Skip to main content
简体中文版经机器翻译而成，仅供参考。如与英语版出现任何冲突，应以英语版为准。

安全性

贡献者
PDF

请按照此处列出的建议确保Trident安装安全。

在自己的命名空间中运行Trident

请务必防止应用程序、应用程序管理员、用户和管理应用程序访问Trident对象定义或Pod、以确保可靠的存储并阻止潜在的恶意活动。

要将其他应用程序和用户与Trident分离，请始终将Trident安装在其自身的Kubbernetes命名空间中(trident)。将Trident置于自己的命名空间中可确保只有Kubelnetes管理人员才能访问Trident Pod和存储在命名空间CRD对象中的项目(如适用、例如后端和CHAP密码)。您应确保仅允许管理员访问Trident命名空间、从而访问 `tridentctl`应用程序。

对 ONTAP SAN 后端使用 CHAP 身份验证

Trident支持对ONTAP SAN工作负载进行基于CHAP的身份验证(使用 `ontap-san`和 `ontap-san-economy`驱动程序)。NetApp建议对Trident使用双向CHAP在主机和存储后端之间进行身份验证。

对于使用SAN存储驱动程序的ONTAP后端，Trident可以通过设置双向CHAP并管理CHAP用户名和机密 tridentctl。要了解Trident如何在ONTAP后端配置CHAP、请参见"准备使用ONTAP SAN驱动程序配置后端"。

对 NetApp HCI 和 SolidFire 后端使用 CHAP 身份验证

NetApp 建议部署双向 CHAP ，以确保主机与 NetApp HCI 和 SolidFire 后端之间的身份验证。Trident使用一个机密对象、其中每个租户包含两个CHAP密码。安装Trident后、它会管理CHAP密钥、并将其存储在相应PV的CR对象中 tridentvolume。创建PV时、Trident会使用CHAP密码启动iSCSI会话并通过CHAP与NetApp HCI和SolidFire系统进行通信。

备注 Trident创建的卷不与任何卷访问组关联。

将Trident与NVE和NAE结合使用

NetApp ONTAP 提供空闲数据加密、可在磁盘被盗、退回或重新利用时保护敏感数据。有关详细信息，请参见 "配置 NetApp 卷加密概述"。

  • 如果在后端启用了NAE、则在Trident中配置的任何卷都将启用NAE。

  • 如果未在后端启用NAE、则在Trident中配置的任何卷都将启用NVE、除非您在后端配置中将NVE加密标志设置为 false。

备注

在启用了NAE的后端的Trident中创建的卷必须已进行NVE或NAE加密。

  • 您可以在Trident后端配置中将NVE加密标志设置为`true`、以覆盖NAE加密并按卷使用特定的加密密钥。

  • 如果在启用了NAE的后端将NVE加密标志设置为 false、则会创建启用了NAE的卷。您不能通过将NVE加密标志设置为来禁用NAE加密 false。

  • 您可以通过将NVE加密标志显式设置为来在Trident中手动创建NVE卷 true。

有关后端配置选项的详细信息、请参见：