对 NFS 使用 Kerberos 以增强安全性

如果环境中使用 Kerberos 进行强认证，则需要与 Kerberos 管理员一起确定要求和相应的存储系统配置，然后将 SVM 作为 Kerberos 客户端启用。

您的环境应符合以下准则：

• 为 ONTAP 配置 Kerberos 之前，站点部署应遵守 Kerberos 服务器和客户端配置的最佳实践。

• 如果需要 Kerberos 认证，应尽量使用 NFSv4 或更高版本。

  NFSv3 可与 Kerberos 一起使用。但是，Kerberos 的全部安全优势只有在 NFSv4 或更高版本的 ONTAP 部署中才能完全发挥出来。

• 要提升冗余服务器访问，应在使用相同 SPN 的集群中多个节点上的多个数据 LIF 中启用 Kerberos。

• 如果在 SVM 上启用了 Kerberos，则必须在导出规则中为卷或 Qtree 指定以下安全方法之一，具体取决于 NFS 客户端配置。

  • krb5（Kerberos v5 协议）
  • krb5i（使用校验和进行完整性检查的 Kerberos v5 协议）
  • krb5p（带隐私服务的 Kerberos v5 协议）

除了 Kerberos 服务器和客户端，还必须为 ONTAP 配置以下外部服务才能支持 Kerberos：

• 目录服务

  您应该在环境中使用配置为使用 LDAP over SSL/TLS 的安全目录服务，如 Active Directory 或 OpenLDAP。请勿使用 NIS，因为其请求以明文发送，因此不安全。

• NTP

  必须有一个正在工作且在运行 NTP 的时间服务器。这是防止时间偏移导致 Kerberos 认证失败所必需的。

• 域名解析（DNS）

  每个 UNIX 客户端和每个 SVM LIF 都必须在正向查找区域和反向查找区域下向 KDC 注册正确的服务记录（SRV）。必须可以通过 DNS 正确解析所有参与者。