EMC VNXe Series. Guía de configuración de seguridad. Versión REV 04

Transcripción

1 EMC VNXe Series Versión 3.1 Guía de configuración de seguridad REV 04

2 Copyright EMC Corporation. Todos los derechos reservados. Publicado Julio, 2015 EMC considera que la información de esta publicación es precisa en el momento de su publicación. La información está sujeta a cambios sin previo aviso. La información de esta publicación se proporciona "tal cual". EMC Corporation no se hace responsable ni ofrece garantía de ningún tipo con respecto a la información de esta publicación y, específicamente, renuncia a toda garantía implícita de comerciabilidad o capacidad para un propósito determinado. EMC 2, EMC y el logotipo de EMC son marcas registradas o marcas comerciales de EMC Corporation en los Estados Unidos o en otros países. Todas las otras marcas comerciales que aparecen aquí son propiedad de sus respectivos dueños. Para consultar la documentación normativa más actualizada para su línea de productos, visite el sitio de soporte en línea de EMC ( Dirección local de EMC EMC Argentina (Cono Sur) Tel EMC México Tel EMC Venezuela (Norte de Latinoamérica)Tel www.venezuela.emc.com Guía de configuración de seguridad

3 CONTENIDO Capítulo 1 Introducción 5 Descripción general...6 Documentos relacionados...6 Capítulo 2 Control de acceso 9 Métodos de acceso Cuentas predeterminadas de fábrica de administración y de servicio del sistema de almacenamiento Administración de cuentas del sistema de almacenamiento...12 Unisphere Interfaz de la línea de comandos de Unisphere Interfaz de servicio vía protocolo SSH del sistema de almacenamiento IPMItool y puerto de servicio Ethernet del SP del sistema de almacenamiento SMI-S Provider Compatibilidad con vsphere Storage API for Storage Awareness Single sign-on con Unisphere Central Flujos de proceso de single sign-on...20 Inicio de sesión en un sistema de almacenamiento local Single sign-on y compatibilidad con NAT...22 Seguridad en los objetos de los sistemas de archivos Acceso a sistemas de archivos en un ambiente multiprotocolo Mapeo de usuarios Políticas de acceso para NFS, CIFS y FTP...24 Credenciales para la seguridad en el nivel de archivos...25 Capítulo 3 Registro 27 Registro...28 Opciones de registro remoto Capítulo 4 Seguridad de la comunicación 31 Uso de los puertos Puertos de red del sistema de almacenamiento: Puertos con los que se puede comunicar el sistema de almacenamiento Certificado del sistema de almacenamiento Configuración de la interfaz de administración mediante DHCP...45 Asignar automáticamente una dirección IP al sistema de almacenamiento Interfaces, servicios y funciones del sistema de almacenamiento compatibles con el protocolo de Internet versión Acceso a la interfaz de administración del sistema de almacenamiento mediante IPv Ejecución de Connection Utility Cifrado CIFS Guía de configuración de seguridad 3

4 CONTENIDO Capítulo 5 Configuración de la seguridad de datos 53 Configuración de la seguridad de datos...54 Capítulo 6 Mantenimiento de seguridad 57 Mantenimiento seguro Actualización de licencias Actualización de software Soporte remoto seguro de EMC para el sistema de almacenamiento Capítulo 7 Ajustes de alertas de seguridad 61 Ajustes de alertas Configuración de los ajustes de alertas Capítulo 8 Otras configuraciones de seguridad 65 Controles de seguridad físicos Protección antivirus...66 Apéndice A Conjuntos de aplicaciones de cifrado SSL/TLS 67 Conjuntos de aplicaciones de cifrado SSL/TLS compatibles Guía de configuración de seguridad

5 CAPÍTULO 1 Introducción En este capítulo, se describen brevemente las diversas funciones de seguridad implementadas en el sistema de almacenamiento. Se abordarán los siguientes temas: Descripción general...6 Documentos relacionados...6 Introducción 5

6 Introducción Descripción general El sistema de almacenamiento utiliza una gran variedad de características de seguridad para controlar el acceso de red y del usuario, monitorear el acceso al sistema y su uso, y brindar soporte para la transmisión de datos de almacenamiento. En este documento se describen las características de seguridad disponibles. Está orientado a los administradores responsables de la configuración y el funcionamiento del sistema de almacenamiento. La guía analiza los ajustes de seguridad incluidos en las categorías que se muestran en Categorías de ajustes de seguridad en la página 6: Tabla 1 Categorías de ajustes de seguridad Categoría de seguridad Control de acceso Logs Seguridad de la comunicación Seguridad de los datos Capacidad de servicio Sistema de alertas Otras configuraciones de seguridad Descripción Limitación de acceso por parte del usuario final u otras entidades para proteger el hardware, el software u otras características específicas del producto. Administración del registro de eventos. Seguridad de la comunicación de red del producto. Provisión de protección de los datos del producto. Mantenimiento del control de las operaciones de servicio del producto por parte del fabricante o sus partners de servicio. Administración de las alertas y las notificaciones generadas para eventos relacionados con la seguridad. Ajustes de seguridad que no se incluyen en ninguna de las secciones anteriores, como la seguridad física. Documentos relacionados Guía de configuración de seguridad En la documentación de VNXe disponible en el sitio web del servicio de soporte en línea de EMC, puede encontrar instrucciones de configuración específicas. Esta guía incluye referencias a los siguientes documentos, cuando corresponda. Instalación del hardware de VNXe Unisphere para la ayuda en línea de VNXe Using the VNXe System with CIFS File Systems Using the VNXe System with NFS File Systems Using the VNXe System with Fibre Channel (FC) or iscsi LUNs Using the VNXe with VMware NFS or VMware VMFS Guía del usuario sobre la interfaz de la línea de comandos de VNXe Notas técnicas de requerimientos y configuración del soporte remoto seguro de EMC para VNXe

