本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
# Amazon FSx for NetApp ONTAP 的安全性
的雲端安全性 AWS 是最高優先順序。身為 AWS 客戶，您可以受益於資料中心和網路架構，這些架構是為了滿足最安全敏感組織的需求而建置。
安全性是 AWS 與您之間的共同責任。[共同責任模式](https://aws.amazon.com/compliance/shared-responsibility-model/)將其描述為雲端*的*安全性，和雲端*中*的安全性：
+ **雲端的安全性** – AWS 負責保護在 中執行 AWS 服務的基礎設施 AWS 雲端。 AWS 也為您提供可安全使用的服務。作為[AWS 合規計畫](https://aws.amazon.com/compliance/programs/)的一部分，第三方稽核人員會定期測試和驗證我們安全的有效性。若要了解適用於 Amazon FSx for NetApp ONTAP 的合規計劃，請參閱[AWS 合規計劃的 服務範圍](https://aws.amazon.com/compliance/services-in-scope/)。
+ **雲端的安全性** – 您的責任取決於您使用 AWS 的服務。您也必須對其他因素負責，包括資料的機密性、您公司的要求和適用法律和法規。
本文件可協助您了解如何在使用 Amazon FSx 時套用共同責任模型。下列主題說明如何設定 Amazon FSx 以符合您的安全與合規目標。您也會了解如何使用其他 AWS 服務來協助您監控和保護 Amazon FSx 資源。
**Topics**
+ [Amazon FSx for NetApp ONTAP 中的資料保護](data-protection.md)
+ [Amazon FSx for NetApp ONTAP 的身分和存取管理](security-iam.md)
+ [AWS Amazon FSx for NetApp ONTAP 的 受管政策](security-iam-awsmanpol.md)
+ [使用 Amazon VPC 的檔案系統存取控制](limit-access-security-groups.md)
+ [Amazon FSx for NetApp ONTAP 的合規驗證](fsx-ontap-compliance.md)
+ [Amazon FSx for NetApp ONTAP 和界面 VPC 端點 (AWS PrivateLink)](fsx-vpc-endpoints.md)
+ [Amazon FSx for NetApp ONTAP 中的彈性](disaster-recovery-resiliency.md)
+ [Amazon FSx for NetApp ONTAP 中的基礎設施安全性](infrastructure-security.md)
+ [將 NetApp ONTAP Vscan 與 FSx for ONTAP 搭配使用](using-vscan.md)
+ [ONTAP 角色和使用者](roles-and-users.md)
# Amazon FSx for NetApp ONTAP 中的資料保護
AWS [共同責任模型](https://aws.amazon.com/compliance/shared-responsibility-model/)適用於 Amazon FSx for NetApp ONTAP 中的資料保護。如此模型所述， AWS 負責保護執行所有 的全域基礎設施 AWS 雲端。您負責維護在此基礎設施上託管內容的控制權。您也同時負責所使用 AWS 服務 的安全組態和管理任務。如需資料隱私權的詳細資訊，請參閱[資料隱私權常見問答集](https://aws.amazon.com/compliance/data-privacy-faq/)。如需有關歐洲資料保護的相關資訊，請參閱*AWS 安全性部落格*上的[AWS 共同責任模型和 GDPR](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/) 部落格文章。
基於資料保護目的，我們建議您保護 AWS 帳戶 登入資料，並使用 AWS IAM Identity Center 或 AWS Identity and Access Management (IAM) 設定個別使用者。如此一來，每個使用者都只會獲得授與完成其任務所必須的許可。我們也建議您採用下列方式保護資料：
+ 每個帳戶均要使用多重要素驗證 (MFA)。
+ 使用 SSL/TLS 與 AWS 資源通訊。我們需要 TLS 1.2 並建議使用 TLS 1.3。
+ 使用 設定 API 和使用者活動記錄 AWS CloudTrail。如需有關使用 CloudTrail 追蹤擷取 AWS 活動的資訊，請參閱*AWS CloudTrail 《 使用者指南*》中的[使用 CloudTrail 追蹤](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html)。
+ 使用 AWS 加密解決方案，以及其中的所有預設安全控制 AWS 服務。
+ 使用進階的受管安全服務 (例如 Amazon Macie)，協助探索和保護儲存在 Amazon S3 的敏感資料。
+ 如果您在 AWS 透過命令列界面或 API 存取 時需要 FIPS 140-3 驗證的密碼編譯模組，請使用 FIPS 端點。如需有關 FIPS 和 FIPS 端點的更多相關資訊，請參閱[聯邦資訊處理標準 (FIPS) 140-3](https://aws.amazon.com/compliance/fips/)。
我們強烈建議您絕對不要將客戶的電子郵件地址等機密或敏感資訊，放在標籤或自由格式的文字欄位中，例如**名稱**欄位。這包括當您使用 Amazon FSx 或使用 AWS 服務 主控台、API AWS CLI或其他 AWS SDKs 時。您在標籤或自由格式文字欄位中輸入的任何資料都可能用於計費或診斷日誌。如果您提供外部伺服器的 URL，我們強烈建議請勿在驗證您對該伺服器請求的 URL 中包含憑證資訊。
## FSx for ONTAP 中的資料加密
Amazon FSx for NetApp ONTAP 支援靜態資料加密和傳輸中資料的加密。靜態資料加密則會在建立 Amazon FSx 檔案系統時自動啟用。如果您使用輕量型目錄存取通訊協定 (LDAP) 存取加入 Active Directory 或網域的儲存虛擬機器 (SVM) 中的資料，Amazon FSx for NetApp ONTAP 支援透過 NFS 和 SMB 通訊協定傳輸的 Kerberos 型加密。
### 使用加密時
如果您的組織受限於需要加密靜態資料和中繼資料的公司或法規政策，您的資料會自動靜態加密。我們也建議您使用傳輸中資料的加密來掛載檔案系統，以啟用傳輸中資料的加密。
如需使用 Amazon FSx for NetApp ONTAP 進行資料加密的詳細資訊，請參閱 [靜態資料加密](encryption-at-rest.md)和 [加密傳輸中的資料](encryption-in-transit.md)。
# 靜態資料加密
所有 Amazon FSx for NetApp ONTAP 檔案系統和備份都會使用 () 管理 AWS Key Management Service 的金鑰進行靜態加密AWS KMS。資料會在寫入檔案系統之前自動加密，並在讀取時自動解密。所有備份都會在建立時自動加密，並在備份還原至新磁碟區時自動解密。這些程序由 Amazon FSx 透明處理，因此您不需要修改應用程式。
Amazon FSx 使用業界標準的 AES-256 加密演算法來加密靜態 Amazon FSx 資料和中繼資料。如需詳細資訊，請參閱《AWS Key Management Service 開發人員指南》**中的[密碼編譯基礎](https://docs.aws.amazon.com/kms/latest/developerguide/crypto-intro.html)。
**注意**
AWS 金鑰管理基礎設施使用聯邦資訊處理標準 (FIPS) 140-2 核准的密碼編譯演算法。基礎設施符合國家標準技術研究所 (NIST) 800-57 的建議。
## Amazon FSx 如何使用 AWS KMS
Amazon FSx 與 整合 AWS KMS 以進行金鑰管理。Amazon FSx 使用 KMS 金鑰來加密您的檔案系統和任何磁碟區備份。您可以選擇用來加密和解密檔案系統和磁碟區備份 （資料和中繼資料） 的 KMS 金鑰。您可以啟用、停用或撤銷此 KMS 金鑰的授予。此 KMS 金鑰可以是下列兩種類型之一：
+ **AWS受管 KMS 金鑰** – 這是預設 KMS 金鑰，可免費使用。
+ **客戶受管 KMS 金鑰** – 這是最靈活的 KMS 金鑰，因為您可以設定其金鑰政策和授予多個使用者或服務。如需建立 KMS 金鑰的詳細資訊，請參閱* AWS Key Management Service *[《開發人員指南》中的建立金鑰](https://docs.aws.amazon.com/kms/latest/developerguide/create-keys.html)。
**重要**
Amazon FSx 僅接受對稱加密 KMS 金鑰。您無法搭配 Amazon FSx 使用非對稱 KMS 金鑰。
如果您使用客戶管理的 KMS 金鑰做為檔案資料加密和解密的 KMS 金鑰，您可以啟用金鑰輪換。啟用金鑰輪換時， AWS KMS 每年會自動輪換金鑰一次。此外，使用客戶管理的 KMS 金鑰，您可以選擇何時停用、重新啟用、刪除或撤銷對 KMS 金鑰的存取權。如需詳細資訊，請參閱《 *AWS Key Management Service 開發人員指南*》中的[輪換 AWS KMS keys](https://docs.aws.amazon.com/kms/latest/developerguide/rotate-keys.html)和[啟用和停用金鑰](https://docs.aws.amazon.com/kms/latest/developerguide/enabling-keys.html)。
## 的 Amazon FSx 金鑰政策 AWS KMS
金鑰政策是控制對 KMS 金鑰之存取的主要方式。如需金鑰政策的詳細資訊，請參閱《 開發人員指南》中的[在 中使用金鑰政策 AWS KMS](https://docs.aws.amazon.com/kms/latest/developerguide/key-policies.html)。 *AWS Key Management Service *以下清單說明 Amazon FSx 針對靜態檔案系統和備份所支援的所有相關 AWS KMS許可：
+ **kms:Encrypt**：(選用) 將純文字加密為加密文字。此許可會納入預設的金鑰政策中。
+ **kms:Decrypt**：(必要) 對密文進行解密。加密文字是先前已加密的純文字。此許可會納入預設的金鑰政策中。
+ **kms:ReEncrypt** – （選用） 使用新的 加密伺服器端的資料 AWS KMS key，而不會公開用戶端資料的純文字。資料會先解密，然後重新加密。此許可會納入預設的金鑰政策中。
+ **kms:GenerateDataKeyWithoutPlaintext** – （必要） 傳回以 KMS 金鑰加密的資料加密金鑰。此許可會納入 **kms:GenerateDataKey\$1** 下預設的金鑰政策中。
+ **kms:CreateGrant**：(必要) 將授予新增至金鑰，以指定誰可以使用金鑰和使用條件。授予是金鑰政策的備用許可機制。如需授權的詳細資訊，請參閱《AWS Key Management Service 開發人員指南》**中的[使用授權](https://docs.aws.amazon.com/kms/latest/developerguide/grants.html)。此許可會納入預設的金鑰政策中。
+ **kms:DescribeKey** – （必要） 提供指定 KMS 金鑰的詳細資訊。此許可會納入預設的金鑰政策中。
+ **kms:ListAliases**：(選用) 列出帳戶中所有金鑰別名。當您使用主控台建立加密的檔案系統時，此許可會填入 KMS 金鑰清單。我們建議您使用此許可，以提供最佳使用者體驗。此許可會納入預設的金鑰政策中。
# 加密傳輸中的資料
本主題說明在 FSx for ONTAP 檔案系統和連線用戶端之間傳輸時，可用於加密檔案資料的不同選項。它也提供指引，協助您選擇最適合工作流程的加密方法。
所有流 AWS 區域 經 AWS 全球網路的資料都會在實體層自動加密，再離開 AWS 安全的設施。可用區域之間的所有流量都會加密。額外的加密層，包括本節中列出的加密層，提供額外的保護。如需 如何提供跨 AWS 區域、可用區域和執行個體資料流 AWS 保護的詳細資訊，請參閱《Amazon Elastic Compute Cloud Linux 執行個體使用者指南》中的[傳輸中加密](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/data-protection.html#encryption-transit)。
Amazon FSx for NetApp ONTAP 支援下列方法來加密 FSx for ONTAP 檔案系統和連線用戶端之間的傳輸中資料：
+ 在支援 Amazon EC2 [ Linux](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/data-protection.html#encryption-transit) 和 [Windows](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/data-protection.html#encryption-transit) 執行個體類型上執行的所有支援通訊協定和用戶端上自動 Nitro 型加密。
+ NFS 和 SMB 通訊協定的 Kerberos 型加密。
+ NFS、iSCSI 和 SMB 通訊協定的 IPsec 型加密
所有支援用於加密傳輸中資料的方法都使用產業標準 AES-256 密碼編譯演算法，以提供企業強度加密。
**Topics**
+ [選擇加密傳輸中資料的方法](#choosing-encryption-in-transit)
+ [使用 AWS Nitro System 加密傳輸中的資料](#nitro-encryption)
+ [使用 Kerberos 型加密來加密傳輸中的資料](#kerberos-encryption)
+ [使用 IPsec 加密加密傳輸中的資料](#ipsec-encryption)
+ [啟用傳輸中資料的 SMB 加密](enable-smb-encryption.md)
+ [使用 PSK 身分驗證設定 IPsec](config-ipsec-psk-auth.md)
+ [使用憑證身分驗證設定 IPsec](config-ipsec-ca-auth.md)
## 選擇加密傳輸中資料的方法
本節提供的資訊可協助您決定哪種支援的傳輸中加密最適合您的工作流程。當您探索以下各節中詳細說明的支援選項時，請參閱本節。
選擇加密 FSx for ONTAP 檔案系統和連線用戶端之間傳輸中資料的方式時，需要考慮幾個因素。這些因素包括：
+ 您的 FSx for ONTAP 檔案系統正在其中執行 AWS 區域 的 。
+ 用戶端執行所在的執行個體類型。
+ 用戶端存取檔案系統的位置。
+ 網路效能需求。
+ 您要加密的資料通訊協定。
+ 如果您使用的是 Microsoft Active Directory。
**AWS 區域**
檔案系統在 中執行 AWS 區域 的 會決定您是否可以使用 Amazon Nitro 型加密。如需詳細資訊，請參閱[使用 AWS Nitro System 加密傳輸中的資料](#nitro-encryption)。
**用戶端執行個體類型**
如果存取檔案系統的用戶端正在任何支援的 Amazon EC2 Mac、[Linux](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/data-protection.html#encryption-transit) 或 [Windows](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/data-protection.html#encryption-transit) 執行個體類型上執行，且您的工作流程符合使用 Nitro 型加密的所有其他需求，則可以使用 Amazon [Nitro 型加密](#nitro-encryption)。使用 Kerberos 或 IPsec 加密沒有任何用戶端執行個體類型需求。
**用戶端位置**
用戶端存取檔案系統位置相關資料的位置會影響哪些傳輸中加密方法可供使用。如果用戶端和檔案系統位於相同的 VPC，您可以使用任何支援的加密方法。如果用戶端和檔案系統位於對等 VPCs 中，只要流量不會通過虛擬網路裝置或服務，例如傳輸閘道，也是如此。如果用戶端不在相同或對等 VPC 中，或者流量通過虛擬網路裝置或服務，則 Nitro 型加密不是可用的選項。
**網路效能**
使用 Amazon Nitro 型加密不會影響網路效能。這是因為支援的 Amazon EC2 執行個體會利用基礎 Nitro System 硬體的卸載功能，自動加密執行個體之間的傳輸中流量。
使用 Kerberos 或 IPsec 加密會影響網路效能。這是因為這兩種加密方法都是以軟體為基礎的，這需要用戶端和伺服器使用運算資源來加密和解密傳輸中流量。
**資料通訊協定**
您可以使用 Amazon Nitro 型加密和 IPsec 加密搭配所有支援的通訊協定 – NFS、SMB 和 iSCSI。您可以使用 Kerberos 加密搭配 NFS 和 SMB 通訊協定 （搭配 Active Directory)。
**Active Directory**
如果您使用的是 Microsoft Active Directory，您可以透過 NFS 和 SMB 通訊協定使用 [Kerberos 加密](#kerberos-encryption)。
使用下圖協助您決定要使用的傳輸中加密方法。
![\[顯示根據五個決策點使用之傳輸中加密方法的流程圖。\]](http://docs.aws.amazon.com/zh_tw/fsx/latest/ONTAPGuide/images/fsx-ontap-encrypt-n-transit-decision-flow.png)
當下列所有條件都適用於您的工作流程時，IPsec 加密是唯一可用的選項：
+ 您正在使用 NFS、SMB 或 iSCSI 通訊協定。
+ 您的工作流程不支援使用 Amazon Nitro 型加密。
+ 您未使用 Microsoft Active Directory 網域。
## 使用 AWS Nitro System 加密傳輸中的資料
使用 Nitro 型加密，當存取檔案系統的用戶端在支援的 Amazon EC2 [Linux](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/data-protection.html#encryption-transit) 或 [Windows](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/data-protection.html#encryption-transit) 執行個體類型上執行時，傳輸中資料會自動加密， AWS 區域 其中 FSx for ONTAP 提供該類型。
使用 Amazon Nitro 型加密不會影響網路效能。這是因為支援的 Amazon EC2 執行個體會利用基礎 Nitro System 硬體的卸載功能，自動加密執行個體之間的傳輸中流量。
當支援的用戶端執行個體類型位於相同 AWS 區域 和相同 VPC 中，或與檔案系統 VPC 對等的 VPC 中時，會自動啟用 Nitro 型加密。此外，如果用戶端位於對等 VPC 中，則資料無法周遊虛擬網路裝置或服務 （例如傳輸閘道），以便自動啟用 Nitro 型加密。如需 Nitro 型加密的詳細資訊，請參閱適用於 [Linux](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/data-protection.html#encryption-transit) 或 [Windows](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/data-protection.html#encryption-transit) 執行個體類型的 Amazon EC2 使用者指南中的傳輸中加密一節。
下表詳細說明 Nitro 型加密可用於 AWS 區域 其中的 。
**支援 Nitro 型加密**
| 產生 | 部署類型 | AWS 區域 |
| --- | --- | --- |
| 第一代檔案系統1 | 單一可用區 1 多個可用區 1 | 美國東部 （維吉尼亞北部）、美國東部 （俄亥俄）、美國西部 （奧勒岡）、歐洲 （愛爾蘭） |
| 第二代檔案系統 | 單一可用區 2 多個可用區 2 | 美國東部 （維吉尼亞北部）、美國東部 （俄亥俄）、美國西部 （加利佛尼亞北部）、美國西部 （奧勒岡）、歐洲 （法蘭克福）、歐洲 （愛爾蘭）、亞太區域 （雪梨） |
1 2022 年 11 月 28 日當天或之後建立的第一代檔案系統支援所列 中的 Nitro 型傳輸中加密 AWS 區域。
如需可使用 FSx for ONTAP AWS 區域 之 的詳細資訊，請參閱 [Amazon FSx for NetApp ONTAP 定價](https://aws.amazon.com/fsx/netapp-ontap/pricing/)。
如需 FSx for ONTAP 檔案系統效能規格的詳細資訊，請參閱 [輸送量容量對效能的影響](performance.md#impact-throughput-cap-performance)。
## 使用 Kerberos 型加密來加密傳輸中的資料
如果您使用的是 Microsoft Active Directory，您可以透過 NFS 和 SMB 通訊協定使用 Kerberos 型加密，為[加入 Microsoft Active Directory 的 SVMs ](ad-integration-ontap.md)子磁碟區加密傳輸中資料。
### 使用 Kerberos 透過 NFS 加密傳輸中的資料
NFSv3 和 NFSv4 通訊協定支援使用 Kerberos 加密傳輸中的資料。若要針對 NFS 通訊協定使用 Kerberos 啟用傳輸中加密，請參閱 NetApp ONTAP 文件中心中的[搭配使用 Kerberos 與 NFS 以提高安全性](https://docs.netapp.com/us-en/ontap/pdfs/sidebar/Using_Kerberos_with_NFS_for_strong_security.pdf)。
### 使用 Kerberos 透過 SMB 加密傳輸中的資料
在支援 SMB 通訊協定 3.0 或更新版本的運算執行個體上映射的檔案共用支援透過 SMB 通訊協定傳輸的資料加密。這包括 Microsoft Windows Server 2012 和更新版本以及 Microsoft Windows 8 和更新版本的所有Microsoft Windows版本。啟用時，FSx for ONTAP 會在您存取檔案系統時，使用 SMB 加密自動加密傳輸中的資料，而不需要您修改應用程式。
FSx for ONTAP SMB 支援 128 和 256 位元加密，由用戶端工作階段請求決定。如需不同加密層級的說明，請參閱 NetApp ONTAP 文件中心的[使用](https://docs.netapp.com/us-en/ontap/pdfs/sidebar/Manage_SMB_with_the_CLI.pdf) *CLI 設定管理 SMB 的 SMB 伺服器最低身分驗證安全層級*一節。
**注意**
用戶端決定加密演算法。NTLM 和 Kerberos 身分驗證都使用 128 和 256 位元加密。FSx for ONTAP SMB Server 接受所有標準 Windows 用戶端請求，而精細控制是由 Microsoft 群組政策或登錄檔設定處理。
您可以使用 ONTAP CLI 來管理 FSx for ONTAP SVMs和磁碟區的傳輸中加密設定。若要存取 NetApp ONTAP CLI，請在要在傳輸中加密的 SVM 上建立 SSH 工作階段，如中所述[使用 CLI ONTAP 管理 SVMs](managing-resources-ontap-apps.md#vsadmin-ontap-cli)。
如需如何在 SVM 或磁碟區上啟用 SMB 加密的說明，請參閱 [啟用傳輸中資料的 SMB 加密](enable-smb-encryption.md)。
## 使用 IPsec 加密加密傳輸中的資料
FSx for ONTAP 支援在傳輸模式下使用 IPsec 通訊協定，以確保資料在傳輸期間持續安全和加密。IPsec 為所有支援的 IP 流量 – NFS、iSCSI 和 SMB 通訊協定，提供end-to-end加密。 FSx 使用 IPsec 加密，您可以在 FSx for ONTAP SVM 之間建立 IPsec 通道，該 FSx for ONTAP SVM 設定為啟用 IPsec，以及在存取資料的連線用戶端上執行 IPsec 用戶端。
