次の値は、security login createコマンドでログインアカウントによるStorage Virtual Machine（SVM）へのアクセスを有効にするときに指定します。同じ値は、security login modifyコマンドでアカウントによるSVMへのアクセスを変更するときにも指定します。

フィールド	説明	設定値
`-vserver`	アカウントがアクセスするSVMの名前。デフォルト値はクラスタの管理SVMの名前です。
`-user-or-group-name`	アカウントのユーザー名またはグループ名。グループ名を指定した場合、そのグループ内の各ユーザーのアクセスが有効になります。1つのユーザー名またはグループ名を複数のアプリケーションに関連付けることができます。
`-application`	SVMへのアクセスに使用するアプリケーション。 `http` `ontapi` `snmp` `ssh`
`-authmethod`	アカウントの認証に使用する認証方式。 `cert` - SSL証明書認証 `domain` - Active Directory認証 `nsswitch` - LDAP認証またはNIS認証 `password` - ユーザーパスワード認証 `publickey` - 公開鍵認証 `community` - SNMPコミュニティストリング `usm` - SNMPユーザーセキュリティモデル `saml` - Security Assertion Markup Language（SAML）認証
`-remote-switch-ipaddress`	リモートスイッチのIPアドレス。リモートスイッチは、クラスタスイッチヘルスモニタ（CSHM）で監視されるクラスタスイッチ、またはMetroClusterヘルスモニタ（MCC-HM）で監視されるFibre Channel（FC）スイッチです。このオプションは、アプリケーションが`snmp`で、認証方法が`usm`の場合にのみ使用できます。
`-role`	アカウントに割り当てられているアクセス制御ロール。クラスタ（管理SVM）の場合、デフォルト値は`admin`です。データSVMの場合、デフォルト値は`vsadmin`です。
`-comment`	（オプション）アカウントについての説明。テキストを二重引用符（"）で囲む必要があります。
`-is-ns-switch-group`	アカウントがLDAPグループアカウントか、またはNISグループアカウントか（`yes`または`no`）。
`-is-ldap-fastbind`	ONTAP 9.11.1以降では、trueに設定すると、nsswitch認証に対してLDAP高速バインドが有効になります。デフォルトはfalseです。LDAP高速バインドを使用するには、`-authentication-method`値を`nsswitch`に設定する必要があります。nsswitch認証のLDAP高速バインドについては、link:../nfs-admin/ldap-fast-bind-nsswitch-authentication-task.html[こちらを参照してください。]

フィールド

説明

設定値

-vserver

アカウントがアクセスするSVMの名前。デフォルト値はクラスタの管理SVMの名前です。

-user-or-group-name

アカウントのユーザー名またはグループ名。グループ名を指定した場合、そのグループ内の各ユーザーのアクセスが有効になります。1つのユーザー名またはグループ名を複数のアプリケーションに関連付けることができます。

-application

SVMへのアクセスに使用するアプリケーション。

http
ontapi
snmp
ssh

-authmethod

アカウントの認証に使用する認証方式。

cert - SSL証明書認証
domain - Active Directory認証
nsswitch - LDAP認証またはNIS認証
password - ユーザーパスワード認証
publickey - 公開鍵認証
community - SNMPコミュニティストリング
usm - SNMPユーザーセキュリティモデル
saml - Security Assertion Markup Language（SAML）認証

-remote-switch-ipaddress

リモートスイッチのIPアドレス。リモートスイッチは、クラスタスイッチヘルスモニタ（CSHM）で監視されるクラスタスイッチ、またはMetroClusterヘルスモニタ（MCC-HM）で監視されるFibre Channel（FC）スイッチです。このオプションは、アプリケーションがsnmpで、認証方法がusmの場合にのみ使用できます。

-role

アカウントに割り当てられているアクセス制御ロール。

クラスタ（管理SVM）の場合、デフォルト値はadminです。
データSVMの場合、デフォルト値はvsadminです。

-comment

（オプション）アカウントについての説明。テキストを二重引用符（"）で囲む必要があります。

-is-ns-switch-group

アカウントがLDAPグループアカウントか、またはNISグループアカウントか（yesまたは`no`）。

-is-ldap-fastbind

ONTAP 9.11.1以降では、trueに設定すると、nsswitch認証に対してLDAP高速バインドが有効になります。デフォルトはfalseです。LDAP高速バインドを使用するには、-authentication-method値をnsswitchに設定する必要があります。nsswitch認証のLDAP高速バインドについては、link:../nfs-admin/ldap-fast-bind-nsswitch-authentication-task.html[こちらを参照してください。]

