📚 课程目录第3章混合云连接与身份协同

3. 混合云连接与身份协同

在混合云架构中，ONTAP 集群往往需要同时与本地数据中心、公有云实例以及第三方存储系统协同工作。要让数据能够跨站点流动、让用户能够跨云访问，仅靠网络可达是不够的，还必须建立集群级信任关系、SVM级数据访问通道以及统一的身份认证体系。本节围绕这三层协同机制展开，重点说明集群对等、SVM对等、Active Directory 与 LDAP 集成，以及跨云访问控制与安全策略的配置逻辑。

一、集群对等：建立集群之间的信任基础

集群对等（Cluster Peering）是 ONTAP 跨集群通信的第一层关系。它并不直接传输用户数据，而是为后续的 SVM 对等、SnapMirror 复制、FlexCache 缓存以及跨集群卷访问提供控制平面通道。两个集群之间要建立对等关系，必须满足几个前提：集群间 IP 网络可达、集群名称可解析、时间同步偏差在允许范围内，并且双方使用相同的 ONTAP 版本兼容矩阵。

配置时，通常先在两个集群上分别创建集群间 LIF（Intercluster LIF），然后通过命令行发起对等请求。例如在集群 A 上执行：

cluster peer create -peer-addrs 192.168.30.11,192.168.30.12 -generate-passphrase
cluster peer request -peer-addrs 192.168.30.11,192.168.30.12
cluster peer accept -passphrase <生成的密码短语>

对等关系建立后，可用 cluster peer show 查看状态，正常应显示 Available。如果显示 Pending 或 Unavailable，需要检查防火墙是否放行 ICMP、TCP 11104/11105 以及集群间 LIF 是否可达。集群对等是后续所有跨云数据流动的“信任底座”，一旦中断，SVM 对等和复制关系都会随之失效。

二、SVM 对等：打通数据访问通道

集群对等解决的是“集群之间能不能通信”，而 SVM 对等（SVM Peering）解决的是“某个 SVM 能不能访问另一个 SVM 的数据”。在混合云场景中，通常会把本地生产 SVM 与云上灾备 SVM 或云上分析 SVM 建立对等关系，从而支持 SnapMirror 异步复制、SnapVault 备份以及 FlexCache 卷的跨云挂载。

创建 SVM 对等时，需要指定本地 SVM、目标集群和目标 SVM。典型命令如下：

vserver peer create -vserver svm_prod -peer-vserver svm_dr \
  -peer-cluster cluster_b -applications snapmirror,flexcache

其中 -applications 参数决定了该对等关系允许哪些应用使用。若只做 SnapMirror，可只声明 snapmirror；若还要使用 FlexCache，则需加入 flexcache。创建后，目标集群需接受请求，状态变为 peered 后才可继续配置复制策略。需要注意的是，SVM 对等要求两个 SVM 使用相同的语言设置，且目标 SVM 必须已启用相应协议。

三、Active Directory 与 LDAP 集成：统一身份来源

跨云访问控制的核心是身份。ONTAP 支持将 SVM 加入 Active Directory 域，也支持通过 LDAP 对接目录服务。对于 CIFS/SMB 共享，通常采用 AD 集成方式，使 Windows 客户端能够使用域账号直接访问；对于 NFS 访问，则更多使用 LDAP 或本地用户结合 Kerberos 实现身份映射。

将 SVM 加入 AD 域时，需要配置 DNS、NTP，并创建计算机账户。示例命令如下：

vserver cifs create -vserver svm_prod -cifs-server CIFS01 \
  -domain example.com -ou "OU=Storage,DC=example,DC=com"
vserver cifs domain discovered-servers show -vserver svm_prod

加入域后，ONTAP 会通过 Kerberos 与域控通信，用户访问共享时由 AD 完成认证，ONTAP 根据 ACL 和导出策略决定授权。若使用 LDAP，则需配置 LDAP 客户端、绑定账号和搜索基准，例如：

vserver services name-service ldap client create -vserver svm_prod \
  -servers 10.10.20.5 -base-dn "DC=example,DC=com" \
  -bind-dn "CN=svc_ontap,OU=Service,DC=example,DC=com"

配置完成后，可用 vserver services name-service ldap check 验证连通性与查询结果。AD 与 LDAP 的选择取决于客户端类型：Windows 域环境优先 AD，Linux/Unix 环境可优先 LDAP，两者也可在同一 SVM 上共存，但需注意名称映射的一致性。

四、跨云访问控制与安全策略

当集群对等、SVM 对等和身份集成完成后，还需要通过导出策略、共享 ACL、防火墙策略和角色权限来约束访问范围。跨云场景下，建议遵循最小权限原则：只允许必要的云上 SVM 访问本地数据，只开放必要的端口，并对管理流量与数据流量进行分离。

例如，为 NFS 导出策略配置只读访问：

vserver export-policy rule create -vserver svm_prod -policyname policy_cloud \
  -clientmatch 10.20.30.0/24 -rorule any -rwrule never -superuser none

对于 CIFS 共享，则通过共享权限和 NTFS ACL 双重控制。此外，跨云传输建议启用 IPsec 或 TLS，并对 SnapMirror 流量使用专用 VLAN 或 VPN 隧道。管理访问应限制在跳板机或堡垒机，避免直接暴露 ONTAP 管理 LIF。

五、配置顺序与验证要点

在实际项目中，建议按照“网络→集群对等→SVM 对等→身份集成→访问策略”的顺序推进。每一步完成后都应进行验证：集群对等用 cluster peer show 确认状态；SVM 对等用 vserver peer show 确认应用类型；AD 集成用 vserver cifs domain discovered-servers show 检查域控发现；LDAP 用 vserver services name-service ldap check 验证查询；导出策略则通过客户端实际挂载测试读写权限。

实践提示：跨云场景中，DNS 解析和 NTP 同步是最容易被忽视的两个前提。若集群间时间偏差超过 5 分钟，Kerberos 认证会失败，进而导致 CIFS 访问和 SVM 对等异常。建议在配置前先确认两端 NTP 源一致，并验证集群间 LIF 的双向连通性。

安全注意：不要将集群间 LIF 和管理 LIF 暴露在公网。跨云连接应通过 VPN 或专线完成，并对集群对等密码短语、LDAP 绑定账号密码进行定期轮换。导出策略中避免使用 -rorule any -rwrule any 的宽松组合，除非确有只读公开数据需求。

综上，集群对等提供信任通道，SVM 对等提供数据访问通道，AD/LDAP 提供身份来源，安全策略则约束访问边界。四者协同工作，才能让 ONTAP 在混合云环境中既保持数据流动的灵活性，又满足企业级安全与合规要求。