NFSでのIPv6の有効化
3. admin権限レベルに戻ります。
状況 入力するコマンド 非予約ポートからのNFSマウ
ント要求を拒否する
vserver nfs modify -vserver vserver_name -mount-rootonly enabled
非予約ポートからのすべて のNFS要求を許可する
vserver nfs modify -vserver vserver_name -nfs-rootonly disabled
非予約ポートからのすべて のNFS要求を拒否する
vserver nfs modify -vserver vserver_name -nfs-rootonly enabled
不明な UNIX ユーザによる NTFS ボリュームまたは qtree への NFS ア クセスの処理
NTFSセキュリティ形式のボリュームまたはqtreeへの接続を試みるUNIXユーザを識別できない場 合、Data ONTAPはそのユーザをWindowsユーザに明示的にマッピングできません。 Data ONTAP では、そのようなユーザのアクセスを拒否するように設定してセキュリティを厳しくするか、または デフォルトのWindowsユーザにマッピングするように設定してすべてのユーザに最小限のアクセス を保証することができます。
開始する前に
このオプションを有効にする場合は、デフォルトのWindowsユーザを設定しておく必要があります。
タスク概要
UNIXユーザがNTFSセキュリティ形式のボリュームまたはqtreeへのアクセスを試みると、Data
ONTAPがNTFS権限を正しく評価できるように、そのUNIXユーザはまずWindowsユーザにマッピ
ングされます。設定されているユーザ情報ネームサービスソースでそのUNIXユーザの名前を検 索できなかった場合、特定のWindowsユーザにそのUNIXユーザを明示的にマッピングすることが できません。このような不明なUNIXユーザの処理方法には次の選択肢があります。
• 不明なUNIXユーザのアクセスを拒否する。
NTFSボリュームまたはqtreeにアクセスしようとするすべてのUNIXユーザについて明示的なマ ッピングを要求することで、より厳しいセキュリティを適用します。
• 不明なUNIXユーザをデフォルトのWindowsユーザにマッピングする。
すべてのユーザにデフォルトのWindowsユーザとしてNTFSボリュームまたはqtreeへの最小限 のアクセスを許可することで、セキュリティは低下しますが利便性は向上します。
手順
1. 権限レベルをadvancedに設定します。
set -privilege advanced 2. 次のいずれかを実行します。
不明なUNIXユーザへのデ フォルトのWindowsユーザ のマッピング
入力するコマンド
有効にする vserver nfs modify -vserver vserver_name -map-unknown-uid-to-default-windows-user enabled 無効にする vserver nfs modify -vserver vserver_name
-map-unknown-uid-to-default-windows-user disabled
set -privilege admin
関連コンセプト
ネーム マッピングの使用方法（80ページ）
ネーム マッピングの仕組み（81ページ）
関連タスク
デフォルト ユーザの設定（85ページ）
非予約ポートを使用して NFS エクスポートをマウントするクライアント に関する注意事項
非予約ポートを使用してNFSエクスポートをマウントするクライアントをサポートするストレージシス テムでは、ユーザがrootでログインする場合でも、-mount-rootonlyオプションを無効にする必要 があります。 HummingbirdクライアントやSolaris NFS / IPv6クライアントがこれに該当します。
-mount-rootonlyオプションを有効にした場合、NFSクライアントで非予約ポート、つまり1,024以 上のポートを使用してNFSエクスポートをマウントすることはできません。
ドメインの検証によるネットグループのより厳密なアクセス チェックの 実行
Data ONTAPは、ネットグループに対するクライアントアクセスを評価する際に追加の検証をデフォ
ルトで実行します。追加チェックでは、クライアントのドメインがStorage Virtual Machine（SVM）のド メイン設定に一致しているかどうかが確認されます。 一致していない場合、Data ONTAPはクライ アント アクセスを拒否します。
タスク概要
Data ONTAPがクライアント アクセス用のエクスポート ポリシー ルールを評価し、あるエクスポート ポリシールールにネットグループが含まれていた場合、Data ONTAPはクライアントのIPアドレスが そのネットグループに属しているかどうかを確認する必要があります。そのために、Data ONTAP は、DNSを使用してクライアントのIPアドレスをホスト名に変換し、完全修飾ドメイン名（FQDN）を取 得します。
ネットグループファイルにホストの短縮名のみが記載されていて、そのホストの短縮名が複数のド メインに存在している場合、このチェックがないと、別のドメインのクライアントがアクセス権を取得 することが可能になります。
この問題を回避するために、Data ONTAPは、ホストに対してDNSから返されたドメインをSVMに対 して設定されているDNSドメイン名のリストと比較し、 一致した場合はアクセスが許可されます。
一致しなかった場合、アクセスは拒否されます。
この検証はデフォルトで有効になっています。この検証機能は、advanced権限レベルで使用可能 な-netgroup-dns-domain-searchパラメータを変更することで管理できます。
