IBM認證知識：HACMP網絡安全規劃

時間：2020-09-20 16:42:06 IBM認證我要投稿

IBM認證知識：HACMP網絡安全規劃

　　規劃網絡安全性對于避免集群節點上未經授權的訪問也是非常重要的。

IBM認證知識：HACMP網絡安全規劃

　　從 HACMP V5.1 開始，通過為節點之間所有與 HACMP 配置相關的通信提供公共通信基礎設施(守護進程)，從而引入了一種新的安全機制。

　　新的集群通信守護進程 (clcomdES) 的引入在 HACMP 集群中提供了增強的安全性，同時還加快了與配置相關的操作速度。

　　存在三個級別的通信安全性：

　　標準級別

　　缺省安全級別。直接由集群通信守護進程 (clcomdES) 實現。使用 HACMP ODM 類別和 /usr/es/sbin/cluster/rhosts 文件來確定合法伙伴。增強級別

　　在 SP 集群中使用。利用基于 Kerberos 提供的第三方身份驗證方法的增強身份驗證方法。虛擬專用網(Virtual Private Network，VPN)

　　VPN 是在 AIX 中配置的。然后將 HACMP 配置為使用 VPN 來進行所有與節點間配置相關的通信操作。通過使用集群安全通信子系統，HACMP 消除了對每個集群節點上的 /.rhosts 文件或 Kerberos 配置的需要。

　　但是，可能仍然需要 /.rhosts 來支持需要這種遠程通信機制的'應用程序的操作。

　　注意：并非所有集群通信都通過 clcomdES 進行保護;其他守護進程具有自己的通信機制(不是基于“r”命令)。

　　集群管理器 (clstrmgrES)集群鎖守護進程 (cllockdES)集群多對等擴展通信守護進程 (clsmuxpdES)clcomdES 用于集群配置操作，例如集群同步、集群管理 (C-SPOC) 和動態重新配置 (DARE) 操作。

　　通過使用“最低權限”原則，集群通信守護進程 clcomdES 提供安全的遠程命令執行和 HACMP ODM 配置文件更新。

　　因而，只有存在于 /usr/es/sbin/cluster/ 中的程序才以 root 身份運行;其他所有程序都以“nobody”用戶身份運行。除了 clcomdES 以外，還使用了以下程序：

　　cl_rsh 是集群遠程 Shell 執行程序。clrexec 用于以 root 身份運行特定的危險命令，例如修改 /etc 目錄中的文件。cl_rcp 用于復制 AIX 配置文件。這些命令硬編碼在 clcomdES 中，不支持由用戶運行。

　　集群通信守護進程 (clcomdES) 具有以下特征：

　　由于集群通信不需要標準 AIX“r”命令，因此可以消除對 /.rhosts 文件的依賴性。因而，即使在“標準”安全模式下，集群安全性也得到了增強。為其他節點在本地節點(從中執行配置變更和同步的節點)上的 ODM 副本提供可靠的緩存機制。限制可在遠程節點上作為 root 身份執行的命令(只有 /usr/es/sbin/cluster 中的命令才以 root 身份運行)。clcomdES 從 /etc/inittab 啟動，并由系統資源控制器(system resource controller，SRC)子系統進行管理。提供自己的心跳檢測機制，并發現活動的集群節點(即使是在集群管理器或 RSCT 未運行的情況下)。注意：ClcomdES 為諸如 clverify、godm、rsh 和 rexec 等各種 HACMP 服務提供了傳輸機制。

　　針對傳入連接的 clcomdES 身份驗證過程的基礎是對照以下文件檢查節點的身份：

　　HACMPadapter ODM 類別(此類別中定義的 IP 標簽)HACMPnode ODM(用作集群中節點的通信路徑的 IP 地址/標簽)/usr/sbin/cluster/etc/rhosts 文件如果 /usr/sbin/cluster/etc/rhosts 文件丟失，或者未包含針對遠程發起節點的條目(IP 地址或可解析的 IP 標簽)，則不允許進入的連接。

　　如果 HACMPnode、HACMPadapter ODM 類別和 /usr/sbin/cluster/etc/rhosts 文件為空，則 clcomdES 假設集群正在進行配置，并接受傳入的連接，然后在初始配置完成后，將對等節點的 IP 標簽(地址)添加到 /usr/sbin/cluster/etc/rhosts 文件。

　　如果請求連接的 IP 地址與上述位置(HACMPadapter、HACMPnode 和 /usr/es/sbin/cluster/etc/rhosts)中的某個標簽匹配，則 clcomdES 將反過來連接到請求節點，并要求提供 IP 標簽(主機名稱);如果返回的 IP 標簽(主機名稱)與請求 IP 地址匹配，則身份驗證成功完成。

【IBM認證知識：HACMP網絡安全規劃】相關文章：

IBM的HACMP認證知識：HACMP的規劃10-13

IBM認證知識：HACMP集群規劃10-13

IBM認證知識：HACMP術語10-13

IBM認證知識：HACMP心跳檢測10-08

HACMP認證知識：災難恢復計劃10-13