OneFS và Bảo mật HTTP

Để bật cấu hình bảo mật HTTP chi tiết, OneFS cung cấp tùy chọn vô hiệu hóa các thành phần HTTP không cần thiết một cách có chọn lọc. Điều này có thể giúp giảm bề mặt tấn công tổng thể của cơ sở hạ tầng của bạn. Vô hiệu hóa dịch vụ của một thành phần cụ thể vẫn cho phép các dịch vụ thiết yếu khác trên cụm tiếp tục chạy mà không bị cản trở. Trong OneFS 9.4 trở lên, bạn có thể vô hiệu hóa các dịch vụ HTTP không cần thiết sau:

Bạn có thể bật hoặc tắt từng dịch vụ này một cách độc lập, bằng cách sử dụng CLI hoặc API nền tảng, nếu bạn có tài khoản người dùng có đặc quyền ISI_PRIV_HTTP RBAC.

Bạn có thể sử dụng lệnh CLI dịch vụ isi http để xem và sửa đổi các dịch vụ HTTP không cần thiết:

# isi http danh sách dịch vụ
Đã bật ID
------------------------------
Nền tảng-API-Ngoài Có
PowerScaleUI Có
RAN Có
Dịch vụ từ xa Có
SWIFT Không
------------------------------
Tổng cộng: 5

Ví dụ, bạn có thể dễ dàng vô hiệu hóa quyền truy cập HTTP từ xa vào không gian tên OneFS /ifs như sau:

# isi http dịch vụ sửa đổi RAN --enabled=0

Bạn sắp sửa đổi dịch vụ RAN. Bạn có chắc chắn không? (có/[không]): có

Tương tự như vậy, bạn cũng có thể sử dụng WebUI để xem và chỉnh sửa một tập hợp con các thiết lập cấu hình HTTP bằng cách điều hướng đến Giao thức > Thiết lập HTTP :

Nói như vậy, ý nghĩa và tác động của việc vô hiệu hóa từng dịch vụ như sau:

Bạn có thể sử dụng lệnh CLI isi http settings view để hiển thị cấu hình OneFS HTTP:

# isi http cài đặt xem
            Kiểm soát truy cập: Không
      Xác thực cơ bản: Không
    WebHDFS Ran HTTPS Cổng: 8443
                        Dav: Không
         Bật Nhật ký truy cập: Có
                      HTTPS: Không
 Xác thực tích hợp: Không
               Gốc máy chủ: /ifs
                    Dịch vụ: vô hiệu hóa
           Thời gian chờ dịch vụ: 8 phút 20 giây
          Thời gian chờ không hoạt động: 15 phút
           Phiên Độ tuổi tối đa: 4H
Chuyển hướng Httpd Controlpath: Không

Tương tự như vậy, bạn có thể quản lý và thay đổi cấu hình HTTP bằng lệnh CLI sửa đổi cài đặt isi http .

Ví dụ, để giảm độ tuổi tối đa của phiên từ bốn giờ xuống còn hai giờ:

# isi http cài đặt xem | grep -i tuổi
           Phiên Độ tuổi tối đa: 4H
# isi http cài đặt sửa đổi --session-max-age=2H
# isi http cài đặt xem | grep -i tuổi
           Phiên Độ tuổi tối đa: 2H

Bộ tùy chọn cấu hình đầy đủ cho cài đặt isi http bao gồm:

Lưu ý rằng trong khi dịch vụ OneFS S3 sử dụng HTTP, nó được coi là giao thức cấp 1 và do đó được quản lý bằng bộ lệnh CLI isi s3 riêng và vùng WebUI tương ứng. Ví dụ, lệnh CLI sau đây buộc cụm chỉ chấp nhận lưu lượng HTTPS/SSL được mã hóa trên cổng TCP 9999 (thay vì cổng TCP mặc định 9021):

# isi s3 cài đặt toàn cục sửa đổi --https-only 1 –https-port 9921
# isi s3 cài đặt chế độ xem toàn cầu
         Cổng HTTP: 9020
        Cổng HTTPS: 9999
        Chỉ HTTPS: Có
Dịch vụ S3 được bật: Có

Ngoài ra, bạn có thể tắt hoàn toàn dịch vụ S3 bằng lệnh CLI sau:

# dịch vụ isi s3 vô hiệu hóa
Dịch vụ 's3' đã bị vô hiệu hóa.

Hoặc từ WebUI, trong Giao thức > S3 > Cài đặt chung :

Tác giả : Nick Trimbee