Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Amazon FSx for NetApp ONTAP supporta il controllo degli accessi degli utenti finali a file e directory in una macchina virtuale di archiviazione (SVM).
Argomenti
Panoramica del controllo degli accessi ai file
Il controllo dell'accesso ai file consente di registrare gli accessi degli utenti finali a singoli file e directory in base alle politiche di controllo definite dall'utente. Il controllo dell'accesso ai file può aiutarvi a migliorare la sicurezza del sistema e ridurre il rischio di accesso non autorizzato ai dati di sistema. Il controllo dell'accesso ai file aiuta le organizzazioni a mantenere la conformità ai requisiti di protezione dei dati, a identificare tempestivamente le potenziali minacce e a ridurre il rischio di violazione dei dati.
Oltre agli accessi a file e directory, Amazon FSx supporta la registrazione dei tentativi riusciti (ad esempio un utente con autorizzazioni sufficienti che accede con successo a un file), dei tentativi falliti o di entrambi. Puoi anche disattivare il controllo dell'accesso ai file in qualsiasi momento.
Per impostazione predefinita, i registri degli eventi di controllo vengono archiviati nel formato di EVTX file, che consente di visualizzarli utilizzando Microsoft Event Viewer.
Eventi di accesso SMB che possono essere controllati
La tabella seguente elenca gli eventi di accesso a file e cartelle SMB che possono essere controllati.
| ID evento (EVT/EVTX) | Evento | Descrizione | Categoria |
|---|---|---|---|
|
560/4656 |
Apri oggetto/Crea oggetto |
ACCESSO ALL'OGGETTO: oggetto (file o directory) aperto |
Accesso ai file |
|
563/4659 |
Apri oggetto con l'intento di eliminare |
ACCESSO ALL'OGGETTO: è stato richiesto un handle per un oggetto (file o directory) con l'intenzione di eliminare |
Accesso ai file |
|
564/4660 |
Eliminazione dell'oggetto |
ACCESSO AGLI OGGETTI: Elimina oggetto (file o directory). ONTAP genera questo evento quando un client Windows tenta di eliminare l'oggetto (file o directory) |
Accesso ai file |
|
567/4663 |
Leggi gli attributi degli oggetti Object/Write Object/Get Object Attributes/Set |
ACCESSO ALL'OGGETTO: tentativo di accesso all'oggetto (lettura, scrittura, attributo get, attributo set). NotaPer questo evento, ONTAP verifica solo la prima operazione di lettura e scrittura SMB (riuscita o non riuscita) su un oggetto. Ciò impedisce a ONTAP di creare un numero eccessivo di voci di registro quando un singolo client apre un oggetto ed esegue molte operazioni di lettura o scrittura successive sullo stesso oggetto. |
Accesso ai file |
|
N/A/4664 |
Collegamento rigido |
ACCESSO AGLI OGGETTI: è stato effettuato un tentativo di creare un collegamento fisico |
Accesso ai file |
|
ID evento ONTAP N/A/N/A 9999 |
Rinomina oggetto |
ACCESSO AGLI OGGETTI: oggetto rinominato. Questo è un evento ONTAP. Attualmente non è supportato da Windows come singolo evento. |
Accesso ai file |
|
ID evento ONTAP N/A/N/A 9998 |
Scollega oggetto |
ACCESSO AGLI OGGETTI: oggetto non collegato. Questo è un evento ONTAP. Attualmente non è supportato da Windows come singolo evento. |
Accesso ai file |
Eventi di accesso NFS che possono essere controllati
È possibile controllare i seguenti eventi di accesso a file e cartelle NFS.
READ
OPEN
CLOSE
READDIR
WRITE
IMPOSTA ATTR
CREATE
COLLEGAMENTO
APRI ATTR
REMOVE
GETATTR
VERIFICARE
VERIFICARE
RENAME
Panoramica delle attività per l'impostazione del controllo dell'accesso ai file
La configurazione di ONTAP FSx per il controllo dell'accesso ai file prevede le seguenti attività di alto livello:
Acquisisci familiarità con i requisiti e le considerazioni relative al controllo dell'accesso ai file.
Configura le politiche di controllo su file e directory.
Visualizza i registri degli eventi di controllo dopo che ONTAP FSx li ha emessi.
I dettagli delle attività sono forniti nelle seguenti procedure.
Ripetete le operazioni per qualsiasi altra SVM del file system per cui desiderate abilitare il controllo dell'accesso ai file.
Requisiti di controllo
Prima di configurare e abilitare il controllo su una SVM, è necessario conoscere i seguenti requisiti e considerazioni.