7 Introducción Guía del programador de SMI-S Provider para VNXe Documentos relacionados 7

8 Introducción Guía de configuración de seguridad

9 CAPÍTULO 2 Control de acceso En este capítulo, se describen diversas funciones de control de acceso implementadas en el sistema de almacenamiento. Se abordarán los siguientes temas: Métodos de acceso Cuentas predeterminadas de fábrica de administración y de servicio del sistema de almacenamiento Administración de cuentas del sistema de almacenamiento...12 Unisphere Interfaz de la línea de comandos de Unisphere Interfaz de servicio vía protocolo SSH del sistema de almacenamiento IPMItool y puerto de servicio Ethernet del SP del sistema de almacenamiento...17 SMI-S Provider Compatibilidad con vsphere Storage API for Storage Awareness Single sign-on con Unisphere Central Seguridad en los objetos de los sistemas de archivos Acceso a sistemas de archivos en un ambiente multiprotocolo Control de acceso 9

10 Control de acceso Métodos de acceso El sistema de almacenamiento es compatible con los métodos de acceso que se muestran en Métodos de acceso en la página 10. Tabla 2 Métodos de acceso Tipo Cuentas de administración Descripción Estas cuentas tienen privilegios (consulte Funciones y privilegios de usuarios locales en la página 14) para realizar tareas de administración y monitoreo asociadas con el sistema de almacenamiento y sus recursos de almacenamiento. Las contraseñas se crean y administran por medio de las interfaces de administración del sistema de almacenamiento y se pueden usar para obtener acceso a las siguientes interfaces de administración: Unisphere : Una interfaz gráfica web a la que se obtiene acceso por HTTPS y que proporciona herramientas para configurar, administrar y monitorear las configuraciones y el almacenamiento del sistema. CLI de Unisphere: La CLI de Unisphere proporciona una interfaz de la línea de comandos para la misma funcionalidad disponible mediante Unisphere. Cuenta de servicio Esta cuenta realiza funciones de servicio especializadas. Una única cuenta proporciona acceso a las interfaces de servicio mediante el protocolo SSH o la conexión del puerto de servicio Ethernet en cada procesador de almacenamiento (SP). Las interfaces de servicio del sistema de almacenamiento incluyen: Unisphere (con una cuenta de administración, escriba la contraseña de servicio para obtener acceso a la página de servicio de Unisphere, en la cual puede realizar las siguientes acciones): Recopilar información de servicio del sistema (en el nivel del sistema): recopile información del sistema y guárdela en un archivo. Es posible que el personal de servicio use la información recopilada para analizar el sistema. Guardar configuración (en el nivel del sistema): guarde detalles sobre los ajustes de configuración del sistema de almacenamiento en un archivo. El proveedor de servicios puede usar este archivo para ayudarle a reconfigurar el sistema después de una falla importante o de una reinicialización. Reiniciar el software de administración (en el nivel del sistema): reinicie el software de administración para resolver problemas de conexión entre el sistema y Unisphere. Reinicializar el sistema (a nivel de sistema): reinicie el sistema de almacenamiento a la configuración de fábrica original. Ambos procesadores de almacenamiento (SP) deben estar instalados, funcionando normalmente y encontrarse en modo de servicio para que pueda realizar esta acción. Nota Modo de servicio: es un modo operacional reducido diseñado para el mantenimiento y la solución de problemas. Un sistema de almacenamiento que se encuentre en este modo está restringido a una interfaz limitada por medio de Unisphere y por una interfaz de CLI específica que permite la solución aislada de problemas. Cambiar la contraseña de servicio del sistema: cambie la contraseña de servicio para obtener acceso a la página Sistema de servicio. Apagar el sistema (a nivel de sistema): los procedimientos de apagado y de ciclo de reinicio del sistema intentarán resolver los problemas del sistema de almacenamiento que el reinicio o la creación de una nueva imagen del procesador de almacenamiento no pudieron resolver Guía de configuración de seguridad

11 Control de acceso Tabla 2 Métodos de acceso (continuación) Tipo Descripción Activar SSH (en el nivel del sistema): active el protocolo SSH para proporcionar acceso al sistema mediante este protocolo. Si usa un cliente del protocolo SSH, usted o el proveedor de servicios puede conectarse al sistema y ejecutar tareas de mantenimiento avanzado. Ingresar al modo de servicio (en el nivel del SP): el ingreso al modo de servicio detiene las I/O en el SP, lo cual permite ejecutar acciones de servicio de forma segura. Reiniciar (en el nivel del SP): reinicie el procesador de almacenamiento (SP) seleccionado. Use esta acción de servicio para intentar resolver problemas menores relacionados con el software del sistema o con componentes de hardware del SP. Además, reinicie un SP en buen estado que está en modo de servicio para que vuelva al modo normal. Volver a crear la imagen (en el nivel del SP): vuelva a crear la imagen del SP seleccionado. Cuando se vuelve a crear una imagen, se analiza el software del sistema en el SP y se intentan corregir los problemas de manera automática. CLI de Unisphere: La CLI de Unisphere proporciona una interfaz de la línea de comandos para la misma funcionalidad disponible mediante Unisphere. Interfaz de script de servicio por medio de un protocolo SSH: Una interfaz de la línea de comandos a la que se tiene acceso por medio de un cliente SSH y que proporciona funciones específicas de servicio para diagnosticar y solucionar problemas del sistema de almacenamiento. Interfaz del puerto de servicio Ethernet del SP: Proporciona las mismas funciones de diagnóstico y de solución de problemas que la interfaz de servicio del protocolo SSH, salvo que el acceso se obtiene a través de la interfaz del puerto de servicio Ethernet en cada SP. Este puerto solo se debe usar como un puerto de conexión directa (serie a través de LAN). Consulte IPMItool y puerto de servicio Ethernet del SP del sistema de almacenamiento en la página 17 para obtener más información. Cuentas predeterminadas de fábrica de administración y de servicio del sistema de almacenamiento El sistema de almacenamiento viene con configuraciones de cuenta de usuario predeterminadas de fábrica para usar cuando se obtiene acceso y se configura el sistema de almacenamiento por primera vez. Consulte Configuración predeterminada de fábrica de las cuentas de usuario en la página 11. Tabla 3 Configuración predeterminada de fábrica de las cuentas de usuario Tipo de cuenta Nombre de usuario Contraseña Privilegios Administración (Unisphere) admin Password123# Privilegios de administrador para restablecer contraseñas predeterminadas, configurar los ajustes del sistema, crear cuentas de usuario y asignar almacenamiento. Cuentas predeterminadas de fábrica de administración y de servicio del sistema de almacenamiento 11

