OneFS 9.3 及更高版本安全和配置指南建议禁用 Isilon 节点上的 USB 端口并配置 BIOS 或 iDRAC 密码以实现安全目的。但是，实施这些更改会使节点在某些情况下更难维护。在实施这些更改之前，应仔细权衡利弊，并由负责每个群集的各方就每个群集的特定环境中是否需要这些更改做出明智的决策。为了协助决策过程，我们在这里概述了一些优点和缺点。
好处：
- 提高物理安全性：禁用 USB 端口可防止未获授权的物理存储设备直接与群集交互，从而消除可能的数据渗漏途径。配置强 BIOS 密码可防止未经授权的个人撤消此更改。
- 身份验证绕过预防：节点上的 USB 端口可用于从包含其他操作系统的外部存储设备启动节点。这可以使攻击者绕过群集上的身份验证措施，并访问或篡改他们无权访问的数据。禁用 USB 端口可防止这种情况发生。
- 更严格的合规模式遵从性：通过从 OneFS 重新映像设备启动节点，攻击者可以绕过 OneFS 合规性模式强制实施的某些限制，从而运行在节点处于合规性模式时无法运行的命令。禁用 USB 端口可防止这种情况发生。
缺点：
- 可服务性并发症：服务人员通常使用 USB 端口进行维护操作，例如重置节点映像和还原丢失的配置信息。此外，对于合规性模式群集上可能出现的一些问题，服务人员需要通过从 USB 记忆棒启动来绕过合规性模式限制，以解决这些问题。禁用 USB 端口时，许多维修任务都无法完成。
- 延长的服务窗口持续时间：如果服务操作需要在禁用了 USB 端口的节点上访问 USB 端口，则服务人员需要额外的服务时间来查找用户代表以向他们提供 BIOS 密码（如果已配置）、登录到 BIOS、修改设置以允许 USB 端口访问，然后在服务完成后重新禁用它。如果服务人员在执行服务后忘记重新禁用 USB 端口，则存在配置不一致的风险，从而营造虚假的安全感。此外，如果在服务窗口开始之前没有主动告知服务人员正在服务的节点已禁用 USB 端口，则服务人员可能会假定节点不会从其 USB 存储设备引导，因为存储设备出现故障或损坏，从而导致在尝试解决此感知到的问题时需要额外的不必要的故障排除时间。
- 其他密码管理开销：如果配置了强 BIOS 密码，则必须跟踪和管理此密码，并且必须采取措施将其提供给可能需要它的任何服务人员。这可能是一个问题，尤其是在下班后需要访问时，因为用户指定的密码保管人可能无法提供密码。
归根结底，几乎所有的安全最佳实践都涉及权衡，只有用户才能决定他们的情况是否值得在其特定环境和用例中实施。如果经过考虑，用户认为利大于弊，则可以在特定 OneFS 版本的 OneFS 安全配置指南 （SCG） 中找到禁用/重新启用 USB 端口以及设置 BIOS 和 iDRAC 密码的步骤，该指南可从 戴尔支持 网站下载。例如，OneFS 9.5 SCG 可在文章如何 注册以访问 Dell Technologies 在线支持或升级现有帐户中找到。