Skip to main content
简体中文版经机器翻译而成，仅供参考。如与英语版出现任何冲突，应以英语版为准。

管理MAV的ONTAP管理员批准组

贡献者 netapp-andreajost netapp-aaron-holt netapp-bhouser netapp-forry netapp-aoife netapp-dbagwell
PDF

在启用多管理员验证(MAV)之前、您必须创建一个管理员批准组、其中包含一个或多个要授予批准或否决权限的管理员。启用多管理员验证后、对批准组成员资格进行的任何修改都需要获得现有合格管理员之一的批准。

关于此任务

您可以将现有管理员添加到MAV组或创建新管理员。

MAV功能可支持现有的基于角色的访问控制(Role-Based Access Control、RBAC)设置。潜在的MAV管理员必须具有足够的权限来执行受保护的操作、才能将其添加到MAV管理员组。 "了解有关RBAC的更多信息。"

您可以将MAV配置为向MAV管理员发出批准请求待处理的警报。为此，您必须配置电子邮件通知，特别是 Mail From 和 Mail Server 参数—​或者，您可以清除这些参数以禁用通知。如果没有电子邮件警报、MAV管理员必须手动检查批准队列。

从ONTAP 9.15.1 开始，您可以将 Active Directory (AD) 用户配置为 MAV 管理员。 AD 用户必须是"配置为ONTAP管理员"。

从 ONTAP 9.20.1 开始，审批组还可以包括身份提供程序（IdP）、Active Directory（AD）或 LDAP（nsswitch）组。支持的组类型包括 Entra ID（以前称为 Azure AD）、ADFS、AD 域组和 LDAP 组。

对身份提供程序中用户组成员身份的更改将在用户下次成功登录时生效。无需重新配置 MAV。

备注 在将 IdP、AD 或 LDAP 组添加到 MAV 审批组之前，该组必须已配置登录访问权限，并且必须使用角色映射在 security login group 表中注册。请参阅以下步骤。

System Manager 操作步骤

如果要首次创建MAV批准组、请参见System Manager操作步骤 to "启用多管理员验证。"

要修改现有批准组或创建其他批准组、请执行以下操作：

  1. 确定要接收多管理员验证的管理员。

    1. 选择 集群 > 设置。

    2. 选择 用户、组和角色 旁边的 箭头图标。

    3. 在*用户*下方选择 添加图标。

    4. 根据需要修改此名册。

      有关详细信息，请参见 "控制管理员访问。"

  2. 从 ONTAP 9.20.1 开始，如果要将 IdP、AD 或 LDAP 组添加为 MAV 批准者，请先注册该组，以便可以在 MAV 配置中引用该组。

    1. 在*群组*下，选择 添加图标 以添加群组。

      输入组名称。仅 Microsoft Entra 组需要 UUID 字段；其他身份提供程序使用组名称。

    2. 在 分组到角色映射 下，选择 添加图标，选择该组，并分配一个具有足够权限的角色来批准 MAV 请求。

  3. 创建或修改MAV批准组：

    1. 选择 集群 > 设置。

    2. 选择 安全 部分中 多管理员审批 旁边的 箭头图标。（如果尚未配置 MAV，您将看到 操作图标 图标。）

      • name：输入组名称。

      • 审批人（用户）：从用户列表中选择单个审批人。

      • 批准者（组）：从 ONTAP 9.20.1 开始，可以选择一个或多个已注册的 IdP、AD 或 LDAP 组。

      • 电子邮件地址：输入电子邮件地址。

      • 默认组：选择一个组。

启用MAV后、要编辑现有配置、需要获得MAV批准。

命令行界面操作步骤

  1. 验证是否已为设置值 Mail From 和 Mail Server parameters输入 …​

    event config show

    显示内容应类似于以下内容：

    cluster01::> event config show
                           Mail From:  admin@localhost
                         Mail Server:  localhost
                           Proxy URL:  -
                          Proxy User:  -
 Publish/Subscribe Messaging Enabled:  true

