2. Dell企业存储安全架构基础
在讨论任何具体的访问控制策略之前，必须先理解企业存储系统“安全边界在哪里、谁和谁被隔开、数据走哪条路、控制走哪条路”。Dell 企业存储（如 PowerMax、PowerStore、PowerScale、Unity XT 等）在架构上普遍遵循一套共同的安全模型：以存储阵列为核心，向外划分管理边界与数据边界，向内划分多租户资源域，并在逻辑上把控制平面与数据平面分离。本节围绕这四个基础概念展开，并落到常见威胁模型与合规要求上。
一、存储系统的安全边界
存储系统的安全边界不是一条线，而是由若干“面”组成的立体结构。理解它，才能判断一次访问请求究竟跨越了哪些信任层级。
- 物理边界：机架、机房、供电与介质本身。硬盘、NVMe 盘被拔出即意味着数据可能脱离阵列控制，因此自加密盘（SED）与外部密钥管理（KMS）属于物理边界的一部分。
- 管理边界：管理 IP、Unisphere/PowerStore Manager/CloudIQ 等管理入口。管理面一旦被攻破，攻击者可创建主机、映射卷、导出快照，等同于绕过所有数据面控制。
- 数据边界：前端端口（FC/iSCSI/NVMe-oF/NFS/SMB）与主机之间的 I/O 通道。这里决定“谁能看到哪个 LUN/文件系统”。
- 复制与外部边界：SRDF、Metro Node、Snapshot、NDMP、对象存储复制等跨阵列、跨站点、跨云的通道。
一个常见的误区是只保护管理面而忽略复制面。例如 SRDF 链路若使用未加密的 FCIP，跨数据中心的数据在传输中即处于边界之外。因此边界清单应至少覆盖：管理口、前端口、复制口、备份口、带外服务口（如 ESRS/SupportAssist）。
二、多租户模型
Dell 存储的多租户并非“一个阵列切给多个部门”这么简单，而是通过资源域（Resource Group / Tenant / Storage Pool + Host Group + Masking View）实现逻辑隔离。以 PowerMax 为例，典型隔离维度包括：
- 存储资源隔离：Storage Group（SG）绑定卷，Port Group（PG）绑定前端端口，Masking View 把 SG、PG、Host/Host Group 三者绑定，形成一条“主机只能看到指定卷”的映射。
- 管理权限隔离：通过 Unisphere 角色（Admin、StorageAdmin、SecurityAdmin、Monitor 等）限制不同租户管理员可见的对象范围。
- 配额与性能隔离：通过 QoS、Host I/O Limit、SRP（Storage Resource Pool）划分容量与性能上限，防止“吵闹邻居”。
多租户的关键判断标准是：租户 A 的管理员即使拥有本租户的完全权限，也无法枚举、映射或删除租户 B 的卷。若做不到这一点，就只是“共享阵列”，不是多租户。
三、数据平面与控制平面分离
控制平面负责“配置与状态”：创建卷、建立映射、下发策略、采集告警；数据平面负责“实际 I/O”：主机读写块或文件。两者分离的价值在于：
- 管理面故障或被限流时，已建立的数据路径仍可继续 I/O；
- 管理面可置于独立管理 VLAN/带外网络，不暴露给业务主机；
- 安全策略可分别施加：管理面强制 MFA、RBAC、审计；数据面强制 CHAP、IPsec、FC-SP、Kerberos/NFSv4 ACL。
下图给出一个典型 Dell 存储安全架构的分层关系，包含边界、租户隔离与双平面走向。
四、常见威胁模型
结合上述边界，可以把针对企业存储的威胁归为几类，并对应到具体控制点：
| 威胁类型 | 典型场景 | 主要控制点 |
|---|---|---|
| 管理面入侵 | 弱口令、默认账号、管理口暴露在业务网 | MFA、RBAC 最小权限、管理 VLAN、登录审计 |
| 越权映射 | 主机被攻陷后扫描并映射他人 LUN | Masking View 严格绑定、LUN 不共享、CHAP/FC-SP |
| 介质失窃 | 盘或整机被物理带走 | SED + 外部 KMS、密钥与数据分离保管 |
| 传输窃听 | FCIP/IP 复制链路被镜像 | IPsec、FC-SP、链路加密 |
| 快照/备份泄露 | 快照被挂载到非授权主机 | 快照访问控制、备份介质加密、NDMP 账号隔离 |
| 内部人员滥用 | 管理员批量导出或删除卷 | 职责分离、双人审批、不可篡改审计日志 |
五、合规要求如何映射到架构
GDPR、等保 2.0、HIPAA 对存储的要求各有侧重，但都能落到同一套架构控制上：
- GDPR：强调个人数据的最小化、可删除与被遗忘权。对应到存储，需要能定位“某人的数据在哪个卷/快照/备份里”，并支持安全擦除与快照过期策略。
- 等保 2.0：强调身份鉴别、访问控制、安全审计、入侵防范。对应到存储，即管理面双因素、RBAC、审计日志留存不少于 6 个月、管理口不对外暴露。
- HIPAA：强调 ePHI 的机密性与完整性。对应到存储，即静态加密（SED/KMS）、传输加密、访问日志可追溯到具体人员与时间。
六、一个可落地的边界检查示例
假设某企业部署一套 PowerMax，承载财务（租户 A）与研发（租户 B）两类业务，并需要满足等保三级。可按如下方式建立初始安全基线（以下参数为教学示例，实际以现场规划为准）：
管理面：
管理 IP 段：10.10.10.0/24（独立管理 VLAN，仅跳板机可达）
账号策略：禁用默认 admin；启用 MFA；登录失败 5 次锁定 15 分钟
角色分配：sec_admin（安全管理员）、storage_admin_A、storage_admin_B、monitor
审计：Syslog 转发至 SIEM，留存 ≥ 180 天
数据面：
租户 A：SG_FIN、PG_FIN、HostGroup_FIN → MaskingView_FIN
租户 B：SG_RD、PG_RD、HostGroup_RD → MaskingView_RD
iSCSI 启用 CHAP（双向）；FC 启用 FC-SP
存储池启用 SED，密钥由外部 KMS 托管
复制面：
SRDF 链路启用 IPsec；快照保留 7 天并设置自动过期
验证方式也很直接：用租户 B 的管理员账号登录，尝试列出 SG_FIN 下的卷，应返回“无权限”或不可见；用业务主机扫描 LUN，应只能看到本租户映射的卷；在 SIEM 中应能检索到管理登录与配置变更记录。若这三项都成立，说明边界、多租户与双平面分离已基本落地。
理解安全边界、多租户模型、双平面分离与威胁/合规映射，是后续学习具体访问控制机制（如主机掩码、CHAP、RBAC、审计）的前提。只有先明确“谁在边界内、谁在边界外、数据与控制各走哪条路”，才能判断一条访问控制策略是否真正有效。