12 Control de acceso Tabla 3 Configuración predeterminada de fábrica de las cuentas de usuario (continuación) Tipo de cuenta Nombre de usuario Contraseña Privilegios Servicio service service Realizar operaciones de servicio. Nota Durante el proceso de configuración inicial, debe cambiar la contraseña de las cuentas predeterminadas de servicio y del administrador. Administración de cuentas del sistema de almacenamiento Métodos de administración de cuentas en la página 12 muestra cómo puede administrar las cuentas del sistema de almacenamiento. Tabla 4 Métodos de administración de cuentas Funciones de cuenta Administración Servicio Descripción Después de que se completa el proceso de configuración inicial del sistema de almacenamiento, puede administrar las cuentas de administración del sistema de almacenamiento desde Unisphere o desde la interfaz de la línea de comandos de Unisphere. Puede crear, modificar, eliminar o restablecer la configuración de contraseñas para las cuentas locales del sistema de almacenamiento, y asignar o cambiar funciones a cuentas que determinan los privilegios en función de los usuarios que las usen. No puede crear ni eliminar cuentas de servicio del sistema de almacenamiento. Para restablecer la contraseña de la cuenta de servicio, debe usar la función Cambiar contraseña de servicio desde la página de servicio de Unisphere. Nota Para cambiar las contraseñas predeterminadas de fábrica de las cuentas del sistema de almacenamiento, debe presionar el botón de restablecimiento de contraseña que está en el chasis del sistema de almacenamiento. La ayuda en línea de Unisphere proporciona más información. Unisphere La autenticación para obtener acceso a Unisphere se realiza según las credenciales de la cuenta de usuario (local o LDAP). Las cuentas de usuario se crean y posteriormente se administran mediante la página Administrar de Unisphere. Las autorizaciones que se aplican a Unisphere dependen de la función asociada con la cuenta de usuario. adicional Antes de que un usuario pueda descargar el contenido de la interfaz del usuario de Unisphere a una estación de trabajo de administración, debe proporcionar credenciales para autenticarse y establecer una sesión en el sistema de almacenamiento. Cuando el usuario especifica la dirección de red del sistema de almacenamiento como la URL en un navegador web, se le muestra una página de inicio de sesión desde la cual puede optar por autenticarse como un usuario local o mediante un servidor de directorios LDAP. Las credenciales que el usuario proporciona se autentican y, después de la autenticación Guía de configuración de seguridad

13 Control de acceso correcta, se crea una sesión de administración de la interfaz del usuario en el sistema de almacenamiento. Posteriormente, la interfaz del usuario de Unisphere se descarga y se crea una instancia de ella en la estación de trabajo de administración del usuario. El usuario podrá monitorear y administrar el sistema de almacenamiento dentro de las funcionalidades de la función que se le asignó. LDAP El protocolo LDAP es un protocolo de aplicación para consultar servicios de directorio que se ejecutan en redes TCP/IP. LDAP proporciona administración central para operaciones de autorización de red ya que ayuda a centralizar la administración de usuarios y grupos a través de la red. La integración del sistema en un ambiente LDAP existente proporciona una manera de controlar el acceso de usuarios y de grupos de usuarios al sistema a través de la CLI de Unisphere o Unisphere. Después de configurar los ajustes de LDAP para el sistema, podrá administrar usuarios y grupos de usuarios, en el contexto de una estructura establecida de directorios LDAP. Por ejemplo, puede asignar permisos de acceso a la CLI de Unisphere que se basan en usuarios y grupos existentes. El sistema utiliza los ajustes de LDAP solo para facilitar el control de acceso a la CLI de Unisphere y Unisphere, no para obtener acceso a los recursos de almacenamiento. Reglas de las sesiones Las sesiones de Unisphere tienen las siguientes características: El plazo de vencimiento es de una hora. El tiempo de espera de sesión no es configurable. Los ID de sesión se generan durante la autenticación y se utilizan durante el lapso de cada sesión. Uso de las contraseñas Los nombres de usuario y las contraseñas de las cuentas de Unisphere deben cumplir con los requisitos que se señalan en Requisitos de cuentas de Unisphere en la página 13. Tabla 5 Requerimientos de cuentas de Unisphere Restricción Requisitos de la contraseña Cantidad mínima de caracteres 8 Cantidad mínima de caracteres en mayúsculas 1 Cantidad mínima de caracteres en minúsculas 1 Cantidad mínima de caracteres numéricos 1 Cantidad mínima de caracteres especiales 1 Los caracteres especiales soportados incluyen:!,@#$%^*_~? Cantidad máxima de caracteres 40 Nota Para cambiar las contraseñas de las cuentas desde Unisphere, haga clic en Ajustes > Más configuraciones > Administrar. Cuando cambia una contraseña, no puede volver a utilizar las últimas tres. La ayuda en línea de Unisphere proporciona más información. Unisphere 13

