多くの許可サーバーは、名前を使用してグループを識別し、表します。以下は、Active Directory Federation Service（ADFS）によって生成されたJSONアクセストークンの一部で、複数のグループが含まれています。詳細については、<<「名前でグループを管理する」>>を参照してください。

  ...
  "sub": "User1_TestDev@NICAD5.COM",
  "group": [
    "NICAD5\\Domain Users",
    "NICAD5\\Development Group",
    "NICAD5\\Production Group"
  ],
  "apptype": "Confidential",
  "appid": "3bff3b2b-8e40-44ba-7c11-d73c3b76e3e8",
  ...

グループUUID

一部の許可サーバーは、UUIDを使用してグループを識別し、表します。以下は、Microsoft Entra IDによって生成されたJSONアクセストークンの一部で、複数のグループが含まれています。詳細については、<<「UUIDでグループを管理する」>>を参照してください。

  ...
  "appid": "4aff4b4b-8e40-44ba-7c11-d73c3b76e3d7",
  "appidacr": "1",
  "groups": [
    "8ea4c5b0-bcad-4e66-8f1e-cd395474a448",
    "a8558fc2-a1b2-4cb7-cc41-59bd831840cc"],
  "name": "admin007 with group membership",
  ...

名前でグループを管理する

ご利用の許可サーバーが名前を使用してグループを識別する場合は、各グループがONTAPに定義されていることを確認する必要があります。セキュリティ環境によっては、グループがすでに定義されている場合があります。

ここでは、ONTAPにグループを定義するCLIコマンドの例を示します。サンプルのアクセストークンの名前付きグループを使用していることに注目してください。このコマンドを実行するには、ONTAP admin権限レベルが必要です。

例

security login create -user-or-group-name "NICAD5\\Domain Users" -application http -authentication-method domain -role admin

UUIDでグループを管理する

ご利用の許可サーバーがUUID値を使用してグループを表す場合は、グループを使用する前に2段階の設定を行う必要があります。ONTAP 9.16.1以降では、2つのマッピング機能を使用でき、これらの機能はMicrosoft Entra IDでテストされています。CLIコマンドを実行するには、ONTAP admin権限レベルが必要です。

グループUUIDをグループ名にマッピングする

UUID値を使用してグループを表す許可サーバーを使用している場合は、グループUUIDをグループ名にマッピングする必要があります。以下では、主なONTAP CLI処理について説明します。

作成

新しいグループマッピング設定は、security login group createコマンドを使用して定義できます。グループのUUIDと名前は、許可サーバーの設定と一致する必要があります。

パラメーター

グループマッピングの作成に使用するパラメーターを以下に示します。

パラメーター説明

パラメーター	説明
`vserver`	必要に応じて、グループを関連付けるStorage Virtual Machine（SVM）の名前を指定します。省略すると、グループはONTAPクラスタに関連付けられます。
`name`	ONTAPが使用するグループの一意の名前。
`type`	この値は、グループのソースであるアイデンティティープロバイダーを示します。
`uuid`	許可サーバーによって提供されるグループのUniversally Unique Identifierを指定します。

vserver

必要に応じて、グループを関連付けるStorage Virtual Machine（SVM）の名前を指定します。省略すると、グループはONTAPクラスタに関連付けられます。

name

ONTAPが使用するグループの一意の名前。

type

この値は、グループのソースであるアイデンティティープロバイダーを示します。

uuid

許可サーバーによって提供されるグループのUniversally Unique Identifierを指定します。

ここでは、ONTAPにグループを定義するCLIコマンドの例を示します。サンプルのアクセストークンのUUIDグループを使用していることに注目してください。

例

security login group create -vserver ontap-cls-1 -name IAM_Dev -type entra -uuid 8ea4c5b0-bcad-4e66-8f1e-cd395474a448

グループを作成すると、グループに対して一意の読み取り専用の整数の識別子が生成されます。

その他のCLI処理

このコマンドでは、次のような追加の処理がサポートされます。

表示
変更
削除

showオプションを使用すると、グループに対して生成された一意のグループIDを取得できます。詳細については、ONTAPコマンドリファレンスドキュメントを参照してください。

グループUUIDをロールにマッピングする

UUID値を使用してグループを表す許可サーバーを使用している場合は、グループをロールにマッピングできます。以下では、主なONTAP CLI処理について説明します。また、コマンドを実行するには、ONTAP admin権限レベルが必要です。

まず、グループUUIDをグループ名にマッピングし、そのグループに対して生成された一意の整数のIDを取得する必要があります。グループをロールにマッピングするには、IDが必要です。

作成

新しいロールマッピングは、security login group role-mapping createコマンドを使用して定義できます。

パラメーター

グループをロールにマッピングするために使用するパラメーターを以下に示します。

パラメーター説明

パラメーター	説明
`group-id`	`security login group create`コマンドを使用して、グループに対して生成された一意のIDを指定します。
`role`	グループのマッピング先のONTAPロールの名前。

group-id

security login group createコマンドを使用して、グループに対して生成された一意のIDを指定します。

role

グループのマッピング先のONTAPロールの名前。

例

security login group role-mapping create -group-id 1 -role admin

その他のCLI処理

このコマンドでは、次のような追加の処理がサポートされます。

表示
変更
削除

詳細については、ONTAPコマンドリファレンスドキュメントを参照してください。

ONTAP 9 マニュアル ( CA08871-402 )

グループの操作

グループの識別方法

グループ名

グループUUID

名前でグループを管理する

UUIDでグループを管理する

グループUUIDをグループ名にマッピングする

作成

その他のCLI処理

グループUUIDをロールにマッピングする

作成

その他のCLI処理

本トピックの構成