Skip to main content
简体中文版经机器翻译而成，仅供参考。如与英语版出现任何冲突，应以英语版为准。

在ONTAP中启用或禁用多管理员验证

贡献者 netapp-dbagwell netapp-aaron-holt netapp-aoife netapp-andreajost netapp-forry netapp-bhouser
PDF

必须明确启用多管理员验证(MAV)。启用多管理员验证后、需要经MAV批准组(MAV管理员)中的管理员批准才能将其删除。

关于此任务

启用MAV后、修改或禁用MAV需要获得MAV管理员的批准。

备注 如果您需要在未经 MAV 管理员批准的情况下禁用多管理员验证功能，请联系NetApp支持并提及以下内容"NetApp知识库：如果 MAV 管理员不可用，如何禁用多管理员验证"。

启用MAV时、可以全局指定以下参数。

批准组

全球批准组列表。要启用MAV功能、至少需要一个组。

提示 如果将 MAV 与 Autonomous Ransomware Protection 结合使用，请定义一个新的或现有的审批组，负责审批勒索软件保护暂停、禁用和清除可疑请求。
所需审批者

执行受保护操作所需的批准者数量。默认值和最小值为1。

备注 所需的审批人数量必须小于默认审批组中唯一审批人的总数。
批准到期时间(小时、分钟、秒)

MAV管理员必须对批准请求做出响应的期限。默认值为1小时(1小时)、支持的最小值为1秒(1秒)、支持的最大值为14天(14天)。

执行到期时间(小时、分钟、秒)

发出请求的管理员必须完成：：操作的期限。默认值为1小时(1小时)、支持的最小值为1秒(1秒)、支持的最大值为14天(14天)。

您还可以覆盖特定的任何参数 "操作规则。"

System Manager 操作步骤

  1. 确定要接收多管理员验证的管理员。

    1. 选择 集群 > 设置。

    2. 选择 用户、组和角色 旁边的 箭头图标。

    3. 在*用户*下方选择 添加图标。

    4. 根据需要修改此名册。

      有关详细信息，请参见 "控制管理员访问。"

  2. 从 ONTAP 9.20.1 开始，如果要将 IdP、AD 或 LDAP 组用作 MAV 批准者，请注册该组并将其映射到角色：

    1. 在 群组 下，选择 添加图标 以添加群组。UUID 字段仅对 Microsoft Entra 组为必填字段；其他身份提供程序使用组名称。

    2. 在 分组到角色映射 下，选择 添加图标，选择该组，并分配一个具有足够权限的角色来批准 MAV 请求。

  3. 创建至少一个批准组并添加至少一个规则、以启用多管理员验证。

    1. 选择 集群 > 设置。

    2. 在*安全性*部分中选择 操作图标 *多管理员批准*旁边的。

    3. 选择 添加图标 以添加至少一个审批组。

      • Name—输入组名称。

      • 批准者（用户） – 从用户列表中选择批准者。

      • 批准者（组） – 从 ONTAP 9.20.1 开始，可以选择一个或多个注册的 IdP、AD 或 LDAP 组。

      • 电子邮件地址—输入电子邮件地址。

      • Default group—选择一个组。

    4. 至少添加一个规则。

      • 操作—从列表中选择受支持的命令。

      • 查询—输入任何所需的命令选项和值。

      • 可选参数；留空以应用全局设置、或者为特定规则分配其他值以覆盖全局设置。

        • 所需数量的审批者

        • 批准组

    5. 选择*高级设置*以查看或修改默认值。

      • 所需的批准者数量(默认值：1)

      • 执行请求到期(默认：1小时)

      • 批准请求到期(默认：1小时)

      • 邮件服务器*

      • 发件人电子邮件地址*

        *这些更新了"通知管理"下管理的电子邮件设置。如果尚未配置它们、系统将提示您进行设置。

    6. 选择*启用*以完成 MAV 初始配置。

初始配置后、当前MAV状态将显示在*多管理员批准*图块中。

  • 状态(已启用或未启用)

  • 需要批准的活动操作

  • 处于待定状态的未处理请求数

您可以通过选择 箭头图标 来显示现有配置。编辑现有配置需要 MAV 批准。

禁用多管理员验证：

  1. 选择 集群 > 设置。

  2. 在*安全性*部分中选择 操作图标 *多管理员批准*旁边的。

  3. 选择启用切换按钮。

    要完成此操作、需要获得MAV批准。

命令行界面操作步骤

在命令行界面上启用MAV功能之前、至少需要一个 "MAV管理员组" 必须已创建。

如果要… 输入此命令

启用MAV功能

security multi-admin-verify modify -approval-groups group1[,group2…​] [-required-approvers nn ] -enabled true [ -execution-expiry [nnh][nnm][nns]] [ -approval-expiry [nnh][nnm][nns]]

示例：以下命令将启用具有1个批准组、2个所需审批者和默认到期期限的MAV。

cluster-1::> security multi-admin-verify modify -approval-groups mav-grp1 -required-approvers 2 -enabled true

至少添加一个以完成初始配置 "操作规则。"

修改MAV配置(需要获得MAV批准)

security multi-admin-verify approval-group modify [-approval-groups group1[,group2…​]] [-required-approvers nn ] [ -execution-expiry [nnh][nnm][nns]] [ -approval-expiry [nnh][nnm][nns]]

验证MAV功能

security multi-admin-verify show

  • 示例： *

cluster-1::> security multi-admin-verify show
Is      Required  Execution Approval Approval
Enabled Approvers Expiry    Expiry   Groups
------- --------- --------- -------- ----------
true    2         1h        1h       mav-grp1

禁用MAV功能(需要获得MAV批准)

security multi-admin-verify modify -enabled false
相关信息