14 Control de acceso Autorización Funciones y privilegios de usuarios locales en la página 14 muestra las funciones que usted puede asignar a los usuarios locales del sistema de almacenamiento y los privilegios asociados con dichas funciones. Además, puede asignar estas funciones a usuarios y grupos LDAP. Tabla 6 Funciones y privilegios de usuarios locales Tarea Operador Administrador de almacenamient o Administrador ejecutivo Administrador de máquinas virtuales Cambiar la contraseña de inicio de sesión local propia x x x Agregar hosts x Crear almacenamiento x x Eliminar almacenamiento x x Agregar objetos de almacenamiento a recursos de almacenamiento (discos virtuales, recursos compartidos, grupos de almacenamiento, etc.) x x Ver estado y configuración de almacenamiento x x x Ver las cuentas de usuario del sistema de almacenamiento Agregar, eliminar o modificar las cuentas de usuario del sistema de almacenamiento x x x Ver el estado actual del software o la licencia x x x Actualizar software o licencia Establecer la configuración inicial Modificar la configuración del servidor de almacenamiento Modificar la configuración del sistema Modificar la configuración de red x x x x x Cambiar el idioma de la interfaz de administración x x x Establecer conexiones VASA entre vcenter y el sistema de almacenamiento x En el caso de la función Administrador de VM, una vez que se establece la conexión entre vcenter y el sistema de almacenamiento, un usuario de vcenter podrá ver el subconjunto de la configuración del almacenamiento y el estado que es pertinente a ese vcenter y sus servidores ESX. El usuario de vcenter solo puede ver la información que permiten los mecanismos de control de acceso de vcenter. Nota Para cambiar las funciones de las cuentas en Unisphere, haga clic en Ajustes > Más configuraciones > Administrar. La ayuda en línea de Unisphere proporciona más información Guía de configuración de seguridad

15 Control de acceso Compatibilidad con NAT NAT no es compatible con el inicio de sesión local por medio de Unisphere en el sistema de almacenamiento. Interfaz de la línea de comandos de Unisphere La CLI de Unisphere proporciona una interfaz de línea de comandos para la misma funcionalidad disponible mediante Unisphere. La ejecución de la CLI de Unisphere requiere software especial de línea de comandos de sistema de almacenamiento. Puede descargar este software desde el sitio web del servicio de soporte en línea de EMC en Reglas de las sesiones La interfaz de la línea de comandos de Unisphere no soporta sesiones. Debe usar una sintaxis de línea de comandos para especificar el nombre de usuario y la contraseña de las cuentas con cada comando ejecutado. Puede usar el comando -saveuser de la CLI de Unisphere para guardar las credenciales de acceso (nombre de usuario y contraseña) de una cuenta específica en un archivo en la caja de seguridad protegida que reside localmente en el host en el cual está instalada la CLI de Unisphere. Los datos almacenados están disponibles solo en el host donde se guardaron y solo para el usuario que los guardó. Después de guardar las credenciales de acceso, la interfaz de la línea de comandos las aplica automáticamente al puerto y al destino especificados del sistema de almacenamiento cada vez que usted ejecute un comando. Uso de las contraseñas La autenticación de la interfaz de la línea de comandos de Unisphere se realiza de acuerdo con las cuentas de administración creadas y administradas por medio de Unisphere. Los mismos permisos que se aplican a Unisphere se aplican a comandos específicos según la función asociada con la cuenta de inicio de sesión actual. Ajustes guardados Puede guardar la siguiente configuración en el host en que se ejecuta la interfaz de la línea de comandos de Unisphere: Credenciales de acceso de usuario, incluidos su nombre de usuario y contraseña, para cada sistema al que accede. Certificados SSL importados del sistema. Información sobre el sistema predeterminado para obtener acceso mediante la interfaz de la línea de comandos de Unisphere, incluidos el nombre del sistema o la dirección IP y el número de puerto del sistema. La interfaz de la línea de comandos de Unisphere guarda los ajustes en una caja de seguridad protegida que reside de forma local en el host en el que está instalada la interfaz de la línea de comandos de Unisphere. Los datos almacenados están disponibles solo en el host donde se guardaron y solo para el usuario que los guardó. La caja de seguridad reside en las siguientes ubicaciones: En Windows XP: C:\Documents and Settings\<account_name>\Local Settings\ApplicationData\EMC\UEM CLI\ En Windows 7 y Windows 8: C :\Users\${user_name}\AppData\Local \.EMC\UEM CLI\ En UNIX/Linux: <home_directory>/emc/uem CLI Interfaz de la línea de comandos de Unisphere 15

16 Control de acceso Busque los archivos config.xml y config.key. Si desinstala la CLI de Unisphere, estos directorios y archivos no se eliminan, lo que le ofrece la opción de conservarlos. Si estos archivos ya no se requieren, considere su eliminación. Interfaz de servicio vía protocolo SSH del sistema de almacenamiento Cuando está activada, la interfaz de servicio vía protocolo SSH del sistema de almacenamiento proporciona una interfaz de la línea de comandos para realizar funcionalidades relacionadas y coincidentes con las que están disponibles en la página Servicio de Unisphere (Ajustes > Sistema de servicio). La cuenta de servicio les permite a los usuarios realizar las siguientes funciones: Ejecutar comandos de servicio del sistema de almacenamiento especializados para monitorear y solucionar problemas con las operaciones y la configuración del sistema de almacenamiento. Operar comandos de Linux estándar como miembro de una cuenta de usuario de Linux sin privilegios. Esta cuenta no tiene acceso a datos de usuarios o clientes, archivos de configuración o archivos de sistema registrados. Sessions Las sesiones de la interfaz de servicio vía protocolo SSH del sistema de almacenamiento se mantienen conforme a la configuración establecida por el cliente SSH. Las características de las sesiones son determinadas por los parámetros de configuración del cliente SSH. Uso de las contraseñas La cuenta de servicio es una cuenta que el personal de servicio puede usar para ejecutar comandos de Linux básicos. La contraseña predeterminada para la interfaz de servicio del sistema de almacenamiento es service (servicio). Al realizar la configuración inicial del sistema de almacenamiento, debe cambiar la contraseña de servicio predeterminada. Las restricciones de contraseña son las mismas que se aplican a las cuentas de administración de Unisphere (consulte Uso de las contraseñas en la página 13). Para obtener información sobre el comando de servicio del sistema de almacenamiento, svc_service_password, que se usa para administrar los ajustes de contraseña para la cuenta de servicio del sistema de almacenamiento, consulte el documento de notas técnicas Comandos de servicio de VNXe. Autorización Como se muestra en Definiciones de autorización de la cuenta de servicio en la página 16, la autorización de la cuenta de servicio se define de dos maneras. Tabla 7 Definiciones de autorización de la cuenta de servicio Tipo de autorización Permisos del sistema de archivos de Linux Descripción Los permisos de sistema de archivos definen la mayoría de las tareas que la cuenta de servicio puede o no realizar en el sistema de almacenamiento. Por ejemplo, la mayoría de las herramientas y las utilidades de Linux que modifican la operación del sistema de alguna manera requieren privilegios de cuenta de superusuario. Dado que la cuenta de servicio no tiene tales derechos de acceso, no puede usar herramientas ni utilerías de Linux para las cuales no tiene permisos de ejecución ni puede editar archivos de configuración que requieren acceso de raíz para leer, modificar o ambos Guía de configuración de seguridad

