ADアカウントからSVMにアクセスするためには、ADドメインコントローラーからクラスタまたはSVMへのアクセスを設定しておく必要があります。データSVM用のSMBサーバーがすでに設定されている場合は、SVMをクラスタへのADアクセス用のゲートウェイ（トンネル）として設定できます。SMBサーバーを設定していない場合は、ADドメインにSVM用のコンピューターアカウントを作成します。

ONTAPでは、次のドメインコントローラー認証サービスがサポートされます。

Kerberos
LDAP
Netlogon
Local Security Authority（LSA）

ONTAPでは、セキュアーなNetlogon接続を実現するために次のセッションキーアルゴリズムがサポートされます。

セッションキーアルゴリズム	提供開始リリース
Advanced Encryption Standard（AES）に基づくHMAC-SHA256 クラスタでONTAP 9.9.1以前を実行している場合に、ドメインコントローラーがセキュアーなNetlogonサービスにAESを使用すると、接続に失敗します。この場合は、強力なキーによるONTAPとの接続を受け入れるようにドメインコントローラーの設定を変更する必要があります。	ONTAP 9.10.1
DESおよびHMAC-MD5（強力なキーが設定されている場合）	ONTAP 9のすべてのリリース

セッションキーアルゴリズム

提供開始リリース

Advanced Encryption Standard（AES）に基づくHMAC-SHA256

クラスタでONTAP 9.9.1以前を実行している場合に、ドメインコントローラーがセキュアーなNetlogonサービスにAESを使用すると、接続に失敗します。この場合は、強力なキーによるONTAPとの接続を受け入れるようにドメインコントローラーの設定を変更する必要があります。

ONTAP 9.10.1

DESおよびHMAC-MD5（強力なキーが設定されている場合）

ONTAP 9のすべてのリリース

Netlogonのセキュアーなチャネル確立にAESセッションキーを使用する場合は、SVM上でAESが有効になっていることを確認する必要があります。

ONTAP 9.14.1以降では、SVMの作成時にAESがデフォルトで有効化されます。そのため、SVMのセキュリティ設定を変更することなく、Netlogonのセキュアーなチャネル確立時にAESセッションキーを使用できます。
ONTAP 9.10.1から9.13.1までは、SVMの作成時にAESがデフォルトで無効化されます。次のコマンドでAESを有効化する必要があります。
```
cifs security modify -vserver vs1 -aes-enabled-for-netlogon-channel true
```

ONTAP 9.14.1以降にアップグレードした場合でも、それより前のONTAPリリースで作成したSVMのAES設定が自動的に変更されることはありません。これらのSVMでAESを有効化するには、設定の値を更新する必要があります。

認証トンネルの設定

データSVMにSMBサーバーがすでに設定されている場合は、security login domain-tunnel createコマンドを使用してSVMをクラスタへのADアクセス用のゲートウェイ（トンネル）として設定できます。

開始する前に

データSVM用のSMBサーバーを設定しておく必要があります。
ADドメインのユーザーアカウントにクラスタの管理SVMへのアクセスを許可しておく必要があります。
このタスクを実行するには、クラスタ管理者である必要があります。

ONTAP 9.10.1以降では、ADアクセス用のSVMゲートウェイ（ドメイントンネル）がある場合、ADドメインでNTLMを無効にしていれば、管理認証にKerberosを使用できます。以前のリリースでは、SVMゲートウェイの管理認証にKerberosは使用できませんでした。この機能はデフォルトで使用可能であり、設定は必要ありません。

Kerberos認証は常に最初に試行されます。失敗した場合、次にNTLM認証が試行されます。

手順

SMB対応のデータSVMをADドメインコントローラーがクラスタにアクセスするための認証トンネルとして設定します。

security login domain-tunnel create -vserver svm_name

コマンド構文全体については、ワークシートを参照してください。

ユーザーを認証するには、SVMが実行されている必要があります。

次のコマンドは、「engData」というSMB対応のデータSVMを認証トンネルとして設定するものです。
```
cluster1::>security login domain-tunnel create -vserver engData
```

ドメインでのSVMコンピューターアカウントの作成

データSVM用のSMBサーバーを設定していない場合は、vserver active-directory createコマンドを使用して、ドメインにSVM用のコンピューターアカウントを作成できます。

タスク概要

vserver active-directory createコマンドを入力すると、ドメイン内の指定した組織単位にコンピューターを追加する権限を持つADユーザーアカウントのクレデンシャルを入力するように求められます。アカウントのパスワードを空にすることはできません。

開始する前に

このタスクを実行するには、クラスタ管理者またはSVMの管理者である必要があります。

手順

ADドメインにSVM用のコンピューターアカウントを作成します。

vserver active-directory create -vserver SVM_name -account-name NetBIOS_account_name -domain domain -ou organizational_unit

コマンド構文全体については、ワークシートを参照してください。

次のコマンドは、ドメイン「example.com」にSVM 「engData」用の「ADSERVER1」という名前のコンピューターアカウントを作成するものです。コマンドを入力すると、ADユーザーアカウントのクレデンシャルの入力を求められます。
```
cluster1::>vserver active-directory create -vserver engData -account-name ADSERVER1 -domain example.com

In order to create an Active Directory machine account, you must supply the name and password of a Windows account with sufficient privileges to add computers to the "CN=Computers" container within the "example.com" domain.

Enter the user name: Administrator

Enter the password:
```

ONTAP 9 マニュアル ( CA08871-402 )

Active Directoryドメイン コントローラー アクセスの設定 - 概要

認証トンネルの設定

ドメインでのSVMコンピューター アカウントの作成

Active Directoryドメインコントローラーアクセスの設定 - 概要

ドメインでのSVMコンピューターアカウントの作成