Linux系统管理：LDAP与NetApp存储安全集成方法

许多数据中心都在网络文件系统上创建更先进的文件共享，该过程需要用户账号信息验证。如果正在使用Linux系统，那么可以将NetApp存储和LDAP集成，增强安全性。

大部分存储的权限控制都能与微软的活动目录授权集成，但为Linux系统配置Lightweight Directory Access Protocol(LDAP)集成却并非易事。

安全的文件共享需要用户授权验证，就如那些高级别数据共享和归档项目所要求的一样。如果Linux用户需要访问这些共享，存储设备首先必须要识别这些Linux用户账号。除了活动目录，也可以使用LDAP集成，但LDAP的配置比较复杂。好消息是NetAPP公司的存储支持LDAP服务器验证集成。接着，你可以在存储上设置文件访问权限，就如你在本地Linux文件服务器那样。

开始配置NetAPP存储与LDAP集成。通过SSH登录NetAPP存储的命令行模式。输入priv set advanced命令，此命令可以让你设置所有必须的安全参数。接着，输入options ldap，可以查看当前设置情况(你也可以通过浏览器网页的方式完成这些操作)：

ams5-fas2240-A*> options ldap 
ldap.ADdomain 
ldap.base dc=example,dc=com 
ldap.base.group 
ldap.base.netgroup 
ldap.base.passwd 
ldap.enable on 
ldap.minimum_bind_level anonymous 
ldap.name 
ldap.nssmap.attribute.gecos gecos 
ldap.nssmap.attribute.gidNumber gidNumber 
ldap.nssmap.attribute.groupname cn 
ldap.nssmap.attribute.homeDirectory homeDirectory 
ldap.nssmap.attribute.loginShell loginShell 
ldap.nssmap.attribute.memberNisNetgroup memberNisNetgroup 
ldap.nssmap.attribute.memberUid memberUid 
ldap.nssmap.attribute.netgroupname cn 
ldap.nssmap.attribute.nisNetgroupTriple nisNetgroupTriple 
ldap.nssmap.attribute.uid uid 
ldap.nssmap.attribute.uidNumber uidNumber 
ldap.nssmap.attribute.userPassword userPassword 
ldap.nssmap.objectClass.nisNetgroup nisNetgroup 
ldap.nssmap.objectClass.posixAccount posixAccount 
ldap.nssmap.objectClass.posixGroup posixGroup 
ldap.passwd ****** 
ldap.port 389 
ldap.servers ut01.example.local 
ldap.servers.preferred ut01.example.local 
ldap.ssl.enable off 
ldap.timeout 20 
ldap.usermap.attribute.unixaccount unixaccount 
ldap.usermap.attribute.windowsaccount windowsaccount 
ldap.usermap.base 
ldap.usermap.enable off 

如果有任何参数设置错误，可以使用options ldap.base命令来设置正确的搜索域：

ams5-fas2240-A*> options ldap.base dc=commerce-hub,dc=local 

通过命令设置好搜索域之后，需要从LDAP目录服务中获取信息。getXXbyYY命令可以显示系统是如何针对arnaud账号进行验证的：

ams5-fas2240-A*> getXXbyYY getpwbyname_r arnaud 
pw_name = arnaud 
pw_passwd = {{******}} 
pw_uid = 1002, pw_gid = 100 
pw_gecos = 
pw_dir = /home/arnaud 
pw_shell = /bin/bash 
ams5-fas2240-A*> getXXbyYY getpwbyname_r linda 
pw_name = linda 
pw_passwd = {{******}} 
pw_uid = 1001, pw_gid = 100 
pw_gecos = 
pw_dir = /home/linda 
pw_shell = /bin/bash 

存储在对LDAP服务器传来的用户账号信息验证通过后；接着会确保其在所有层面都工作正常。修改nsswitch.conf文件的配置信息，需要具备读写权限，使用文件编辑器打开/etc/nsswitch.conf文件。文件中应该包含如下几行内容：

ams5-fas2240-B> wrfile /etc/nsswitch.conf 
hosts: files dns nis 
passwd: ldap files nis 
netgroup: ldap files nis 
group: ldap files nis 
shadow: files nis 

现在，存储设备已经可以通过LDAP服务器获得用户信息了。如此这般，NetApp存储与LDAP服务器用户验证集成后，可以正常控制网络文件系统(NFS)共享的权限设定。可以使用options nfs.v4.acl.enable命令切换NFSv4访问控制列表。你还可以将Linux系统的ACL应用在NetApp存储上，这样可以让存储更像Linux文件目录那样，具备对应的权限：

ams5-fas2240-B> options nfs.v4.acl.enable on 

nfs.v4.acl.enable选项的变更会影响在占用模式下高可用性配置中的所有成员。需要确保改参数和高可用配对中的成员权限一致。

NetApp存储现在已经完全与Linux环境集成，管理员们可以将其当作本地Linux文件系统使用了。