ONTAP 9.11.1以降では、マルチ管理者認証（MAV）を使用して、ボリュームやSnapshotコピーの削除などの特定の処理を、指定した管理者からの承認がないと実行できないようにすることができます。これにより、侵害を受けた管理者、悪意のある管理者、または経験の浅い管理者が望ましくない変更やデータの削除を行えないようにすることができます。

マルチ管理者認証を設定するには、次の処理を実行します。

初期設定後にこれらの要素を変更できるのは、MAV承認グループの管理者（MAV管理者）のみです。

マルチ管理者認証が有効な場合、保護対象処理を完了するには次の3つの手順が必要です。

ユーザーが処理を開始すると、要求が生成されます。
処理を実行する前に、少なくとも1人のMAV管理者が承認する必要があります。
承認されると、ユーザーは処理を完了します。

マルチ管理者認証は、処理を完了するためには自動化されたタスクごとに承認が必要となるため、大量の自動化を伴うボリュームやワークフローでの使用は想定していません。自動化とMAVを併用する場合は、特定のMAV処理にクエリを使用することを推奨します。たとえば、自動化を使用しないボリュームにのみ`volume delete`MAVルールを適用し、特定の命名方法を使用してこれらのボリュームを指定できます。

MAV管理者の承認なしでマルチ管理者認証機能を無効にする必要がある場合は、富士通のサポートに連絡してください。

マルチ管理者認証の仕組み

マルチ管理者認証は次の要素で構成されます。

承認権と拒否権を持つ1人以上の管理者のグループ。
ルールテーブル 内の一連の保護対象処理またはコマンド。
保護対象処理の実行を特定および制御する ルールエンジン。

MAVルールは、ロールベースアクセス制御（RBAC）ルールのあとに評価されます。そのため、保護対象処理を実行または承認する管理者は、それらの処理に対する最低限のRBAC権限を保有している必要があります。RBACの詳細については、こちらを参照してください。

マルチ管理者認証を有効にすると、システム定義のルール（ガードレール ルールとも呼ばれます）により、MAVプロセス自体を回避するリスクを阻止するために、以下のMAV処理が確立されます。これらの処理はルールテーブルから削除できません。MAVが有効になると、アスタリスク(*)が付いている処理を実行するには、1人以上の管理者による承認が必要となります。

ただし show コマンドは除きます。

security multi-admin-verify modify*

マルチ管理者認証機能の設定を制御します。
security multi-admin-verify approval-group処理*

マルチ管理者認証のクレデンシャルを有する一連の管理者のメンバーシップを制御します。
security multi-admin-verify rule処理*

マルチ管理者認証を必要とする一連のコマンドを制御します。
security multi-admin-verify request処理

承認プロセスを制御します。

マルチ管理者認証を有効にすると、システム定義のコマンドに加えて次のコマンドもデフォルトで保護されます。ただし、ルールを変更してこれらのコマンドの保護を解除することができます。

security login password
security login unlock
set

ONTAP 9.11.1以降のリリースでは、次のコマンドを保護できます。

cluster peer delete

event config modify

security login create

security login delete

security login modify

system node run

system node systemshell

volume delete

volume flexcache delete

volume snaplock modify

volume snapshot autodelete modify

volume snapshot delete

volume snapshot policy add-schedule

volume snapshot policy create

volume snapshot policy delete

volume snapshot policy modify

volume snapshot policy modify-schedule

volume snapshot policy remove-schedule

volume snapshot restore

vserver peer delete

マルチ管理者承認の仕組み

保護対象処理がMAVで保護されたクラスタで入力されると、指定されたMAV管理者グループに処理の実行要求が送信されます。

設定できる項目は次のとおりです。

MAVグループ内の管理者の名前、連絡先情報、および数。

MAV管理者には、クラスタ管理者権限のあるRBACロールが必要です。
MAV管理者グループの数。
- 保護対象処理ルールごとにMAVグループが割り当てられます。
- MAVグループが複数ある場合は、どのMAVグループが特定のルールを承認するかを設定できます。
保護対象処理を実行するために必要なMAV承認者の数。
MAV管理者が承認要求に応答する必要がある_承認期限_。
要求元の管理者が処理を完了する必要がある_実行期限_。

設定後にこれらのパラメーターを変更するには、MAVの承認が必要です。

MAV管理者は、自身が要求した保護対象処理の実行を承認することはできません。そのため、次の点に注意してください。

管理者が1人しかいないクラスタでは、MAVを有効にしないでください。
MAVグループのメンバーが1人だけの場合、そのMAV管理者は保護対象処理を入力できません。保護対象処理は一般の管理者が入力する必要があり、MAV管理者は承認のみを行うことができます。
MAV管理者が保護対象処理を実行できるようにするには、MAV管理者の数が、必要な承認者数よりも1人多くなければなりません。たとえば、ある保護対象処理に2人の承認が必要で、MAV管理者がその処理を実行できるようにするためには、MAV管理者グループに3人のメンバーが必要です。

承認要求は、（EMSを使用して）EメールアラートでMAV管理者に送信できるほか、管理者が要求キューを照会することもできます。受信した要求に対し、MAV管理者は次の3つのいずれかの対応を取ることができます。

承認
却下（拒否）
無視（対応なし）

次の場合、MAVルールに関連付けられているすべての承認者にEメール通知が送信されます。

要求が作成された場合。
要求が承認または拒否された場合。
承認された要求が実行された場合。

処理の要求者が同じ承認グループに属している場合は、要求が承認された場合もEメールが送信されます。

注：要求者は、承認グループに属していても自身の要求は承認できません。ただし、Eメール通知は受け取ります。承認グループに属していない（つまり、MAV管理者ではない）要求者には、Eメール通知は送信されません。

保護対象処理が実行される仕組み

保護対象処理の実行が承認された場合、要求元ユーザーはプロンプトを確認して処理を続行します。処理が拒否された場合、要求元ユーザーは、要求を削除してから次の作業に進む必要があります。

MAVルールはRBACの権限のあとに評価されます。そのため、処理を実行するための十分なRBACの権限がないユーザーはMAV要求プロセスを開始できません。