Il controllo NFS supporta l'audit Access Control Entries (ACEs) designato come type
u, che genera una voce del registro di controllo quando si tenta di accedere all'oggetto. Per il controllo NFS, non esiste una mappatura tra i bit di modalità e l'audit. ACEs Durante la conversione in bit di modalità, ACLs gli audit vengono ignorati. ACEs Quando si convertono i bit della modalità in ACLs, gli audit non vengono generati. ACEsIl controllo dipende dalla disponibilità di spazio nei volumi di staging. (Un volume di staging è un volume dedicato creato da ONTAP per archiviare i file di staging, che sono file binari intermedi su singoli nodi in cui i record di controllo vengono archiviati prima della conversione in un formato di file EVTX o XML.) È necessario assicurarsi che vi sia spazio sufficiente per i volumi di staging negli aggregati che contengono volumi controllati.
Il controllo dipende dalla disponibilità di spazio nel volume contenente la directory in cui sono archiviati i registri degli eventi di controllo convertiti. È necessario assicurarsi che vi sia spazio sufficiente nei volumi utilizzati per archiviare i registri degli eventi. È possibile specificare il numero di log di controllo da conservare nella directory di controllo utilizzando il
-rotate-limitparametro durante la creazione di una configurazione di controllo, che può contribuire a garantire che vi sia spazio disponibile sufficiente per i log di controllo nel volume.
Creazione di configurazioni di controllo su SVMs
Prima di iniziare a controllare gli eventi di file e directory, è necessario creare una configurazione di controllo sulla Storage Virtual Machine (SVM). Dopo aver creato la configurazione di controllo, è necessario abilitarla sulla SVM.
Prima di utilizzare il vserver audit create comando per creare la configurazione di controllo, assicuratevi di aver creato una directory da utilizzare come destinazione per i log e che la directory non contenga collegamenti simbolici. Specificate la directory di destinazione con il parametro. -destination
È possibile creare una configurazione di controllo che ruoti i registri di controllo in base alla dimensione del registro o a una pianificazione, come segue:
Per ruotare i log di controllo in base alla dimensione del registro, utilizzate questo comando:
vserver audit create -vserversvm_name-destinationpath[-format {xml|evtx}] [-rotate-limitinteger] [-rotate-size {integer[KB|MB|GB|TB|PB]}]L'esempio seguente crea una configurazione di controllo per la SVM denominata
svm1che controlla le operazioni sui file e gli eventi di accesso e disconnessione CIFS (SMB) (impostazione predefinita) utilizzando la rotazione basata sulla dimensione. Il formato di registro èEVTX(predefinito), i log vengono memorizzati nella/audit_logdirectory e avrete un solo file di registro alla volta (fino a 200 MB di dimensione).vserver audit create -vserver svm1 -destination /audit_log -rotate-size 200MBPer ruotare i log di controllo in base a una pianificazione, utilizzate questo comando:
vserver audit create -vserversvm_name-destinationpath[-format {xml|evtx}] [-rotate-limitinteger] [-rotate-schedule-monthchron_month] [-rotate-schedule-dayofweekchron_dayofweek] [-rotate-schedule-daychron_dayofmonth] [-rotate-schedule-hourchron_hour] [-rotate-schedule-minutechron_minute]Il
-rotate-schedule-minuteparametro è obbligatorio se si configura la rotazione dei log di controllo basata sul tempo.L'esempio seguente crea una configurazione di controllo per la SVM denominata
svm2utilizzando la rotazione basata sul tempo. Il formato di registro èEVTX(predefinito) e i registri di controllo vengono ruotati mensilmente, alle 12:30 in tutti i giorni della settimana.vserver audit create -vserver svm2 -destination /audit_log -rotate-size 200MB -rotate-schedule-month all -rotate-schedule-dayofweek all -rotate-schedule-hour 12 -rotate-schedule-minute 30
È possibile utilizzare il -format parametro per specificare se i log di controllo vengono creati nel EVTX formato convertito (impostazione predefinita) o nel formato di file. XML Il EVTX formato consente di visualizzare i file di registro con Microsoft Event Viewer.
Per impostazione predefinita, le categorie di eventi da controllare sono gli eventi di accesso ai file (sia SMB che NFS), gli eventi di accesso e disconnessione CIFS (SMB) e gli eventi di modifica delle politiche di autorizzazione. È possibile avere un maggiore controllo sugli eventi da registrare tramite il -events parametro, che ha il seguente formato:
-events {file-ops|cifs-logon-logoff|cap-staging|file-share|audit-policy-change|user-account|authorization-policy-change|security-group}Ad esempio, l'utilizzo -events file-share consente il controllo degli eventi di condivisione dei file.