17 Control de acceso Tabla 7 Definiciones de autorización de la cuenta de servicio (continuación) Tipo de autorización Listas de control de acceso (ACL) Descripción El mecanismo de ACL del sistema de almacenamiento utiliza una lista de reglas muy específicas para otorgar o denegar explícitamente el acceso a recursos del sistema por medio de la cuenta de servicio. Estas reglas especifican los permisos de la cuenta de servicio a otras áreas del sistema de almacenamiento que no están definidas por los permisos del sistema de archivos de Linux estándar. Comandos de servicio del sistema de almacenamiento El ambiente operativo (OE) del sistema de almacenamiento tiene instalado un conjunto de comandos de diagnóstico de problemas, configuración del sistema y recuperación del sistema. Estos comandos proporcionan información detallada y un nivel más bajo de control del sistema del disponible por medio de Unisphere. El documento de notas técnicas, Comandos de servicio de VNXe, describe estos comandos y sus casos de uso comunes. IPMItool y puerto de servicio Ethernet del SP del sistema de almacenamiento Los sistemas de almacenamiento que ejecutan el ambiente operativo 3.0 o superior proporcionan acceso de consola por medio de un puerto de servicio Ethernet presente en cada SP. Este acceso requiere el uso de IPMItool. IPMItool es una herramienta de red similar al protocolo SSH o a telnet, que se conecta a cada SP a través de una conexión Ethernet mediante el protocolo IPMI. IPMItool es una utilidad de Windows que negocia un canal de comunicación seguro para obtener acceso a la consola del SP de un sistema de almacenamiento. Esta utilería requiere credenciales de inicio de sesión y una dirección IP para activar la consola. Para obtener más información sobre IPMItool, consulte IPMItool User Guide Technical Notes. La interfaz del puerto de servicio Ethernet del SP proporciona las mismas funciones y características que la interfaz de servicio vía protocolo SSH y también está sujeta a las mismas restricciones. La diferencia es que los usuarios obtienen acceso a la interfaz a través de una conexión a un puerto Ethernet en lugar de hacerlo mediante un cliente del protocolo SSH. Para obtener una lista de comandos de servicio, consulte las notas técnicas de comandos de servicio de VNXe. SMI-S Provider SMI-S Provider no presenta cambios con respecto a la seguridad. Un cliente de SMI-S se conecta al sistema de almacenamiento por medio del puerto 5989 HTTPS. El inicio de sesión de un usuario es el mismo que el de los usuarios de la interfaz del usuario o la CLI de Unisphere. Todas las reglas de seguridad que se aplican a los usuarios de la interfaz del usuario o la CLI también se aplican a las conexiones SMI-S. Los usuarios de la interfaz del usuario y la CLI de Unisphere pueden autenticarse con la interfaz de SMI-S. No se definen usuarios por separado para la interfaz de SMI-S. Una vez realizada la autenticación, el cliente de SMI-S tiene el mismo privilegio que el definido para los usuarios de la interfaz del usuario y la CLI de Unisphere. La Guía del programador de SMI-S Provider para VNXe proporciona información sobre cómo configurar este servicio. IPMItool y puerto de servicio Ethernet del SP del sistema de almacenamiento 17

18 Control de acceso Compatibilidad con vsphere Storage API for Storage Awareness vsphere Storage API for Storage Awareness (VASA) es una API independiente del proveedor definida por VMware para el reconocimiento del almacenamiento. Es una interfaz web propietaria basada en SOAP que se usa únicamente con fines de monitoreo. La usan los clientes VMware más que los clientes Unisphere. VASA es solo una interfaz de informes y se utiliza para solicitar información básica sobre el sistema de almacenamiento y los dispositivos de almacenamiento que expone al ambiente virtual con el fin de facilitar las tareas cotidianas de aprovisionamiento, monitoreo y solución de problemas por medio de vsphere. El proveedor (VP) de VASA se ejecuta en el procesador de almacenamiento (SP) activo del sistema de almacenamiento. El usuario de vsphere debe configurar esta instancia de VP como el proveedor de información de VASA para cada sistema de almacenamiento. En caso de que un SP quede inactivo, el proceso relacionado se reiniciará en el SP par junto con el VP de VASA. El failover de la dirección IP se realiza automáticamente. Internamente, el protocolo verá una falla cuando obtenga eventos de cambio de configuración desde el VP que recién está activo, pero esto generará una resincronización automática de los objetos de VASA sin intervención del usuario. Autenticación relacionada con VASA Con el objeto de iniciar una conexión desde vcenter al VP de Unisphere, debe usar el cliente vsphere para ingresar tres datos clave: la URL del VP (use el siguiente formato): IP address>:5989/vasa/services/vasaservices el nombre de usuario de un usuario de Unisphere (la función debe ser Administrador de VM o administrador): para los usuarios locales, use la sintaxis: local/<username> para los usuarios de LDAP, use la sintaxis: <domain>/<username> la contraseña asociada con este usuario Nota Guía de configuración de seguridad Se recomienda usar una función Administrador de VM ya que es una función de solo lectura. Las credenciales de Unisphere utilizadas aquí solo se emplean durante este paso inicial de la conexión. Si las credenciales de Unisphere son válidas para el sistema de almacenamiento de destino, el certificado de vcenter Server se registra automáticamente con el sistema de almacenamiento. Este es el certificado que se usa para autenticar todas las solicitudes subsiguientes desde vcenter. No se requieren pasos manuales para instalar o cargar este certificado en el VP. Si el certificado venció, vcenter debe registrar uno nuevo para permitir una nueva sesión. Si el usuario revocó el certificado, la sesión pierde su validez y la conexión se interrumpe. Sesión de vcenter, conexión segura y credenciales Una sesión de vcenter comienza cuando un administrador de vsphere usa el cliente vsphere para proporcionar a vcenter Server la URL del VP de VASA y las credenciales de inicio de sesión. vcenter Server usa la URL, las credenciales y el certificado SSL del VP de VASA para establecer una conexión segura con el VP. Una sesión de vcenter finaliza cuando un administrador usa el cliente vsphere para eliminar el VP de la configuración de vcenter y vcenter Server termina la conexión. Una sesión de vcenter se basa en la comunicación HTTPS segura entre vcenter Server y un VP. La arquitectura de VASA usa certificados SSL e identificadores de sesión de VASA