我們建議您在從不支援 Nitro 型加密的用戶端存取您的資料時，以及如果您的用戶端和 SVMs 未加入以 Kerberos 型加密所需的 Active Directory 時，使用 IPsec 透過 NFS、SMB 和 iSCSI 通訊協定加密傳輸中的資料。 [使用 AWS Nitro System 加密傳輸中的資料](#nitro-encryption)當您的 iSCSI 用戶端不支援 Nitro 型加密時，IPsec 加密是唯一可用於加密 iSCSI 流量傳輸中資料的選項。
對於 IPsec 身分驗證，您可以使用預先共用金鑰 (PSKs或憑證。如果您使用的是 PSK，您使用的 IPsec 用戶端必須支援具有 PSK 的網際網路金鑰交換版本 2 (IKEv2)。在 FSx for ONTAP 和用戶端上設定 IPsec 加密的高層級步驟如下：
1. 在檔案系統上啟用和設定 IPsec。
1. 在用戶端上安裝和設定 IPsec
1. 為多個用戶端存取設定 IPsec
如需如何使用 PSK 設定 IPsec 的詳細資訊，請參閱NetApp ONTAP文件中心的[透過線路加密設定 IP 安全性 (IPsec)](https://docs.netapp.com/us-en/ontap/networking/configure_ip_security_@ipsec@_over_wire_encryption.html)。
如需如何使用憑證設定 IPsec 的詳細資訊，請參閱 [使用憑證身分驗證設定 IPsec](config-ipsec-ca-auth.md)。
# 啟用傳輸中資料的 SMB 加密
根據預設，當您建立 SVM 時，SMB 加密會關閉。您可以啟用個別共用所需的 SMB 加密，或在 SVM 上啟用該 SVM 上所有共用所需的 SMB 加密。
**注意**
在 SVM 或共用上啟用所需的 SMB 加密時，不支援加密的 SMB 用戶端無法連線至該 SVM 或共用。
**若要對 SVM 上的傳入 SMB 流量要求 SMB 加密**
使用下列程序，使用 CLI 在 SVM 上要求 SMB NetApp ONTAP 加密。
1. 若要使用 SSH 連線至 SVM 管理端點，請使用您建立 SVM 時設定的使用者名稱`vsadmin`和 vsadmin 密碼。如果您未設定 vsadmin 密碼，請使用使用者名稱`fsxadmin`和 fsxadmin 密碼。您可以使用管理端點 IP 地址或 DNS 名稱，從與檔案系統位於相同 VPC 的用戶端 SSH 進入 SVM。
```
ssh vsadmin@svm-management-endpoint-ip-address
```
具有範例值的 命令：
```
ssh vsadmin@198.51.100.10
```
使用管理端點 DNS 名稱的 SSH 命令：
```
ssh vsadmin@svm-management-endpoint-dns-name
```
使用範例 DNS 名稱的 SSH 命令：
```
ssh vsadmin@management.svm-abcdef01234567892fs-08fc3405e03933af0.fsx.us-east-2.aws.com
```
```
Password: vsadmin-password
This is your first recorded login.
FsxIdabcdef01234567892::>
```
1. 使用 [https://docs.netapp.com/us-en/ontap-cli-9131/vserver-cifs-security-modify.html](https://docs.netapp.com/us-en/ontap-cli-9131/vserver-cifs-security-modify.html) NetApp ONTAP CLI 命令要求 SMB 加密傳入 SMB 流量到 SVM。
```
vserver cifs security modify -vserver vserver_name -is-smb-encryption-required true
```
1. 若要停止對傳入 SMB 流量要求 SMB 加密，請使用下列命令。
```
vserver cifs security modify -vserver vserver_name -is-smb-encryption-required false
```
1. 若要查看 SVM 上的目前`is-smb-encryption-required`設定，請使用 CLI [https://docs.netapp.com/us-en/ontap-cli-9131/vserver-cifs-security-show.html](https://docs.netapp.com/us-en/ontap-cli-9131/vserver-cifs-security-show.html) NetApp ONTAP 命令：
```
vserver cifs security show -vserver vs1 -fields is-smb-encryption-required
vserver is-smb-encryption-required
-------- -------------------------
vs1 true
```
如需在 SVM 上管理 SMB 加密的詳細資訊，請參閱 NetApp ONTAP [ 文件中心中的在 SMB 伺服器上設定透過 SMB 傳輸資料所需的 SMB 加密](https://docs.netapp.com/us-en/ontap/smb-admin/configure-required-encryption-concept.html)。
**在磁碟區上啟用 SMB 加密**
使用下列程序，使用 CLI 在共享上啟用 SMB NetApp ONTAP 加密。
1. 建立 SVM 管理端點的安全 Shell (SSH) 連線，如中所述[使用 CLI ONTAP 管理 SVMs](managing-resources-ontap-apps.md#vsadmin-ontap-cli)。
1. 使用下列 NetApp ONTAP CLI 命令建立新的 SMB 共享，並在存取此共享時需要 SMB 加密。
```
vserver cifs share create -vserver vserver_name -share-name share_name -path share_path -share-properties encrypt-data
```
如需詳細資訊，請參閱 NetApp ONTAP CLI 命令手冊頁面[https://docs.netapp.com/ontap-9/topic/com.netapp.doc.dot-cm-cmpr-9101/vserver__cifs__share__create.html](https://docs.netapp.com/ontap-9/topic/com.netapp.doc.dot-cm-cmpr-9101/vserver__cifs__share__create.html)中的 。
1. 若要在現有的 SMB 共享上要求 SMB 加密，請使用下列命令。
```
vserver cifs share properties add -vserver vserver_name -share-name share_name -share-properties encrypt-data
```
如需詳細資訊，請參閱 CLI NetApp ONTAP 命令手冊頁面[https://docs.netapp.com/ontap-9/topic/com.netapp.doc.dot-cm-cmpr-9101/vserver__cifs__share__properties__add.html](https://docs.netapp.com/ontap-9/topic/com.netapp.doc.dot-cm-cmpr-9101/vserver__cifs__share__properties__add.html)中的 。
1. 若要關閉現有 SMB 共用的 SMB 加密，請使用下列命令。
```
vserver cifs share properties remove -vserver vserver_name -share-name share_name -share-properties encrypt-data
```
如需詳細資訊，請參閱 CLI NetApp ONTAP 命令手冊頁面[https://docs.netapp.com/ontap-9/topic/com.netapp.doc.dot-cm-cmpr-9101/vserver__cifs__share__properties__remove.html](https://docs.netapp.com/ontap-9/topic/com.netapp.doc.dot-cm-cmpr-9101/vserver__cifs__share__properties__remove.html)中的 。
1. 若要查看 SMB 共享上的目前`is-smb-encryption-required`設定，請使用下列 CLI NetApp ONTAP 命令：
```
vserver cifs share properties show -vserver vserver_name -share-name share_name -fields share-properties
```
如果命令傳回的其中一個屬性是 `encrypt-data` 屬性，則該屬性會指定存取此共用時必須使用 SMB 加密。
如需詳細資訊，請參閱 CLI NetApp ONTAP 命令手冊頁面[https://docs.netapp.com/ontap-9/topic/com.netapp.doc.dot-cm-cmpr-9101/vserver__cifs__share__properties__show.html](https://docs.netapp.com/ontap-9/topic/com.netapp.doc.dot-cm-cmpr-9101/vserver__cifs__share__properties__show.html)中的 。
# 使用 PSK 身分驗證設定 IPsec
如果您使用 PSK 進行身分驗證，則在 FSx for ONTAP 和用戶端上設定 IPsec 加密的步驟如下：
1. 在檔案系統上啟用和設定 IPsec。
1. 在用戶端上安裝和設定 IPsec
1. 為多個用戶端存取設定 IPsec
如需使用 PSK 設定 IPsec 的詳細資訊，請參閱NetApp ONTAP文件中心的[透過線路加密設定 IP 安全性 (IPsec)](https://docs.netapp.com/us-en/ontap/networking/configure_ip_security_@ipsec@_over_wire_encryption.html)。
# 使用憑證身分驗證設定 IPsec
下列主題提供在 FSx for ONTAP 檔案系統和執行 Libreswan IPsec 的用戶端上使用憑證驗證來設定 IPsec 加密的指示。此解決方案使用 AWS 私有憑證授權單位 AWS Certificate Manager 和 來建立私有憑證授權單位和產生憑證。
在 FSx for ONTAP 檔案系統和連線用戶端上使用憑證身分驗證來設定 IPsec 加密的高階步驟如下：
1. 擁有發行憑證的憑證授權單位。
1. 產生和匯出檔案系統和用戶端的 CA 憑證。
1. 在用戶端執行個體上安裝憑證並設定 IPsec。
1. 在檔案系統上安裝憑證並設定 IPsec。
1. 定義安全政策資料庫 (SPD)。
1. 為多個用戶端存取設定 IPsec。
## 建立和安裝 CA 憑證
對於憑證身分驗證，您需要從 FSx for ONTAP 檔案系統的憑證授權單位，以及將存取檔案系統上資料的用戶端，產生並安裝憑證。下列範例使用 AWS 私有憑證授權單位 來設定私有憑證授權單位，並產生要在檔案系統和用戶端上安裝的憑證。使用 AWS 私有憑證授權單位，您可以建立根和次級憑證授權單位 (CAs的完全 AWS 託管階層，以供組織內部使用。此程序有五個步驟：
1. 使用 建立私有憑證授權機構 (CA) AWS 私有 CA
1. 在私有 CA 上發行並安裝根憑證
1. AWS Certificate Manager 為您的檔案系統和用戶端從 請求私有憑證
1. 匯出檔案系統和用戶端的憑證。
如需詳細資訊，請參閱 AWS 私有憑證授權單位 《 使用者指南》中的[私有 CA 管理](https://docs.aws.amazon.com/privateca/latest/userguide/creating-managing.html)。
**建立根私有 CA**
1. 建立 CA 時，您必須在您提供的檔案中指定 CA 組態。下列命令使用 Nano 文字編輯器來建立 `ca_config.txt` 檔案，指定下列資訊：
+ 演算法的名稱
+ CA 用來簽署的簽署演算法
+ X.500 主旨資訊
```
$ > nano ca_config.txt
```
文字編輯器隨即出現。
1. 使用 CA 的規格編輯 檔案。
```
{
"KeyAlgorithm":"RSA_2048",
"SigningAlgorithm":"SHA256WITHRSA",
"Subject":{
"Country":"US",
"Organization":"Example Corp",
"OrganizationalUnit":"Sales",
"State":"WA",
"Locality":"Seattle",
"CommonName":"*.ec2.internal"
}
}
```
1. 儲存並關閉檔案，結束文字編輯器。如需詳細資訊，請參閱 AWS 私有憑證授權單位 《 使用者指南》中的[建立 CA 的程序](https://docs.aws.amazon.com/privateca/latest/userguide/Create-CA-CLI.html)。
1. 使用 [create-certificate-authority](https://docs.aws.amazon.com/cli/latest/reference/acm-pca/create-certificate-authority.html) AWS 私有 CA CLI 命令來建立私有 CA。
```
~/home > aws acm-pca create-certificate-authority \
--certificate-authority-configuration file://ca_config.txt \
--certificate-authority-type "ROOT" \
--idempotency-token 01234567 --region aws-region
```
如果成功，此命令會輸出 CA 的 Amazon Resource Name (ARN)。
```
{
"CertificateAuthorityArn": "arn:aws:acm-pca:aws-region:111122223333:certificate-authority/12345678-1234-1234-1234-123456789012"
}
```
**為您的私有根 CA 建立並安裝憑證 (AWS CLI)**
1. 使用 AWS CLI 命令產生憑證簽署請求 [https://docs.aws.amazon.com/cli/latest/reference/acm-pca/get-certificate-authority-csr.html](https://docs.aws.amazon.com/cli/latest/reference/acm-pca/get-certificate-authority-csr.html) (CSR)。
```
$ aws acm-pca get-certificate-authority-csr \
--certificate-authority-arn arn:aws:acm-pca:aws-region:111122223333:certificate-authority/12345678-1234-1234-1234-123456789012 \
--output text \
--endpoint https://acm-pca.aws-region.amazonaws.com \
--region eu-west-1 > ca.csr
```
產生的檔案 `ca.csr`是以 base64 格式編碼的 PEM 檔案，其外觀如下。
```
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
```
如需詳細資訊，請參閱 AWS 私有憑證授權單位 《 使用者指南》中的[安裝根 CA 憑證](https://docs.aws.amazon.com/privateca/latest/userguide/PCACertInstall.html#InstallRoot)。
1. 使用 [https://docs.aws.amazon.com/cli/latest/reference/acm-pca/issue-certificate.html](https://docs.aws.amazon.com/cli/latest/reference/acm-pca/issue-certificate.html) AWS CLI 命令在您的私有 CA 上發行和安裝根憑證。
```
$ aws acm-pca issue-certificate \
--certificate-authority-arn arn:aws:acm-pca:aws-region:111122223333:certificate-authority/12345678-1234-1234-1234-123456789012 \
--csr file://ca.csr \
--signing-algorithm SHA256WITHRSA \
--template-arn arn:aws:acm-pca:::template/RootCACertificate/V1 \
--validity Value=3650,Type=DAYS --region aws-region
```
1. 使用 [https://docs.aws.amazon.com/cli/latest/reference/acm-pca/get-certificate.html](https://docs.aws.amazon.com/cli/latest/reference/acm-pca/get-certificate.html) AWS CLI 命令下載根憑證。
```
$ aws acm-pca get-certificate \
--certificate-authority-arn arn:aws:acm-pca:aws-region:111122223333:certificate-authority/12345678-1234-1234-1234-123456789012 \
--certificate-arn arn:aws:acm-pca:aws-region:486768734100:certificate-authority/12345678-1234-1234-1234-123456789012/certificate/abcdef0123456789abcdef0123456789 \
--output text --region aws-region > rootCA.pem
```
1. 使用 [https://docs.aws.amazon.com/cli/latest/reference/acm-pca/import-certificate-authority-certificate.html](https://docs.aws.amazon.com/cli/latest/reference/acm-pca/import-certificate-authority-certificate.html) AWS CLI 命令在您的私有 CA 上安裝根憑證。
```
$ aws acm-pca import-certificate-authority-certificate \
--certificate-authority-arn arn:aws:acm-pca:aws-region:111122223333:certificate-authority/12345678-1234-1234-1234-123456789012 \
--certificate file://rootCA.pem --region aws-region
```
**產生和匯出檔案系統和用戶端憑證**
1. 使用 [https://docs.aws.amazon.com/cli/latest/reference/acm/request-certificate.html](https://docs.aws.amazon.com/cli/latest/reference/acm/request-certificate.html) AWS CLI 命令來請求要在檔案系統和用戶端上使用的 AWS Certificate Manager 憑證。
```
$ aws acm request-certificate \
--domain-name *.ec2.internal \
--idempotency-token 12345 \
--region aws-region \
--certificate-authority-arn arn:aws:acm-pca:aws-region:111122223333:certificate-authority/12345678-1234-1234-1234-123456789012
```
如果請求成功，則會傳回已發行憑證的 ARN。
1. 為了安全起見，您必須在匯出私有金鑰時為其指派密碼短語。建立密碼短語並將其存放在名為 的檔案中 `passphrase.txt`
1. 使用 [https://docs.aws.amazon.com/cli/latest/reference/acm/export-certificate.html](https://docs.aws.amazon.com/cli/latest/reference/acm/export-certificate.html) AWS CLI 命令匯出先前發行的私有憑證。匯出的檔案包含憑證、憑證鏈，以及與內嵌在憑證中的公有金鑰相關聯的加密私有 2048 位元 RSA 金鑰。為了安全起見，您必須在匯出私有金鑰時為其指派密碼短語。下列範例適用於 Linux EC2 執行個體。
```
$ aws acm export-certificate \
--certificate-arn arn:aws:acm:aws-region:111122223333:certificate/12345678-1234-1234-1234-123456789012 \
--passphrase $(cat passphrase.txt | base64) --region aws-region > exported_cert.json
```
1. 使用下列`jq`命令從 JSON 回應中擷取私有金鑰和憑證。
```
$ passphrase=$(cat passphrase.txt | base64)
cat exported_cert.json | jq -r .PrivateKey > prv.key
cat exported_cert.json | jq -r .Certificate > cert.pem
```
1. 使用下列`openssl`命令從 JSON 回應解密私有金鑰。輸入 命令後，系統會提示您輸入密碼短語。
```
$ openssl rsa -in prv.key -passin pass:$passphrase -out decrypted.key
```
## 在 Amazon Linux 2 用戶端上安裝和設定 Libreswan IPsec
下列各節提供在執行 Amazon Linux 2 的 Amazon EC2 執行個體上安裝和設定 Libreswan IPsec 的說明。
**安裝和設定 Libreswan**
1. 使用 SSH 連線至 EC2 執行個體。如需如何執行此操作的特定指示，請參閱《Amazon Elastic Compute Cloud [Linux 執行個體使用者指南》中的使用 SSH 用戶端連線至](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/AccessingInstancesLinux.html#AccessingInstancesLinuxSSHClient) Linux 執行個體。
1. 執行下列命令來安裝 `libreswan`：
```
$ sudo yum install libreswan
```
1. （選用） 在後續步驟中驗證 IPsec 時，如果沒有這些設定，可能會標記這些屬性。我們建議您在沒有這些設定的情況下，先測試您的設定。如果您的連線有問題，請返回此步驟並進行下列變更。