    要配置这些参数、请输入：

    event config modify -mail-from email_address -mail-server server_name

    有关和的 event config modify`详细信息 `event config show，请参见"ONTAP 命令参考"。

  2. 识别参与多管理员验证的管理员。

    如果要… 输入此命令

    显示当前管理员

    security login show

    修改当前管理员的凭据

    security login modify <parameters>

    创建新的管理员帐户

    security login create -user-or-group-name admin_name -application ssh -authentication-method password

    有关、 security login modify`和的详细信息 `security login show， `security login create`请参见"ONTAP 命令参考"。

  3. 从 ONTAP 9.20.1 开始，如果要将 IdP、AD 或 LDAP 组添加为 MAV 批准者，请确认该组已配置登录访问权限，然后将其注册为 MAV。

    如果组尚未配置登录访问权限，请输入：

    security login create -user-or-group-name group_name -application http|ssh -authentication-method domain|nsswitch|saml|oauth2 -role role

    然后注册组，以便可以在 MAV 配置中引用它，并将其映射到角色：

    security login group create -vserver svm_name -name group_name [-uuid uuid]

    security login group role-mapping create -group-id group_id -role role

    仅 Microsoft Entra ID 组需要 `-uuid`参数。AD 域、ADFS/SAML 和 LDAP (nsswitch) 组仅按名称标识。

    示例： 以下命令为 MAV 注册 AD 组 `mydomain\mav_approvers`并将其映射到 `admin`角色。

    cluster-1::> security login group create -vserver cluster-1 -name mydomain\mav_approvers
cluster-1::> security login group show -vserver cluster-1

     Vserver: cluster-1
  Group Name: mydomain\mav_approvers
    Group ID: 1
  Group UUID: -
     Comment: -

cluster-1::> security login group role-mapping create -group-id 1 -role admin

    在 "ONTAP 命令参考" 中详细了解 security login group create 和 security login group role-mapping create。

  4. 创建MAV批准组：

    security multi-admin-verify approval-group create [ -vserver svm_name] -name group_name [-approvers approver1[,approver2…]] [-groups group1[,group2…]] [[-email address1], address1…​]

    • -vserver -此版本仅支持管理SVM。

    • -name - MAV组名称，最多64个字符。

    • -approvers - 一个或多个单独审批人的列表。对于 AD 用户，请使用格式 domain\user。例如， mydomain\pavan。

    • -groups - 要包含在审批组中的一个或多个 IdP、AD 或 LDAP 组的列表。每个组都必须已通过角色映射在 security login group 表中注册。

    • -email -创建、批准、否决或执行请求时通知的一个或多个电子邮件地址。

      示例： 以下命令创建一个包含两个单独审批人和一个 Entra ID 组的 MAV 组。

    cluster-1::> security multi-admin-verify approval-group create -name mav-grp1 -approvers pavan,julia -groups entra-group-mav-approvers -email pavan@myfirm.com,julia@myfirm.com

  5. 验证组创建和成员资格：

    security multi-admin-verify approval-group show

    • 示例： *

    cluster-1::> security multi-admin-verify approval-group show
Vserver  Name        Approvers        Approver Groups                  Email
-------  ---------------- ------------------  ------------------------------- ------------------------------------------------------------
svm-1    mav-grp1   pavan,julia      entra-group-mav-approvers        pavan@myfirm.com,julia@myfirm.com

使用以下命令修改初始MAV组配置。

*注：*执行前、所有操作都需要获得MAV管理员的批准。

如果要… 输入此命令

修改组特征或修改现有成员信息

security multi-admin-verify approval-group modify [-vserver svm_name] -name group_name [-approvers approver1[,approver2…]] [-groups group1[,group2…]] [[-email address1], address1…​]

添加或删除成员

security multi-admin-verify approval-group replace [-vserver svm_name] -name group_name [-approvers-to-add approver1[,approver2…]][-approvers-to-remove approver1[,approver2…]] [-groups-to-add group1[,group2…]][-groups-to-remove group1[,group2…]]

删除组

security multi-admin-verify approval-group delete [-vserver svm_name] -name group_name
相关信息