分类： 服务器与存储
2008-06-23 07:02:29
存储设备的基本管理安全远没有加密技术这样花哨，管理安全是现在必须重视的重要领域。这个领域目前处于过渡期。
以前，存储只是属于某个系统，存储管理软件运行在那个系统上，唯一的存储安全是（存储管理安全）是由系统提供。
随着存储被多个系统共享，特别是一个管理实体被安装在一个或多个系统上，存储管理员就需要通过密码来管理某一特别的阵列。这是当前业界普遍采用的方法，而且在只有一个管理员管理适当数量的存储时，这个方法效果很好。
然而，在过去几年中，存储需求快速增加，需要多个管理员来管理存储，关于允许哪个管理员在哪台存储设备上可以执行怎样的行动有更加详细的规定。
单一登陆可以通过RADIUS（远程身份验证拨入用户服务）协议来实现，RADIUS发送给中央服务器一个确认请求。微软的Active Directory 要求在确认用户的标识之后，才允许访问网络，此过程称为身份验证。用户只需要提供对域（或受信任域）的单一登录即可访问网络。当 Active Directory 确认用户的身份之后，进行身份验证的域控制器上的 LSA 将生成一个访问令牌，确定用户可以对网络资源进行哪个级别的访问。
审计跟踪和日志必须显示哪位管理员执行了操作。这对于基于每台设备的管理员来说是很难实现的，当所有设备上这样的数据可以看得见时，很多问题（攻击）才能显现出来。在大规模的安装中，展现日志全部内容并且可搜索内容的工具是很需要的。
这几年来，已经有不少人开始在数据中心集中认证和安全。存储管理原来是利用能够管理同一类型的多个设备的工具，现在开始利用单一登录的一套工具，这些工具不仅能够管理不同类型的存储设备，甚至可以将多种服务器和存储一起管理。
重要的是，要明白针对不同的产品有不同的变化，以避免中断现有安装和现有程序。安装规模比较小的客户仍然可以以传统的方法来使用产品。
验证
从技术上看，SSO使用户可以登录到一个主域上，但可以访问其他次级域。例如，Novell NetWare网络代表着一个域，Windows NT代表着一个域，IBM也代表着一个域，如此等等。在多登录环境中的正常环境下，用户必须分别登录到每个次级域。在使用SSO时，IT经理指定特定平台作为主认证域来控制对所有域的访问。当用户登录到这个SSO主域时，他提供在登录到任何次级域时所需要的所有证明。然后主域负责为次级域完成对用户的认证。
集中验证服务有几个优点。单一登录允许用户只登录到系统上一次，而后授权访问其他连接的系统，无需再进行登录。当用户只需要记忆一个口令时，管理和支持费用将会大大减少，并且总体环境将会更安全。
授权
除了单一登录，现有存储管理方法与传统方法的第二点不同是不再是一个管理员登录来管理一个设备，而是所有管理员共享权力。
第三点，也可能是最重要的区别是管理员特权可以以一种特别精细的方式授权给管理员。举个例子，某管理员可以看到某一特定存储系统中的一切信息，但是没有权力更改信息，但是更高级的管理员可以更改信息。此外，客户仍然可以灵活地进行服务器和存储管理。一个小公司可以继续让一个管理员拥有所有的权利，而大公司可能继续分为独立的存储、服务器、网络管理部门，每个部门根据特殊个人的角色拥有不同的权力。
审计
所有配置上的改变和其他重大事件都应该被记录上，因此任何问题都可以追踪到原始状态。知道是哪位管理员在什么时候做出错误的配置改变，这样，要找出并更改错误就简单得多。
对数据中心中不同设备的审计跟踪/日志有一个集中的了解是很重要的。在出现问题时，要辨别问题是由安全入侵引起的，还是管理员错误或其它问题，从日志的整体上考虑比从个别要素上考虑有效得多。还可以要求所有安全管理员根据日志定期提交详细报告。
当在设备之间自动迁移数据的时候，执行数据迁移的软件必须得到授权，而且必须保留这样的迁移记录。这是一个新兴的领域，当前来说，这更多的是一个目标，而不是标准的执行方式。
四、建议
存储安全是数据中心安全和业务安全的一部分。因此，任何产品级的产品模式必须得到客户业务策略和执行的补充，包括网络安全和系统安全。在未来几年中，保护所有设备的管理接口的安全是最重要的。
首先，中止所有不用的交换机和其他设备中的管理端口。更改设备管理密码，用更复杂的密码，必须包含字母和数字。通常要避免使用常规的字典里的词汇或其他术语，因为这样很容易被入侵者猜到。必须要用至少一层防火墙将存储设备上的LAN管理端口与广为访问的网络隔离开来。由于存储设备以及可以在数据中心利用集中认证，数据中心的存储设备还可以进行基于角色的授权，因此存储安全计划也应该不断完善，利用这些技术。
最重要的是，首先要制定一个完整而周详的存储安全计划，内容包含具体实施人员，程序，设备。其次，这个存储安全计划还要符合整个数据中心和业务计划。再次，在情况允许和技术允许的情况下，不断修改完善计划。最后，测试计划。