安裝完成後，請使用您偏好的文字編輯器，將下列項目新增至 `/etc/sysctl.conf` 檔案。
```
net.ipv4.ip_forward=1
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.all.secure_redirects = 0
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.default.send_redirects = 0
net.ipv4.conf.lo.accept_redirects = 0
net.ipv4.conf.lo.send_redirects = 0
net.ipv4.conf.all.rp_filter = 0
net.ipv4.conf.default.rp_filter = 0
net.ipv4.conf.eth0.rp_filter = 0
```
儲存變更並結束文字編輯器。
1. 套用變更。
```
$ sudo sysctl -p
```
1. 驗證 IPsec 組態。
```
$ sudo ipsec verify
```
確認您`Libreswan`安裝的 版本正在執行中。
1. 初始化 IPsec NSS 資料庫。
```
$ sudo ipsec checknss
```
**在用戶端上安裝憑證**
1. 將您為用戶端[產生的憑證](#generate-certificate)複製到 EC2 執行個體上的工作目錄。您
1. 將先前產生的憑證匯出為與 相容的格式`libreswan`。
```
$ openssl pkcs12 -export -in cert.pem -inkey decrypted.key \
-certfile rootCA.pem -out certkey.p12 -name fsx
```
1. 匯入重新格式化的金鑰，並在出現提示時提供密碼短語。
```
$ sudo ipsec import certkey.p12
```
1. 使用偏好的文字編輯器建立 IPsec 組態檔案。
```
$ sudo cat /etc/ipsec.d/nfs.conf
```
將下列項目新增至組態檔案：
```
conn fsxn
authby=rsasig
left=172.31.77.6
right=198.19.254.13
auto=start
type=transport
ikev2=insist
keyexchange=ike
ike=aes256-sha2_384;dh20
esp=aes_gcm_c256
leftcert=fsx
leftrsasigkey=%cert
leftid=%fromcert
rightid=%fromcert
rightrsasigkey=%cert
```
在檔案系統上設定 IPsec 後，您會在用戶端上啟動 IPsec。
## 在檔案系統上設定 IPsec
本節提供在 FSx for ONTAP 檔案系統上安裝憑證，以及設定 IPsec 的指示。
**在檔案系統上安裝憑證**
1. 將根憑證 (`rootCA.pem)`、用戶端憑證 (`cert.pem`) 和解密的金鑰 (`decrypted.key`) 檔案複製到您的檔案系統。您需要知道憑證的密碼短語。
1. 若要存取 ONTAP CLI，請執行下列命令，在 Amazon FSx for NetApp ONTAP 檔案系統或 SVM 的管理連接埠上建立 SSH 工作階段。`management_endpoint_ip` 將 取代為檔案系統管理連接埠的 IP 地址。
```
[~]$ ssh fsxadmin@management_endpoint_ip
```
如需詳細資訊，請參閱[使用 CLI ONTAP 管理檔案系統](managing-resources-ontap-apps.md#fsxadmin-ontap-cli)。
1. **cat** 在用戶端 （而非檔案系統上） 上使用 來列出 `cert.pem`和 `decrypted.key` 檔案的內容`rootCA.pem`，讓您可以複製每個檔案的輸出，並在下列步驟中出現提示時貼上。
```
$ > cat cert.pem
```
複製憑證內容。
1. 除非已安裝憑證，否則您必須將所有在交互身分驗證期間使用的 CA 憑證，包括 ONTAP 端和用戶端 CAs，安裝到ONTAP憑證管理 （如同 ONTAP 自我簽署根 CA 的情況）。
使用 `security certificate install` NetApp CLI 命令來安裝用戶端憑證，如下所示：
```
FSxID123:: > security certificate install -vserver dr -type client -cert-name ipsec-client-cert
```
```
Please enter Certificate: Press when done
```
貼上您先前複製`cert.pem`的檔案內容，然後按 Enter 鍵。
```
Please enter Private Key: Press when done
```
貼上 `decrypted.key` 檔案的內容，然後按 Enter 鍵。
```
Do you want to continue entering root and/or intermediate certificates {y|n}:
```
輸入 `n` 以完成輸入用戶端憑證。
1. 建立並安裝憑證以供 SVM 使用。此憑證的發行者 CA 必須已安裝至 IPsec ONTAP並新增至 IPsec。 IPsec
使用下列命令來安裝根憑證。
```
FSxID123:: > security certificate install -vserver dr -type server-ca -cert-name ipsec-ca-cert
```
```
Please enter Certificate: Press when done
```
貼上 `rootCA.pem` 檔案的內容，然後按 Enter 鍵。
1. 若要確保在身分驗證期間安裝的 CA 位於 IPsec CA 搜尋路徑中，請使用「安全 ipsec ca-certificate add」命令將ONTAP憑證管理 CAs 新增至 IPsec 模組。
輸入下列命令來新增根憑證。
```
FSxID123:: > security ipsec ca-certificate add -vserver dr -ca-certs ipsec-ca-cert
```
1. 輸入下列命令，在安全政策資料庫 (SPD) 中建立所需的 IPsec 政策。
```
security ipsec policy create -vserver dr -name policy-name -local-ip-subnets 198.19.254.13/32 -remote-ip-subnets 172.31.0.0/16 -auth-method PKI -action ESP_TRA -cipher-suite SUITEB_GCM256 -cert-name ipsec-client-cert -local-identity "CN=*.ec2.internal" -remote-identity "CN=*.ec2.internal"
```
1. 使用以下命令顯示檔案系統的 IPsec 政策以進行確認。
```
FSxID123:: > security ipsec policy show -vserver dr -instance
Vserver: dr
Policy Name: promise
Local IP Subnets: 198.19.254.13/32
Remote IP Subnets: 172.31.0.0/16
Local Ports: 0-0
Remote Ports: 0-0
Protocols: any
Action: ESP_TRA
Cipher Suite: SUITEB_GCM256
IKE Security Association Lifetime: 86400
IPsec Security Association Lifetime: 28800
IPsec Security Association Lifetime (bytes): 0
Is Policy Enabled: true
Local Identity: CN=*.ec2.internal
Remote Identity: CN=*.ec2.internal
Authentication Method: PKI
Certificate for Local Identity: ipsec-client-cert
```
## 在用戶端上啟動 IPsec
現在 IPsec 已在 FSx for ONTAP 檔案系統和用戶端上設定，您可以在用戶端上啟動 IPsec。
1. 使用 SSH 連線至您的用戶端系統。
1. 啟動 IPsec。
```
$ sudo ipsec start
```
1. 檢查 IPsec 的狀態。
```
$ sudo ipsec status
```
1. 在您的檔案系統上掛載磁碟區。
```
$ sudo mount -t nfs 198.19.254.13:/benchmark /home/ec2-user/acm/dr
```
1. 顯示 FSx for ONTAP 檔案系統的加密連線，以驗證 IPsec 設定。
```
FSxID123:: > security ipsec show-ikesa -node FsxId123
FsxId08ac16c7ec2781a58::> security ipsec show-ikesa -node FsxId08ac16c7ec2781a58-01
Policy Local Remote
Vserver Name Address Address Initator-SPI State
----------- ------ --------------- --------------- ---------------- -----------
dr policy-name
198.19.254.13 172.31.77.6 551c55de57fe8976 ESTABLISHED
fsx policy-name
198.19.254.38 172.31.65.193 4fd3f22c993e60c5 ESTABLISHED
2 entries were displayed.
```
## 為多個用戶端設定 IPsec
當少數用戶端需要利用 IPsec 時，為每個用戶端使用單一 SPD 項目就已足夠。不過，當數百甚至數千個用戶端需要利用 IPsec 時，我們建議您使用 IPsec 多個用戶端組態。
FSx for ONTAP 支援跨多個網路將多個用戶端連接到啟用 IPsec 的單一 SVM IP 地址。您可以使用`subnet`組態或`Allow all clients`組態來完成此操作，如下列程序所述：
**使用子網路組態為多個用戶端設定 IPsec**
若要允許特定子網路上的所有用戶端 （例如 192.168.134.0/24) 使用單一 SPD 政策項目連線到單一 SVM IP 地址，您必須`remote-ip-subnets`以子網路形式指定 。此外，您必須指定具有正確用戶端身分`remote-identity`的欄位。
**重要**
使用憑證身分驗證時，每個用戶端都可以使用自己的唯一憑證或共用憑證進行身分驗證。FSx for ONTAP IPsec 會根據本機信任存放區上安裝的 CAs檢查憑證的有效性。FSx for ONTAP 也支援憑證撤銷清單 (CRL) 檢查。
1. 若要存取 ONTAP CLI，請執行下列命令，在 Amazon FSx for NetApp ONTAP 檔案系統或 SVM 的管理連接埠上建立 SSH 工作階段。`management_endpoint_ip` 將 取代為檔案系統管理連接埠的 IP 地址。
```
[~]$ ssh fsxadmin@management_endpoint_ip
```
如需詳細資訊，請參閱[使用 CLI ONTAP 管理檔案系統](managing-resources-ontap-apps.md#fsxadmin-ontap-cli)。
1. 使用 CLI `security ipsec policy create` NetApp ONTAP 命令，如下所示，將*範例*值取代為您的特定值。
```
FsxId123456::> security ipsec policy create -vserver svm_name -name policy_name \
-local-ip-subnets 192.168.134.34/32 -remote-ip-subnets 192.168.134.0/24 \
-local-ports 2049 -protocols tcp -auth-method PSK \
-cert-name my_nfs_server_cert -local-identity ontap_side_identity \
-remote-identity client_side_identity
```
**使用 允許所有用戶端組態為多個用戶端設定 IPsec**
若要允許任何用戶端，無論其來源 IP 地址為何，連線到已啟用 SVM IPsec 的 IP 地址，請在指定 `remote-ip-subnets` 欄位時使用`0.0.0.0/0`萬用字元。
此外，您必須指定具有正確用戶端身分`remote-identity`的欄位。對於憑證身分驗證，您可以輸入 `ANYTHING`。
此外，使用 0.0.0.0/0 萬用字元時，您必須設定要使用的特定本機或遠端連接埠號碼。例如，NFS 連接埠 2049。
1. 若要存取 ONTAP CLI，請執行下列命令，在 Amazon FSx for NetApp ONTAP 檔案系統或 SVM 的管理連接埠上建立 SSH 工作階段。`management_endpoint_ip` 將 取代為檔案系統管理連接埠的 IP 地址。
```
[~]$ ssh fsxadmin@management_endpoint_ip
```
如需詳細資訊，請參閱[使用 CLI ONTAP 管理檔案系統](managing-resources-ontap-apps.md#fsxadmin-ontap-cli)。
1. 使用 CLI `security ipsec policy create` NetApp ONTAP 命令，如下所示，將*範例*值取代為您的特定值。
```
FsxId123456::> security ipsec policy create -vserver svm_name -name policy_name \
-local-ip-subnets 192.168.134.34/32 -remote-ip-subnets 0.0.0.0/0 \
-local-ports 2049 -protocols tcp -auth-method PSK \
-cert-name my_nfs_server_cert -local-identity ontap_side_identity \
-local-ports 2049 -remote-identity client_side_identity
```
# Amazon FSx for NetApp ONTAP 的身分和存取管理
AWS Identity and Access Management (IAM) 是 AWS 服務 ，可協助管理員安全地控制對 AWS 資源的存取。IAM 管理員可控制誰可以*進行身分驗證* （登入） 和*授權* （具有許可） 來使用 Amazon FSx 資源。IAM 是您可以免費使用 AWS 服務 的 。
**Topics**
+ [目標對象](#security_iam_audience)
+ [使用身分驗證](#security_iam_authentication)
+ [使用政策管理存取權](#security_iam_access-manage)
+ [Amazon FSx for NetApp ONTAP 如何與 IAM 搭配使用](security_iam_service-with-iam.md)
+ [Amazon FSx for NetApp ONTAP 的身分型政策範例](security_iam_id-based-policy-examples.md)
+ [對 Amazon FSx for NetApp ONTAP 身分和存取進行故障診斷](security_iam_troubleshoot.md)
+ [使用 Amazon FSx 的服務連結角色](using-service-linked-roles.md)
+ [搭配 Amazon FSx 使用標籤](using-tags-fsx.md)
## 目標對象
使用方式 AWS Identity and Access Management (IAM) 會根據您的角色而有所不同：
+ **服務使用者** — 若無法存取某些功能，請向管理員申請所需許可 (請參閱 [對 Amazon FSx for NetApp ONTAP 身分和存取進行故障診斷](security_iam_troubleshoot.md))
+ **服務管理員** — 負責設定使用者存取權並提交相關許可請求 (請參閱 [Amazon FSx for NetApp ONTAP 如何與 IAM 搭配使用](security_iam_service-with-iam.md))
+ **IAM 管理員** — 撰寫政策以管理存取控制 (請參閱 [Amazon FSx for NetApp ONTAP 的身分型政策範例](security_iam_id-based-policy-examples.md))
## 使用身分驗證
身分驗證是您 AWS 使用身分憑證登入 的方式。您必須以 AWS 帳戶根使用者、IAM 使用者或擔任 IAM 角色身分進行身分驗證。
您可以使用身分來源的登入資料，例如 AWS IAM Identity Center (IAM Identity Center)、單一登入身分驗證或 Google/Facebook 登入資料，以聯合身分的形式登入。如需有關登入的詳細資訊，請參閱《AWS 登入 使用者指南》**中的[如何登入您的 AWS 帳戶](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html)。
對於程式設計存取， AWS 提供 SDK 和 CLI 以密碼編譯方式簽署請求。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [API 請求的AWS 第 4 版簽署程序](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html)。
### AWS 帳戶 根使用者
當您建立 時 AWS 帳戶，您會從一個名為 AWS 帳戶 *theroot 使用者的*登入身分開始，該身分具有對所有 AWS 服務 和 資源的完整存取權。強烈建議不要使用根使用者來執行日常任務。有關需要根使用者憑證的任務，請參閱《IAM 使用者指南》**中的[需要根使用者憑證的任務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks)。
### 聯合身分
最佳實務是要求人類使用者使用聯合身分提供者，以 AWS 服務 使用臨時憑證存取 。
*聯合身分*是來自您的企業目錄、Web 身分提供者的使用者，或使用來自身分來源的 AWS 服務 憑證存取 Directory Service 的使用者。聯合身分會擔任角色，而該角色會提供臨時憑證。
若需集中化管理存取權限，建議使用 AWS IAM Identity Center。如需詳細資訊，請參閱 *AWS IAM Identity Center 使用者指南*中的[什麼是 IAM Identity Center？](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html)。
### IAM 使用者和群組
*IAM 使用者*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)是一種身分具備單人或應用程式的特定許可權。建議以臨時憑證取代具備長期憑證的 IAM 使用者。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[要求人類使用者使用聯合身分提供者來 AWS 使用臨時憑證存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) 。
[IAM 群組](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)**會指定 IAM 使用者集合，使管理大量使用者的許可權更加輕鬆。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [IAM 使用者的使用案例](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html)。
### IAM 角色
*IAM 角色*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)的身分具有特定許可權，其可以提供臨時憑證。您可以透過[從使用者切換到 IAM 角色 （主控台） ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)或呼叫 AWS CLI 或 AWS API 操作來擔任角色。如需詳細資訊，請參閱《IAM 使用者指南》**中的[擔任角色的方法](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html)。
IAM 角色適用於聯合身分使用者存取、臨時 IAM 使用者許可、跨帳戶存取權與跨服務存取，以及在 Amazon EC2 執行的應用程式。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的快帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。
## 使用政策管理存取權
您可以透過建立政策並將其連接到身分或資源 AWS 來控制 AWS 中的存取。政策定義與身分或資源相關聯的許可。當委託人提出請求時 AWS ， 會評估這些政策。大多數政策會以 JSON 文件 AWS 的形式存放在 中。如需進一步了解 JSON 政策文件，請參閱《*IAM 使用者指南*》中的 [JSON 政策概觀](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json)。
管理員會使用政策，透過定義哪些**主體**可在哪些**條件**下對哪些**資源**執行**動作**，以指定可存取的範圍。
預設情況下，使用者和角色沒有許可。IAM 管理員會建立 IAM 政策並將其新增至角色，供使用者後續擔任。IAM 政策定義動作的許可，無論採用何種方式執行。
### 身分型政策
身分型政策是附加至身分 (使用者、使用者群組或角色) 的 JSON 許可政策文件。這類政策控制身分可對哪些資源執行哪些動作，以及適用的條件。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。
身分型政策可分為*內嵌政策* (直接內嵌於單一身分) 與*受管政策* (可附加至多個身分的獨立政策)。如需了解如何在受管政策及內嵌政策之間做選擇，請參閱《IAM 使用者指南》**中的[在受管政策與內嵌政策之間選擇](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html)。
### 資源型政策
資源型政策是附加到資源的 JSON 政策文件。範例包括 IAM *角色信任政策*與 Amazon S3 *儲存貯體政策*。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。您必須在資源型政策中[指定主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。
資源型政策是位於該服務中的內嵌政策。您無法在資源型政策中使用來自 IAM 的 AWS 受管政策。
### 其他政策類型
AWS 支援其他政策類型，可設定更多常見政策類型授予的最大許可：
+ **許可界限** — 設定身分型政策可授與 IAM 實體的最大許可。如需詳細資訊，請參閱《 IAM 使用者指南》**中的 [IAM 實體許可界限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)。
+ **服務控制政策 (SCP)** — 為 AWS Organizations中的組織或組織單位指定最大許可。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[服務控制政策](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)。
+ **資源控制政策 (RCP)** — 設定您帳戶中資源可用許可的上限。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[資源控制政策 (RCP)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html)。
