ONTAP OAuth 2.0の実装は、柔軟性と堅牢性を考慮した設計になっていて、ONTAP環境の保護に必要な機能を提供します。これには、同時に指定できない設定オプションがいくつかあります。許可の決定は、最終的にはOAuth 2.0のアクセストークンに含まれている、またはアクセストークンから導き出されたONTAP RESTロールに基づいて行われます。

OAuth 2.0用に許可を設定する際に使用できるのは、ONTAP RESTロールのみです。従来のONTAPロールはサポートされていません。

ONTAPでは、構成に基づく最適な許可オプションが1つだけ適用されます。ONTAPによるクライアントアクセスの制御方法の詳細については、「ONTAPによるアクセスの制御方法」を参照してください。

OAuth 2.0の自己完結型スコープ

このスコープには、1つ以上のカスタムRESTロールが含まれ、それぞれがアクセストークン内の1つの文字列にカプセル化されています。ONTAPロールの定義には依存しません。スコープ文字列は、許可サーバーで設定する必要があります。詳細については、「自己完結型OAuth 2.0スコープ」を参照してください。

ローカルONTAP RESTロール

組み込みまたはカスタムの単一の指定RESTロールを使用できます。指定ロールのスコープ構文は、ontap-role-<URL-encoded-ONTAP-role-name>です。たとえば、ONTAPロールがadminの場合、スコープ文字列はontap-role-adminになります。

ユーザー

アプリケーション「http」へのアクセスが定義されたアクセストークン内のユーザー名を使用できます。ユーザーは、定義された認証方法に基づいて、password、domain（Active Directory）、nsswitch（LDAP）の順にテストされます。

グループ

許可にONTAPグループを使用するように許可サーバーを設定できます。ローカルONTAPの定義を調べてもアクセスの可否を判定できない場合は、Active Directory（「domain」）グループかLDAP（「nsswitch」）グループが使用されます。グループ情報は、次の2つの方法のいずれかで指定できます。

OAuth 2.0のスコープ文字列

グループメンバーシップを持つユーザーがいないクライアントのクレデンシャルフローを使用する機密アプリケーションをサポートします。スコープは、ontap-group-<URL-encoded-ONTAP-group-name>の構文で指定する必要があります。たとえば、グループが「development」の場合、スコープ文字列は「ontap-group-development」になります。
「グループ」のクレーム

これは、リソースオーナー（パスワードグラント）フローを使用してADFSによって発行されるアクセストークンが対象です。

詳細については、「グループの操作」を参照してください。

ONTAP 9 マニュアル ( CA08871-402 )

ONTAPクライアント許可の概要とオプション

本トピックの構成