这些安全控制提供了一组 vSAN 最佳做法的基准。它们的结构化方式解释了实施相应控制措施的好处和利弊权衡。要对这些控制进行更改，请参见《管理 VMware vSAN》文档。
保护静态数据
vSAN 必须保护静态数据。
vSAN 静态数据加密有助于在敏感数据位于存储设备上时保持其机密性，并降低发生物理盗窃或丢失时未经授权的访问或暴露风险。
可以在集群正常运行时更改此配置参数。启用静态数据保护会重新格式化磁盘组（对于 vSAN OSA），和重写存储的对象（对于 vSAN ESA），这可能需要很长时间，但在后台完成。工作负载不需要关闭电源。vSAN ESA 8.0 Update 2 引入了在现有 vSAN ESA 数据存储上启用静态数据保护的功能。vSAN ESA 8.0 Update 3 引入了再次禁用该功能的功能。如果使用 ESA，请运行最新版本的 vSAN。
遍历网络时保护数据
vSAN 必须保护静态数据，包括与存储相关的网络通信。
vSAN 传输中数据加密有助于确保在遍历网络时使敏感数据保密，从而降低未经授权的访问或拦截风险。
可以在集群正常运行时更改此配置参数。
限制对 NFS 文件共享的访问
必须将 vSAN 文件服务上的 NFS 文件共享配置为限制访问。
配置 NFS 文件共享时，请选择“自定义网络访问”选项并配置一组限制性权限。
加密 SMB 身份验证
vSAN 文件服务上的 SMB 文件共享必须仅接受加密的 SMB 身份验证通信。
配置 SMB 文件共享时，激活协议加密选项。
启用双向 CHAP 身份验证
vSAN iSCSI 目标必须启用双向 CHAP 身份验证。
双向 CHAP 通过要求启动者（客户端）和目标（服务器）相互验证其身份来提供额外一层保护，从而确保两者之间传输的数据不被未经授权的实体截获或更改。
预留空间完成内部维护操作
vSAN 必须预留空间才能完成内部维护操作。
vSAN 操作预留容量设置有助于确保 vSAN 始终具有足够的可用空间来保持 vSAN 数据存储的可用性和可靠性，并防止在操作（如策略更改）期间因容量不足而导致的潜在数据丢失或服务中断。
可以在集群正常运行时更改此配置参数。
