1. 课程导入与全景认知

在企业存储系统中，Pure Storage FlashArray 与 FlashBlade 承载着数据库、虚拟化、容器持久卷、文件共享与对象数据等关键业务。一旦存储层被越权访问，攻击者可能直接读取生产数据、篡改快照、删除卷，甚至通过复制链路横向渗透到容灾站点。因此，Pure Storage 的安全能力不能只理解为“加个密码”，而应视为一套围绕身份、网络、数据、管理面四个维度展开的隔离与访问控制体系。

本课程的核心目标可以概括为三句话：第一，谁能访问——通过用户角色、API Token、目录服务与多因素认证控制管理面身份；第二，从哪里访问——通过网络隔离、管理口与数据口分离、iSCSI/FC/NFS/SMB 的访问控制列表限制路径；第三，访问什么、能做什么——通过卷、快照、保护组、文件系统与对象桶的权限模型，把“可见”与“可操作”分开。三者叠加，才构成从边界到数据的纵深防御。

整体架构：管理面、数据面与控制面的分离

理解 Pure Storage 安全隔离，首先要区分三个平面。管理面负责阵列配置、用户登录、API 调用、远程支持与 Pure1 连接；数据面承载主机 I/O，包括 FC、iSCSI、NVMe-oF、NFS、SMB 与 S3 流量；控制面则涉及 ActiveCluster、ActiveDR、快照复制与异步复制等跨站点协调。安全隔离的关键，是让这三个平面在网络路径、认证方式和权限边界上互不混用。例如，管理口不应与业务数据口共用同一 VLAN；Pure1 支持连接应走独立出口；复制链路应使用专用接口与专用网络。

关键组件与访问控制对象

在 Pure Storage 中，访问控制不是单一开关，而是由多个组件协同完成。管理面常见对象包括：本地用户与角色（如 array_admin、storage_admin、readonly）、API Token（可限定权限与有效期）、目录服务集成（LDAP/AD 组映射到角色）、MFA（多因素认证）。数据面则围绕主机（Host）、主机组（Host Group）、卷（Volume）、快照（Snapshot）、保护组（Protection Group）、文件系统与对象桶展开。控制面涉及复制伙伴、ActiveCluster 仲裁与加密密钥。

一个常见的误区是：只给主机映射了卷，就认为“安全了”。实际上，如果管理面账号权限过大、API Token 长期不轮换、管理口与数据口混用，攻击者仍可能通过管理面删除快照或导出数据。因此，访问控制必须同时覆盖“管理谁可以改配置”和“主机可以读写哪些卷”两条线。

学习路径：从认知到落地

本课程后续将按“由外到内、由静到动”的顺序展开。建议的学习路径如下：

• 第一层：身份与认证——理解本地用户、角色、目录服务、MFA 与 API Token 的权限边界，掌握最小权限原则。
• 第二层：网络隔离——区分管理口、数据口、复制口，规划 VLAN 与 ACL，理解 iSCSI/FC/NVMe-oF 的访问路径。
• 第三层：数据访问控制——掌握主机与卷映射、主机组、快照权限、保护组与文件/对象权限模型。
• 第四层：管理面加固——审计日志、远程支持、Pure1 连接、安全公告与合规检查。
• 第五层：跨站点与容灾安全——ActiveCluster、ActiveDR、复制链路加密与站点仲裁。

一个可参考的初始检查清单

在正式深入各模块之前，可以先建立一份基线检查表。以下字段可直接用于环境自查，示例值仅作格式参考，实际应以现场环境为准。