エクスポートポリシーには、クライアントにアクセスを許可するエクスポートルールを少なくとも1つ含める必要があります。エクスポートポリシーに複数のルールが含まれている場合、ルールはエクスポートポリシーに表示される順に処理されます。ルールの順序は、ルールインデックス番号によって決まります。ルールがクライアントに一致すると、そのルールのアクセス権が使用され、それ以降のルールは処理されません。一致するルールがない場合、クライアントはアクセスを拒否されます。

次の条件を使用して、クライアントのアクセス権を決定するようにエクスポートルールを設定できます。

クライアントが要求の送信に使用するファイルアクセスプロトコル（NFSv4やSMBなど）
クライアント識別子（ホスト名やIPアドレスなど）

-clientmatch フィールドの最大サイズは4096文字です。
クライアントが認証に使用するセキュリティタイプ（Kerberos v5、NTLM、AUTH_SYSなど）

ルールで複数の条件が指定されている場合、クライアントがそれらのすべてに一致しないとルールは適用されません。

エクスポートポリシーの設定チェックをバックグラウンドジョブとして有効にし、すべてのルール違反をエラールールリストに記録することができます。vserver export-policy config-checker コマンドを実行するとこのチェックが開始されて結果が表示されます。これを基に設定を確認し、エラーを含むルールをポリシーから削除できます。

このコマンドで検証されるのは、エクスポート設定のホスト名、ネットグループ、匿名ユーザーのみです。

例

エクスポートポリシーに、次のパラメーターが指定されたエクスポートルールが含まれています。

-protocol nfs3
-clientmatch 10.1.16.0/255.255.255.0
-rorule any
-rwrule any

クライアントアクセス要求はNFSv3プロトコルを使用して送信され、クライアントのIPアドレスは10.1.17.37です。

クライアントアクセスプロトコルは一致していますが、クライアントのIPアドレスがエクスポートルールで指定されているアドレスとは異なるサブネット内にあります。したがって、クライアントは一致せず、このルールはこのクライアントに適用されません。

例

エクスポートポリシーに、次のパラメーターが指定されたエクスポートルールが含まれています。

-protocol nfs
-clientmatch 10.1.16.0/255.255.255.0
-rorule any
-rwrule any

クライアントアクセス要求はNFSv4プロトコルを使用して送信され、クライアントのIPアドレスは10.1.16.54です。

クライアントアクセスプロトコルが一致し、クライアントのIPアドレスが指定されたサブネット内にあります。したがって、クライアントは一致し、このルールはこのクライアントに適用されます。セキュリティタイプに関係なく、クライアントは読み取り / 書き込みアクセス権を取得します。

例

エクスポートポリシーに、次のパラメーターが指定されたエクスポートルールが含まれています。

-protocol nfs3
-clientmatch 10.1.16.0/255.255.255.0
-rorule any
-rwrule krb5,ntlm

クライアント#1は、IPアドレスが10.1.16.207で、NFSv3プロトコルを使用してアクセス要求を送信し、Kerberos v5で認証されました。

クライアント#2は、IPアドレスが10.1.16.211で、NFSv3プロトコルを使用してアクセス要求を送信し、AUTH_SYSで認証されました。

両方のクライアントで、クライアントアクセスプロトコルとIPアドレスは一致しています。読み取り専用パラメーターでは、認証に使用されるセキュリティタイプに関係なく、読み取り専用アクセスがすべてのクライアントに許可されています。したがって、両方のクライアントが読み取り専用アクセス権を取得します。ただし、読み取り / 書き込みアクセス権を取得するのはクライアント#1だけです。これは、認証に承認されたセキュリティタイプKerberos v5を使用したためです。クライアント#2は読み取り / 書き込みアクセス権を取得できません。

ONTAP 9 マニュアル ( CA08871-402 )

エクスポート ルールの仕組み

エクスポートルールの仕組み