手順
1. 権限レベルをadvancedに設定します。
set -privilege advanced 2. 次のうち必要な操作を実行します。
ネットグループのドメイン検 証の設定
コマンド
有効にする vserver nfs modify vserver vserver_name -netgroup-dns-domain-search enabled
無効にする vserver nfs modify vserver vserver_name -netgroup-dns-domain-search disabled
3. 権限レベルをadminに設定します。
set -privilege admin
ストレージレベルのアクセス保護を使用したファイル アクセスの保護
ネイティブファイルレベルのセキュリティとエクスポートおよび共有のセキュリティを使用したアクセ スの保護に加えて、ボリューム レベルでData ONTAPによって適用される第3のセキュリティ レイヤ としてストレージレベルのアクセス保護を設定できます。ストレージレベルのアクセス保護は、すべ てのNASプロトコルからその適用先となるストレージオブジェクトへのアクセスに適用されます。
ストレージレベルのアクセス保護の動作
• ストレージレベルのアクセス保護は、ストレージオブジェクト内のすべてのファイルまたはすべ てのディレクトリに適用されます。
ボリューム内のすべてのファイルまたはディレクトリがストレージレベルのアクセス保護設定の 影響を受けるため、伝播による継承は必要ありません。
• ストレージレベルのアクセス保護は、ボリューム内にある、ファイルのみ、ディレクトリのみ、ま たはファイルとディレクトリの両方に適用されるように設定できます。
◦ ファイルとディレクトリのセキュリティ
ストレージオブジェクト内のすべてのディレクトリおよびファイルに適用されます。これがデ フォルト設定です。
◦ ファイルセキュリティ
ストレージオブジェクト内のすべてのファイルに適用されます。このセキュリティを適用して も、ディレクトリへのアクセスとディレクトリの監査は影響を受けません。
◦ ディレクトリセキュリティ
ストレージオブジェクト内のすべてのディレクトリに適用されます。このセキュリティを適用し ても、ファイルへのアクセスとファイルの監査は影響を受けません。
• ストレージレベルのアクセス保護は、アクセス権を制限するために使用されます。
追加のアクセス権限を与えることはありません。
• NFSまたはSMBクライアントからファイルまたはディレクトリのセキュリティ設定を表示した場 合、ストレージレベルのアクセス保護のセキュリティは表示されません。
このセキュリティは、有効な権限を決定するために、ストレージ オブジェクト レベルで適用さ れ、メタデータ内に格納されます。
• システム（WindowsまたはUNIX）管理者であっても、ストレージレベルのセキュリティをクライア ントから取り消すことはできません。
このセキュリティは、ストレージ管理者のみが変更できるように設計されています。
• ストレージレベルのアクセス保護は、NTFSまたはmixedセキュリティ形式のボリュームに適用で きます。
• ストレージレベルのアクセス保護をUNIXセキュリティ形式のボリュームに適用できるのは、そ のボリュームが含まれているStorage Virtual Machine（SVM）でCIFSサーバが設定されている 場合に限られます。
• ボリュームがあるボリューム ジャンクション パスの下にマウントされていて、ストレージレベル のアクセス保護がそのパス上にある場合、ストレージレベルのアクセス保護はそのパスの下に マウントされているボリュームには伝播されません。
• ストレージレベルのアクセス保護のセキュリティ記述子は、SnapMirrorデータ レプリケーション およびStorage Virtual Machine（SVM）レプリケーションによってレプリケートされます。
• ウィルススキャンについては特別な免除があります。
ファイルやディレクトリのスクリーニングを行うこうしたサーバに対しては、ストレージレベルのア クセス保護によってそのオブジェクトへのアクセスが拒否されている場合でも、例外的なアクセ スが許可されます。
• ストレージレベルのアクセス保護によってアクセスが拒否された場合、FPolicy通知は送信され ません。
NFSアクセスに対するストレージレベルのアクセス保護
ストレージレベルのアクセス保護では、NTFSのアクセス権限のみがサポートされています。 Data
ONTAPでUNIXユーザに対するセキュリティチェックを実行している場合、ストレージレベルのアク
セス保護が適用されているボリューム上のデータにアクセスするには、UNIXユーザをそのボリュ ームを所有しているSVM上のWindowsユーザにマッピングする必要があります。
ストレージレベルのアクセス保護は、UNIX専用のSVMやCIFSサーバが含まれていないSVMには 適用されません。
アクセス チェックの順序
ファイルまたはディレクトリへのアクセスは、エクスポートまたは共有の権限、ボリュームで設定さ れているストレージレベルのアクセス保護権限、ファイルやディレクトリに適用されるネイティブのフ ァイルアクセス権の各影響の組み合わせによって決定されます。すべてのレベルのセキュリティ が評価されて、ファイルまたはディレクトリの有効な権限が決定されます。セキュリティアクセスチ ェックは、次の順序で実行されます。
1. SMB共有またはNFSエクスポートレベルの権限
2. ストレージレベルのアクセス保護
3. NTFSのファイルやフォルダのAccess Control List（ACL;アクセス 制御リスト）、NFSv4 ACL、ま