カスタムロールの定義

次の値は、security login role createコマンドでカスタムロールを定義するときに指定します。

フィールド	説明	設定値
`-vserver`	（オプション）ロールに関連付けられているSVMの名前。
`-role`	ロールの名前。
`-cmddirname`	ロールでアクセスできるコマンドまたはコマンドディレクトリー。コマンドサブディレクトリーの名前は二重引用符（"）で囲む必要があります。例："volume snapshot"。すべてのコマンドディレクトリーを指定する場合は、`DEFAULT`と入力する必要があります。
`-access`	（オプション）ロールのアクセスレベル。コマンドディレクトリーの場合： `none`（カスタムロールのデフォルト値） - コマンドディレクトリーに含まれるコマンドへのアクセスを拒否します。 `readonly` - コマンドディレクトリーとそのサブディレクトリーに含まれる`show`コマンドへのアクセスを許可します。 `all` - コマンドディレクトリーとそのサブディレクトリーに含まれるすべてのコマンドへのアクセスを許可します。非組み込みコマンド（末尾が`create`、`modify`、`delete`、`show`以外のコマンド）の場合： `none`（カスタムロールのデフォルト値） - コマンドへのアクセスを拒否します。 `readonly` - 指定できません。 `all` - コマンドへのアクセスを許可します。組み込みコマンドへのアクセスを許可または拒否するには、コマンドディレクトリーを指定する必要があります。
`-query`	（オプション）アクセスレベルのフィルターリングに使用するクエリオブジェクト。コマンドまたはコマンドディレクトリー内のコマンドの有効なオプションの形式で指定します。クエリオブジェクトは二重引用符（"）で囲む必要があります。たとえば、コマンドディレクトリーが`volume`の場合、"-aggr aggr0" というクエリオブジェクトを指定すると、`aggr0`アグリゲートについてのみアクセスが許可されます。

フィールド

説明

設定値

-vserver

（オプション）ロールに関連付けられているSVMの名前。

-role

ロールの名前。

-cmddirname

ロールでアクセスできるコマンドまたはコマンドディレクトリー。コマンドサブディレクトリーの名前は二重引用符（"）で囲む必要があります。例："volume snapshot"。すべてのコマンドディレクトリーを指定する場合は、DEFAULTと入力する必要があります。

-access

（オプション）ロールのアクセスレベル。コマンドディレクトリーの場合：

none（カスタムロールのデフォルト値） - コマンドディレクトリーに含まれるコマンドへのアクセスを拒否します。
readonly - コマンドディレクトリーとそのサブディレクトリーに含まれるshowコマンドへのアクセスを許可します。
all - コマンドディレクトリーとそのサブディレクトリーに含まれるすべてのコマンドへのアクセスを許可します。

非組み込みコマンド（末尾が`create`、modify、delete、show以外のコマンド）の場合：

none（カスタムロールのデフォルト値） - コマンドへのアクセスを拒否します。
readonly - 指定できません。
all - コマンドへのアクセスを許可します。

組み込みコマンドへのアクセスを許可または拒否するには、コマンドディレクトリーを指定する必要があります。

-query

（オプション）アクセスレベルのフィルターリングに使用するクエリオブジェクト。コマンドまたはコマンドディレクトリー内のコマンドの有効なオプションの形式で指定します。クエリオブジェクトは二重引用符（"）で囲む必要があります。たとえば、コマンドディレクトリーがvolumeの場合、"-aggr aggr0" というクエリオブジェクトを指定すると、aggr0アグリゲートについてのみアクセスが許可されます。