19 Control de acceso para permitir conexiones seguras. vcenter Server y el VP agregan los certificados de cada uno a su propio almacenamiento de confianza. El VP de VASA proporciona la siguiente información a vcenter: Visibilidad del almacenamiento: detecta internamente los cambios en las propiedades y envía la información actualizada a vcenter Alarmas de estado y capacidad: monitorea internamente los cambios de estado y los umbrales relacionados con la capacidad que se cruzan, lo cual activa las alarmas correspondientes para vcenter: estado del arreglo, SP, puertos de I/O, LUN y sistemas de archivos indicaciones de cambios en el nivel de clase para un cambio de estado de cualquiera de estos objetos alarmas de capacidad de espacio para LUN y sistemas de archivos Funcionalidades del almacenamiento de VASA: monitorea internamente los cambios en las funcionalidades del almacenamiento e informa las funcionalidades actualizadas a vcenter Integración de Storage DRS: vsphere cuenta con la información que recibe internamente del proveedor de VASA y la alimenta a su lógica de negocio para diversos flujos de trabajo de Storage DRS Single sign-on con Unisphere Central La funcionalidad de single sign-on que se agregó a Unisphere Central proporciona servicios de autenticación para varios sistemas de almacenamiento que ejecutan un ambiente operativo versión 3.1 o superior y que están configurados para usar esta función. Esta función ofrece un método sencillo para que un usuario inicie sesión en cada sistema sin necesidad de volver a autenticarse. Unisphere Central es el servidor de autenticación centralizado que facilita single sign-on. Esta funcionalidad permite que un usuario: Inicie sesión en Unisphere Central y seleccione e inicie Unisphere en un sistema de almacenamiento sin volver a ingresar las credenciales de inicio de sesión. Inicie sesión en un sistema de almacenamiento y seleccione otros sistemas de almacenamiento en los cuales desee iniciar sesión sin volver a ingresar las credenciales de inicio de sesión. Unisphere Central ejecutará periódicamente una consulta para solicitar información de estado de los sistemas de almacenamiento que está administrando. La identidad asociada con las solicitudes ejecutadas en este contexto es el certificado SSL/X.509 de Unisphere Central. La autoridad de certificación de Unisphere Central firma este certificado, en el cual confía cada instancia de sistema de almacenamiento que Unisphere Central está configurado para administrar. Además, esta función brinda la funcionalidad de single sign-off. Esto quiere decir que cuando cierra la sesión de Unisphere Central, tiene la opción de cerrar simultáneamente todas las sesiones de los sistemas de almacenamiento 3.1 asociados. Requisitos El uso de esta funcionalidad de single sign-on requiere lo siguiente: Se debe usar Unisphere Central versión 4.0 o superior. La autenticación del servidor de Unisphere Central y de los sistemas del almacenamiento se debe configurar de modo que se realice en el mismo directorio de AD/LDAP. Single sign-on con Unisphere Central 19

20 Control de acceso El usuario LDAP se debe mapear directamente a una función de Unisphere o debe ser miembro de un grupo de AD/LDAP mapeado a una función de Unisphere en el sistema de almacenamiento y Unisphere Central. Cada sistema de almacenamiento debe ejecutar OE versión 3.1 o superior y tener activada la función de single sign-on. El usuario debe iniciar sesión como un usuario LDAP. Nota Si no se cumplen estos requisitos, el usuario debe iniciar sesión en cada sistema como un usuario local y debe proporcionar las credenciales de autenticación para obtener acceso a ese sistema. Debe tener privilegios de administrador o de administrador de almacenamiento para activar single sign-on. Los usuarios con privilegios de operador o de administrador de VM no pueden activar single sign-on. Use el siguiente comando uemcli para activar single sign-on: Uemcli -d <IP address> -u <username> -p <password> /sys/ur set - ssoenabled yes Cada sistema de almacenamiento configurado con esta función activada puede ser un cliente del servidor de autenticación centralizado y participar en el ambiente de single sign-on. Para obtener más información sobre este comando, consulte la Guía del usuario de la CLI de Unisphere. Consideraciones y restricciones Se admiten los siguientes navegadores web: Google Chrome versión 33 o superior Microsoft Internet Explorer versión 10 o superior Mozilla Firefox versión 28 o superior Apple Safari versión 6 o superior Flujos de proceso de single sign-on El tiempo de espera agotado de la sesión de un usuario entre el cliente web y el servidor de autenticación centralizado es de 45 minutos. El tiempo de espera agotado de la sesión de una aplicación entre el cliente web y el sistema de almacenamiento es de una hora. Las siguientes secuencias representan los flujos de proceso de autenticación relacionados con single sign-on en lo que respecta a Unisphere Central. Acceda al sistema de almacenamiento por medio de Unisphere Central 1. El usuario inicia un navegador web en una estación de trabajo de administración y especifica la dirección de red de Unisphere Central como la URL. 2. El servidor web redirige el navegador a una URL de inicio de sesión local de Unisphere Central y se muestra al usuario una pantalla de inicio de sesión. 3. El usuario escribe y envía las credenciales de inicio de sesión de LDAP. El nombre de usuario tiene el formato <LDAP DOMAIN>/username. 4. Se establece un token de sesión y el sistema redirige el navegador nuevamente a la URL original que se especificó. 5. El navegador descarga el contenido de Unisphere y se crea una instancia de Unisphere Central Guía de configuración de seguridad