+ **工作階段政策** — 在以程式設計方式為角色或聯合身分使用者建立臨時工作階段時，以參數形式傳遞的進階政策。如需詳細資訊，請參《*IAM 使用者指南*》中的[工作階段政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)。
### 多種政策類型
當多種類型的政策適用於請求時，產生的許可會更複雜而無法理解。若要了解如何 AWS 在涉及多個政策類型時決定是否允許請求，請參閱《*IAM 使用者指南*》中的[政策評估邏輯](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)。
# Amazon FSx for NetApp ONTAP 如何與 IAM 搭配使用
在您使用 IAM 管理 Amazon FSx 的存取權之前，請先了解哪些 IAM 功能可與 Amazon FSx 搭配使用。
**您可以搭配 Amazon FSx for NetApp ONTAP 使用的 IAM 功能**
| IAM 功能 | Amazon FSx 支援 |
| --- | --- |
| [身分型政策](#security_iam_service-with-iam-id-based-policies) | 是 |
| [資源型政策](#security_iam_service-with-iam-resource-based-policies) | 否 |
| [政策動作](#security_iam_service-with-iam-id-based-policies-actions) | 是 |
| [政策資源](#security_iam_service-with-iam-id-based-policies-resources) | 是 |
| [政策條件索引鍵](#security_iam_service-with-iam-id-based-policies-conditionkeys) | 是 |
| [ACL](#security_iam_service-with-iam-acls) | 否 |
| [ABAC (政策中的標籤)](#security_iam_service-with-iam-tags) | 是 |
| [臨時憑證](#security_iam_service-with-iam-roles-tempcreds) | 是 |
| [轉送存取工作階段 (FAS)](#security_iam_service-with-iam-principal-permissions) | 是 |
| [服務角色](#security_iam_service-with-iam-roles-service) | 否 |
| [服務連結角色](#security_iam_service-with-iam-roles-service-linked) | 是 |
若要全面了解 Amazon FSx 和其他 AWS 服務如何與大多數 IAM 功能搭配使用，請參閱《IAM *使用者指南*》中的與 IAM [AWS 搭配使用的 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。
## Amazon FSx 的身分型政策
**支援身分型政策：**是
身分型政策是可以附加到身分 (例如 IAM 使用者、使用者群組或角色) 的 JSON 許可政策文件。這些政策可控制身分在何種條件下能對哪些資源執行哪些動作。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。
使用 IAM 身分型政策，您可以指定允許或拒絕的動作和資源，以及在何種條件下允許或拒絕動作。如要了解您在 JSON 政策中使用的所有元素，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素參考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。
### Amazon FSx 的身分型政策範例
若要檢視 Amazon FSx 身分型政策的範例，請參閱 [Amazon FSx for NetApp ONTAP 的身分型政策範例](security_iam_id-based-policy-examples.md)。
## Amazon FSx 中的資源型政策
**支援資源型政策：**否
## Amazon FSx 的政策動作
**支援政策動作：**是
管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。
JSON 政策的 `Action` 元素描述您可以用來允許或拒絕政策中存取的動作。政策會使用動作來授予執行相關聯動作的許可。
若要查看 Amazon FSx 動作的清單，請參閱*《服務授權參考*》中的 [Amazon FSx 定義的動作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonfsx.html#amazonfsx-actions-as-permissions)。
Amazon FSx 中的政策動作在動作之前使用下列字首：
```
fsx
```
若要在單一陳述式中指定多個動作，請用逗號分隔。
```
"Action": [
"fsx:action1",
"fsx:action2"
]
```
若要檢視 Amazon FSx 身分型政策的範例，請參閱 [Amazon FSx for NetApp ONTAP 的身分型政策範例](security_iam_id-based-policy-examples.md)。
## Amazon FSx 的政策資源
**支援政策資源：**是
管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。
`Resource` JSON 政策元素可指定要套用動作的物件。最佳實務是使用其 [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) 來指定資源。若動作不支援資源層級許可，使用萬用字元 (\$1) 表示該陳述式適用於所有資源。
```
"Resource": "*"
```
若要查看 Amazon FSx 資源類型及其 ARNs，請參閱*《服務授權參考*》中的 [Amazon FSx 定義的資源](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonfsx.html#amazonfsx-resources-for-iam-policies)。若要了解您可以使用哪些動作指定每個資源的 ARN，請參閱 [Amazon FSx 定義的動作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonfsx.html#amazonfsx-actions-as-permissions)。
若要檢視 Amazon FSx 身分型政策的範例，請參閱 [Amazon FSx for NetApp ONTAP 的身分型政策範例](security_iam_id-based-policy-examples.md)。
## Amazon FSx 的政策條件索引鍵
**支援服務特定政策條件金鑰：**是
管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。
`Condition` 元素會根據定義的條件，指定陳述式的執行時機。您可以建立使用[條件運算子](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)的條件運算式 (例如等於或小於)，來比對政策中的條件和請求中的值。若要查看所有 AWS 全域條件索引鍵，請參閱《*IAM 使用者指南*》中的[AWS 全域條件內容索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。
若要查看 Amazon FSx 條件索引鍵的清單，請參閱*《服務授權參考*》中的 [Amazon FSx 的條件索引鍵](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonfsx.html#amazonfsx-policy-keys)。若要了解您可以使用條件金鑰的動作和資源，請參閱 [Amazon FSx 定義的動作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonfsx.html#amazonfsx-actions-as-permissions)。
若要檢視 Amazon FSx 身分型政策的範例，請參閱 [Amazon FSx for NetApp ONTAP 的身分型政策範例](security_iam_id-based-policy-examples.md)。
## Amazon FSx 中的存取控制清單 (ACLs)
**支援 ACL：**否
## 使用 Amazon FSx 的屬性型存取控制 (ABAC)
**支援 ABAC (政策中的標籤)：**是
屬性型存取控制 (ABAC) 是一種授權策略，依據稱為標籤的屬性來定義許可。您可以將標籤連接至 IAM 實體 AWS 和資源，然後設計 ABAC 政策，以便在委託人的標籤符合資源上的標籤時允許操作。
如需根據標籤控制存取，請使用 `aws:ResourceTag/key-name`、`aws:RequestTag/key-name` 或 `aws:TagKeys` 條件索引鍵，在政策的[條件元素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)中，提供標籤資訊。
如果服務支援每個資源類型的全部三個條件金鑰，則對該服務而言，值為 **Yes**。如果服務僅支援某些資源類型的全部三個條件金鑰，則值為 **Partial**。
如需 ABAC 的詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 ABAC 授權定義許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)。如要查看含有設定 ABAC 步驟的教學課程，請參閱《*IAM 使用者指南*》中的[使用屬性型存取控制 (ABAC)](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html)。
如需標記 Amazon FSx 資源的詳細資訊，請參閱 [標記 Amazon FSx 資源](tag-resources.md)。
若要檢視身分型政策範例，以根據該資源上的標籤來限制存取資源，請參閱 [使用標籤來控制對 Amazon FSx 資源的存取](using-tags-fsx.md#restrict-fsx-access-tags)。
## 搭配 Amazon FSx 使用暫時登入資料
**支援臨時憑證：**是
臨時登入資料提供 AWS 資源的短期存取權，當您使用聯合或切換角色時，會自動建立。 AWS 建議您動態產生臨時登入資料，而不是使用長期存取金鑰。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的臨時安全憑證](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html)與[可與 IAM 搭配運作的AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。
## 轉送 Amazon FSx 的存取工作階段
**支援轉寄存取工作階段 (FAS)：**是
轉送存取工作階段 (FAS) 使用呼叫 的委託人許可 AWS 服務，結合 AWS 服務 請求向下游服務提出請求。如需提出 FAS 請求時的政策詳細資訊，請參閱[轉發存取工作階段](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html)。
## Amazon FSx 的服務角色
**支援服務角色：**否
## Amazon FSx 的服務連結角色
**支援服務連結角色：**是
服務連結角色是連結至 的一種服務角色 AWS 服務。服務可以擔任代表您執行動作的角色。服務連結角色會出現在您的 中 AWS 帳戶 ，並由服務擁有。IAM 管理員可以檢視，但不能編輯服務連結角色的許可。
如需建立或管理 Amazon FSx 服務連結角色的詳細資訊，請參閱 [使用 Amazon FSx 的服務連結角色](using-service-linked-roles.md)。
# Amazon FSx for NetApp ONTAP 的身分型政策範例
根據預設，使用者和角色沒有建立或修改 Amazon FSx 資源的許可。若要授予使用者對其所需資源執行動作的許可，IAM 管理員可以建立 IAM 政策。
如需了解如何使用這些範例 JSON 政策文件建立 IAM 身分型政策，請參閱《*IAM 使用者指南*》中的[建立 IAM 政策 (主控台)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)。
如需 Amazon FSx 定義的動作和資源類型的詳細資訊，包括每種資源類型的 ARNs 格式，請參閱*《服務授權參考*》中的 [Amazon FSx 的動作、資源和條件索引鍵](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonfsx.html)。
**Topics**
+ [政策最佳實務](#security_iam_service-with-iam-policy-best-practices)
+ [使用 Amazon FSx 主控台](#security_iam_id-based-policy-examples-console)
+ [允許使用者檢視他們自己的許可](#security_iam_id-based-policy-examples-view-own-permissions)
## 政策最佳實務
身分型政策會判斷您帳戶中的某個人員是否可以建立、存取或刪除 Amazon FSx 資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項：
+ **開始使用 AWS 受管政策並邁向最低權限許可** – 若要開始將許可授予您的使用者和工作負載，請使用將許可授予許多常見使用案例的 *AWS 受管政策*。它們可在您的 中使用 AWS 帳戶。我們建議您定義特定於使用案例 AWS 的客戶受管政策，以進一步減少許可。如需更多資訊，請參閱《*IAM 使用者指南*》中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[任務職能的AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。
+ **套用最低權限許可** – 設定 IAM 政策的許可時，請僅授予執行任務所需的許可。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為*最低權限許可*。如需使用 IAM 套用許可的更多相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的政策和許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。
+ **使用 IAM 政策中的條件進一步限制存取權** – 您可以將條件新增至政策，以限制動作和資源的存取。例如，您可以撰寫政策條件，指定必須使用 SSL 傳送所有請求。如果透過特定 例如 使用服務動作 AWS 服務，您也可以使用條件來授予其存取權 CloudFormation。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素：條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。
+ **使用 IAM Access Analyzer 驗證 IAM 政策，確保許可安全且可正常運作** – IAM Access Analyzer 驗證新政策和現有政策，確保這些政策遵從 IAM 政策語言 (JSON) 和 IAM 最佳實務。IAM Access Analyzer 提供 100 多項政策檢查及切實可行的建議，可協助您撰寫安全且實用的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 IAM Access Analyzer 驗證政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。
+ **需要多重要素驗證 (MFA)** – 如果您的案例需要 IAM 使用者或 中的根使用者 AWS 帳戶，請開啟 MFA 以提高安全性。如需在呼叫 API 操作時請求 MFA，請將 MFA 條件新增至您的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[透過 MFA 的安全 API 存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。
如需 IAM 中最佳實務的相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 安全最佳實務](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。
## 使用 Amazon FSx 主控台
若要存取 Amazon FSx for NetApp ONTAP 主控台，您必須擁有一組最低許可。這些許可必須允許您列出和檢視 中 Amazon FSx 資源的詳細資訊 AWS 帳戶。如果您建立比最基本必要許可更嚴格的身分型政策，則對於具有該政策的實體 (使用者或角色) 而言，主控台就無法如預期運作。
對於僅呼叫 AWS CLI 或 AWS API 的使用者，您不需要允許最低主控台許可。反之，只需允許存取符合他們嘗試執行之 API 操作的動作就可以了。
為了確保使用者和角色仍然可以使用 Amazon FSx 主控台，也請將 `AmazonFSxConsoleReadOnlyAccess` AWS 受管政策連接到實體。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[新增許可到使用者](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)。
您可以在 中查看 `AmazonFSxConsoleReadOnlyAccess`和其他 Amazon FSx 受管服務政策[AWS Amazon FSx for NetApp ONTAP 的 受管政策](security-iam-awsmanpol.md)。
## 允許使用者檢視他們自己的許可
此範例會示範如何建立政策，允許 IAM 使用者檢視附加到他們使用者身分的內嵌及受管政策。此政策包含在主控台或使用 或 AWS CLI AWS API 以程式設計方式完成此動作的許可。
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "ViewOwnUserInfo",
"Effect": "Allow",
"Action": [
"iam:GetUserPolicy",
"iam:ListGroupsForUser",
"iam:ListAttachedUserPolicies",
"iam:ListUserPolicies",
"iam:GetUser"
],
"Resource": ["arn:aws:iam::*:user/${aws:username}"]
},
{
"Sid": "NavigateInConsole",
"Effect": "Allow",
"Action": [
"iam:GetGroupPolicy",
"iam:GetPolicyVersion",
"iam:GetPolicy",
"iam:ListAttachedGroupPolicies",
"iam:ListGroupPolicies",
"iam:ListPolicyVersions",
"iam:ListPolicies",
"iam:ListUsers"
],
"Resource": "*"
}
]
}
```
# 對 Amazon FSx for NetApp ONTAP 身分和存取進行故障診斷
使用以下資訊來協助您診斷和修正使用 Amazon FSx 和 IAM 時可能遇到的常見問題。
**Topics**
+ [我無權在 Amazon FSx 中執行動作](#security_iam_troubleshoot-no-permissions)
+ [我未獲得執行 iam:PassRole 的授權](#security_iam_troubleshoot-passrole)
+ [我想要允許 以外的人員 AWS 帳戶 存取我的 Amazon FSx 資源](#security_iam_troubleshoot-cross-account-access)
## 我無權在 Amazon FSx 中執行動作
如果您收到錯誤，告知您未獲授權執行動作，您的政策必須更新，允許您執行動作。
下列範例錯誤會在`mateojackson` IAM 使用者嘗試使用主控台檢視一個虛構 `my-example-widget` 資源的詳細資訊，但卻無虛構 `fsx:GetWidget` 許可時發生。
```
User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: fsx:GetWidget on resource: my-example-widget
```
在此情況下，必須更新 `mateojackson` 使用者的政策，允許使用 `fsx:GetWidget` 動作存取 `my-example-widget` 資源。
如果您需要協助，請聯絡您的 AWS 管理員。您的管理員提供您的簽署憑證。
## 我未獲得執行 iam:PassRole 的授權
如果您收到錯誤，告知您無權執行 `iam:PassRole`動作，您的政策必須更新，以允許您將角色傳遞給 Amazon FSx。
有些 AWS 服務 可讓您將現有角色傳遞給該服務，而不是建立新的服務角色或服務連結角色。如需執行此作業，您必須擁有將角色傳遞至該服務的許可。
當名為 的 IAM `marymajor` 使用者嘗試使用主控台在 Amazon FSx 中執行動作時，會發生下列範例錯誤。但是，動作請求服務具備服務角色授予的許可。Mary 沒有將角色傳遞給服務的許可。
```
User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole
```
在這種情況下，Mary 的政策必須更新，允許她執行 `iam:PassRole` 動作。
如果您需要協助，請聯絡您的 AWS 管理員。您的管理員提供您的簽署憑證。
## 我想要允許 以外的人員 AWS 帳戶 存取我的 Amazon FSx 資源
您可以建立一個角色，讓其他帳戶中的使用者或您組織外部的人員存取您的資源。您可以指定要允許哪些信任物件取得該角色。針對支援基於資源的政策或存取控制清單 (ACL) 的服務，您可以使用那些政策來授予人員存取您的資源的許可。
如需進一步了解，請參閱以下內容：
+ 若要了解 Amazon FSx 是否支援這些功能，請參閱 [Amazon FSx for NetApp ONTAP 如何與 IAM 搭配使用](security_iam_service-with-iam.md)。
+ 若要了解如何提供您擁有 AWS 帳戶 的資源存取權，請參閱《[IAM 使用者指南》中的在您擁有 AWS 帳戶 的另一個 IAM 使用者中提供存取權](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html)。 **
+ 若要了解如何將資源的存取權提供給第三方 AWS 帳戶，請參閱《*IAM 使用者指南*》中的[將存取權提供給第三方 AWS 帳戶 擁有](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html)。
+ 如需了解如何透過聯合身分提供存取權，請參閱《*IAM 使用者指南*》中的[將存取權提供給在外部進行身分驗證的使用者 (聯合身分)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html)。
+ 如需了解使用角色和資源型政策進行跨帳戶存取之間的差異，請參閱《*IAM 使用者指南*》中的 [IAM 中的跨帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。
# 使用 Amazon FSx 的服務連結角色
Amazon FSx 使用 AWS Identity and Access Management (IAM)[ 服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)。服務連結角色是直接連結至 Amazon FSx 的唯一 IAM 角色類型。服務連結角色由 Amazon FSx 預先定義，並包含該服務代表您呼叫其他 AWS 服務所需的所有許可。