ユーザーアカウントへの公開鍵の関連付け

次の値は、security login publickey createコマンドでユーザーアカウントにSSH公開鍵を関連付けるときに指定します。

フィールド	説明	設定値
`-vserver`	（オプション）アカウントがアクセスするSVMの名前。
`-username`	アカウントのユーザー名。デフォルト値は、クラスタ管理者のデフォルト名である`admin`です。
`-index`	公開鍵のインデックス番号。デフォルト値は、アカウントに対して最初に作成された鍵では0、それ以外の場合は既存の一番大きいインデックス番号に1を加えた値です。
`-publickey`	OpenSSH公開鍵。鍵は二重引用符（"）で囲む必要があります。
`-role`	アカウントに割り当てられているアクセス制御ロール。
`-comment`	（オプション）公開鍵についての説明。テキストを二重引用符（"）で囲む必要があります。
`-x509-certificate`	（オプション）ONTAP 9.13.1以降では、X.509証明書とSSH公開鍵の関連付けを管理できます。 X.509証明書をSSH公開鍵に関連付けると、証明書が有効かどうかをSSHログイン時にONTAPがチェックします。証明書の有効期限が切れている、または証明書が失効している場合、ログインは許可されず、関連付けられているSSH公開鍵は無効になります。有効な値は次のとおりです。 `install`：PEMでエンコードされたX.509証明書を指定してインストールし、SSH公開鍵に関連付けます。インストールする証明書の完全なテキストを指定してください。 `modify`：PEMでエンコードされた既存のX.509証明書を指定した証明書に更新し、SSH公開鍵に関連付けます。新しい証明書の完全なテキストを指定してください。 `delete`：既存のX.509証明書のSSH公開鍵との関連付けを削除します。

フィールド

説明

設定値

-vserver

（オプション）アカウントがアクセスするSVMの名前。

-username

アカウントのユーザー名。デフォルト値は、クラスタ管理者のデフォルト名であるadminです。

-index

公開鍵のインデックス番号。デフォルト値は、アカウントに対して最初に作成された鍵では0、それ以外の場合は既存の一番大きいインデックス番号に1を加えた値です。

-publickey

OpenSSH公開鍵。鍵は二重引用符（"）で囲む必要があります。

-role

アカウントに割り当てられているアクセス制御ロール。

-comment

（オプション）公開鍵についての説明。テキストを二重引用符（"）で囲む必要があります。

-x509-certificate

（オプション）ONTAP 9.13.1以降では、X.509証明書とSSH公開鍵の関連付けを管理できます。

X.509証明書をSSH公開鍵に関連付けると、証明書が有効かどうかをSSHログイン時にONTAPがチェックします。証明書の有効期限が切れている、または証明書が失効している場合、ログインは許可されず、関連付けられているSSH公開鍵は無効になります。有効な値は次のとおりです。

install：PEMでエンコードされたX.509証明書を指定してインストールし、SSH公開鍵に関連付けます。インストールする証明書の完全なテキストを指定してください。
modify：PEMでエンコードされた既存のX.509証明書を指定した証明書に更新し、SSH公開鍵に関連付けます。新しい証明書の完全なテキストを指定してください。
delete：既存のX.509証明書のSSH公開鍵との関連付けを削除します。

CA署名済みサーバーデジタル証明書のインストール

次の値は、security certificate generate-csrコマンドで、SVMをSSLサーバーとして認証する際に使用する証明書署名要求（CSR）を生成するときに指定します。

フィールド	説明	設定値
`-common-name`	証明書の名前。完全修飾ドメイン名（FQDN）またはカスタム共通名を指定できます。
`-size`	秘密鍵のビット数。この値が高いほど、鍵のセキュリティは向上します。デフォルト値は`2048`です。有効な値は、`512`、`1024`、`1536`、および`2048`です。
`-country`	SVMが設置されている国の2文字のコード。デフォルト値は`US`です。コードの一覧については、マニュアルページを参照してください。
`-state`	SVMが設置されている都道府県。
`-locality`	SVMが設置されている市区町村。
`-organization`	SVMを管理している組織。
`-unit`	SVMを管理している組織内の部門。
`-email-addr`	SVMの管理担当者のEメールアドレス。
`-hash-function`	証明書の署名に使用する暗号化ハッシュ関数。デフォルト値は`SHA256`です。有効な値は、`SHA1`、`SHA256`、および`MD5`です。

フィールド

説明

設定値

-common-name

証明書の名前。完全修飾ドメイン名（FQDN）またはカスタム共通名を指定できます。

-size

秘密鍵のビット数。この値が高いほど、鍵のセキュリティは向上します。デフォルト値は2048です。有効な値は、512、1024、1536、および2048です。

-country

SVMが設置されている国の2文字のコード。デフォルト値はUSです。コードの一覧については、マニュアルページを参照してください。

-state

SVMが設置されている都道府県。

-locality

SVMが設置されている市区町村。

-organization

SVMを管理している組織。

-unit

SVMを管理している組織内の部門。

-email-addr

SVMの管理担当者のEメールアドレス。

-hash-function

証明書の署名に使用する暗号化ハッシュ関数。デフォルト値はSHA256です。有効な値は、SHA1、SHA256、およびMD5です。

次の値は、security certificate installコマンドで、クラスタまたはSVMをSSLサーバーとして認証する際に使用するCA署名済みデジタル証明書をインストールするときに指定します。次の表には、アカウント設定に関連するオプションのみを記載します。

