ONTAP 9.10.1以降では、Active Directoryとネームサービスの両方のLDAP接続でLDAPチャネルバインディングがデフォルトでサポートされます。ONTAPは、Start-TLSまたはLDAPSが有効で、セッションセキュリティが署名または封印に設定されている場合にのみ、LDAP接続でチャネルバインディングを試行します。ネームサーバーでLDAPチャネルバインディングを無効または再度有効にするには、-try-channel-bindingコマンドでldap client modifyパラメーターを使用します。

詳細については、次を参照してください。 2020 LDAPチャネルバインドとLDAP署名要件（Windows）

LDAPをONTAP用に設定する前に、サイト環境がLDAPサーバーおよびクライアント設定のベストプラクティスを満たしていることを確認する必要があります。具体的には、次の条件を満たす必要があります。

LDAPサーバーのドメイン名がLDAPクライアント上のエントリと一致する必要があります。
LDAPサーバーでサポートされるLDAPユーザーのパスワードハッシュタイプに、ONTAPでサポートされる次のタイプが含まれている必要があります。
- CRYPT（すべてのタイプ）およびSHA-1（SHA、SSHA）
- ONTAP 9.8以降では、SHA-2ハッシュ（SHA-256、SSH-384、SHA-512、SSHA-256、SSHA-384、およびSSHA-512）もサポートされます。
LDAPサーバーにセッションセキュリティ対策が必要な場合は、LDAPクライアントで設定する必要があります。

以下のセッションセキュリティオプションを使用できます。
- LDAP署名（データの整合性チェックを提供）およびLDAP署名と封印（データの整合性チェックと暗号化を提供）
- START TLS
- LDAPS（LDAP over TLSまたはSSL）
署名および封印されたLDAPクエリを有効にするには、次のサービスが設定されている必要があります。
- LDAPサーバーでGSSAPI（Kerberos）SASLがサポートされている必要があります。
- LDAPサーバーに、DNS A/AAAAレコード、およびDNSサーバーで設定されたPTRレコードが必要です。
- Kerberosサーバーに、DNSサーバー上に存在するSRVレコードが必要です。
START TLSまたはLDAPSを有効にする場合、次の点を考慮する必要があります。
- 富士通では、LDAPSではなくStart TLSの使用を推奨しています。
- LDAPSを使用する場合は、TLS用またはSSL用にLDAPサーバーが有効になっている必要があります。
- 証明書サーバーがドメインで設定済みである必要があります。
LDAPリファーラル追跡を有効にするには、次の条件を満たしている必要があります。
- 両方のドメインで次のいずれかの信頼関係が設定されている必要があります。
  - 双方向
  - 一方向（プライマリードメインがリファーラルドメインを信頼）
  - 親子
- 参照されているすべてのサーバー名を解決するようにDNSが設定されている必要があります。
- --bind-as-cifs-serverがtrueに設定されている場合、認証には両ドメインのパスワードが同じであることが必要です。

次の設定はLDAPリファーラル追跡でサポートされていません。

すべてのONTAPバージョン：
- 管理SVM上のLDAPクライアント
ONTAP 9.8以前（9.9.1以降ではサポート）：
- LDAPの署名と封印（-session-securityオプション）
- 暗号化されたTLS接続（-use-start-tlsオプション）
- LDAPSポート636経由の通信（-use-ldaps-for-ad-ldapオプション）

SVMでLDAPクライアントを設定する際は、LDAPスキーマを入力する必要があります。

ほとんどの場合、デフォルトのONTAPスキーマのいずれかで問題ありません。ただし、環境のLDAPスキーマがデフォルトのスキーマと異なる場合は、LDAPクライアントを作成する前にONTAP用の新しいLDAPクライアントスキーマを作成する必要があります。環境の要件については、LDAP管理者にお問い合わせください。
LDAPをホスト名解決に使用することはサポートされていません。

ONTAP 9 マニュアル ( CA08871-402 )

LDAPの使用 - 概要

関連情報