议锁定（禁用）任何不需要的内置帐户。 |
已禁用 |
是 |
SAML 用户 |
指示是否配置了 SAML。通过 SAML，您可以将多因素身份验证（MFA）配置为单点登录的登录方法。 |
否 |
否 |
Active Directory 用户 |
指示是否配置了 Active Directory。Active Directory 和 LDAP 是用户访问集群的首选身份验证机制。 |
否 |
否 |
LDAP 用户 |
指示是否配置了 LDAP。相比本地用户，Active Directory 和 LDAP 是管理集群的用户首选的身份验证机制。 |
否 |
否 |
证书用户 |
指示是否已将证书用户配置为登录到集群。 |
否 |
否 |
本地用户 |
指示是否将本地用户配置为登录到集群。 |
否 |
否 |
远程 Shell |
指示是否启用了 RSH。出于安全原因，应禁用 RSH。首选用于安全远程访问的 Secure Shell (SSH)。 |
已禁用 |
是 |
MD5 正在使用 |
指示 ONTAP 用户帐户是否使用不太安全的 MD5 哈希函数。最好将 MD5 哈希用户帐户迁移到更安全的加密哈希函数，如 SHA-512。 |
否 |
是 |
证书颁发者类型 |
指示使用的数字证书的类型。 |
CA 签名 |
否 |