21 Control de acceso 6. A continuación, el usuario navega por medio de Unisphere por el sistema de almacenamiento específico que desee monitorear. 7. El usuario hace clic en la dirección de red del sistema de almacenamiento. 8. Se crea una nueva ventana del navegador con la URL del sistema de almacenamiento. 9. El navegador se redirige al servidor de autenticación de Unisphere Central donde ya se autenticó el usuario. 10. El navegador se redirige nuevamente a la página de descarga de Unisphere, se establece una sesión con el sistema de almacenamiento y se usa el nuevo vale de servicio. 11. Unisphere se descarga y se le crea una instancia. 12. El usuario comienza a administrar/monitorear el sistema de almacenamiento. Acceso a sistemas de almacenamiento asociados con Unisphere Central 1. El usuario inicia un navegador web en una estación de trabajo de administración y especifica la dirección de red de un sistema de almacenamiento como la URL. 2. El navegador se redirige al servicio de inicio de sesión local de Unisphere Central y se muestra al usuario una pantalla de inicio de sesión. 3. El usuario escribe y envía las credenciales de inicio de sesión de LDAP. El nombre de usuario tiene el formato <LDAP DOMAIN>/username. 4. Se establece un token de sesión como una cookie y el sistema redirige el navegador nuevamente a la URL original que se especificó. 5. El navegador descarga el contenido de Unisphere y se crea una instancia de Unisphere. 6. A continuación, el usuario abre otra ventana o pestaña del navegador web y especifica la dirección de red de otro sistema de almacenamiento como la URL. 7. El navegador se redirige al servidor de autenticación de Unisphere Central donde el usuario ya se autenticó. Se obtiene un nuevo vale de servicio. 8. El navegador se redirige nuevamente a la página de descarga de Unisphere, se establece una sesión con el segundo sistema de almacenamiento y se usa el nuevo vale de servicio. 9. Se descarga Unisphere para el segundo sistema de almacenamiento y se le crea una instancia. 10. El usuario comienza a administrar/monitorear el segundo sistema de almacenamiento. Administración activa a través de Unisphere Central 1. El usuario inicia un navegador web en una estación de trabajo de administración y especifica la dirección de red de Unisphere Central como la URL. 2. El servidor web redirige el navegador a una URL de inicio de sesión local de Unisphere Central. 3. Se muestra al usuario una pantalla de inicio de sesión. 4. El usuario escribe y envía las credenciales de inicio de sesión de LDAP. El nombre de usuario tiene el formato <LDAP DOMAIN>/username. 5. Se establece un token de sesión y el sistema redirige el navegador nuevamente a la URL original que se especificó. 6. El navegador descarga el contenido de Unisphere y se crea una instancia de Unisphere Central. Flujos de proceso de single sign-on 21

22 Control de acceso 7. Ahora, el usuario puede iniciar una operación, que cambiará la configuración de uno o más de los sistemas de almacenamiento que administra la instancia de Unisphere Central. Inicio de sesión en un sistema de almacenamiento local Single sign-on y compatibilidad con NAT Cuando se usa una cuenta local o cuando la conectividad con el servidor de autenticación de Unisphere Central no está disponible, puede iniciar sesión en un sistema de almacenamiento local mediante el servidor de autenticación que reside en el sistema en lugar del inicio de sesión por medio de Unisphere Central. Existen dos formas de iniciar sesión localmente en el sistema de almacenamiento: Cuando el navegador se redirige al servidor de autenticación de Unisphere Central, está disponible una opción que permite al usuario redirigirse al sistema e iniciar sesión localmente. Si Unisphere Central está inaccesible, se puede usar la siguiente sintaxis URL para navegar o acceder al sistema e iniciar sesión localmente: <storagesystemip>?cashome=local donde IP es la dirección IP del sistema de almacenamiento. Single sign-on no es compatible con una configuración NAT. Además, NAT no es compatible con el inicio de sesión local por medio de Unisphere en el sistema de almacenamiento. Seguridad en los objetos de los sistemas de archivos En un ambiente multiprotocolo, el sistema de almacenamiento utiliza sus políticas de seguridad para determinar cómo conciliar las diferencias entre semánticas de control de acceso a NFS y CIFS. Modelo de seguridad de Unix A los derechos de acceso de UNIX se les denomina bits de modo de un objeto del sistema de archivos. Se les representa con una cadena de bits en la cual cada bit equivale a un modo de acceso o privilegio otorgado al usuario que posee el archivo, al grupo asociado con el objeto del sistema de archivos y a todos los demás usuarios. Los bits de modo de UNIX se representan como tres conjuntos de triplos rwx (lectura, escritura y ejecución) concatenados para cada categoría de usuarios (usuario, grupo u otro). Modelo de seguridad de Windows El modelo de seguridad de Windows se basa principalmente en derechos por objeto, lo cual implica el uso de un descriptor de seguridad (SD) y de su lista de control de acceso (ACL). El acceso a un objeto del sistema de archivos se basa en si los permisos se configuraron en Permitir o Rechazar mediante el uso de un descriptor de seguridad. El SD describe el propietario del objeto y los SID de grupo para el objeto, junto con sus ACL. Una ACL es parte del descriptor de seguridad de cada objeto. Cada ACL contiene entradas de control de acceso (ACE). A su vez, cada ACE contiene un único SID que identifica a un usuario, un grupo o una computadora, y una lista de derechos que se rechazan o se permiten para ese SID Guía de configuración de seguridad