服務連結角色可讓您更輕鬆地設定 Amazon FSx，因為您不必手動新增必要的許可。Amazon FSx 會定義其服務連結角色的許可，除非另有定義，否則只有 Amazon FSx 可以擔任其角色。定義的許可包括信任政策和許可政策，且該許可政策無法附加至其他 IAM 實體。
您必須先刪除服務連結角色的相關資源，才能將其刪除。這可保護您的 Amazon FSx 資源，因為您不會不小心移除存取資源的許可。
如需關於支援服務連結角色的其他服務的資訊，請參閱[可搭配 IAM 運作的AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)，並尋找 **Service-Linked Role** (服務連結角色) 欄顯示為 **Yes** (是) 的服務。選擇具有連結的**是**，以檢視該服務的服務連結角色文件。
## Amazon FSx 的服務連結角色許可
Amazon FSx 使用名為 **AWSServiceRoleForAmazonFSx** 的服務連結角色 – 在您的帳戶中執行特定動作，例如為 VPC 中的檔案系統建立彈性網路界面，以及在 CloudWatch 中發佈檔案系統和磁碟區指標。
如需更新此政策，請參閱「[AmazonFSxServiceRolePolicy](security-iam-awsmanpol.md#security-iam-awsmanpol-AmazonFSxServiceRolePolicy)」。
**許可詳細資訊**
AWSServiceRoleForAmazonFSx 角色許可是由 AmazonFSxServiceRolePolicy AWS 受管政策所定義。AWSServiceRoleForAmazonFSx 具有下列許可：
**注意**
所有 Amazon FSx 檔案系統類型都會使用 AWSServiceRoleForAmazonFSx；某些列出的許可不適用於 FSx for ONTAP。
+ `ds` – 允許 Amazon FSx 檢視、授權和取消授權 Directory Service 目錄中的應用程式。
+ `ec2` – 允許 Amazon FSx 執行下列動作：
+ 檢視、建立和取消關聯與 Amazon FSx 檔案系統相關聯的網路介面。
+ 檢視與 Amazon FSx 檔案系統相關聯的一或多個彈性 IP 地址。
+ 檢視與 Amazon FSx 檔案系統相關聯的 Amazon VPCs、安全群組和子網路。
+ 將 IPv6 地址指派給具有 `AmazonFSx.FileSystemId`標籤的客戶網路介面。
+ 從具有 `AmazonFSx.FileSystemId`標籤的客戶網路介面取消指派 IPv6 地址。
+ 為所有可與 VPC 搭配使用的安全群組提供增強型安全群組驗證。
+ 為 AWS授權使用者建立許可，以在網路界面上執行特定操作。
+ `cloudwatch` – 允許 Amazon FSx 在 AWS/FSx 命名空間下將指標資料點發佈至 CloudWatch。
+ `route53` – 允許 Amazon FSx 將 Amazon VPC 與私有託管區域建立關聯。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "CreateFileSystem",
"Effect": "Allow",
"Action": [
"ds:AuthorizeApplication",
"ds:GetAuthorizedApplicationDetails",
"ds:UnauthorizeApplication",
"ec2:CreateNetworkInterface",
"ec2:CreateNetworkInterfacePermission",
"ec2:DeleteNetworkInterface",
"ec2:DescribeAddresses",
"ec2:DescribeDhcpOptions",
"ec2:DescribeNetworkInterfaces",
"ec2:DescribeRouteTables",
"ec2:DescribeSecurityGroups",
"ec2:DescribeSubnets",
"ec2:DescribeVPCs",
"ec2:DisassociateAddress",
"ec2:GetSecurityGroupsForVpc",
"route53:AssociateVPCWithHostedZone"
],
"Resource": "*"
},
{
"Sid": "PutMetrics",
"Effect": "Allow",
"Action": [
"cloudwatch:PutMetricData"
],
"Resource": [
"*"
],
"Condition": {
"StringEquals": {
"cloudwatch:namespace": "AWS/FSx"
}
}
},
{
"Sid": "TagResourceNetworkInterface",
"Effect": "Allow",
"Action": [
"ec2:CreateTags"
],
"Resource": [
"arn:aws:ec2:*:*:network-interface/*"
],
"Condition": {
"StringEquals": {
"ec2:CreateAction": "CreateNetworkInterface"
},
"ForAllValues:StringEquals": {
"aws:TagKeys": "AmazonFSx.FileSystemId"
}
}
},
{
"Sid": "ManageNetworkInterface",
"Effect": "Allow",
"Action": [
"ec2:AssignPrivateIpAddresses",
"ec2:ModifyNetworkInterfaceAttribute",
"ec2:UnassignPrivateIpAddresses"
],
"Resource": [
"arn:aws:ec2:*:*:network-interface/*"
],
"Condition": {
"Null": {
"aws:ResourceTag/AmazonFSx.FileSystemId": "false"
}
}
},
{
"Sid": "ManageRouteTable",
"Effect": "Allow",
"Action": [
"ec2:CreateRoute",
"ec2:ReplaceRoute",
"ec2:DeleteRoute"
],
"Resource": [
"arn:aws:ec2:*:*:route-table/*"
],
"Condition": {
"StringEquals": {
"aws:ResourceTag/AmazonFSx": "ManagedByAmazonFSx"
}
}
}
]
}
```
------
此政策的任何更新都會在 中說明[AWS 受管政策的 Amazon FSx 更新](security-iam-awsmanpol.md#security-iam-awsmanpol-updates)。
您必須設定許可，IAM 實體 (如使用者、群組或角色) 才可建立、編輯或刪除服務連結角色。如需詳細資訊，請參閱《IAM 使用者指南》中的[服務連結角色許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)。
## 為 Amazon FSx 建立服務連結角色
您不需要手動建立服務連結角色，當您在 AWS 管理主控台、IAM CLI 或 IAM API 中建立檔案系統時，Amazon FSx 會為您建立服務連結角色。
**重要**
此服務連結角色可以顯示在您的帳戶，如果您於其他服務中完成一項動作時，可以使用支援此角色的功能。若要進一步了解，請參閱[我的 IAM 帳戶中出現的新角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/troubleshoot_roles.html#troubleshoot_roles_new-role-appeared)。
若您刪除此服務連結角色，之後需要再次建立，您可以在帳戶中使用相同程序重新建立角色。當您建立檔案系統時，Amazon FSx 會再次為您建立服務連結角色。
## 編輯 Amazon FSx 的服務連結角色
Amazon FSx 不允許您編輯 AWSServiceRoleForAmazonFSx 服務連結角色。因為有各種實體可能會參考服務連結角色，所以您無法在建立角色之後變更角色名稱。然而，您可使用 IAM 來編輯角色描述。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[編輯服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。
## 刪除 Amazon FSx 的服務連結角色
若您不再使用需要服務連結角色的功能或服務，我們建議您刪除該角色。如此一來，您就沒有未主動監控或維護的未使用實體。不過，您必須先刪除所有檔案系統和備份，才能手動刪除服務連結角色。
**注意**
如果您嘗試刪除資源時，Amazon FSx 服務正在使用該角色，則刪除可能會失敗。若此情況發生，請等待數分鐘後並再次嘗試操作。
**使用 IAM 手動刪除服務連結角色**
使用 IAM 主控台、IAM CLI 或 IAM API 來刪除 AWSServiceRoleForAmazonFSx 服務連結角色。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[刪除服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。
## Amazon FSx 服務連結角色支援的區域
Amazon FSx 支援在提供服務的所有區域中使用服務連結角色。如需詳細資訊，請參閱 [AWS 區域與端點](https://docs.aws.amazon.com/general/latest/gr/rande.html)。
# 搭配 Amazon FSx 使用標籤
您可以使用標籤來控制對 Amazon FSx 資源的存取，以及實作屬性型存取控制 (ABAC)。若要在建立期間將標籤套用至 Amazon FSx 資源，使用者必須具有特定 AWS Identity and Access Management (IAM) 許可。
## 在建立期間授予標籤資源的許可
透過一些建立資源的 Amazon FSx API 動作，您可以在建立資源時指定標籤。您可以使用這些資源標籤來實作屬性型存取控制 (ABAC)。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[什麼是 ABAC AWS？](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)。
若要讓使用者在建立資源時加上標籤，他們必須具有使用建立資源之動作的許可，例如 `fsx:CreateFileSystem`、 `fsx:CreateStorageVirtualMachine`或 `fsx:CreateVolume`。如果在資源建立動作中指定標籤，IAM 會對`fsx:TagResource`動作執行額外的授權，以驗證使用者是否具有建立標籤的許可。因此，使用者必須同時具備使用 `fsx:TagResource` 動作的明確許可。
下列範例政策允許使用者建立檔案系統和儲存虛擬機器 (SVMs)，並在建立特定 期間將標籤套用至它們 AWS 帳戶。
```
{
"Statement": [
{
"Effect": "Allow",
"Action": [
"fsx:CreateFileSystem",
"fsx:CreateStorageVirtualMachine",
"fsx:TagResource"
],
"Resource": [
"arn:aws:fsx:region:account-id:file-system/*",
"arn:aws:fsx:region:account-id:file-system/*/storage-virtual-machine/*"
]
}
]
}
```
同樣地，以下政策允許使用者在特定檔案系統上建立備份，並在備份建立期間將任何標籤套用至備份。
```
{
"Statement": [
{
"Effect": "Allow",
"Action": [
"fsx:CreateBackup"
],
"Resource": "arn:aws:fsx:region:account-id:file-system/file-system-id*"
},
{
"Effect": "Allow",
"Action": [
"fsx:TagResource"
],
"Resource": "arn:aws:fsx:region:account-id:backup/*"
}
]
}
```
只有在資源建立`fsx:TagResource`動作期間套用標籤時，才會評估動作。因此，如果請求中未指定標籤，則具有建立資源許可 （假設沒有標記條件） 的使用者不需要使用 `fsx:TagResource`動作的許可。然而，若該使用者試圖建立具有標籤的資源卻未具備使用 `fsx:TagResource` 動作的許可，則該請求會失敗。
如需標記 Amazon FSx 資源的詳細資訊，請參閱 [標記 Amazon FSx 資源](tag-resources.md)。如需使用標籤控制 Amazon FSx 資源存取的詳細資訊，請參閱 [使用標籤來控制對 Amazon FSx 資源的存取](#restrict-fsx-access-tags)。
## 使用標籤來控制對 Amazon FSx 資源的存取
若要控制對 Amazon FSx 資源和動作的存取，您可以根據標籤使用 IAM 政策。您可以透過兩個方式提供控制：
+ 您可以根據這些資源上的標籤來控制對 Amazon FSx 資源的存取。
+ 您可以控制在 IAM 請求條件中傳遞的標籤。
如需有關如何使用標籤來控制 AWS 資源存取的資訊，請參閱《*IAM 使用者指南*》中的[使用標籤控制存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_tags.html)。如需在建立時標記 Amazon FSx 資源的詳細資訊，請參閱 [在建立期間授予標籤資源的許可](#supported-iam-actions-tagging)。如需標記資源的詳細資訊，請參閱 [標記 Amazon FSx 資源](tag-resources.md)。
### 根據資源的標籤控制存取
若要控制使用者或角色可以在 Amazon FSx 資源上執行的動作，您可以在資源上使用標籤。例如，您可能想要根據資源上標籤的金鑰值組，允許或拒絕檔案系統資源上的特定 API 操作。
**Example 範例政策 – 僅在使用特定標籤時建立檔案系統**
此政策允許使用者建立檔案系統，只有在它們使用特定標籤鍵/值對標記時，在此範例中為 `key=Department`、`value=Finance`。
```
{
"Effect": "Allow",
"Action": [
"fsx:CreateFileSystem",
"fsx:TagResource"
],
"Resource": "arn:aws:fsx:region:account-id:file-system/*",
"Condition": {
"StringEquals": {
"aws:RequestTag/Department": "Finance"
}
}
}
```
**Example 範例政策 – 僅建立具有特定標籤之 NetApp ONTAP 磁碟區的 Amazon FSx 備份**
此政策允許使用者僅針對以鍵/值對 `key=Department`、 標記的 ONTAP 磁碟區建立 FSx 備份`value=Finance`。備份是使用標籤 建立`Department=Finance`。
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"fsx:CreateBackup"
],
"Resource": "arn:aws:fsx:us-east-1:111122223333:volume/*",
"Condition": {
"StringEquals": {
"aws:ResourceTag/Department": "Finance"
}
}
},
{
"Effect": "Allow",
"Action": [
"fsx:TagResource",
"fsx:CreateBackup"
],
"Resource": "arn:aws:fsx:us-east-1:111122223333:backup/*",
"Condition": {
"StringEquals": {
"aws:RequestTag/Department": "Finance"
}
}
}
]
}
```
**Example 範例政策 – 從具有特定標籤的備份建立具有特定標籤的磁碟區**
此政策允許使用者建立`Department=Finance`僅從使用 標記的備份中標記的磁碟區`Department=Finance`。
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"fsx:CreateVolumeFromBackup",
"fsx:TagResource"
],
"Resource": "arn:aws:fsx:us-east-1:111122223333:volume/*",
"Condition": {
"StringEquals": {
"aws:RequestTag/Department": "Finance"
}
}
},
{
"Effect": "Allow",
"Action": [
"fsx:CreateVolumeFromBackup"
],
"Resource": "arn:aws:fsx:us-east-1:111122223333:backup/*",
"Condition": {
"StringEquals": {
"aws:ResourceTag/Department": "Finance"
}
}
}
]
}
```
**Example 範例政策 – 刪除具有特定標籤的檔案系統**
此政策允許使用者僅刪除以 標記的檔案系統`Department=Finance`。如果他們建立最終備份，則必須使用 標記`Department=Finance`。
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"fsx:DeleteFileSystem"
],
"Resource": "arn:aws:fsx:us-east-1:111122223333:file-system/*",
"Condition": {
"StringEquals": {
"aws:ResourceTag/Department": "Finance"
}
}
},
{
"Effect": "Allow",
"Action": [
"fsx:TagResource"
],
"Resource": "arn:aws:fsx:us-east-1:111122223333:backup/*",
"Condition": {
"StringEquals": {
"aws:RequestTag/Department": "Finance"
}
}
}
]
}
```
**Example 範例政策 – 刪除具有特定標籤的磁碟區**
此政策允許使用者僅刪除以 標記的磁碟區`Department=Finance`。如果他們建立最終備份，則必須使用 標記`Department=Finance`。
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"fsx:DeleteVolume"
],
"Resource": "arn:aws:fsx:us-east-1:111122223333:volume/*",
"Condition": {
"StringEquals": {
"aws:ResourceTag/Department": "Finance"
}
}
},
{
"Effect": "Allow",
"Action": [
"fsx:TagResource"
],
"Resource": "arn:aws:fsx:us-east-1:111122223333:backup/*",
"Condition": {
"StringEquals": {
"aws:RequestTag/Department": "Finance"
}
}
}
]
}
```
# AWS Amazon FSx for NetApp ONTAP 的 受管政策
AWS 受管政策是由 AWS AWS 受管政策建立和管理的獨立政策旨在為許多常用案例提供許可，以便您可以開始將許可指派給使用者、群組和角色。
請記住， AWS 受管政策可能不會授予特定使用案例的最低權限許可，因為這些許可可供所有 AWS 客戶使用。我們建議您定義特定於使用案例的[客戶管理政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies)，以便進一步減少許可。
您無法變更 AWS 受管政策中定義的許可。如果 AWS 更新 AWS 受管政策中定義的許可，則更新會影響政策連接的所有委託人身分 （使用者、群組和角色）。當新的 AWS 服務 啟動或新的 API 操作可供現有 服務使用時， AWS 最有可能更新 AWS 受管政策。
如需詳細資訊，請參閱 *IAM 使用者指南*中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)。
## AmazonFSxServiceRolePolicy
允許 Amazon FSx 代表您管理 AWS 資源。如需進一步了解，請參閱[使用 Amazon FSx 的服務連結角色](using-service-linked-roles.md)。
## AWS 受管政策：AmazonFSxDeleteServiceLinkedRoleAccess
您不得將 `AmazonFSxDeleteServiceLinkedRoleAccess` 連接到 IAM 實體。此政策會連結至 服務，並僅用於該服務的服務連結角色。您無法連接、取消連接、修改或刪除此政策。如需詳細資訊，請參閱[使用 Amazon FSx 的服務連結角色](using-service-linked-roles.md)。
此政策授予管理許可，允許 Amazon FSx 刪除其 Amazon S3 存取的服務連結角色，僅供 Amazon FSx for Lustre 使用。
**許可詳細資訊**
此政策包含 中的許可`iam`，允許 Amazon FSx 檢視、刪除和檢視 FSx Service Linked Roles for Amazon S3 存取的刪除狀態。
若要檢視此政策的許可，請參閱《 AWS 受管政策參考指南》中的 [AmazonFSxDeleteServiceLinkedRoleAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/FSxDeleteServiceLinkedRoleAccess.html)。
## AWS 受管政策：AmazonFSxFullAccess
您可以將 AmazonFSxFullAccess 連接至您的 IAM 實體。Amazon FSx 也會將此政策連接至允許 Amazon FSx 代表您執行動作的服務角色。
提供 Amazon FSx 的完整存取權和相關 AWS 服務的存取權。
**許可詳細資訊**
此政策包含以下許可。
+ `fsx` – 允許主體完整存取以執行所有 Amazon FSx 動作，但 除外`BypassSnaplockEnterpriseRetention`。
+ `ds` – 允許主體檢視 Directory Service 目錄的相關資訊。
+ `ec2`
+ 允許主體在指定的條件下建立標籤。
+ 為所有可與 VPC 搭配使用的安全群組提供增強型安全群組驗證。
+ `iam` – 允許原則代表使用者建立 Amazon FSx 服務連結角色。這是必要的，以便 Amazon FSx 可以代表使用者管理 AWS 資源。
+ `firehose` – 允許主體將記錄寫入 Amazon Data Firehose。這是必要的，以便使用者可以透過將稽核存取日誌傳送至 Firehose 來監控 FSx for Windows File Server 檔案系統存取。
+ `logs` – 允許主體建立日誌群組、日誌串流，以及將事件寫入日誌串流。這是必要的，讓使用者可以透過傳送稽核存取日誌到 CloudWatch Logs 來監控 FSx for Windows File Server 檔案系統存取。
若要檢視此政策的許可，請參閱《 AWS 受管政策參考指南》中的 [AmazonFSxFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonFSxFullAccess.html)。
## AWS 受管政策：AmazonFSxConsoleFullAccess
您可將 `AmazonFSxConsoleFullAccess` 政策連接到 IAM 身分。
