ONTAP 9.14以降では、Open Authorization（OAuth 2.0）フレームワークを使用して、ONTAPクラスタへのアクセスを制御するオプションがあります。この機能を有効にする際には、ONTAP CLI、ONTAP System Manager、REST APIなどの任意のONTAP管理インターフェイスを使用します。ただし、OAuth 2.0による許可とアクセス制御は、クライアントがREST APIを使用してONTAPにアクセスする場合のみ適用できます。

OAuth 2.0はONTAP 9.14.0で初めてサポートされたため、使用しているONTAPのリリースによっては利用できないことがあります。

機能とメリット

ここでは、ONTAPに導入されたOAuth 2.0の主な機能とメリットについて解説します。

OAuth 2.0標準のサポート

OAuth 2.0は、業界標準の許可フレームワークです。保護されたリソースへのアクセスを制限したり、制御したりするために使用するもので、署名付きアクセストークンを使用します。OAuth 2.0を使用するメリットには、次のようなものがあります。

豊富な許可設定オプション
パスワードなどクライアントのクレデンシャルが露出する可能性がない
設定に基づいてトークンの有効期限を設定可能
REST APIと組み合わせての使用に最適

いくつかの一般的な認証サーバーでテスト済み

ONTAP環境は、OAuth 2.0準拠の認証サーバーとの互換性を持つように設計されています。次の一般的なサーバーやサービスでテスト済みです。

Auth0
Active Directoryフェデレーションサービス（ADFS）
Keycloak

複数の認証サーバーの同時接続をサポート

1つのONTAPクラスタに対して、最大8台の認証サーバーを定義できます。これにより、多様なセキュリティ環境のニーズを柔軟に満たせます。

RESTロールとの統合

ONTAPでの許可の判定は、最終的にはユーザーまたはグループに割り当てられたRESTロールに基づいて行われます。これらのロールは、自己完結型スコープとしてアクセストークン内で伝送されるか、Active DirectoryグループまたはLDAPグループに沿ったローカルONTAP定義に基づきます。

送信者限定アクセストークンを使用可能

ONTAPと認証サーバーを、Mutual Transport Layer Security（mTLS）を使用するように設定して、クライアント認証を強化できます。これにより、OAuth 2.0アクセストークンを使用できるのが、その発行を受けたクライアントに限定されます。この機能は、FAPIやMITREによって規定されるものを含む、いくつかの一般的なセキュリティ推奨事項に沿ったものであり、それらへの準拠をサポートします。

導入と設定

OAuth 2.0の導入と設定に着手する際に考慮するべき点は、大きく分けていくつかあります。

ONTAP内のOAuth 2.0エンティティ

OAuth 2.0の許可フレームワークでは各種のエンティティが定義されています。いずれも、データセンターまたはネットワーク内の実在する要素または仮想的な要素に対応させることができます。次の表は、OAuth 2.0のエンティティと、ONTAPでそれぞれに対応する概念をまとめたものです。

OAuth 2.0のエンティティ	説明
リソース	内部ONTAPコマンドを通じてONTAPリソースへのアクセスを提供するREST APIエンドポイントです。
リソースオーナー	保護されたリソースを作成した、またはデフォルトでそのリソースを所有しているONTAPクラスタユーザーです。
リソースサーバー	保護されているリソースのホスト（ONTAPクラスタ）です。
クライアント	リソースオーナーに代わって、またはリソースオーナーから権限を付与されて、REST APIエンドポイントへのアクセスを要求するアプリケーションです。
認証サーバー	通常はアクセストークンの発行と管理ポリシーの適用を担当する専用サーバーです。

