Storage Virtual Machine （ SVM ）在 ONTAP 系统上的租户之间提供隔离和管理隔离。将 SVM 专用于应用程序可以实现权限委派，并能够应用限制资源消耗的最佳实践。

有多种选择可用于管理 SVM：

在每种情况下，接口都应在 DNS 中，并且在配置 Trident 时应使用 DNS 名称。这有助于促进某些灾难恢复场景，例如，不使用网络身份保留的 SVM-DR。

对于 SVM，没有专用或共享管理 LIF 的偏好，但是，您应该确保您的网络安全策略与您选择的方法保持一致。无论如何，管理 LIF 应可通过 DNS 访问，以实现最大的灵活性，如果 "SVM-DR"与 Trident 结合使用。

ONTAP 存储系统具有最大卷计数，该计数因软件版本和硬件平台而异。请参阅 "NetApp Hardware Universe"以确定您的特定平台和 ONTAP 版本的确切限制。当卷计数耗尽时，不仅 Trident 的配置操作会失败，所有存储请求的配置操作都会失败。

Trident 的 `ontap-nas`和 `ontap-san`驱动程序为创建的每个 Kubernetes 持久卷 (PV) 配置一个 FlexVolume。 `ontap-nas-economy`驱动程序大约每 200 个 PV 创建一个 FlexVolume（可配置在 50 到 300 之间）。 `ontap-san-economy`驱动程序大约每 100 个 PV 创建一个 FlexVolume（可配置在 50 到 200 之间）。要防止 Trident 消耗存储系统上的所有可用卷，您应该在 SVM 上设置限制。您可以从命令行执行此操作：

该 `max-volumes`值是在 ONTAP 集群中的所有节点上配置的总卷，而不是在单个 ONTAP 节点上配置的总卷。因此，您可能会遇到某些情况，其中 ONTAP 集群节点可能比其他节点具有更多或更少 Trident 配置卷。

例如，双节点 ONTAP 集群最多可以托管 2000 个 FlexVol 卷。将最大卷计数设置为 1250 似乎非常合理。但是，如果仅 "聚合"从一个节点分配给 SVM，或者无法对从一个节点分配的聚合进行配置（例如，由于容量），则另一个节点将成为所有 Trident 配置卷的目标。这意味着在达到 `max-volumes`值之前，可能会达到该节点的卷限制，从而影响 Trident 和使用该节点的其他卷操作。您可以通过确保将集群中每个节点的聚合以相等数量分配给 Trident 使用的 SVM 来避免这种情况。

NetApp Trident 在使用 ontap-nas、 ontap-san 和 solidfire-san 存储驱动程序时支持克隆卷。使用 ontap-nas-flexgroup 或 ontap-nas-economy 驱动程序时，不支持克隆。从现有卷创建新卷将导致创建新的快照。

要配置 Trident 可创建的卷的最大大小，请在您的 `limitVolumeSize`定义中使用 `backend.json`参数。

除了控制存储阵列的卷大小之外，还应利用 Kubernetes 功能。

要为 ontap-san-economy 和 ontap-nas-economy 驱动程序用作池的 FlexVols 配置最大大小，请在 limitVolumePoolSize 参数中，在 backend.json 定义中使用。

您可以在后端定义中指定 CHAP 启动程序和目标用户名和密码，并让 Trident 在 SVM 上启用 CHAP。使用后端配置中的 `useCHAP`参数，Trident 使用 CHAP 对 ONTAP 后端的 iSCSI 连接进行身份验证。

利用应用于 SVM 的 ONTAP QoS 策略，可限制 Trident 配置卷可消耗的 IOPS 数量。这有助于 "防止霸凌"或失控容器影响 Trident SVM 外部的工作负载。

您可以通过几个步骤为 SVM 创建 QoS 策略。有关最准确的信息，请参阅您的 ONTAP 版本文档。以下示例创建了一个 QoS 策略，将 SVM 可用的总 IOPS 限制为 5000。

此外，如果您的 ONTAP 版本支持它，则可以考虑使用 QoS 最小值来保证容器化工作负载的吞吐量。自适应 QoS 与 SVM 级别策略不兼容。

专用于容器化工作负载的 IOPS 数量取决于许多方面。其中包括：

重要的是要记住，在 SVM 级别分配的 QoS 策略会导致调配到 SVM 的所有卷共享相同的 IOPS 池。如果一个或少数容器化应用程序具有较高的 IOPS 要求，它可能会成为其他容器化工作负载的欺凌者。如果是这种情况，您可能需要考虑使用外部自动化来分配每个卷的 QoS 策略。

服务质量 (QoS) 保证关键工作负载的性能不会因竞争工作负载而降低。ONTAP QoS 策略组为卷提供 QoS 选项，并使用户能够为一个或多个工作负载定义吞吐量上限。有关 QoS 的详细信息，请参阅 "通过 QoS 保证吞吐量"。您可以在后端或存储池中指定 QoS 策略组，并将其应用于在该池或后端中创建的每个卷。

ONTAP 有两种 QoS 策略组：传统和自适应。传统策略组在 IOPS 中提供固定的最大（或更高版本中的最小值）吞吐量。自适应 QoS 自动将吞吐量扩展到工作负载大小，随着工作负载大小的变化而保持 IOPS 与 TBs|GBs 的比例。当您在大型部署中管理数百或数千个工作负载时，这提供了显著的优势。

