📚 课程目录第2章 SVM作为安全隔离边界

2. SVM作为安全隔离边界

SVM（Storage Virtual Machine，存储虚拟机）是 ONTAP 中承载数据服务的最小逻辑单元，也是多租户安全隔离的第一道边界。理解 SVM 的隔离能力，不能只停留在“一个 SVM 相当于一台虚拟存储控制器”这种比喻上，而要看清它到底隔离了什么、哪些资源是共享的、哪些是独占的，以及当隔离强度不够时如何用 IPspace 进一步加固。

一、SVM 的隔离原理：数据面独占，控制面共享

一个 SVM 拥有自己独立的数据卷、LIF（逻辑接口）、命名空间、SMB/CIFS 共享、NFS 导出、iSCSI/FC 目标、本地用户与角色、Kerberos 或 LDAP 配置、快照策略和 QoS 策略。从客户端视角看，访问某个 SVM 的 NFS 导出或 SMB 共享时，完全看不到同一集群中其他 SVM 的卷和接口。这种隔离由 ONTAP 在数据路径上强制执行：每个 LIF 绑定到唯一 SVM，每个卷归属唯一 SVM，跨 SVM 的卷访问在默认情况下不被允许。

但 SVM 并非完全独立的物理设备。它共享集群的物理节点、聚合（Aggregate）、HA 对、集群管理接口和集群级协议（如集群对等、SnapMirror 关系建立）。也就是说，数据面隔离强，控制面与硬件资源是共享的。这一特性决定了 SVM 适合做租户隔离，但不能替代物理隔离来防御针对集群管理层的攻击。

关键判断：SVM 隔离的是“谁能看到哪些数据、通过哪个 IP 访问、用哪个身份认证”，而不是“谁占用了哪块磁盘或哪个 CPU 核心”。资源占用靠 QoS、卷保证和聚合划分来控制。

二、多租户场景设计：从“一个 SVM 一个租户”到分层隔离

最直接的多租户模型是“一个租户一个 SVM”。例如某企业有研发、财务、外包三个租户，可创建 svm_rd、svm_fin、svm_vendor 三个 SVM，各自拥有独立的管理 LIF、数据 LIF、卷和导出策略。租户管理员通过 ONTAP System Manager 或 CLI 只能管理自己的 SVM，无法看到其他 SVM 的对象。

实际设计中需要重点考虑四件事：

管理边界：为每个租户创建 SVM 管理员账号，绑定到该 SVM 范围，避免使用集群管理员账号。ONTAP 的基于角色的访问控制（RBAC）可将用户限制在指定 SVM 内。
网络边界：不同租户的数据 LIF 应放在不同 VLAN 或子网，避免二层互通带来的横向探测风险。若租户间需要完全独立的 IP 地址空间（例如都使用 10.0.0.0/24），则必须引入 IPspace。
协议边界：NFS 导出策略、SMB 共享 ACL、iSCSI 发起方 IQN 白名单都要按租户独立配置，不能复用全局宽松策略。
资源边界：通过 QoS 策略组限制每租户的 IOPS 和吞吐，通过卷保证（Volume Guarantee）或 FabricPool 分层控制容量占用，防止“吵闹邻居”影响其他租户。

三、SVM 与 IPspace 的关系：网络隔离的叠加层

IPspace 是 ONTAP 中用于隔离 IP 地址空间和网络资源的逻辑容器。每个 SVM 必须属于且仅属于一个 IPspace；一个 IPspace 可以包含多个 SVM。默认情况下所有 SVM 都在 Default IPspace 中，共享同一套 IP 地址空间和广播域。

当两个租户都需要使用相同的 IP 网段（例如都规划了 192.168.10.0/24），或者需要完全独立的 VLAN、路由表和故障域时，就应为每个租户创建独立 IPspace，再把对应 SVM 放入其中。IPspace 隔离的是 LIF 的 IP 地址分配、广播域、路由和故障域；SVM 隔离的是数据对象和管理权限。两者是叠加关系，不是替代关系。

四、隔离效果验证：从客户端和管理端双向确认

设计完成后必须验证隔离是否真正生效。验证分两个方向：

客户端方向：在租户 A 的客户端上执行 showmount -e 192.168.10.11，应只看到 SVM_RD 的导出目录；尝试挂载 SVM_FIN 的 LIF 地址应被拒绝或超时。在租户 B 的客户端上执行相同操作，应只看到 SVM_VENDOR 的导出。若两个租户使用相同网段，需确认各自客户端只能到达本 IPspace 的 LIF，不能跨 IPspace 访问。

管理端方向：以租户管理员账号登录 SVM_RD，执行 volume show 应只列出本 SVM 的卷；执行 network interface show 应只看到本 SVM 的 LIF。尝试访问其他 SVM 的对象应返回权限错误。集群管理员执行 vserver show 可看到全部 SVM，这是正常的，因为集群管理员本就拥有全局视图。

# 示例：验证 SVM 隔离（在集群管理员上下文中执行）
cluster1::> vserver show
                                    Admin      Operational  Root
Vserver          Type    Subtype    State      State        Volume
---------------  ------  ---------  ---------  -----------  --------
cluster1         admin   -          -          -            -
svm_rd           data    default    running    running      vol_rd_root
svm_fin          data    default    running    running      vol_fin_root
svm_vendor       data    default    running    running      vol_vendor_root

# 查看 IPspace 与 SVM 的归属关系
cluster1::> ipspace show
IPspace     Vservers
----------  ---------------------------
Default     cluster1
IPspace_A   svm_rd, svm_fin
IPspace_B   svm_vendor

# 以租户管理员身份登录后，仅能看到本 SVM 对象
svm_rd::> volume show
Vserver   Volume       Aggregate    State      Type       Size  Available
--------  -----------  -----------  ---------  ---------  ----  ---------
svm_rd    vol_rd_home  aggr1        online     RW         1TB   800GB
svm_rd    vol_rd_code  aggr1        online     RW         2TB   1.5TB

验证时注意：SVM 隔离的“不可见”是逻辑层面的，不是物理层面的。如果租户拥有集群管理员权限，隔离即被绕过。因此多租户设计中，权限最小化与 SVM 隔离同等重要。

五、设计要点回顾

SVM 提供数据面和管理面的逻辑隔离，IPspace 提供网络地址空间和故障域的隔离。多租户场景中，先按租户划分 SVM，再根据是否需要独立 IP 地址空间决定是否引入 IPspace。每个租户应独立配置 LIF、导出策略、认证源、QoS 和管理员角色。验证时从客户端和管理端双向确认跨租户不可见、不可访问、不可越权，才算真正完成了安全隔离边界的落地。