此政策會授予管理許可，以允許完整存取 Amazon FSx 並透過 存取相關 AWS 服務 AWS 管理主控台。
**許可詳細資訊**
此政策包含以下許可。
+ `fsx` – 允許主體在 Amazon FSx 管理主控台中執行所有動作，但 除外`BypassSnaplockEnterpriseRetention`。
+ `cloudwatch` – 允許主體在 Amazon FSx 管理主控台中檢視 CloudWatch 警示和指標。
+ `ds` – 允許主體列出 Directory Service 目錄的相關資訊。
+ `ec2`
+ 允許主體在路由表上建立標籤、列出網路介面、路由表、安全群組、子網路以及與 Amazon FSx 檔案系統相關聯的 VPC。
+ 允許主體為所有可與 VPC 搭配使用的安全群組提供增強型安全群組驗證。
+ 允許主體檢視與 Amazon FSx 檔案系統相關聯的彈性網路介面。
+ `kms` – 允許主體列出 AWS Key Management Service 金鑰的別名。
+ `s3` – 允許主體列出 Amazon S3 儲存貯體中的部分或全部物件 （最多 1000 個）。
+ `secretsmanager` – 允許主體在 中列出秘密 AWS Secrets Manager ，以選取網域加入服務帳戶登入資料。
+ `iam` – 准許建立服務連結角色，以允許 Amazon FSx 代表使用者執行動作。
若要檢視此政策的許可，請參閱《 AWS 受管政策參考指南》中的 [AmazonFSxConsoleFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonFSxConsoleFullAccess.html)。
## AWS 受管政策：AmazonFSxConsoleReadOnlyAccess
您可將 `AmazonFSxConsoleReadOnlyAccess` 政策連接到 IAM 身分。
此政策會授予 Amazon FSx 和相關 AWS 服務的唯讀許可，讓使用者可以在 中檢視這些服務的相關資訊 AWS 管理主控台。
**許可詳細資訊**
此政策包含以下許可。
+ `fsx` – 允許主體在 Amazon FSx 管理主控台中檢視 Amazon FSx 檔案系統的相關資訊，包括所有標籤。
+ `cloudwatch` – 允許主體在 Amazon FSx 管理主控台中檢視 CloudWatch 警示和指標。
+ `ds` – 允許主體在 Amazon FSx 管理主控台 Directory Service 中檢視目錄的相關資訊。
+ `ec2`
+ 允許主體在 Amazon FSx 管理主控台中檢視與 Amazon FSx 檔案系統相關聯的網路介面、安全群組、子網路和 VPC。
+ 允許主體為所有可與 VPC 搭配使用的安全群組提供增強型安全群組驗證。
+ 允許主體檢視與 Amazon FSx 檔案系統相關聯的彈性網路介面。
+ `kms` – 允許主體在 Amazon FSx 管理主控台中檢視 AWS Key Management Service 金鑰的別名。
+ `log` – 允許主體描述與發出請求的帳戶相關聯的 Amazon CloudWatch Logs 日誌群組。這是必要的，以便主體可以檢視 FSx for Windows File Server 檔案系統的現有檔案存取稽核組態。
+ `secretsmanager` – 允許主體在 中列出秘密 AWS Secrets Manager ，以選取網域加入服務帳戶登入資料。
+ `firehose` – 允許主體描述與提出請求的帳戶相關聯的 Amazon Data Firehose 交付串流。這是必要的，以便主體可以檢視 FSx for Windows File Server 檔案系統的現有檔案存取稽核組態。
若要檢視此政策的許可，請參閱《 AWS 受管政策參考指南》中的 [AmazonFSxConsoleReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonFSxConsoleReadOnlyAccess.html)。
## AWS 受管政策：AmazonFSxReadOnlyAccess
您可將 `AmazonFSxReadOnlyAccess` 政策連接到 IAM 身分。
+ `fsx` – 允許主體在 Amazon FSx 管理主控台中檢視 Amazon FSx 檔案系統的相關資訊，包括所有標籤。
+ `ec2` – 為所有可與 VPC 搭配使用的安全群組提供增強型安全群組驗證。
若要檢視此政策的許可，請參閱《 AWS 受管政策參考指南》中的 [AmazonFSxReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonFSxReadOnlyAccess.html)。
## AWS 受管政策的 Amazon FSx 更新
檢視自此服務開始追蹤 Amazon FSx AWS 受管政策更新以來的詳細資訊。如需此頁面變更的自動提醒，請訂閱 Amazon FSx 頁面上的 RSS 摘要[Amazon FSx for NetApp ONTAP 的文件歷史記錄](document-history.md)。
| 變更 | 描述 | Date |
| --- | --- | --- |
| [AmazonFSxConsoleFullAccess](#security-iam-awsmanpol-AmazonFSxConsoleFullAccess) – 更新現有政策 | Amazon FSx 新增了新的許可，`secretsmanager:ListSecrets`允許主體在 中列出秘密 AWS Secrets Manager ，以選取網域加入服務帳戶登入資料。 | 2025 年 11 月 5 日 |
| [AmazonFSxConsoleReadOnlyAccess](#security-iam-awsmanpol-AmazonFSxConsoleReadOnlyAccess) – 更新至現有政策 | Amazon FSx 新增了新的許可，`secretsmanager:ListSecrets`允許主體在 中列出秘密 AWS Secrets Manager ，以選取網域加入服務帳戶登入資料。 | 2025 年 11 月 3 日 |
| [AmazonFSxServiceRolePolicy](using-service-linked-roles.md#slr-permissions) – 更新至現有政策 | Amazon FSx 新增了新的許可，`ec2:AssignIpv6Addresses`允許主體將 IPv6 地址指派給具有 `AmazonFSx.FileSystemId`標籤的客戶網路介面。 | 2025 年 7 月 22 日 |
| [AmazonFSxServiceRolePolicy](using-service-linked-roles.md#slr-permissions) – 更新至現有政策 | Amazon FSx 新增了新的許可，`ec2:UnassignIpv6Addresses`允許主體從具有 `AmazonFSx.FileSystemId`標籤的客戶網路介面取消指派 IPv6 地址。 | 2025 年 7 月 22 日 |
| [AmazonFSxConsoleFullAccess](#security-iam-awsmanpol-AmazonFSxConsoleFullAccess) – 更新現有政策 | Amazon FSx 新增了新的許可，`fsx:CreateAndAttachS3AccessPoint`允許主體建立 S3 存取點並將其連接到 FSx 磁碟區。 | 2025 年 6 月 25 日 |
| [AmazonFSxConsoleFullAccess](#security-iam-awsmanpol-AmazonFSxConsoleFullAccess) – 更新現有政策 | Amazon FSx 新增了新的許可，`fsx:DescribeS3AccessPointAttachments`允許主體在 中列出 AWS 帳戶 中的所有 S3 存取點 AWS 區域。 | 2025 年 6 月 25 日 |
| [AmazonFSxConsoleFullAccess](#security-iam-awsmanpol-AmazonFSxConsoleFullAccess) – 更新現有政策 | Amazon FSx 新增了`fsx:DetachAndDeleteS3AccessPoint`允許主體刪除 S3 存取點的新許可。 | 2025 年 6 月 25 日 |
| [AmazonFSxFullAccess](#security-iam-awsmanpol-AmazonFSxFullAccess) – 更新現有政策 | Amazon FSx 新增了新的許可，`fsx:CreateAndAttachS3AccessPoint`允許主體建立 S3 存取點並將其連接到 FSx 磁碟區。 | 2025 年 6 月 25 日 |
| [AmazonFSxFullAccess](#security-iam-awsmanpol-AmazonFSxFullAccess) – 更新現有政策 | Amazon FSx 新增了新的許可，`fsx:DescribeS3AccessPointAttachments`允許主體在 中列出 AWS 帳戶 中的所有 S3 存取點 AWS 區域。 | 2025 年 6 月 25 日 |
| [AmazonFSxFullAccess](#security-iam-awsmanpol-AmazonFSxFullAccess) – 更新現有政策 | Amazon FSx 新增了`fsx:DetachAndDeleteS3AccessPoint`允許主體刪除 S3 存取點的新許可。 | 2025 年 6 月 25 日 |
| [AmazonFSxConsoleReadOnlyAccess](#security-iam-awsmanpol-AmazonFSxConsoleReadOnlyAccess) – 更新至現有政策 | Amazon FSx 新增了新的許可，`ec2:DescribeNetworkInterfaces`允許主體檢視與其檔案系統相關聯的彈性網路介面。 | 2025 年 2 月 25 日 |
| [AmazonFSxConsoleFullAccess](#security-iam-awsmanpol-AmazonFSxConsoleFullAccess) – 更新至現有政策 | Amazon FSx 新增了新的許可，`ec2:DescribeNetworkInterfaces`允許主體檢視與其檔案系統相關聯的彈性網路介面。 | 2025 年 2 月 7 日 |
| [AmazonFSxServiceRolePolicy](using-service-linked-roles.md#slr-permissions) – 更新至現有政策 | Amazon FSx 新增了新的許可，`ec2:GetSecurityGroupsForVpc`允許主體為所有可與 VPC 搭配使用的安全群組提供增強型安全群組驗證。 | 2024 年 1 月 9 日 |
| [AmazonFSxReadOnlyAccess](#security-iam-awsmanpol-AmazonFSxReadOnlyAccess) – 更新現有政策 | Amazon FSx 新增了新的許可，`ec2:GetSecurityGroupsForVpc`允許主體為所有可與 VPC 搭配使用的安全群組提供增強型安全群組驗證。 | 2024 年 1 月 9 日 |
| [AmazonFSxConsoleReadOnlyAccess](#security-iam-awsmanpol-AmazonFSxConsoleReadOnlyAccess) – 更新至現有政策 | Amazon FSx 新增了新的許可，`ec2:GetSecurityGroupsForVpc`允許主體為所有可與 VPC 搭配使用的安全群組提供增強型安全群組驗證。 | 2024 年 1 月 9 日 |
| [AmazonFSxFullAccess](#security-iam-awsmanpol-AmazonFSxFullAccess) – 更新現有政策 | Amazon FSx 新增了新的許可，`ec2:GetSecurityGroupsForVpc`允許主體為所有可與 VPC 搭配使用的安全群組提供增強型安全群組驗證。 | 2024 年 1 月 9 日 |
| [AmazonFSxConsoleFullAccess](#security-iam-awsmanpol-AmazonFSxConsoleFullAccess) – 更新現有政策 | Amazon FSx 新增了新的許可，`ec2:GetSecurityGroupsForVpc`允許主體為所有可與 VPC 搭配使用的安全群組提供增強型安全群組驗證。 | 2024 年 1 月 9 日 |
| [AmazonFSxFullAccess](#security-iam-awsmanpol-AmazonFSxFullAccess) – 更新現有政策 | Amazon FSx 新增了新的許可，讓使用者能夠為 FSx for OpenZFS 檔案系統執行跨區域和跨帳戶資料複寫。 | 2023 年 12 月 20 日 |
| [AmazonFSxConsoleFullAccess](#security-iam-awsmanpol-AmazonFSxConsoleFullAccess) – 更新現有政策 | Amazon FSx 新增了新的許可，讓使用者能夠為 FSx for OpenZFS 檔案系統執行跨區域和跨帳戶資料複寫。 | 2023 年 12 月 20 日 |
| [AmazonFSxFullAccess](#security-iam-awsmanpol-AmazonFSxFullAccess) – 更新現有政策 | Amazon FSx 新增了新許可，讓使用者能夠執行 FSx for OpenZFS 檔案系統的隨需磁碟區複寫。 | 2023 年 11 月 26 日 |
| [AmazonFSxConsoleFullAccess](#security-iam-awsmanpol-AmazonFSxConsoleFullAccess) – 更新至現有政策 | Amazon FSx 新增了新許可，讓使用者能夠執行 FSx for OpenZFS 檔案系統的隨需磁碟區複寫。 | 2023 年 11 月 26 日 |
| [AmazonFSxFullAccess](#security-iam-awsmanpol-AmazonFSxFullAccess) – 更新現有政策 | Amazon FSx 新增了新的許可，讓使用者能夠檢視、啟用和停用 FSx for ONTAP 多可用區域檔案系統的共用 VPC 支援。 | 2023 年 11 月 14 日 |
| [AmazonFSxConsoleFullAccess](#security-iam-awsmanpol-AmazonFSxConsoleFullAccess) – 更新至現有政策 | Amazon FSx 新增了新的許可，讓使用者能夠檢視、啟用和停用 FSx for ONTAP 多可用區域檔案系統的共用 VPC 支援。 | 2023 年 11 月 14 日 |
| [AmazonFSxFullAccess](#security-iam-awsmanpol-AmazonFSxFullAccess) – 更新現有政策 | Amazon FSx 新增了新的許可，以允許 Amazon FSx 管理 FSx for OpenZFS 多可用區域檔案系統的網路組態。 | 2023 年 8 月 9 日 |
| [AWS 受管政策：AmazonFSxServiceRolePolicy](using-service-linked-roles.md#slr-permissions) – 更新現有政策 | Amazon FSx 修改了現有的`cloudwatch:PutMetricData`許可，以便 Amazon FSx 將 CloudWatch 指標發佈到`AWS/FSx`命名空間。 | 2023 年 7 月 24 日 |
| [AmazonFSxFullAccess](#security-iam-awsmanpol-AmazonFSxFullAccess) – 更新現有政策 | Amazon FSx 已更新政策以移除`fsx:*`許可並新增特定`fsx`動作。 | 2023 年 7 月 13 日 |
| [AmazonFSxConsoleFullAccess](#security-iam-awsmanpol-AmazonFSxConsoleFullAccess) – 更新現有政策 | Amazon FSx 已更新政策以移除`fsx:*`許可並新增特定`fsx`動作。 | 2023 年 7 月 13 日 |
| [AmazonFSxConsoleReadOnlyAccess](#security-iam-awsmanpol-AmazonFSxConsoleReadOnlyAccess) – 更新現有政策 | Amazon FSx 新增了新的許可，讓使用者能夠在 Amazon FSx 主控台中檢視 FSx for Windows File Server 檔案系統的增強效能指標和建議動作。 | 2022 年 9 月 21 日 |
| [AmazonFSxConsoleFullAccess](#security-iam-awsmanpol-AmazonFSxConsoleFullAccess) – 更新現有政策 | Amazon FSx 新增了新的許可，讓使用者能夠在 Amazon FSx 主控台中檢視 FSx for Windows File Server 檔案系統的增強效能指標和建議動作。 | 2022 年 9 月 21 日 |
| [AmazonFSxReadOnlyAccess](#security-iam-awsmanpol-AmazonFSxReadOnlyAccess) – 開始追蹤政策 | 此政策會授予所有 Amazon FSx 資源和與其關聯之任何標籤的唯讀存取權。 | 2022 年 2 月 4 日 |
| [AmazonFSxDeleteServiceLinkedRoleAccess](#security-iam-awsmanpol-AmazonFSxDeleteServiceLinkedRoleAccess) – 開始追蹤政策 | 此政策會授予管理許可，允許 Amazon FSx 刪除其 Amazon S3 存取的服務連結角色。 | 2022 年 1 月 7 日 |
| [AmazonFSxServiceRolePolicy](using-service-linked-roles.md#slr-permissions) – 更新至現有政策 | Amazon FSx 新增了新的許可，以允許 Amazon FSx 管理 Amazon FSx for NetApp ONTAP 檔案系統的網路組態。 | 2021 年 9 月 2 日 |
| [AmazonFSxFullAccess](#security-iam-awsmanpol-AmazonFSxFullAccess) – 更新現有政策 | Amazon FSx 新增了新的許可，以允許 Amazon FSx 在 EC2 路由表上為範圍縮小的呼叫建立標籤。 | 2021 年 9 月 2 日 |
| [AmazonFSxConsoleFullAccess](#security-iam-awsmanpol-AmazonFSxConsoleFullAccess) – 更新至現有政策 | Amazon FSx 新增了允許 Amazon FSx 建立 Amazon FSx for NetApp ONTAP 多可用區域檔案系統的許可。 | 2021 年 9 月 2 日 |
| [AmazonFSxConsoleFullAccess](#security-iam-awsmanpol-AmazonFSxConsoleFullAccess) – 更新現有政策 | Amazon FSx 新增了新的許可，以允許 Amazon FSx 在 EC2 路由表上為範圍縮小的呼叫建立標籤。 | 2021 年 9 月 2 日 |
| [AmazonFSxServiceRolePolicy](using-service-linked-roles.md#slr-permissions) – 更新至現有政策 | Amazon FSx 新增了允許 Amazon FSx 描述和寫入 CloudWatch Logs 日誌串流的許可。 這是必要的，讓使用者可以使用 CloudWatch Logs 檢視 FSx for Windows File Server 檔案系統的檔案存取稽核日誌。 | 2021 年 6 月 8 日 |
| [AmazonFSxServiceRolePolicy](using-service-linked-roles.md#slr-permissions) – 更新至現有政策 | Amazon FSx 新增了允許 Amazon FSx 描述和寫入 Amazon Data Firehose 交付串流的許可。 這是必要的，讓使用者可以使用 Amazon Data Firehose 檢視 FSx for Windows File Server 檔案系統的檔案存取稽核日誌。 | 2021 年 6 月 8 日 |
| [AmazonFSxFullAccess](#security-iam-awsmanpol-AmazonFSxFullAccess) – 更新現有政策 | Amazon FSx 新增了新的許可，允許主體描述和建立 CloudWatch Logs 日誌群組、日誌串流，以及將事件寫入日誌串流。 這是必要的，以便主體可以使用 CloudWatch Logs 檢視 FSx for Windows File Server 檔案系統的檔案存取稽核日誌。 | 2021 年 6 月 8 日 |
| [AmazonFSxFullAccess](#security-iam-awsmanpol-AmazonFSxFullAccess) – 更新現有政策 | Amazon FSx 新增了新的許可，允許主體描述記錄並將其寫入 Amazon Data Firehose。 這是必要的，讓使用者可以使用 Amazon Data Firehose 檢視 FSx for Windows File Server 檔案系統的檔案存取稽核日誌。 | 2021 年 6 月 8 日 |
| [AmazonFSxConsoleFullAccess](#security-iam-awsmanpol-AmazonFSxConsoleFullAccess) – 更新至現有政策 | Amazon FSx 新增了新的許可，允許主體描述與發出請求的帳戶相關聯的 Amazon CloudWatch Logs 日誌群組。 這是必要的，以便主體在設定 FSx for Windows File Server 檔案系統的檔案存取稽核時，可以選擇現有的 CloudWatch Logs 日誌群組。 | 2021 年 6 月 8 日 |
| [AmazonFSxConsoleFullAccess](#security-iam-awsmanpol-AmazonFSxConsoleFullAccess) – 更新現有政策 | Amazon FSx 新增了新的許可，允許主體描述與提出請求的帳戶相關聯的 Amazon Data Firehose 交付串流。 這是必要的，以便主體在設定 FSx for Windows File Server 檔案系統的檔案存取稽核時，可以選擇現有的 Firehose 交付串流。 | 2021 年 6 月 8 日 |
| [AmazonFSxConsoleReadOnlyAccess](#security-iam-awsmanpol-AmazonFSxConsoleReadOnlyAccess) – 更新至現有政策 | Amazon FSx 新增了新的許可，允許主體描述與發出請求的帳戶相關聯的 Amazon CloudWatch Logs 日誌群組。 這是必要的，以便主體可以檢視 FSx for Windows File Server 檔案系統的現有檔案存取稽核組態。 | 2021 年 6 月 8 日 |
| [AmazonFSxConsoleReadOnlyAccess](#security-iam-awsmanpol-AmazonFSxConsoleReadOnlyAccess) – 更新現有政策 | Amazon FSx 新增了新的許可，允許主體描述與提出請求的帳戶相關聯的 Amazon Data Firehose 交付串流。 這是必要的，以便主體可以檢視 FSx for Windows File Server 檔案系統的現有檔案存取稽核組態。 | 2021 年 6 月 8 日 |
| Amazon FSx 已開始追蹤變更 | Amazon FSx 開始追蹤其 AWS 受管政策的變更。 | 2021 年 6 月 8 日 |
# 使用 Amazon VPC 的檔案系統存取控制
您可以使用其中一個端點的 DNS 名稱或 IP 地址存取 Amazon FSx for NetApp ONTAP 檔案系統和 SVMs，視其存取類型而定。DNS 名稱會映射至 VPC 中檔案系統或 SVM 彈性網路界面的私有 IP 地址。只有關聯 VPC 內的資源，或是透過 Direct Connect 或 VPN 與關聯 VPC 連線的資源，才能透過 NFS、SMB 或 iSCSI 通訊協定存取檔案系統中的資料。如需詳細資訊，請參閱《[Amazon VPC 使用者指南》中的什麼是](https://docs.aws.amazon.com/vpc/latest/userguide/what-is-amazon-vpc.html) * Amazon VPC？。*
