ネイティブFPolicyファイルブロッキング
環境
ONTAP 9
回答
概要：
一部の管理者は、特定のファイルタイプがファイルサーバーに保存されることを許可しないポリシーを設定したいと考えており、基本的にファイルフィルタのリクエストを行っています。これらは音楽、ビデオ、その他同様のファイル形式である可能性があります。このようなファイルのスキャンは、以下のいずれかに基づいて行うことができます：
ファイル拡張子に基づく（Data ONTAPでのネイティブサポート） - 例えば、*.mp3 に一致するすべてのファイルをブロックします。これは信頼性の低い手法です。ファイルへのデータアクセスは必要ありません。ファイル拡張子に基づくファイルブロックのネイティブサポートでは、外部のFPolicyサーバーへの接続は必要ありません。
ファイルマジックシグネチャに基づく（外部サーバーが必要） - 例えば、マジックとシグネチャが一致するmp3形式のすべてのファイルをブロックします。これは、ウイルス対策スキャナーがウイルスを検出するのと同様に、シグネチャ照合を行うため、より正確です。
詳細については、以下のリンクをご覧ください：
管理者は、CREATE、OPEN、CLOSE、RENAMEリクエストのイベントを有効にします。FPolicyサーバーはこれらのイベントトリガーの通知を受けると、2つのメカニズム（ファイル拡張子またはファイルシグネチャ）のいずれかに基づいてチェックを実行し、一致するものが見つかった場合はリクエストをDENYできます。
サンプル構成：
ネイティブFPolicyを設定するには、以下の手順を実行してください。
- ポリシーイベントの設定：
Cluster::> vserver fpolicy policy event create -vserver SvmName -event-name Event -protocol cifs -file-operations create,open,rename
Cluster::> vserver fpolicy policy event show -vserver SvmName -event-name Event -instance
Vserver: SvmName
Event: Event
Protocol: cifs
File Operations: create, open, rename
Filters: -
Is Volume Operation Required: false
- ポリシーの設定：
Cluster::> vserver fpolicy policy create -vserver SvmName -policy-name blockext -events Event -engine native -is-mandatory true -allow-privileged-access no -is-passthrough-read-enabled false
Cluster::> vserver fpolicy policy show -vserver SvmName -instance
Vserver: SvmName
Policy: blockext
Events to Monitor: Event
FPolicy Engine: native
Is Mandatory Screening Required: true
Allow Privileged Access: no
User Name for Privileged Access: -
Is Passthrough Read Enabled: false
Configure Policy Scope:
Cluster::> set advanced
Cluster::*> vserver fpolicy policy scope create -vserver SvmName -policy-name blockext -file-extensions-to-include mp3,mp4,flv,wmv -shares-to-include "*" -is-file-extension-check-on-directories-enabled true
Cluster::*> vserver fpolicy policy scope show -vserver SvmName -instance
Vserver: SvmName
Policy: blockext
Shares to Include: *
Shares to Exclude: -
Volumes to Include: -
Volumes to Exclude: -
Export Policies to Include: -
Export Policies to Exclude: -
File Extensions to Include: mp3, mp4, flv, wmv
File Extensions to Exclude: -
Is File Extension Check on Directories Enabled: true
Is Monitoring of Objects with No Extension Enabled: false
- ポリシーの有効化：単一のvserver内の複数のポリシーに同じシーケンス番号を割り当てることはできませんが、異なるvserver内のポリシーについては、以前のvserverで使用された同じシーケンス番号を使用できます。
Cluster::> vserver fpolicy enable -vserver SvmName -policy-name blockext -sequence-number 1
Cluster::> vserver fpolicy show -vserver SvmName
Sequence
Vserver Policy Name Number Status Engine
------- ----------- -------- ------ ------
SvmName blockext 1 on native
Cluster::> event log show -time > 2m
Time Node Severity Event
------------------- ------------ ------------- --------------------------
3/27/2017 10:35:34 cm2520n2-ams INFORMATIONAL mgmt.fpolicy.policy.enabled: FPolicy policy blockext is enabled on Vserver SvmName.
- Windowsクライアントから上記のポリシーを使用してテストした結果：
Attempt to rename a file using mp3, mp4, flv, or wmv extension is Denied
Attempt to open a file with mp3, mp4, flv, or wmv extension is Denied
Attempt to delete a file with mp3, mp4, flv, or wmv extension is Denied
Attempt to copy a file with mp3, mp4, flv, or wmv extension to the share is Denied
詳細については、お使いのバージョンのONTAPのCIFSおよびNFS監査ガイドを参照してください。
追加情報
ネイティブファイルブロッキングの問題に関する一般的なナレッジベース記事：
- 何もブロックしていません：
- ブロックしているが、適切な拡張子または場所ではない：