ONTAP 9.12.1以降には、admin-no-fsaという名前の事前定義されたロールベースアクセス制御（RBAC）ロールが含まれています。admin-no-fsaロールは管理者レベルの権限を付与しますが、ONTAP CLI、REST API、およびONTAP System Managerでfilesエンドポイントに関連する処理（ファイルシステム分析）を実行することはできません。

admin-no-fsaロールの詳細については、「クラスタ管理者の事前定義されたロール」を参照してください。

ONTAP 9.12.1より前のONTAPバージョンを使用している場合は、ファイルシステム分析へのアクセスを制御する専用のロールを作成する必要があります。ONTAP 9.12.1より前のバージョンのONTAPでは、ONTAP CLIまたはONTAP REST APIを使用してRBACの権限を設定する必要があります。

ONTAP System Manager

ONTAP 9.12.1以降では、ONTAP System Managerを使用してファイルシステム分析用のRBAC権限を設定できます。

手順

[クラスター]>[設定] を選択します。[セキュリティ] で [ユーザとロール] に移動し、を選択します。
[ロール] で、を選択します。

ロールの名前を指定します。[ロール属性]で、適切なAPIエンドポイントを指定してユーザーロールのアクセスまたは制限を設定します。ファイルシステム分析のアクセスまたは制限を設定するには、プライマリーパスとセカンダリーパスについて次の表を参照してください。

制限プライマリーパスセカンダリーパス

制限	プライマリーパス	セカンダリーパス
ボリュームでのアクティビティ追跡	`/api/storage/volumes`	`/:uuid/top-metrics/directories` `/:uuid/top-metrics/files` `/:uuid/top-metrics/clients` `/:uuid/top-metrics/users`
SVMでのアクティビティ追跡	`/api/svm/svms`	`/:uuid/top-metrics/directories` `/:uuid/top-metrics/files` `/:uuid/top-metrics/clients` `/:uuid/top-metrics/users`
すべてのファイルシステム分析処理	`/api/storage/volumes`	`/:uuid/files`

ボリュームでのアクティビティ追跡

/api/storage/volumes

/:uuid/top-metrics/directories
/:uuid/top-metrics/files
/:uuid/top-metrics/clients
/:uuid/top-metrics/users

SVMでのアクティビティ追跡

/api/svm/svms

/:uuid/top-metrics/directories
/:uuid/top-metrics/files
/:uuid/top-metrics/clients
/:uuid/top-metrics/users

すべてのファイルシステム分析処理

/api/storage/volumes

/:uuid/files

UUIDの代わりに/*/を使用すると、そのエンドポイントのすべてのボリュームまたはSVMに対してポリシーを設定できます。

各エンドポイントに対するアクセス権限を選択します。

[保存]を選択します。
ロールをユーザーに割り当てる手順は、「管理者アクセスの制御」を参照してください。

CLI

ONTAP 9.12.1より前にリリースされたONTAPバージョンを使用している場合は、ONTAP CLIを使用してカスタムロールを作成します。

手順

すべての機能にアクセスできるデフォルトのロールを作成します。

このロールは、アクティビティ追跡のみにアクセスを制限したロールを作成する前に作成する必要があります。

security login role create -cmddirname DEFAULT -access all -role storageAdmin
制限のあるロールを作成します。

security login role create -cmddirname "volume file show-disk-usage" -access none -role storageAdmin
SVMのWebサービスへのアクセスをロールに許可します。
- rest：REST API呼び出し
- security：パスワード保護
- sysmgr：ONTAP System Managerのアクセス
  
  vserver services web access create -vserver svm-name -name_ -name rest -role storageAdmin
  
  vserver services web access create -vserver svm-name -name security -role storageAdmin
  
  vserver services web access create -vserver svm-name -name sysmgr -role storageAdmin
ユーザーを作成します。

ユーザーに適用するアプリケーションごとにcreateコマンドを実行する必要があります。同じユーザーに対してcreateを複数回呼び出すと、そのユーザーにそれぞれのアプリケーションが適用されます。毎回新しいユーザーが作成されることはありません。アプリケーションタイプのhttpパラメーターは、ONTAP REST APIとONTAP System Managerに適用されます。

security login create -user-or-group-name storageUser -authentication-method password -application http -role storageAdmin
新しいユーザークレデンシャルでONTAP System ManagerにログインするかONTAP REST APIを使用して、ファイルシステム分析のデータにアクセスできます。

詳細情報

ONTAP 9 マニュアル ( CA08871-402 )

ファイルシステム分析とロールベース アクセス制御

ファイルシステム分析とロールベースアクセス制御