ONTAPは、Kerberos（RPCSEC_GSS）認証を使用してNFSユーザークレデンシャルを処理する場合、デフォルトで最大32個のグループIDをサポートします。AUTH_SYS認証を使用する場合は、RFC 5331で定義されているとおり、グループIDのデフォルトの最大数は16個です。デフォルト数を超えるグループに属しているユーザーがいる場合は、この最大数を1,024まで増やすことができます。

タスク概要

デフォルト数を超えるグループIDがクレデンシャルに設定されている場合、残りのグループIDは切り捨てられ、そのユーザーがストレージシステムのファイルへのアクセスを試みるとエラーが発生する可能性があります。SVMあたりの最大グループ数は、環境内の最大グループ数と同じ数に設定する必要があります。

次の表に、グループIDの最大数を決定するvserver nfs modifyコマンドの2つのパラメーターと3つの設定例を示します。

パラメーター	設定	最大グループID数
`-extended-groups-limit` `-auth-sys-extended-groups`	`32` `disabled` これがデフォルトの設定です。	RPCSEC_GSS：32 AUTH_SYS：16
`-extended-groups-limit` `-auth-sys-extended-groups`	`256` `disabled`	RPCSEC_GSS：256 AUTH_SYS：16
`-extended-groups-limit` `-auth-sys-extended-groups`	`512` `enabled`	RPCSEC_GSS：512 AUTH_SYS：512

パラメーター

設定

最大グループID数

-extended-groups-limit

-auth-sys-extended-groups

32

disabled

これがデフォルトの設定です。

RPCSEC_GSS：32

AUTH_SYS：16

-extended-groups-limit

-auth-sys-extended-groups

256

disabled

RPCSEC_GSS：256

AUTH_SYS：16

-extended-groups-limit

-auth-sys-extended-groups

512

enabled

RPCSEC_GSS：512

AUTH_SYS：512

手順

権限レベルをadvancedに設定します。

set -privilege advanced

次のうち必要な操作を実行します。

設定対象	入力するコマンド
RPCSEC_GSSのみ（AUTH_SYSはデフォルト値16のまま）	`vserver nfs modify -vserver vserver_name -extended-groups-limit {32-1024} -auth-sys-extended-groups disabled`
RPCSEC_GSSとAUTH_SYSの両方	`vserver nfs modify -vserver vserver_name -extended-groups-limit {32-1024} -auth-sys-extended-groups enabled`

設定対象

入力するコマンド

RPCSEC_GSSのみ（AUTH_SYSはデフォルト値16のまま）

vserver nfs modify -vserver vserver_name -extended-groups-limit {32-1024} -auth-sys-extended-groups disabled

RPCSEC_GSSとAUTH_SYSの両方

vserver nfs modify -vserver vserver_name -extended-groups-limit {32-1024} -auth-sys-extended-groups enabled

-extended-groups-limitの値を確認し、AUTH_SYSが拡張されたグループ数を使用していることを確認します。vserver nfs show -vserver vserver_name -fields auth-sys-extended-groups,extended-groups-limit
admin権限レベルに戻ります。

set -privilege admin

例

次の例は、AUTH_SYS認証で拡張されたグループ数を有効にし、AUTH_SYS認証とRPCSEC_GSS認証の両方でグループの最大数を512に設定します。これらの変更は、vs1というSVMにアクセスするクライアントに対してのみ適用されます。

vs1::> set -privilege advanced
Warning: These advanced commands are potentially dangerous; use
         them only when directed to do so by Fujitsu personnel.
Do you want to continue? {y|n}: y

vs1::*> vserver nfs modify -vserver vs1 -auth-sys-extended-groups enabled -extended-groups-limit 512

vs1::*> vserver nfs show -vserver vs1 -fields auth-sys-extended-groups,extended-groups-limit
vserver auth-sys-extended-groups extended-groups-limit
------- ------------------------ ---------------------
vs1     enabled                  512

vs1::*> set -privilege admin

ONTAP 9 マニュアル ( CA08871-402 )

NFSユーザーに許可するグループID数の設定

本トピックの構成