跳到主要内容

对管理员帐户密码实施 SHA-2

MD5 的安全性不如 SHA-2 高。缺省情况下，已使用 SHA-512 哈希功能对帐户密码进行了哈希。

通过密码哈希功能，可以执行以下操作：

  • 显示符合指定哈希功能的用户帐户。
  • 使采用指定哈希功能（例如 MD5）的帐户到期，强制让用户在下次登录时更改自己的密码。
  • 锁定密码使用指定哈希功能的帐户。

ONTAP 仅通过使用可管理性 SDK（security-login-create 和 security-login-modify-password）接受预先哈希的 SHA-2 密码。

  1. 将 MD5 管理员帐户迁移至 SHA-512 密码哈希功能：
    1. 使所有 MD5 管理员帐户过期：security login expire-password -vserver * -username * -hash-function md5
      这样将强制 MD5 帐户用户在下次登录时更改其密码：
    2. 请 MD5 帐户用户通过控制台或 SSH 会话登录。
      系统将检测到帐户已到期，并提示用户更改自己的密码。缺省情况下对已更改的密码使用 SHA-512。
  2. 可选： 对于一段时间内未登录以更改其密码的用户的 MD5 帐户，请强制迁移帐户：
    1. 锁定仍在使用 MD5 哈希函数（高级权限级别）的帐户：security login expire-password -vserver * -username * -hash-function md5 -lock-after integer
      达到 -lock-after 指定的天数后，用户不能访问其 MD5 帐户。
    2. 当用户准备好更改自己的密码后，解锁帐户：security login unlock -vserver vserver_name -username user_name
    3. 请用户通过控制台或 SSH 会话登录其帐户，并在系统提示更改密码时更改。