为基于 Kerberos 的通信启用或禁用 AES 加密
建议更改
PDF
要利用基于Kerberos的通信的最强安全性、您应在SMB服务器上使用AES-256和AES-128加密。从ONTAP 9.131开始、默认情况下会启用AES加密。 如果不希望SMB服务器为与Active Directory (AD) KDC进行基于Kerberos的通信选择AES加密类型、则可以禁用AES加密。
默认情况下是否启用AES加密以及是否可以指定加密类型取决于您的ONTAP版本。
| ONTAP 版本 | AES加密已启用… | 是否可以指定加密类型？ |
|---|---|---|
9.13.1及更高版本 |
默认情况下。 |
是的。 |
9.12.1. |
手动 |
是的。 |
9.11.1及更早版本 |
手动 |
否 |
从ONTAP 9.12.1开始、使用启用和禁用AES加密 -advertised-enc-types 选项、用于指定向AD KDC公布的加密类型。默认设置为 rc4 和 des、但如果指定了AES类型、则会启用AES加密。您还可以使用选项显式禁用较弱的RC4和DES加密类型。在ONTAP 9.11.1及更早版本中、必须使用 -is-aes-encryption-enabled 用于启用和禁用AES加密的选项、并且无法指定加密类型。
为了增强安全性， Storage Virtual Machine （ SVM ）会在每次修改 AES 安全选项时更改 AD 中的计算机帐户密码。更改密码可能需要包含计算机帐户的组织单位（ OU ）的管理 AD 凭据。
如果将SVM配置为不保留身份的灾难恢复目标( -identity-preserve 选项设置为 false 在SnapMirror配置中)、非默认SMB服务器安全设置不会复制到目标。如果已在源SVM上启用AES加密、则必须手动启用它。
-
执行以下操作之一：
Kerberos 通信的 AES 加密类型 输入命令 … enabled
vserver cifs security modify -vserver vserver_name -advertised-enc-types aes-128,aes-256已禁用
vserver cifs security modify -vserver vserver_name -advertised-enc-types des,rc4注意：
-is-aes-encryption-enabled选项在ONTAP 9.12.1中已弃用、可能会在更高版本中删除。 -
验证是否已根据需要启用或禁用AES加密：
vserver cifs security show -vserver vserver_name -fields advertised-enc-types
以下示例将为SVM vs1上的SMB服务器启用AES加密类型：
cluster1::> vserver cifs security modify -vserver vs1 -advertised-enc-types aes-128,aes-256 cluster1::> vserver cifs security show -vserver vs1 -fields advertised-enc-types vserver advertised-enc-types -------- -------------------- vs1 aes-128,aes-256
以下示例为SVM VS2上的SMB服务器启用AES加密类型。系统会提示管理员输入包含SMB服务器的OU的管理AD凭据。
cluster1::> vserver cifs security modify -vserver vs2 -advertised-enc-types aes-128,aes-256 Info: In order to enable SMB AES encryption, the password for the SMB server machine account must be reset. Enter the username and password for the SMB domain "EXAMPLE.COM". Enter your user ID: administrator Enter your password: cluster1::> vserver cifs security show -vserver vs2 -fields advertised-enc-types vserver advertised-enc-types -------- -------------------- vs2 aes-128,aes-256
-
执行以下操作之一：
Kerberos 通信的 AES 加密类型 输入命令 … enabled
vserver cifs security modify -vserver vserver_name -is-aes-encryption-enabled true已禁用
vserver cifs security modify -vserver vserver_name -is-aes-encryption-enabled false -
验证是否已根据需要启用或禁用AES加密：
vserver cifs security show -vserver vserver_name -fields is-aes-encryption-enabled。
is-aes-encryption-enabled字段true如果启用了AES加密、则为和false如果已禁用。
以下示例将为SVM vs1上的SMB服务器启用AES加密类型：
cluster1::> vserver cifs security modify -vserver vs1 -is-aes-encryption-enabled true cluster1::> vserver cifs security show -vserver vs1 -fields is-aes-encryption-enabled vserver is-aes-encryption-enabled -------- ------------------------- vs1 true
以下示例为SVM VS2上的SMB服务器启用AES加密类型。系统会提示管理员输入包含SMB服务器的OU的管理AD凭据。
cluster1::> vserver cifs security modify -vserver vs2 -is-aes-encryption-enabled true Info: In order to enable SMB AES encryption, the password for the CIFS server machine account must be reset. Enter the username and password for the SMB domain "EXAMPLE.COM". Enter your user ID: administrator Enter your password: cluster1::> vserver cifs security show -vserver vs2 -fields is-aes-encryption-enabled vserver is-aes-encryption-enabled -------- ------------------------- vs2 true