フィールド	説明	設定値
`-vserver`	証明書をインストールするSVMの名前。
`-type`	証明書のタイプ。 `server` - サーバー証明書および中間証明書 `client-ca` - SSLクライアントのルートCAの公開鍵証明書 `server-ca` - ONTAPがクライアントであるSSLサーバーのルートCAの公開鍵証明書 `client` - ONTAPをSSLクライアントとして使用するための自己署名またはCA署名のデジタル証明書と秘密鍵

フィールド

説明

設定値

-vserver

証明書をインストールするSVMの名前。

-type

証明書のタイプ。

server - サーバー証明書および中間証明書
client-ca - SSLクライアントのルートCAの公開鍵証明書
server-ca - ONTAPがクライアントであるSSLサーバーのルートCAの公開鍵証明書
client - ONTAPをSSLクライアントとして使用するための自己署名またはCA署名のデジタル証明書と秘密鍵

Active Directoryドメインコントローラーアクセスの設定

次の値は、データSVM用のSMBサーバーを設定済みで、security login domain-tunnel createコマンドで、Active Directoryドメインコントローラーからクラスタへのアクセス用にSVMをゲートウェイまたは_トンネル_として設定するときに指定します。

フィールド	説明	設定値
`-vserver`	SMBサーバーが設定されているSVMの名前。

フィールド

説明

設定値

-vserver

SMBサーバーが設定されているSVMの名前。

次の値は、SMBサーバーを設定していない場合に、vserver active-directory createコマンドで、Active DirectoryドメインにSVMコンピューターアカウントを作成するときに指定します。

フィールド	説明	設定値
`-vserver`	Active Directoryコンピューターアカウントを作成するSVMの名前。
`-account-name`	コンピューターアカウントのNetBIOS名。
`-domain`	完全修飾ドメイン名（FQDN）。
`-ou`	ドメイン内の組織単位。デフォルト値は`CN=Computers`です。この値がドメイン名に付加されて、Active Directory識別名が生成されます。

フィールド

説明

設定値

-vserver

Active Directoryコンピューターアカウントを作成するSVMの名前。

-account-name

コンピューターアカウントのNetBIOS名。

-domain

完全修飾ドメイン名（FQDN）。

-ou

ドメイン内の組織単位。デフォルト値はCN=Computersです。この値がドメイン名に付加されて、Active Directory識別名が生成されます。

LDAPサーバーまたはNISサーバーのアクセスの設定

次の値は、vserver services name-service ldap client createコマンドでSVMのLDAPクライアント設定を作成するときに指定します。

次の表には、アカウント設定に関連するオプションのみを記載します。

フィールド

説明

設定値

-vserver

クライアント設定のSVMの名前。

-client-config

クライアント設定の名前。

-ldap-servers

クライアントが接続するLDAPサーバーのIPアドレスおよびホスト名をカンマで区切ったリスト。

-schema

クライアントがLDAPクエリの作成に使用するスキーマ。

-use-start-tls

クライアントがLDAPサーバーとの通信をStart TLSを使用して暗号化するかどうか（trueまたは`false`）。

Start TLSは、データSVMへのアクセスでのみサポートされます。管理SVMへのアクセスではサポートされません。

次の値は、vserver services name-service ldap createコマンドでLDAPクライアント設定をSVMに関連付けるときに指定します。

フィールド	説明	設定値
`-vserver`	クライアント設定を関連付けるSVMの名前。
`-client-config`	クライアント設定の名前。
`-client-enabled`	SVMがLDAPクライアント設定を使用できるかどうか（`true`または`false`）。

フィールド

説明

設定値

-vserver

クライアント設定を関連付けるSVMの名前。

-client-config

クライアント設定の名前。

-client-enabled

SVMがLDAPクライアント設定を使用できるかどうか（trueまたは`false`）。

次の値は、vserver services name-service nis-domain createコマンドでSVMでNISドメイン設定を作成するときに指定します。

