環境を設定する手順は、クライアントで使用しているオペレーティングシステム、ドメインコントローラー、Kerberos、DNSなどのバージョンや種類によって異なります。このドキュメントでは、それらのすべてについては説明していません。詳細については、それぞれのコンポーネントの対応するドキュメントを参照してください。

次の項目について事前に設定しておく必要があります。

ネットワーク環境の要件

Kerberos

KerberosをKey Distribution Center（KDC;キー配布センター）で設定しておく必要があります（たとえば、Windows Active DirectoryベースのKerberosまたはMIT Kerberos）。

NFSサーバーでは、マシンプリンシパルの主要コンポーネントとして nfs を使用する必要があります。
ディレクトリーサービス

Active DirectoryやOpenLDAPなどのセキュアーなディレクトリーサービスを環境に導入し、SSL / TLS経由のLDAPを使用するように設定する必要があります。
NTP

タイムサーバーでNTPを実行している必要があります。これは、時刻のずれによるKerberos認証の失敗を回避するために必要です。
ドメイン名解決（DNS）

それぞれのUNIXクライアントおよびSVM LIFについて、KDCの前方参照ゾーンと逆引き参照ゾーンに適切なサービスレコード（SRV）が登録されている必要があります。すべてのコンポーネントは、DNSで正しく解決できる必要があります。
ユーザーアカウント

各クライアントについて、Kerberos Realmのユーザーアカウントが必要です。NFSサーバーでは、マシンプリンシパルの主要コンポーネントとして「nfs」を使用する必要があります。

NFSクライアントの要件

NFS

NFSv3またはNFSv4を使用してネットワーク経由で通信するように各クライアントが適切に設定されている必要があります。

クライアントでRFC1964およびRFC2203がサポートされている必要があります。
Kerberos

Kerberos認証を使用するように各クライアントが適切に設定されている必要があります。詳細は次のとおりです。
- TGS通信に対する暗号化を有効にします。
  
  非常にセキュリティ性の高いAES-256です。
- TGT通信に対する最も安全な暗号化タイプを有効にします。
- Kerberos Realmとドメインを正しく設定します。
- GSSを有効にします。
  
  マシンのクレデンシャルを使用する場合：
  - gssd を実行する際に -n パラメーターを指定しないでください。
  - kinit をrootユーザーとして実行しないでください。
各クライアントは、最新かつ更新済みバージョンのオペレーティングシステムを使用している必要があります。

これにより、KerberosでのAES暗号化の互換性と信頼性が最大限確保されます。
DNS

DNSを使用して名前が正しく解決されるように各クライアントが適切に設定されている必要があります。
NTP

各クライアントがNTPサーバーと同期されている必要があります。
ホストとドメインの情報

各クライアントの /etc/hosts ファイルと /etc/resolv.conf ファイルに、正しいホスト名とDNSの情報が格納されている必要があります。
keytabファイル

各クライアントについて、KDCのkeytabファイルが必要です。Realmは大文字で指定する必要があります。最高レベルのセキュリティを得るために、暗号化タイプをAES-256にする必要があります。
オプション：パフォーマンスを最大化するには、ローカルエリアネットワークとの通信用とストレージネットワークとの通信用に1つずつ、少なくとも2つのネットワークインターフェイスを設定します。

ストレージシステムの要件

NFSライセンス

ストレージシステムに有効なNFSライセンスがインストールされている必要があります。
CIFSライセンス

CIFSライセンスはオプションです。マルチプロトコルのネームマッピングを使用する環境で、Windowsクレデンシャルのチェックを行う場合にのみ必要になります。純粋なUNIXのみの環境では必要ありません。
SVM

システムでSVMを少なくとも1つ設定しておく必要があります。
SVMでのDNS

各SVMでDNSを設定しておく必要があります。
NFSサーバー

SVMでNFSを設定しておく必要があります。
AES暗号化

最高レベルのセキュリティを得るために、KerberosでAES-256暗号化のみを許可するようにNFSサーバーを設定する必要があります。
SMBサーバー

マルチプロトコル環境の場合は、SVMでSMBを設定しておく必要があります。SMBサーバーはマルチプロトコルのネームマッピングに必要です。
ボリューム数

SVMで使用するルートボリュームと少なくとも1つのデータボリュームを設定しておく必要があります。
ルートボリューム

SVMのルートボリュームを次のように設定しておく必要があります。

項目設定

セキュリティ形式

UNIX

UID

rootまたはID 0

GID

rootまたはID 0

UNIX権限

777

ルートボリュームとは異なり、データボリュームのセキュリティ形式は任意に設定してかまいません。
UNIXグループ

SVMで次のUNIXグループを設定しておく必要があります。

グループ名グループID

daemon

1

root

0

pcuser

65534（SVMを作成すると自動的に作成されます）

項目	設定
セキュリティ形式	UNIX
UID	rootまたはID 0
GID	rootまたはID 0
UNIX権限	777

グループ名	グループID
daemon	1
root	0
pcuser	65534（SVMを作成すると自動的に作成されます）

UNIXユーザー

SVMで次のUNIXユーザーを設定しておく必要があります。

ユーザー名	ユーザーID	プライマリーグループID	コメント
nfs	500	0	GSSの初期化時に必要。 NFSクライアントユーザーのSPNの最初のコンポーネントがユーザーとして使用されます。
pcuser	65534	65534	NFSとCIFSのマルチプロトコルで必要。 SVMの作成時に自動的に作成されてpcuserグループに追加されます。
root	0	0	マウントに必要。

NFSクライアントユーザーのSPNに対するKerberos-UNIXネームマッピングがある場合は、nfsユーザーは必要ありません。

エクスポートポリシーとエクスポートルール

ルートボリュームとデータボリュームおよびqtreeに対するエクスポートポリシーと必要なエクスポートルールを設定しておく必要があります。SVMのすべてのボリュームがKerberos経由でアクセスされる場合は、ルートボリュームに対するエクスポートルールオプション -rorule、-rwrule、および -superuser を、krb5、krb5i、または krb5p に設定できます。
Kerberos-UNIXネームマッピング

NFSクライアントユーザーのSPNによって識別されたユーザーにroot権限を持たせる場合は、rootに対するネームマッピングを作成する必要があります。

ONTAP 9.13

NFSでのKerberos使用を設定するための要件

ネットワーク環境の要件

NFSクライアントの要件

ストレージ システムの要件

ストレージシステムの要件