**警告**
您不得修改或刪除與檔案系統相關聯的彈性網路界面 (s)。修改或刪除網路界面可能會導致 VPC 與檔案系統之間的連線永久中斷。
## Amazon VPC 安全群組
安全群組可做為 FSx for ONTAP 檔案系統的虛擬防火牆，以控制傳入和傳出流量。傳入規則控制傳入至檔案系統的流量，傳出規則控制來自檔案系統的傳出流量。當您建立檔案系統時，您可以指定在其中建立的 VPC，並套用該 VPC 的預設安全群組。您可以將規則新增至每個安全群組，以允許流量進出其相關聯的檔案系統和 SVMs。您可以隨時修改安全群組的規則。新的和修改過的規則會自動套用至與安全群組相關聯的所有資源。當 Amazon FSx 決定是否允許流量到達資源時，它會評估與資源相關聯的所有安全群組的所有規則。
若要使用安全群組來控制對 Amazon FSx 檔案系統的存取，請新增傳入和傳出規則。傳入規則控制傳入流量，傳出規則控制來自檔案系統的傳出流量。請確定您的安全群組中有正確的網路流量規則，將 Amazon FSx 檔案系統的檔案共用映射至支援的運算執行個體上的資料夾。
如需安全群組規則的詳細資訊，請參閱《Amazon EC2 使用者指南》中的[安全群組規則](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/using-network-security.html#security-group-rules)。 *Amazon EC2 *
### 建立 VPC 安全群組
**建立 Amazon FSx 的安全群組**
1. 開啟位於 https：//[https://console.aws.amazon.com/ec2](https://console.aws.amazon.com/ec2) 的 Amazon EC2 主控台。
1. 在導覽窗格中，選擇 **Security Groups** (安全群組)。
1. 選擇 **Create Security Group** (建立安全群組)。
1. 指定安全群組的名稱和描述。
1. 針對 **VPC**，選擇與檔案系統相關聯的 Amazon VPC，在該 VPC 內建立安全群組。
1. 對於傳出規則，允許所有連接埠上的所有流量。
1. 將下列規則新增至安全群組的傳入連接埠。對於**來源**欄位，您應該選擇**自訂**，並輸入與需要存取 FSx for ONTAP 檔案系統的執行個體相關聯的安全群組或 IP 地址範圍，包括：
+ 透過 NFS、SMB 或 iSCSI 存取檔案系統中資料的 Linux、Windows 和/或 macOS 用戶端。
+ 您將對等至檔案系統的任何 ONTAP 檔案系統/叢集 （例如，使用 SnapMirror、SnapVault 或 FlexCache)。
+ 您將用來存取 ONTAP REST API、CLI 或 ZAPIs的任何用戶端 （例如 Harvest/Grafana 執行個體、NetApp Connector 或 NetApp 主控台）。
[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/fsx/latest/ONTAPGuide/limit-access-security-groups.html)
1. 將安全群組新增至檔案系統的彈性網路界面。
#### 不允許存取檔案系統
若要暫時禁止從所有用戶端存取檔案系統，您可以移除與檔案系統彈性網路界面相關聯的所有安全群組，並將其取代為沒有傳入/傳出規則的群組。
# Amazon FSx for NetApp ONTAP 的合規驗證
若要了解 是否 AWS 服務 在特定合規計劃的範圍內，請參閱[AWS 服務 合規計劃範圍內](https://aws.amazon.com/compliance/services-in-scope/)然後選擇您感興趣的合規計劃。如需一般資訊，請參閱[AWS 合規計劃](https://aws.amazon.com/compliance/programs/)。
您可以使用 下載第三方稽核報告 AWS Artifact。如需詳細資訊，請參閱[在 中下載報告 AWS Artifact](https://docs.aws.amazon.com/artifact/latest/ug/downloading-documents.html)。
您使用 時的合規責任 AWS 服務 取決於資料的機密性、您公司的合規目標，以及適用的法律和法規。如需使用 時合規責任的詳細資訊 AWS 服務，請參閱 [AWS 安全文件](https://docs.aws.amazon.com/security/)。
# Amazon FSx for NetApp ONTAP 和界面 VPC 端點 (AWS PrivateLink)
您可以將 Amazon FSx 設定為使用介面 VPC 端點，以改善 VPC 的安全狀態。介面 VPC 端點採用 [AWS PrivateLink](https://aws.amazon.com/privatelink)技術，可讓您在沒有網際網路閘道、NAT 裝置、VPN 連線或 Direct Connect 連線的情況下私下存取 Amazon FSx APIs。VPC 中的執行個體不需要公有 IP 地址，即可與 Amazon FSx APIs 通訊。VPC 和 Amazon FSx 之間的流量不會離開 AWS 網路。
每個界面 VPC 端點由子網路中的一或多個彈性網路界面表示。網路介面提供私有 IP 地址，做為 Amazon FSx API 流量的進入點。Amazon FSx 支援使用 IPv4 和雙堆疊 (IPv4 和 IPv6) IP 地址類型設定的 VPC 端點。如需詳細資訊，請參閱《*Amazon* [VPC 使用者指南》中的建立介面 VPC 端點](https://docs.aws.amazon.com/vpc/latest/userguide/vpce-interface.html#create-interface-endpoint)。
## Amazon FSx 介面 VPC 端點的考量事項
為 Amazon FSx 設定介面 VPC 端點之前，請務必檢閱《Amazon [ VPC 使用者指南》中的介面 VPC 端點屬性和限制](https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-interface.html#vpce-interface-limitations)。 **
您可以從 VPC 呼叫任何 Amazon FSx API 操作。例如，您可以從 VPC 內呼叫 CreateFileSystem API，以建立 FSx for ONTAP 檔案系統。如需 Amazon FSx APIs 的完整清單，請參閱《Amazon FSx API 參考》中的[動作](https://docs.aws.amazon.com/fsx/latest/APIReference/API_Operations.html)。
### VPC 對等互連考量
您可以使用 VPCs對等互連，透過介面 VPC 端點將其他 VPC 連接至 VPC。VPC 對等互連是兩個 VPC 之間的網路連線。您可以在自己的兩個 VPC 之間建立 VPCs 對等互連，或在另一個 VPC 中建立 VPC AWS 帳戶。VPCs 也可以位於兩個不同的 中 AWS 區域。
對等 VPCs之間的流量會保留在 AWS 網路上，而不會周遊公有網際網路。一旦 VPCs 對等互連，兩個 VPCs 中的 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體等資源可以透過其中一個 VPCs 中建立的介面 VPC 端點存取 Amazon FSx API。
## 為 Amazon FSx API 建立介面 VPC 端點
您可以使用 Amazon VPC 主控台或 AWS Command Line Interface () 為 Amazon FSx API 建立 VPC 端點AWS CLI。如需詳細資訊，請參閱《Amazon [ VPC 使用者指南》中的建立介面](https://docs.aws.amazon.com/vpc/latest/userguide/vpce-interface.html#create-interface-endpoint) VPC 端點。 **
若要為 Amazon FSx 建立介面 VPC 端點，請使用下列其中一項：
+ `com.amazonaws.region.fsx` – 建立 Amazon FSx API 操作的端點。
+ **`com.amazonaws.region.fsx-fips`** – 為 Amazon FSx API 建立符合[聯邦資訊處理標準 (FIPS) 140-2 的](https://aws.amazon.com/compliance/fips/)端點。
若要使用私有 DNS 選項，您必須設定 VPC 的 `enableDnsHostnames`和 `enableDnsSupport` 屬性。如需詳細資訊，請參閱《*Amazon* [ VPC 使用者指南》中的檢視和更新 VPC 的 DNS 支援](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-dns.html#vpc-dns-updating)。
AWS 區域 在中國除外，如果您為端點啟用私有 DNS，您可以使用 VPC 端點的預設 DNS 名稱向 Amazon FSx 提出 API 請求 AWS 區域，例如 `fsx.us-east-1.amazonaws.com`。對於中國 （北京） 和中國 （寧夏） AWS 區域，您可以`fsx-api---cn-northwest-1.amazonaws.com.rproxy.govskope.ca.cn`分別使用 `fsx-api---cn-north-1.amazonaws.com.rproxy.govskope.ca.cn`和 使用 VPC 端點提出 API 請求。
如需詳細資訊，請參閱《*Amazon* [ VPC 使用者指南》中的透過介面 VPC 端點存取服務](https://docs.aws.amazon.com/vpc/latest/userguide/vpce-interface.html#access-service-though-endpoint)。
## 為 Amazon FSx 建立 VPC 端點政策
若要控制對 Amazon FSx API 的存取，您可以將 AWS Identity and Access Management (IAM) 政策連接至 VPC 端點。此政策會指定以下項目：
+ 可執行動作的主體。
+ 可執行的動作。
+ 可供執行動作的資源。
如需詳細資訊，請參閱 *Amazon VPC 使用者指南*中的[使用 VPC 端點控制對服務的存取](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-endpoints-access.html)。
# Amazon FSx for NetApp ONTAP 中的彈性
AWS 全球基礎設施是以 AWS 區域 和 可用區域為基礎建置。 AWS 區域 提供多個實體分隔和隔離的可用區域，這些可用區域與低延遲、高輸送量和高備援聯網連接。透過可用區域，您可以設計與操作的應用程式和資料庫，在可用區域之間自動容錯移轉而不會發生中斷。可用區域的可用性、容錯能力和擴展能力，均較單一或多個資料中心的傳統基礎設施還高。
如需 AWS 區域 和可用區域的詳細資訊，請參閱 [AWS 全球基礎設施](https://aws.amazon.com/about-aws/global-infrastructure/)。
除了 AWS 全球基礎設施之外，Amazon FSx 還提供數種功能，以協助支援您的資料彈性和備份需求。
## 備份與還原
Amazon FSx 會在 Amazon FSx for NetApp ONTAP 檔案系統中建立並儲存磁碟區的自動備份。Amazon FSx 會在 Amazon FSx for NetApp ONTAP 檔案系統的備份時段建立磁碟區的自動備份。Amazon FSx 會根據您指定的備份保留期儲存磁碟區的自動備份。您也可以透過建立使用者起始的備份來手動備份磁碟區。您可以隨時使用指定為來源的備份建立新的磁碟區，以還原磁碟區備份。
如需詳細資訊，請參閱[使用磁碟區備份保護您的資料](using-backups.md)。
## 快照
Amazon FSx 會建立 Amazon FSx for NetApp ONTAP 磁碟區的快照副本。快照副本提供保護，防止最終使用者意外刪除或修改磁碟區中的檔案。如需詳細資訊，請參閱[使用快照保護您的資料](snapshots-ontap.md)。
## 可用區域
Amazon FSx for NetApp ONTAP 檔案系統旨在提供資料的持續可用性，即使伺服器發生故障也一樣。每個檔案系統都由至少一個可用區域中的兩個檔案伺服器提供支援，每個伺服器都有自己的儲存體。Amazon FSx 會自動複寫您的資料，以防止其發生元件故障、持續監控硬體故障，並在發生故障時自動取代基礎設施元件。檔案系統會自動視需要容錯移轉和回復 （通常在 60 秒內），而用戶端會自動容錯移轉和回復檔案系統。
### 多可用區域檔案系統
Amazon FSx for NetApp ONTAP 檔案系統在可用區域之間 AWS 具有高可用性和耐用性，即使在無法使用可用區域的情況下，也能持續提供資料的可用性。
如需詳細資訊，請參閱[可用性、耐用性和部署選項](high-availability-AZ.md)。
### 單一可用區檔案系統
Amazon FSx for NetApp ONTAP 檔案系統在單一 AWS 可用區域內具有高可用性和耐用性，旨在在該可用區域內提供持續可用性，以防個別檔案伺服器或磁碟故障。
如需詳細資訊，請參閱[可用性、耐用性和部署選項](high-availability-AZ.md)。
# Amazon FSx for NetApp ONTAP 中的基礎設施安全性
Amazon FSx for NetApp ONTAP 是受管服務，受到 AWS 全球網路安全的保護。如需 AWS 安全服務以及 如何 AWS 保護基礎設施的相關資訊，請參閱[AWS 雲端安全](https://aws.amazon.com/security/)。若要使用基礎設施安全的最佳實務來設計您的 AWS 環境，請參閱*安全支柱 AWS Well-Architected Framework* 中的[基礎設施保護](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/infrastructure-protection.html)。
您可以使用 AWS 發佈的 API 呼叫，透過網路存取 Amazon FSx。使用者端必須支援下列專案：
+ Transport Layer Security (TLS)。我們需要 TLS 1.2 並建議使用 TLS 1.3。
+ 具備完美轉送私密(PFS)的密碼套件，例如 DHE (Ephemeral Diffie-Hellman)或 ECDHE (Elliptic Curve Ephemeral Diffie-Hellman)。現代系統(如 Java 7 和更新版本)大多會支援這些模式。
# 將 NetApp ONTAP Vscan 與 FSx for ONTAP 搭配使用
您可以使用 NetApp ONTAP's Vscan 功能來執行支援的第三方防毒軟體。如需詳細資訊，請參閱下列每個支援解決方案的資源。
+ Deep Instinct – [Vscan 合作夥伴解決方案](https://docs.netapp.com/us-en/ontap/antivirus/vscan-partner-solutions.html)和 [Deep Instinct 文件1](https://portal.deepinstinct.com/pages/dikb)
+ SentinelOne – [Vscan 合作夥伴解決方案](https://docs.netapp.com/us-en/ontap/antivirus/vscan-partner-solutions.html)和 [SentinelOne 奇異性雲端資料安全性](https://www.sentinelone.com/platform/singularity-cloud-data-security)
+ Symantec – [Vscan 合作夥伴解決方案](https://docs.netapp.com/us-en/ontap/antivirus/vscan-partner-solutions.html)和 [Symantec 保護引擎](https://techdocs.broadcom.com/us/en/symantec-security-software/endpoint-security-and-management/symantec-protection-engine/9-1-0.html)
+ Trellix （先前稱為 McAfee) – [Vscan 合作夥伴解決方案](https://docs.netapp.com/us-en/ontap/antivirus/vscan-partner-solutions.html)和 [Trellix 產品文件](https://docs.trellix.com/)
+ Trend Micro – [Vscan 合作夥伴解決方案](https://docs.netapp.com/us-en/ontap/antivirus/vscan-partner-solutions.html)
**注意**
1 您必須登入 Deep Instinct 的入口網站才能檢視其文件。
# ONTAP 角色和使用者
NetApp ONTAP 包含強大且可擴展的角色型存取控制 (RBAC) 功能。 ONTAP角色會在使用 CLI 和 REST API ONTAP 時定義使用者功能和權限。每個角色定義不同層級的管理功能和權限。您可以將角色指派給使用者，以便在使用 ONTAP REST API 和 CLI 時控制其對 FSx for ONTAP 資源的存取。FSx for ONTAP 檔案系統使用者和儲存虛擬機器 (SVM) 使用者有個別可用的ONTAP角色。
當您建立 FSx for ONTAP 檔案系統時，預設ONTAP使用者會在檔案系統層級和 SVM 層級建立。您可以建立其他檔案系統和 SVM 使用者，也可以建立其他 SVM 角色，以滿足組織的需求。本章說明ONTAP使用者和角色，並提供建立其他使用者和 SVM 角色的詳細程序。
## 檔案系統管理員角色和使用者
預設ONTAP檔案系統使用者為 `fsxadmin`，其具有指派給該檔案系統`fsxadmin`的角色。您可以指派給檔案系統使用者的兩個預先定義角色，如下所示：
+ **`fsxadmin`**- 具有此角色的管理員在ONTAP系統中擁有不受限制的權限。他們可以設定 FSx for ONTAP 檔案系統上可用的所有檔案系統和 SVM 層級資源。
+ **`fsxadmin-readonly`**- 具有此角色的管理員可以在檔案系統層級檢視所有項目，但無法進行任何變更。
此角色非常適合與監控應用程式搭配使用，例如 ，NetApp Harvest因為它具有所有可用資源及其屬性的唯讀存取權，但無法對其進行任何變更。
您可以建立其他檔案系統使用者，並將 `fsxadmin`或 `fsxadmin-readonly`角色指派給他們。您無法建立新的角色或修改現有的角色。如需詳細資訊，請參閱[為檔案系統和 SVM 管理建立新的ONTAP使用者](#file-system-roles-and-users)。
下表說明檔案系統管理員角色對 CLI 和 REST API ONTAP 命令和命令目錄的存取層級。
[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/fsx/latest/ONTAPGuide/roles-and-users.html)
## SVM 管理員角色和使用者
每個 SVM 都有單獨的身分驗證網域，並且可以由自己的管理員獨立管理。對於檔案系統上的每個 SVM，預設使用者是 *vsadmin*，其預設會指派`vsadmin`角色。除了 `vsadmin`角色之外，還有其他預先定義的 SVM 角色，提供可指派給 SVM 使用者的縮小範圍許可。您也可以建立自訂角色，提供符合您組織需求的存取控制層級。
SVM 管理員的預先定義角色及其功能如下所示：
| 角色名稱 | 功能 |
| --- | --- |
| `vsadmin` | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/fsx/latest/ONTAPGuide/roles-and-users.html) |
| `vsadmin-volume` | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/fsx/latest/ONTAPGuide/roles-and-users.html) |
| `vsadmin-protocol` | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/fsx/latest/ONTAPGuide/roles-and-users.html) |
| `vsadmin-backup` | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/fsx/latest/ONTAPGuide/roles-and-users.html) |
| `vsadmin-snaplock` | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/fsx/latest/ONTAPGuide/roles-and-users.html) |
| `vsadmin-readonly` | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/fsx/latest/ONTAPGuide/roles-and-users.html) |
如需如何建立新的 SVM 角色的詳細資訊，請參閱 [建立 SVM 角色](creating-new-svm-roles.md)。
## 使用 Active Directory 驗證ONTAP使用者
您可以驗證 Windows Active Directory 網域使用者對 FSx for ONTAP 檔案系統和 SVM 的存取。您必須先執行下列任務，Active Directory 帳戶才能存取您的檔案系統：
+ 您需要設定 Active Directory 網域控制站對 SVM 的存取。
您用來將 設定為 Active Directory 網域控制站存取的閘道或通道的 SVM 必須啟用 CIFS、加入 Active Directory 或兩者。如果您未啟用 CIFS 且僅將通道 SVM 加入 Active Directory，請確定 SVM 已加入您的 Active Directory。如需詳細資訊，請參閱[將 SVMs加入 Microsoft Active Directory 的運作方式](self-managed-AD-join.md)。
+ 您需要啟用 Active Directory 網域使用者帳戶才能存取檔案系統。
您可以為存取 CLI 或 REST API 的 Windows 網域使用者使用密碼身分驗證或 SSH ONTAP 公有金鑰身分驗證。
如需說明如何使用 為檔案系統和 SVM 管理員設定 Active Directory 身分驗證的程序，請參閱 [為ONTAP使用者設定 Active Directory 身分驗證](set-up-ad-auth.md)。
## 為檔案系統和 SVM 管理建立新的ONTAP使用者
每個ONTAP使用者都與 SVM 或檔案系統相關聯。具有 `fsxadmin`角色的檔案系統使用者可以使用 CLI 命令建立新的 SVM [https:/docs.netapp.com/us-en/ontap-cli-9141/security-login-create.html](https:/docs.netapp.com/us-en/ontap-cli-9141/security-login-create.html) ONTAP 角色和使用者。
`security login create` 命令會為 管理公用程式建立登入方法。登入方法包含使用者名稱、應用程式 （存取方法） 和身分驗證方法。使用者名稱可以與多個應用程式建立關聯。它可以選擇性地包含存取控制角色名稱。如果使用 Active Directory、LDAP 或 NIS 群組名稱，則登入方法會將存取權授予屬於指定群組的使用者。如果使用者是安全登入資料表中佈建的多個群組的成員，則該使用者將存取針對個別群組授權的命令組合清單。
如需如何建立新ONTAP使用者的資訊，請參閱 [建立 ONTAP 使用者](create-new-ontap-users.md)。
**Topics**
+ [檔案系統管理員角色和使用者](#file-system-admin-roles)