-serversフィールドが-nis-serversフィールドに置き換えられています。この新しいフィールドには、NISサーバーの値としてホスト名またはIPアドレスを指定できます。

フィールド	説明	設定値
`-vserver`	ドメイン設定を作成するSVMの名前。
`-domain`	ドメインの名前。
`-active`	ドメインがアクティブかどうか（`true`または`false`）。

フィールド

説明

設定値

-vserver

ドメイン設定を作成するSVMの名前。

-domain

ドメインの名前。

-active

ドメインがアクティブかどうか（trueまたは`false`）。

次の値は、vserver services name-service ns-switch createコマンドでネームサービスソースの参照順序を指定するときに指定します。

フィールド	説明	設定値
`-vserver`	ネームサービスの参照順序を設定するSVMの名前。
`-database`	ネームサービスデータベース。 `hosts` - ファイルおよびDNSの各ネームサービス `group` - ファイル、LDAP、およびNISの各ネームサービス `passwd` - ファイル、LDAP、およびNISの各ネームサービス `netgroup` - ファイル、LDAP、およびNISの各ネームサービス `namemap` - ファイルおよびLDAPの各ネームサービス
`-sources`	ネームサービスソースを参照する順序（カンマで区切ったリスト）。 `files` `dns` `ldap` `nis`

フィールド

説明

設定値

-vserver

ネームサービスの参照順序を設定するSVMの名前。

-database

ネームサービスデータベース。

hosts - ファイルおよびDNSの各ネームサービス
group - ファイル、LDAP、およびNISの各ネームサービス
passwd - ファイル、LDAP、およびNISの各ネームサービス
netgroup - ファイル、LDAP、およびNISの各ネームサービス
namemap - ファイルおよびLDAPの各ネームサービス

-sources

ネームサービスソースを参照する順序（カンマで区切ったリスト）。

files
dns
ldap
nis

SAMLアクセスの設定

次の値は、security saml-sp createコマンドを使用して、SAML認証を設定するときに指定します。

フィールド	説明	設定値
`-idp-uri`	アイデンティティープロバイダー（IdP）メタデータをダウンロード可能な、IdPホストのFTPまたはHTTPアドレス。
`-sp-host`	SAMLサービスプロバイダーホスト（ONTAPシステム）のホスト名またはIPアドレス。デフォルトでは、クラスタ管理LIFのIPアドレスが使用されます。
`-cert-ca`と`-cert-serial`、または`-cert-common-name`	サービスプロバイダーホスト（ONTAPシステム）のサーバー証明書の詳細。サービスプロバイダーの証明書の発行元認証局（CA）と証明書のシリアル番号、またはサーバー証明書を入力できます。
`-verify-metadata-server`	IdPメタデータサーバーのアイデンティティーを検証するかどうか（`true`または`false`）。この値は常に`true`に設定することを推奨します。

フィールド

説明

設定値

-idp-uri

アイデンティティープロバイダー（IdP）メタデータをダウンロード可能な、IdPホストのFTPまたはHTTPアドレス。

-sp-host

SAMLサービスプロバイダーホスト（ONTAPシステム）のホスト名またはIPアドレス。デフォルトでは、クラスタ管理LIFのIPアドレスが使用されます。

-cert-caと`-cert-serial`、または`-cert-common-name`

サービスプロバイダーホスト（ONTAPシステム）のサーバー証明書の詳細。サービスプロバイダーの証明書の発行元認証局（CA）と証明書のシリアル番号、またはサーバー証明書を入力できます。

-verify-metadata-server

IdPメタデータサーバーのアイデンティティーを検証するかどうか（trueまたは`false`）。この値は常にtrueに設定することを推奨します。

ONTAP 9.13

管理者認証とRBAC設定用のワークシート

ログイン アカウントの作成または変更

カスタム ロールの定義

ユーザー アカウントへの公開鍵の関連付け

CA署名済みサーバー デジタル証明書のインストール

Active Directoryドメイン コントローラー アクセスの設定

LDAPサーバーまたはNISサーバーのアクセスの設定

SAMLアクセスの設定

ログインアカウントの作成または変更

カスタムロールの定義

ユーザーアカウントへの公開鍵の関連付け

CA署名済みサーバーデジタル証明書のインストール

Active Directoryドメインコントローラーアクセスの設定