ここでは、ONTAPに導入されたOAuth 2.0の主な機能とメリットについて解説します。

OAuth 2.0は、業界標準の許可フレームワークです。保護されたリソースへのアクセスを制限したり、制御したりするために使用するもので、署名付きアクセス トークンを使用します。OAuth 2.0を使用するメリットには、次のようなものがあります。

ONTAP環境は、OAuth 2.0準拠の認証サーバーとの互換性を持つように設計されています。次の一般的なサーバーやサービスでテスト済みです。

1つのONTAPクラスタに対して、最大8台の認証サーバーを定義できます。これにより、多様なセキュリティ環境のニーズを柔軟に満たせます。

ONTAPでの許可の判定は、最終的にはユーザーまたはグループに割り当てられたRESTロールに基づいて行われます。これらのロールは、自己完結型スコープとしてアクセス トークン内で伝送されるか、Active DirectoryグループまたはLDAPグループに沿ったローカルONTAP定義に基づきます。

ONTAPと認証サーバーを、Mutual Transport Layer Security（mTLS）を使用するように設定して、クライアント認証を強化できます。これにより、OAuth 2.0アクセス トークンを使用できるのが、その発行を受けたクライアントに限定されます。この機能は、FAPIやMITREによって規定されるものを含む、いくつかの一般的なセキュリティ推奨事項に沿ったものであり、それらへの準拠をサポートします。

OAuth 2.0の導入と設定に着手する際に考慮するべき点は、大きく分けていくつかあります。

OAuth 2.0の許可フレームワークでは各種のエンティティが定義されています。いずれも、データセンターまたはネットワーク内の実在する要素または仮想的な要素に対応させることができます。次の表は、OAuth 2.0のエンティティと、ONTAPでそれぞれに対応する概念をまとめたものです。

OAuth 2.0を有効にして使用するように、ONTAPクラスタを設定する必要があります。これには、認証サーバーへの接続を確立することや、必要なONTAP許可設定を定義することが含まれます。この設定には、次のいずれかの管理インターフェイスを使用できます。

ONTAPの定義に加えて、認証サーバーの設定も必要です。グループとロールのマッピングを使用している場合は、Active DirectoryグループかLDAPに相当するものの設定も必要です。

ONTAP 9.14以降では、OAuth 2.0を使用してREST APIクライアントからONTAPにアクセスできます。REST API呼び出しを実行する前に、認証サーバーからアクセス トークンを取得する必要があります。クライアントは、HTTP許可要求ヘッダーを使用して、このトークンをBearerトークンとしてONTAPクラスタに渡します。求められるセキュリティ レベルによっては、クライアントで証明書を作成およびインストールして、mTLSベースの送信者限定トークンを使用することもできます。

ONTAPでのOAuth 2.0導入の検討を開始する際には、いくつかの用語についての知識が役に立ちます。OAuth 2.0の詳細については、「その他のリソース」のリンク先を参照してください。

参考資料をいくつか紹介します。OAuth 2.0や関連する規格の詳細については、これらのサイトを参照してください。