Per ulteriori informazioni sul vserver audit create comando, consulta Creare una configurazione di controllo
Abilitazione del controllo su una SVM
Dopo aver completato la configurazione di controllo, è necessario abilitare il controllo sulla SVM. A tale scopo, utilizzate il seguente comando:
vserver audit enable -vserver svm_nameAd esempio, utilizzate il comando seguente per abilitare il controllo sulla SVM denominata. svm1
vserver audit enable -vserver svm1
È possibile disabilitare il controllo degli accessi in qualsiasi momento. Ad esempio, utilizzate il comando seguente per disattivare il controllo sulla SVM denominata. svm4
vserver audit disable -vserver svm4
Quando si disabilita il controllo, la configurazione di controllo non viene eliminata sulla SVM, il che significa che è possibile riattivare il controllo su quella SVM in qualsiasi momento.
Configurazione delle politiche di controllo di file e cartelle
È necessario configurare le politiche di controllo sui file e sulle cartelle che si desidera controllare per i tentativi di accesso degli utenti. È possibile configurare le politiche di controllo per monitorare sia i tentativi di accesso riusciti che quelli non riusciti.
È possibile configurare le politiche di controllo SMB e NFS. Le policy di audit SMB e NFS hanno requisiti di configurazione e funzionalità di controllo diversi in base allo stile di sicurezza del volume.
Politiche di controllo su file e directory in stile di sicurezza NTFS
È possibile configurare i criteri di controllo NTFS utilizzando la scheda Sicurezza di Windows o l'ONTAP CLI.
È possibile configurare le politiche di controllo NTFS aggiungendo voci a NTFS associate a un SACLs descrittore di sicurezza NTFS. Il descrittore di sicurezza viene quindi applicato ai file e alle directory NTFS. Queste attività vengono gestite automaticamente dalla GUI di Windows. Il descrittore di sicurezza può contenere elenchi di controllo di accesso discrezionali (DACLs) per l'applicazione delle autorizzazioni di accesso a file e cartelle, SACLs per il controllo di file e cartelle o entrambi e. SACLs DACLs
Dal menu Strumenti di Windows Explorer, seleziona Map network drive.
Completa la casella Map Network Drive:
-
Scegli una lettera di Drive.
-
Nella casella Cartella, digita il nome del server SMB (CIFS) che contiene la condivisione, contenente i dati che desideri controllare e il nome della condivisione.
-
Scegli Fine.
L'unità selezionata è montata e pronta per essere visualizzata nella finestra di Windows Explorer in cui sono visualizzati i file e le cartelle contenuti nella condivisione.
-
Seleziona il file o la directory per cui desideri abilitare il controllo dell'accesso.
Fate clic con il pulsante destro del mouse sul file o sulla directory, quindi scegliete Proprietà.
Scegliere la scheda Sicurezza .
Fai clic su Avanzate.
Scegli la scheda Controllo.
Esegui le azioni desiderate:
Se vuoi... Effettuare le seguenti operazioni Imposta il controllo per un nuovo utente o gruppo
Scegli Aggiungi.
Nella casella Immetti il nome dell'oggetto da selezionare, digita il nome dell'utente o del gruppo che desideri aggiungere.
Scegli OK.
Rimuovi il controllo da un utente o un gruppo
Nella casella Immetti il nome dell'oggetto da selezionare, seleziona l'utente o il gruppo che desideri rimuovere.
Scegli Rimuovi.
Scegli OK.
Ignorate il resto di questa procedura.
Modifica il controllo per un utente o un gruppo
Nella casella Immetti il nome dell'oggetto da selezionare, scegli l'utente o il gruppo che desideri modificare.
Scegli Modifica.
Scegli OK.
Se state configurando il controllo su un utente o un gruppo o modificando il controllo su un utente o un gruppo esistente, viene visualizzata la casella Voce di controllo per
object.Nella casella Applica a, selezionate il modo in cui desiderate applicare questa voce di controllo.
Se state configurando il controllo su un singolo file, la casella Applica a non è attiva, poiché per impostazione predefinita è Solo questo oggetto.
Nella casella Accesso, selezionate gli elementi da controllare e se desiderate controllare gli eventi riusciti, gli eventi di errore o entrambi.
Per controllare gli eventi riusciti, selezionate la casella Operazione riuscita.
Per controllare gli eventi di errore, selezionate la casella Fallimento.