创建 QoS 策略组时，请考虑以下事项：

有关 QoS 策略组的详细信息，请参阅 "ONTAP 命令参考"。

限制对 Trident 创建的 NFS 卷、iSCSI LUN 和 FC LUN 的访问是 Kubernetes 部署安全态势的关键组成部分。这样做可以防止不属于 Kubernetes 集群的主机访问卷，并可能意外修改数据。

请务必了解，命名空间是 Kubernetes 中资源的逻辑边界。假设相同命名空间中的资源可以共享，但重要的是，没有跨命名空间功能。这意味着，即使 PV 是全局对象，当绑定到 PVC 时，它们只能由位于同一命名空间中的 pod 访问。确保在适当的时候使用命名空间来提供分隔至关重要。

大多数组织在 Kubernetes 环境中对数据安全性的主要关注点是，容器中的进程可以访问挂载到主机的存储，但这些存储并非为该容器准备的。 "命名空间" 旨在防止这种类型的妥协。但是，有一个例外：特权容器。

特权容器是使用比正常情况下更多的主机级权限运行的容器。默认情况下，这些功能不会被拒绝，因此请确保使用 "pod 安全策略" 禁用此功能。

对于需要从 Kubernetes 和外部主机进行访问的卷，应以传统方式管理存储，PV 由管理员引入，而不是由 Trident 管理。这确保了只有当 Kubernetes 和外部主机都断开连接并且不再使用卷时，存储卷才会被销毁。此外，还可以应用自定义导出策略，允许从 Kubernetes 集群节点和 Kubernetes 集群外部的目标服务器进行访问。

对于具有专用基础架构节点（例如 OpenShift）的部署或其他无法安排用户应用程序的节点，应使用单独的导出策略来进一步限制对存储资源的访问。这包括为部署到这些基础设施节点的服务（例如，OpenShift Metrics 和 Logging 服务）以及部署到非基础设施节点的标准应用程序创建导出策略。

您应该确保每个后端都存在一个导出策略，该策略仅允许访问 Kubernetes 集群中存在的节点。Trident 可以自动创建和管理导出策略。通过这种方式，Trident 将其配置的卷的访问限制为 Kubernetes 集群中的节点，并简化了节点的添加/删除。

或者，您也可以手动创建导出策略，并为其填充一个或多个处理每个节点访问请求的导出规则：

运行这些命令可以限制哪些 Kubernetes 节点可以访问这些数据。

该 `showmount`功能使 NFS 客户端能够查询 SVM 以获取可用 NFS 导出的列表。部署到 Kubernetes 集群的 pod 可以对发出 `showmount -e`命令，并接收可用挂载的列表，包括它无权访问的挂载。虽然这本身并不是安全威胁，但它确实提供了不必要的信息，可能会帮助未经授权的用户连接到 NFS 导出。

您应该使用 SVM 级 ONTAP CLI 命令禁用 showmount：

每个 SolidFire 帐户代表一个唯一的卷所有者，并接收其自己的一组 Challenge-Handshake Authentication Protocol (CHAP) 凭据。您可以使用帐户名和相关 CHAP 凭据或通过卷访问组访问分配给帐户的卷。一个帐户最多可以分配两千个卷，但一个卷只能属于一个帐户。

如果要创建和保存可应用于多个卷的标准化服务质量设置，请使用 SolidFire 服务质量 (QoS) 策略。

您可以按卷设置 QoS 参数。可以通过设置定义 QoS 的三个可配置参数来确保每个卷的性能：最小 IOPS、最大 IOPS 和突发 IOPS。

下面是 4Kb 块大小可能的最小、最大和突发 IOPS 值。

块大小和带宽对 IOPS 数量有直接影响。随着块大小的增加，系统将带宽增加到处理较大块大小所需的级别。随着带宽的增加，系统能够实现的 IOPS 数量会减少。有关 QoS 和性能的更多信息，请参阅 "SolidFire 服务质量"。

Element 支持两种身份验证方法：CHAP 和卷访问组 (VAG)。CHAP 使用 CHAP 协议向后端验证主机。卷访问组控制对其设置的卷的访问。NetApp 建议使用 CHAP 进行身份验证，因为它更简单且没有扩展限制。

只有基于帐户的访问控制才支持 CHAP 身份验证（验证启动器是预期的卷用户）。如果使用 CHAP 进行身份验证，则有两个选项可用：单向 CHAP 和双向 CHAP。单向 CHAP 使用 SolidFire 帐户名和启动器密码对卷访问进行身份验证。双向 CHAP 选项提供了最安全的卷身份验证方式，因为卷通过帐户名和启动器密码对主机进行身份验证，然后主机通过帐户名和目标密码对卷进行身份验证。

但是，如果无法启用 CHAP 并且需要 VAG，请创建访问组并将主机启动程序和卷添加到访问组。添加到访问组中的每个 IQN 都可以使用 CHAP 身份验证或不使用 CHAP 身份验证访问组中的每个卷。如果将 iSCSI 启动程序配置为使用 CHAP 身份验证，则使用基于帐户的访问控制。如果未将 iSCSI 启动程序配置为使用 CHAP 身份验证，则使用卷访问组访问控制。