ONTAP 9 マニュアル ( CA08871-402 )

ONTAPに導入されたOAuth 2.0は、柔軟性と堅牢性を考慮した設計になっていて、ONTAP環境の保護に必要なオプションが揃っています。ONTAPクライアント許可を定義するための設定カテゴリーは、大きく分けて3つあります。これらの設定オプションは、相互排他的です。

ONTAPでは、構成に基づく最適なオプションが1つだけ適用されます。ONTAPでアクセス可否の判定に際し構成定義がどのように処理されるかの詳細については、「ONTAPによるアクセスの制御方法」を参照してください。

このスコープには、1つ以上のカスタムRESTロールが含まれ、それぞれが1つの文字列にカプセル化されています。ONTAPロールの定義には依存しません。スコープ文字列は、許可サーバーで定義する必要があります。

設定に応じて、アクセス可否の判定にローカルONTAP ID定義を使用できます。次のオプションがあります。

指定ロールのスコープ構文は、ontap-role-<URL-encoded-ONTAP-role-name>です。たとえば、ロールが「admin」の場合、スコープ文字列は「ontap-role-admin」になります。

ローカルONTAPの定義を調べてもアクセスの可否を判定できない場合は、Active Directory（「domain」）グループかLDAP（「nsswitch」）グループが使用されます。グループ情報は、次の2つの方法のいずれかで指定できます。

自己完結型スコープは、アクセス トークンで伝送される文字列です。それぞれが完結したカスタム ロール定義であり、ONTAPがアクセスの可否を判定するために必要なものがすべて含まれています。スコープは、ONTAP内で定義されているRESTロールとは別の、独立したものです。

OAuth 2.0を適切に設計、導入するには、ONTAPがどのように許可設定を使用してクライアントのアクセス可否を判定しているのかを理解しておく必要があります。

アクセス トークンに自己完結型のスコープが含まれている場合、ONTAPは最初にそれらのスコープを調べます。自己完結型スコープがない場合は、手順2に進みます。

1つ以上の自己完結型スコープが存在する場合、ONTAPは明示的に許可または拒否を判定できるまで、各スコープを適用します。明示的な判定ができた場合、処理は終了します。

ONTAPが明示的にアクセスの可否を判定できない場合は、手順2に進みます。

ONTAPは、use-local-roles-if-presentフラグの値を調べます。このフラグの値は、ONTAPに定義された許可サーバーごとに、個別に設定されます。

アクセス トークンに指定RESTロールが含まれている場合、ONTAPはそのロールを使用してアクセスの可否を判定します。この場合、必ず許可または拒否の判定が下され、処理は終了します。

指定RESTロールがない場合、またはロールが見つからない場合は、手順4に進みます。

アクセス トークンからユーザー名が抽出され、ローカルONTAPユーザーとの照合が試みられます。

一致するローカルONTAPユーザーがいた場合、ONTAPは、そのユーザーに定義されたロールを使用してアクセスの可否を判定します。この場合、必ず許可または拒否の判定が下され、処理は終了します。

一致するローカルONTAPユーザーがいない場合、またはアクセス トークンにユーザー名が含まれていない場合は、手順5に進みます。

アクセス トークンからグループが抽出され、グループとの照合が試みられます。グループは、Active Directoryか同等のLDAPサーバーを使用して定義します。

一致するグループがある場合、ONTAPは、そのグループに定義されたロールを使用してアクセスの可否を判定します。この場合、必ず許可または拒否の判定が下され、処理は終了します。

一致するグループがない場合、またはアクセス トークンにグループが含まれていない場合、アクセスは拒否され、処理は終了します。