Scegliete le azioni da monitorare per soddisfare i requisiti di sicurezza. Per ulteriori informazioni su questi eventi verificabili, consulta la documentazione di Windows. È possibile controllare i seguenti eventi:
Controllo completo
Traverse folder /esegui file
Elenca cartella/leggi dati
Leggi gli attributi
Leggi gli attributi estesi
Crea file/scrivi dati
Crea cartelle/aggiungi dati
Attributi di scrittura
Scrivi attributi estesi
Eliminare sottocartelle e file
Eliminazione
Autorizzazioni di lettura
Modifica le autorizzazioni
Assumi la proprietà
Se non desideri che l'impostazione di controllo si propaghi ai file e alle cartelle successivi del contenitore originale, seleziona la casella Applica queste voci di controllo solo a oggetti e/o contenitori all'interno di questo contenitore.
Scegli Applica.
Dopo aver aggiunto, rimosso o modificato le voci di controllo, scegliete OK.
La
objectcasella Voce di controllo per si chiude.Nella casella Controllo, scegliete le impostazioni di ereditarietà per questa cartella. Scegliete solo il livello minimo che fornisce gli eventi di controllo che soddisfano i vostri requisiti di sicurezza.
È possibile scegliere una delle seguenti opzioni:
Scegliete la casella Includi voci di controllo ereditabili dalla casella principale di questo oggetto.
Scegliete la casella Sostituisci tutte le voci di controllo ereditabili esistenti su tutti i discendenti con le voci di controllo ereditabili di questo oggetto.
Scegliete entrambe le caselle.
Non scegliete nessuna delle due scatole.
Se state impostando SACLs un singolo file, la casella Sostituisci tutte le voci di controllo ereditabili esistenti su tutti i discendenti con le voci di controllo ereditabili di questo oggetto non è presente nella casella Controllo.
Scegli OK.
Utilizzando la CLI ONTAP, è possibile configurare le policy di controllo NTFS senza bisogno di connettersi ai dati utilizzando una condivisione SMB su un client Windows.
Ad esempio, il comando seguente applica una politica di sicurezza denominata p1 alla SVM denominata. vs0
vserver security file-directory apply -vserver vs0 -policy-name p1
Politiche di controllo su file e directory in stile di sicurezza UNIX
È possibile configurare il controllo per file e directory in stile di sicurezza UNIX aggiungendo audit ACEs (espressioni di controllo degli accessi) a NFS v4.x (elenchi di controllo degli accessi). ACLs Ciò consente di monitorare determinati eventi di accesso a file e directory NFS per motivi di sicurezza.
Nota
Per NFS v4.x, sia quelli discrezionali che quelli di sistema ACEs sono archiviati nello stesso ACL. Pertanto, è necessario fare attenzione quando si aggiunge l'audit ACEs a un ACL esistente per evitare di sovrascrivere e perdere un ACL esistente. L'ordine in cui si aggiunge l'audit ACEs a un ACL esistente non ha importanza.
Recuperate l'ACL esistente per il file o la directory utilizzando il comando
nfs4_getfaclo equivalente.Aggiungi l'audit desiderato. ACEs
-
Applica l'ACL aggiornato al file o alla directory utilizzando il comando
nfs4_setfaclo equivalente.Questo esempio utilizza l'
-aopzione per concedere a un utente (denominatotestuser) le autorizzazioni di lettura per il file denominato.file1nfs4_setfacl -a "A::testuser@example.com:R" file1
Visualizzazione dei registri degli eventi di controllo
È possibile visualizzare i registri degli eventi di controllo salvati nei formati di XML file EVTX o.
EVTXformato di file: è possibile aprire i registri degli eventi diEVTXcontrollo convertiti come file salvati utilizzando Microsoft Event Viewer.Esistono due opzioni che è possibile utilizzare per visualizzare i registri degli eventi utilizzando Event Viewer:
Visualizzazione generale: le informazioni comuni a tutti gli eventi vengono visualizzate per il record dell'evento. I dati specifici dell'evento per il record dell'evento non vengono visualizzati. È possibile utilizzare la visualizzazione dettagliata per visualizzare dati specifici dell'evento.
Visualizzazione dettagliata: sono disponibili una visualizzazione intuitiva e una visualizzazione XML. La visualizzazione intuitiva e la visualizzazione XML mostrano sia le informazioni comuni a tutti gli eventi sia i dati specifici dell'evento per il record dell'evento.
XMLformato di file: è possibile visualizzare ed elaborare i registri degli eventi di controllo XML su applicazioni di terze parti che supportano il formato di file XML. Gli strumenti di visualizzazione XML possono essere utilizzati per visualizzare i registri di controllo, a condizione che si disponga dello schema XML e delle informazioni sulle definizioni dei campi XML.
