Transport Layer Security（TLS）は、2つのアプリケーション（通常はクライアント ブラウザーとWebサーバー）の間にセキュアーな通信チャネルを確立するために使用されます。相互TLSは、クライアント証明書を通じた強力なクライアント識別を実現することにより、これを拡張したものです。OAuth 2.0を導入したONTAPクラスタで使用すると、送信者限定アクセス トークンを作成および使用できるので、基本的なmTLS機能が拡張されます。

送信者限定アクセス トークンを使用できるのは、その発行を受けたクライアントのみです。この機能をサポートするため、新しい確認クレーム（cnf）がトークンに挿入されます。このフィールドには、アクセス トークンの要求時に使用されるクライアント証明書のダイジェストを保持するプロパティであるx5t#S256が含まれています。この値は、トークン検証の一環としてONTAPによって検証されます。許可サーバーによって発行されたアクセス トークンのうち、送信者限定でないものには、追加の確認クレームは含まれません。

ONTAPのmTLSを使用する設定は、各許可サーバーについて個別に行う必要があります。たとえば、CLIコマンドsecurity oauth2 clientには、次の表に示す3つの値に基づいてmTLS処理を制御するためのパラメーター、use-mutual-tlsが含まれています。

ここでは、ONTAP環境のOAuth 2.0でmTLSを使用する場合の一般的な手順を紹介します。詳細については、RFC 8705：『OAuth 2.0 Mutual-TLS Client Authentication and Certificate-Bound Access Tokens』を参照してください。

クライアントIDの確立は、クライアントの秘密鍵を知っていることの証明がベースになります。対応する公開鍵は、クライアントから提示された署名付きX.509証明書に配置されます。クライアント証明書の大まかな作成手順は、次のとおりです。

クライアント証明書は通常、ローカルのオペレーティング システムにインストールしたり、curlなどの一般的なユーティリティーで直接使用したりできます。

mTLSを使用するためにONTAPを設定する必要があります。この設定は、許可サーバーごとに個別に行います。たとえばCLIでは、オプションのパラメーターuse-mutual-tlsを指定して、security oauth2 clientコマンドを使用します。詳細については、「ONTAPでのOAuth 2.0の導入」を参照してください。

クライアントは、ONTAPに設定された許可サーバーにアクセス トークンを要求する必要があります。クライアント アプリケーションは、手順1で作成してインストールした証明書でmTLSを使用する必要があります。

許可サーバーによりクライアント要求が検証され、アクセス トークンが生成されます。この一環として、クライアント証明書のメッセージ ダイジェストが作成されます。このダイジェストは、確認クレーム（cnfフィールド）としてトークンに格納されます。

クライアント アプリケーションによってONTAPクラスタに対するREST APIの呼び出しが行われ、アクセス トークンがBearerトークンとして許可要求ヘッダーに格納されます。クライアントは、アクセス トークンの要求に使用したのと同じ証明書でmTLSを使用する必要があります。

ONTAPは、HTTP要求でアクセス トークンと、mTLS処理の一環として使用されるクライアント証明書を受け取ります。ONTAPは、最初にアクセス トークンの署名を検証します。設定に基づいて、ONTAPによりクライアント証明書のメッセージ ダイジェストが生成され、トークン内の確認クレームcnfと比較されます。2つの値が一致した場合、API要求を行ったクライアントが、アクセス トークンの発行元であるクライアントと同じであることが、ONTAPにより確認されます。