OAuth 2.0のエンティティ

説明

リソース

内部ONTAPコマンドを通じてONTAPリソースへのアクセスを提供するREST APIエンドポイントです。

リソースオーナー

保護されたリソースを作成した、またはデフォルトでそのリソースを所有しているONTAPクラスタユーザーです。

リソースサーバー

保護されているリソースのホスト（ONTAPクラスタ）です。

クライアント

リソースオーナーに代わって、またはリソースオーナーから権限を付与されて、REST APIエンドポイントへのアクセスを要求するアプリケーションです。

認証サーバー

通常はアクセストークンの発行と管理ポリシーの適用を担当する専用サーバーです。

ONTAPのコア設定

OAuth 2.0を有効にして使用するように、ONTAPクラスタを設定する必要があります。これには、認証サーバーへの接続を確立することや、必要なONTAP許可設定を定義することが含まれます。この設定には、次のいずれかの管理インターフェイスを使用できます。

ONTAPコマンドラインインターフェイス
ONTAP System Manager
ONTAP REST API

環境とサポートサービス

ONTAPの定義に加えて、認証サーバーの設定も必要です。グループとロールのマッピングを使用している場合は、Active DirectoryグループかLDAPに相当するものの設定も必要です。

サポートされるONTAPクライアント

ONTAP 9.14以降では、OAuth 2.0を使用してREST APIクライアントからONTAPにアクセスできます。REST API呼び出しを実行する前に、認証サーバーからアクセストークンを取得する必要があります。クライアントは、HTTP許可要求ヘッダーを使用して、このトークンをBearerトークンとしてONTAPクラスタに渡します。求められるセキュリティレベルによっては、クライアントで証明書を作成およびインストールして、mTLSベースの送信者限定トークンを使用することもできます。

用語の説明

ONTAPでのOAuth 2.0導入の検討を開始する際には、いくつかの用語についての知識が役に立ちます。OAuth 2.0の詳細については、「その他のリソース」のリンク先を参照してください。

アクセストークン: 認証サーバーによって発行され、保護されたリソースへのアクセス要求を行うためにOAuth 2.0クライアントアプリケーションによって使用されるトークンです。
JSON Webトークン: アクセストークンのフォーマットに使用される標準です。JSONは、OAuth 2.0のクレームを3つの主要セクションで構成されるコンパクトな形式で表現するために使用されます。
送信者限定アクセストークン: Mutual Transport Layer Security（mTLS）プロトコルをベースとする、オプションの機能です。トークンで追加の確認クレームを使用することにより、アクセストークンを、その発行を受けたクライアントしか使用できなくなります。
JSON Webキーセット: JWKSは、クライアントから提示されたJWTトークンを検証するためにONTAPで使用される公開鍵の集合です。キーセットは、通常、専用のURIを介して認証サーバーで使用できます。
スコープ: スコープは、ONTAP REST APIなどの保護されたリソースへのアプリケーションのアクセスを制限または制御する手段のひとつです。アクセストークン内の文字列として表されます。
HTTP許可ヘッダー: HTTP要求に含まれるヘッダーで、REST API呼び出しの一環として、クライアントや関連する権限を識別するために使用されます。認証と許可の実行方法に応じて、いくつかの種類や形式があります。OAuth 2.0のアクセストークンがONTAPに提示されると、トークンはBearerトークンとして識別されます。
HTTP基本認証: 初期のHTTP認証技術は、依然としてONTAPでサポートされています。プレーンテキストのクレデンシャル（ユーザー名とパスワード）は、コロンで連結され、Base64でエンコードされます。文字列は許可要求ヘッダーに配置され、サーバーに送信されます。
FAPI: OpenID Foundationのワーキンググループによって、金融業界向けのプロトコル、データスキーマ、セキュリティに関する推奨事項が提供されています。このAPIは、もともとFinancial Grade APIとして知られていました。
MITRE: 米国空軍と米国政府に技術的ガイダンスや安全保障上のガイダンスを提供している、民間の非営利団体です。

その他のリソース

参考資料をいくつか紹介します。OAuth 2.0や関連する規格の詳細については、これらのサイトを参照してください。

プロトコルと標準

組織

製品とサービス

その他のツールとユーティリティー