+ [SVM 管理員角色和使用者](#svm-admin-roles)
+ [使用 Active Directory 驗證ONTAP使用者](#ad-tunneling)
+ [為檔案系統和 SVM 管理建立新的ONTAP使用者](#file-system-roles-and-users)
+ [建立 ONTAP 使用者](create-new-ontap-users.md)
+ [建立 SVM 角色](creating-new-svm-roles.md)
+ [為ONTAP使用者設定 Active Directory 身分驗證](set-up-ad-auth.md)
+ [設定公有金鑰身分驗證](public-key-auth.md)
+ [更新檔案系統和 SVM 角色的密碼需求](update-password-requirements.md)
+ [更新`fsxadmin`帳戶密碼失敗](updating-admin-password.md)
# 建立 ONTAP 使用者
**建立新的 SVM 或檔案系統使用者 (ONTAP CLI)**
只有具有 `fsxadmin`角色的檔案系統使用者可以建立新的 SVM 和檔案系統使用者。
1. 若要存取 ONTAP CLI，請執行下列命令，在 Amazon FSx for NetApp ONTAP 檔案系統或 SVM 的管理連接埠上建立 SSH 工作階段。`management_endpoint_ip` 將 取代為檔案系統管理連接埠的 IP 地址。
```
[~]$ ssh fsxadmin@management_endpoint_ip
```
如需詳細資訊，請參閱[使用 CLI ONTAP 管理檔案系統](managing-resources-ontap-apps.md#fsxadmin-ontap-cli)。
1. 使用 `security login create` ONTAP CLI 命令在 FSx for ONTAP 檔案系統或 SVM 上建立新的使用者帳戶。
在範例中插入預留位置的資料，以定義下列必要屬性：
+ `-vserver` – 指定您要建立新 SVM 角色或使用者的 SVM 名稱。如果您要建立檔案系統角色或使用者，請不要指定 SVM。
+ `-user-or-group-name` – 指定登入方法的使用者名稱或 Active Directory 群組名稱。Active Directory 群組名稱只能使用`domain`身分驗證方法和 `ontapi`和 `ssh` 應用程式來指定。
+ `-application` – 指定登入方法的應用程式。可能的值包括 http、ontapi 和 ssh。
+ `-authentication-method` – 指定登入的身分驗證方法。可能的值包括以下：
+ domain – 用於 Active Directory 身分驗證
+ password – 用於密碼身分驗證
+ publickey – 公有金鑰身分驗證的使用者
+ `-role` – 指定登入方法的存取控制角色名稱。在檔案系統層級，唯一可以指定的角色是 `fsxadmin`。
（選用） 您也可以搭配 命令使用下列一或多個參數：
+ `[-comment]` – 使用 來包含使用者帳戶的符號或註解。例如 **Guest account**。長度上限為 128 個字元。
+ `[-second-authentication-method {none|publickey|password|nsswitch}]` – 指定第二要素驗證方法。您可以指定下列方法：
+ password – 用於密碼身分驗證
+ publickey – 用於公有金鑰身分驗證
+ nsswitch – 用於 NIS 或 LDAP 身分驗證
+ none – 如果您未指定預設值
```
Fsx0123456::> security login create -vserver vserver_name -user-or-group-name user_or_group_name -application login_application -authentication-method auth_method -role role_or_account_name
```
下列命令會使用 SSH 搭配密碼登入，`new_fsxadmin`以指派`fsxadmin-readonly`的角色建立新的檔案系統使用者。出現提示時，請為使用者提供密碼。
```
Fsx0123456::> security login create -user-or-group-name new_fsxadmin -application ssh -authentication-method password -role fsxadmin-readonly
Please enter a password for user 'new_fsxadmin':
Please enter it again:
Fsx0123456::>
```
1. 下列命令會使用 `vsadmin_readonly`角色在 SVM `new_vsadmin` 上建立新的 `fsx` SVM 使用者，設定為使用 SSH 搭配密碼登入。出現提示時，請為使用者提供密碼。
```
Fsx0123456::> security login create -vserver fsx -user-or-group-name new_vsadmin -application ssh -authentication-method password -role vsadmin-readonly
Please enter a password for user 'new_vsadmin':
Please enter it again:
Fsx0123456::>
```
1. 下列命令會建立新的唯讀檔案系統使用者`harvest2-user`，供 NetApp Harvest 應用程式用來收集效能和容量指標。如需詳細資訊，請參閱[使用 Harvest 和 Grafana 監控 FSx for ONTAP 檔案系統](monitoring-harvest-grafana.md)。
```
Fsx0123456::> security login create -user-or-group-name harvest2-user -application ssh -role fsxadmin-readonly -authentication-method password
```
**檢視所有檔案系統和 SVM 使用者的資訊**
+ 使用下列命令來檢視檔案系統和 SVMs的所有登入資訊。
```
Fsx0123456::> security login show
Vserver: Fsx0123456
Second
User/Group Authentication Acct Authentication
Name Application Method Role Name Locked Method
-------------- ----------- ------------- ---------------- ------ --------------
autosupport console password autosupport no none
fsxadmin http password fsxadmin no none
fsxadmin ontapi password fsxadmin no none
fsxadmin ssh password fsxadmin no none
fsxadmin ssh publickey fsxadmin - none
new_fsxadmin ssh password fsxadmin-readonly
no none
Vserver: fsx
Second
User/Group Authentication Acct Authentication
Name Application Method Role Name Locked Method
-------------- ----------- ------------- ---------------- ------ --------------
new_vsadmin ssh password vsadmin-readonly no none
vsadmin http password vsadmin yes none
vsadmin ontapi password vsadmin yes none
vsadmin ssh password vsadmin yes none
10 entries were displayed.
Fsx0123456::>
```
# 建立 SVM 角色
您建立的每個 SVM 都有預設 SVM 管理員，該管理員會指派預先定義的`vsadmin`角色。除了一組[預先定義的 SVM 角色](roles-and-users.md#svm-admin-roles)之外，您還可以建立新的 SVM 角色。如果您需要為 SVM 建立新角色，請使用 CLI `security login role create` ONTAP 命令。此命令可供具有 `fsxadmin`角色的檔案系統管理員使用。
**建立新的 SVM 角色 (ONTAP CLI)**
1. 您可以使用 [https://docs.netapp.com/us-en/ontap-cli-9141/security-login-role-create.html](https://docs.netapp.com/us-en/ontap-cli-9141/security-login-role-create.html)ONTAP CLI命令建立新的 SVM 角色：
```
Fsx0123456::> security login role create -vserver vs1.example.com -role vol_role -cmddirname volume
```
1. 在 命令中指定下列必要參數：
+ `-vserver` SVM 的名稱
+ `-role` – 角色的名稱。
+ `-cmddirname` – 角色授予存取權的命令或命令目錄。以雙引號括住命令子目錄名稱。例如 `"volume snapshot"`。輸入 `DEFAULT`以指定所有命令目錄。
1. （選用） 您也可以將下列任何參數新增至命令：
+ `-vserver` – 與該角色相關聯的 SVM 名稱。
+ `-access` – 角色的存取層級。對於命令目錄，這包括：
+ `none` – 拒絕存取命令目錄中的命令。這是自訂角色的預設值。
+ `readonly` – 准許存取命令目錄中的 show 命令及其子目錄。
+ `all` – 授予對命令目錄及其子目錄中所有命令的存取權。若要授予或拒絕對內部命令的存取，您必須指定命令目錄。
對於非內部命令 （結尾不是 `create`、`delete`、 `modify`或 的命令`show`)：
+ `none` – 拒絕存取命令目錄中的命令。這是自訂角色的預設值。
+ `readonly` – 不適用。請勿使用 。
+ `all` – 授予 命令的存取權。
+ `-query` – 用來篩選存取層級的查詢物件，以命令的有效選項或命令目錄中命令的形式指定。以雙引號括住查詢物件。
1. 執行 `security login role create` 命令。
下列命令會為 vs1.example.com Vserver 建立名為 "admin" 的存取控制角色。此角色具有「磁碟區」命令的所有存取權，但僅限於「彙總0」彙總內。
```
Fsx0123456::>security login role create -role admin -cmddirname volume -query "-aggr aggr0" -access all -vserver vs1.example.com
```
# 為ONTAP使用者設定 Active Directory 身分驗證
使用 ONTAP CLI 為ONTAP檔案系統和 SVM 使用者設定使用 Active Directory 身分驗證。
您必須是具有 `fsxadmin`角色的檔案系統管理員，才能使用此程序中的命令。
**為ONTAP使用者設定 Active Directory 身分驗證 (ONTAP CLI)**
此程序中的命令可供具有 `fsxadmin`角色的檔案系統使用者使用。
1. 若要存取 ONTAP CLI，請執行下列命令，在 Amazon FSx for NetApp ONTAP 檔案系統或 SVM 的管理連接埠上建立 SSH 工作階段。`management_endpoint_ip` 將 取代為檔案系統管理連接埠的 IP 地址。
```
[~]$ ssh fsxadmin@management_endpoint_ip
```
如需詳細資訊，請參閱[使用 CLI ONTAP 管理檔案系統](managing-resources-ontap-apps.md#fsxadmin-ontap-cli)。
1. 使用如下所示的 [https://docs.netapp.com/us-en/ontap-cli-9141/security-login-domain-tunnel-create.html](https://docs.netapp.com/us-en/ontap-cli-9141/security-login-domain-tunnel-create.html)命令來建立網域通道，以驗證 Windows Active Directory 使用者。將 *svm\$1name* 取代為您用於網域通道的 SVM 名稱。
```
FsxId0123456::> security login domain-tunnel create -vserver svm_name
```
1. 使用 [https://docs.netapp.com/us-en/ontap-cli-9141/security-login-create.html](https://docs.netapp.com/us-en/ontap-cli-9141/security-login-create.html)命令來建立將存取檔案系統的 Active Directory 網域使用者帳戶。
在 命令中指定下列必要參數：
+ `-vserver` – 使用 CIFS 設定並加入 Active Directory 的 SVM 名稱。它將用作通道，向檔案系統驗證 Active Directory 網域使用者的身分。將會建立新角色或使用者。
+ `-user-or-group-name` – 登入方法的使用者名稱或 Active Directory 群組名稱。Active Directory 群組名稱只能使用`domain`身分驗證方法和`ontapi``ssh`應用程式來指定。
+ `-application` – 登入方法的應用程式。可能的值包括 http、ontapi 和 ssh。
+ `-authentication-method` – 用於登入的身分驗證方法。可能的值包括以下：
+ domain – 用於 Active Directory 身分驗證
+ password – 用於密碼身分驗證
+ publickey – 用於公有金鑰身分驗證
+ `-role` – 登入方法的存取控制角色名稱。在檔案系統層級，唯一可以指定的角色是 `-role fsxadmin`。
下列範例會`CORP\Admin`建立`filesystem1`檔案系統的 Active Directory 網域使用者帳戶。
```
FSxId012345::> security login create -vserver filesystem1 -username CORP\Admin -application ssh -authmethod domain -role fsxadmin
```
下列範例會建立具有公有金鑰身分驗證的`CORP\Admin`使用者帳戶。
```
FsxId0123456ab::> security login create -user-or-group-name "CORP\Admin" -application ssh -authentication-method publickey -role fsxadmin
Warning: To use public-key authentication, you must create a public key for user "CORP\Admin".
```
使用下列命令為`CORP\Admin`使用者建立公有金鑰：
```
FsxId0123456ab::> security login publickey create -username "CORP\Admin" -publickey "ecdsa-sha2-nistp256 SECRET_STRING_HERE_IS_REDACTED= cwaltham@b0be837a91bf.ant.amazon.com"
```
**使用 SSH 搭配 Active Directory 登入資料登入檔案系統**
+ 如果您選擇 `-application`類型，以下範例示範如何使用 Active Directory 登入資料`ssh`將 SSH 傳送至檔案系統。的格式`username`為 `"domain-name\user-name"`，這是您在建立帳戶時提供的網域名稱和使用者名稱，以反斜線分隔並以引號括住。
```
Fsx0123456::> ssh "CORP\user"@management.fs-abcdef01234567892.fsx.us-east-2.aws.com
```
當系統提示您輸入密碼時，請使用 Active Directory 使用者的密碼。
# 設定公有金鑰身分驗證
若要啟用 SSH 公有金鑰驗證，您必須先產生 SSH 金鑰，並使用 `security login publickey create`命令將其與管理員帳戶建立關聯。這可讓帳戶存取 SVM。`security login publickey create` 命令接受下列參數。
| 參數 | Description |
| --- | --- |
| `-vserver` (選用) | 帳戶存取的 SVM 名稱。如果您要為檔案系統使用者設定 SSH 公有金鑰身分驗證，請勿包含 `-versver`。 |
| `-username` | 帳戶的使用者名稱。預設值 `admin`是叢集管理員的預設名稱。 |
| `-index` | 公有金鑰的索引號碼。如果金鑰是為帳戶建立的第一個金鑰，則預設值為 0。否則，預設值會比帳戶的最高現有索引號碼多一個。 |
| `-publickey` | OpenSSH 公有金鑰。以雙引號括住索引鍵。 |
| `-role` | 指派給帳戶的存取控制角色。 |
| `-comment` (選用) | 公有金鑰的描述性文字。以雙引號括住文字。 |
下列範例會將公有金鑰與 SVM `svmadmin`的 SVM 管理員帳戶建立關聯`svm01`。公有金鑰被指派索引號碼 `5`。
```
Fsx0123456::> security login publickey create -vserver svm01 -username svmadmin -index 5 -publickey "ssh-rsa AAAAB3NzaC1yc2EAAAABIwAAAIEAspH64CYbUsDQCdW22JnK6J/vU9upnKzd2zAk9C1f7YaWRUAFNs2Qe5lUmQ3ldi8AD0Vfbr5T6HZPCixNAIzaFciDy7hgnmdj9eNGedGr/JNrftQbLD1hZybX+72DpQB0tYWBhe6eDJ1oPLobZBGfMlPXh8VjeU44i7W4+s0hG0E=tsmith@publickey.example.com"
```
**重要**
您必須是 SVM 或檔案系統管理員才能執行此任務。
# 更新檔案系統和 SVM 角色的密碼需求
您可以使用 CLI 命令更新檔案系統或 SVM [https://docs.netapp.com/us-en/ontap-cli-9141/security-login-role-config-modify.html#description](https://docs.netapp.com/us-en/ontap-cli-9141/security-login-role-config-modify.html#description) ONTAP 角色的密碼需求。此命令僅適用於具有 `fsxadmin`角色的檔案系統管理員帳戶。修改密碼需求時，如果有任何具有該角色的現有使用者將受到變更的影響，系統會發出警告。
下列範例會將 `fsx` SVM 上具有 `vsadmin-readonly`角色之使用者的密碼需求下限修改為 12 個字元。在此範例中，有具有此角色的現有使用者。
```
FsxId0123456::> security login role config modify -role vsadmin-readonly -vserver fsx -passwd-minlength 12
```
由於現有使用者，系統會顯示下列警告：
```
Warning: User accounts with this role exist. Modifications to the username/password restrictions on this role could result in non-compliant user
accounts.
Do you want to continue? {y|n}:
FsxId0123456::>
```
# 更新`fsxadmin`帳戶密碼失敗
當您更新`fsxadmin`使用者的密碼時，如果不符合檔案系統上設定的密碼要求，您可能會收到錯誤。您可以使用 CLI 或 REST API `security login role config show` ONTAP 命令來檢視密碼需求。
**檢視檔案系統或 SVM 角色的密碼需求**
1. 若要存取 ONTAP CLI，請執行下列命令，在 Amazon FSx for NetApp ONTAP 檔案系統或 SVM 的管理連接埠上建立 SSH 工作階段。`management_endpoint_ip` 將 取代為檔案系統管理連接埠的 IP 地址。
```
[~]$ ssh fsxadmin@management_endpoint_ip
```
如需詳細資訊，請參閱[使用 CLI ONTAP 管理檔案系統](managing-resources-ontap-apps.md#fsxadmin-ontap-cli)。
1. `security login role config show` 命令會傳回檔案系統或 SVM 角色的密碼需求。
```
FsxId0123456::> security login role config show -role fsxadmin -fields password_requirement_fields
```
針對 `-fields` 參數，指定下列任何或所有項目：
+ `passwd-minlength` – 密碼的長度下限。
+ `passwd-min-special-chars` – 密碼中的特殊字元數目下限。
+ `passwd-min-lowercase-chars` – 密碼中的小寫字元數下限。
+ `passwd-min-uppercase-chars` – 密碼中的大寫字元數下限。
+ `passwd-min-digits` – 密碼中的位數下限。
+ `passwd-alphanum` – 包含或排除英數字元的相關資訊。
+ `passwd-expiry-time` – 密碼過期時間。
+ `passwd-expiry-warn-time` – 密碼過期警告時間。
1. 執行下列命令以查看所有密碼需求：
```
FsxId0123456::> security login role config show -role fsxadmin -fields passwd-minlength, passwd-min-special-chars, passwd-min-lowercase-chars, passwd-min-digits, passwd-alphanum, passwd-expiry-time, passwd-expiry-warn-time, passwd-min-uppercase-chars
vserver role passwd-minlength passwd-alphanum passwd-min-special-chars passwd-expiry-time passwd-min-lowercase-chars passwd-min-uppercase-chars passwd-min-digits passwd-expiry-warn-time
---------------------- -------- ---------------- --------------- ------------------------ ------------------ -------------------------- -------------------------- ----------------- -----------------------
FsxId0123456 fsxadmin 3 enabled 0 unlimited 0 0 0 unlimited
```