23 Control de acceso Acceso a sistemas de archivos en un ambiente multiprotocolo El acceso a archivos se proporciona a través de servidores NAS. Un servidor NAS contiene un conjunto de sistemas de archivos donde están almacenados los datos. El servidor NAS proporciona acceso a estos datos para los protocolos de archivos NFS, CIFS y FTP mediante la exportación de sistemas de archivos a través de recursos compartidos CIFS y NFS (también conocidos como carpetas exportadas tipo NFS). El modo del servidor NAS para el uso compartido multiprotocolo permite el uso compartido de los mismos datos entre CIFS y NFS. Dado que el modo de uso compartido multiprotocolo proporciona acceso CIFS y NFS simultáneo a un sistema de archivos, el mapeo de usuarios de Windows a usuarios de Unix y la definición de las reglas de seguridad que se usarán (bits de modo, ACL e información del usuario) se deben considerar y configurar correctamente para el uso compartido multiprotocolo. Nota Para obtener información acerca de la configuración y la administración de servidores NAS con respecto al uso compartido multiprotocolo, el mapeo de usuarios, las políticas de acceso y la información del usuario, consulte la ayuda en línea de Unisphere y la Guía del usuario de la CLI de Unisphere. Mapeo de usuarios En un contexto multiprotocolo, un usuario de Windows se debe asociar a un usuario de UNIX y viceversa, de modo que se pueda hacer cumplir la seguridad del sistema de archivos, incluso si no es nativa para el protocolo. Los siguientes componentes son parte del mapeo de usuarios: Servicios de directorio de UNIX Solucionadores de Windows Secmap NTXMAP Servicios de directorio de UNIX Los servicios de directorio de UNIX (UDS) se usan para determinar lo siguiente para el mapeo de usuarios: Dado un identificador de usuario (UID), devuelven el nombre de cuenta de UNIX correspondiente. Dado un nombre de cuenta de UNIX, devuelven el UID y el ID de grupo (GID) primario correspondientes. Los servicios compatibles son: LDAP NIS Hay al menos un UDS activo por vez para cada servidor NAS. Debe estar activado un UDS cuando está activado el uso compartido multiprotocolo. La propiedad unix-directoryservice del servidor NAS determina el UDS que se usa. Solucionadores de Windows Los solucionadores de Windows se usan para determinar lo siguiente para el mapeo de usuarios: Dado un identificador de seguridad (SID), devuelven el nombre de cuenta de Windows correspondiente Acceso a sistemas de archivos en un ambiente multiprotocolo 23

24 Control de acceso Dado un nombre de cuenta de Windows, devuelven el SID correspondiente Los solucionadores de Windows son: El controlador de dominio (DC) del dominio Políticas de acceso para NFS, CIFS y FTP Guía de configuración de seguridad La base de datos del grupo local (LGDB) del servidor CIFS Secmap La función de Secmap es almacenar todos los mapeos de SID a UID/GID primario y de UID a SID con el fin de garantizar la coherencia en todos los sistemas de archivos del servidor NAS. NTXMAP NTXMAP se usa para asociar una cuenta de Windows a una cuenta de UNIX cuando el nombre es diferente. Por ejemplo, si hay un usuario con una cuenta denominada Gerald en Windows, pero la cuenta en UNIX se llama Gerry, se usa NTXMAP para establecer la correlación entre ambas cuentas. En un ambiente multiprotocolo, el sistema de almacenamiento usa políticas de acceso del sistema de archivos para administrar el control de acceso de los usuarios a sus sistemas de archivos. Existen dos tipos de seguridad, la de UNIX y la de Windows. En el caso de la autenticación de seguridad de UNIX, la credencial se crea a partir de los servicios de directorio de UNIX (UDS). Los derechos de usuario se determinan según los bits de modo. Los identificadores de usuario y de grupo (UID y GID, respectivamente) se usan para la identificación. No hay privilegios asociados con la seguridad de UNIX. En el caso de la autenticación de seguridad de Windows, la credencial se crea a partir del controlador de dominio (DC) de Windows y de la base de datos del grupo local (LGDB) del servidor CIFS. Los derechos de usuario se determinan según las ACL de CIFS. El identificador de seguridad (SID) se usa para la identificación. Hay privilegios asociados con la seguridad de Windows, como Tomar propiedad, Respaldar y Restaurar, los cuales otorga la LGDB del servidor CIFS. Hay tres políticas de acceso que definen la seguridad que usan los distintos protocolos: UNIX: la seguridad de UNIX se usa para NFS y CIFS. Windows: la seguridad de Windows se usa para NFS y CIFS. Nativa: usa la seguridad que es nativa del protocolo, UNIX para NFS o Windows para CIFS. La política de acceso de UNIX protege el acceso en el nivel de archivos mediante la seguridad de UNIX, la cual usa una credencial de UNIX para todos los protocolos y aplica solo los bits de modo a todos ellos. Tras el procesamiento de solicitudes de protocolo en el nivel de archivos para el acceso a CIFS, se usa la credencial de UNIX creada a partir de los UDS activados para comprobar los bits de modo. El acceso se concede o se rechaza de acuerdo con los bits de modo. No se hace caso de las ACL de Windows, incluso para el acceso de usuarios a través de CIFS. La política de acceso de Windows protege el acceso en el nivel de archivos mediante la seguridad de Windows. Esta política usa una credencial de Windows para todos los protocolos y aplica solo la ACL de CIFS a todos ellos. Tras el procesamiento de solicitudes de protocolo en el nivel de archivos para el acceso a NFS, se usa la credencial de Windows creada a partir del DC y la LGDB para comprobar la ACL de CIFS. El acceso se concede o se rechaza de acuerdo con la ACL de CIFS. No se hace caso de los bits de modo de UNIX, incluso para el acceso de usuarios a través de NFS. La política de acceso nativa protege el acceso en el nivel de archivos mediante la seguridad nativa que usa una credencial de UNIX para el protocolo NFS o una credencial