外部ディレクトリーサービスに属するユーザーグループに、ONTAPオブジェクトストレージ環境へのアクセスを提供できます。Lightweight Directory Access Protocol（LDAP）は、IDおよびアクセス管理（IAM）のためのデータベースとサービスを提供する、Active Directoryなどのディレクトリーサービスと通信するためのインターフェイスです。アクセスを提供するには、ONTAP S3環境でLDAPグループを設定する必要があります。アクセスの設定が完了すると、グループメンバーにONTAP S3バケットに対する権限が付与されます。LDAPの詳細については、「LDAPの使用方法の概要」を参照してください。

また、Active Directoryユーザーグループを高速バインドモードに設定することで、ユーザークレデンシャルを検証し、サードパーティおよびオープンソースのS3アプリケーションをLDAP接続を介して認証するようにもできます。

開始する前に

LDAPグループを設定し、グループアクセスの高速バインドモードを有効にする場合は、事前に以下を確認してください。

S3サーバーを含むS3対応Storage VMが作成済みである。「S3用SVMの作成」を参照してください。
Storage VM内にバケットが作成済みである。「バケットの作成」を参照してください
Storage VMにDNSが設定されている。「DNSサービスの設定」を参照してください。
LDAPサーバーの自己署名されたルート認証局（CA）証明書がStorage VMにインストールされている。「自己署名されたルートCA証明書のSVMへのインストール」を参照してください。
SVMにTLSが有効なLDAPクライアントが設定されている。「LDAPクライアント設定の作成」と「LDAPクライアント設定とSVMの関連付け」を参照してください。

外部ディレクトリーサービス用のS3アクセスの設定

グループ用のSVMの_ネームサービスデータベース_としてLDAPを指定し、LDAPのパスワードを指定します。
```
ns-switch modify -vserver <vserver-name> -database group -sources files,ldap
ns-switch modify -vserver <vserver-name> -database passwd -sources files,ldap
```
このコマンドの詳細については、vserver services name-service ns-switch modifyコマンドに関するページを参照してください。

オブジェクトストアバケットポリシーのステートメントを作成します。その際、アクセスを許可するLDAPグループに対してprincipalを設定します。

object-store-server bucket policy statement create -bucket <bucket-name> -effect allow -principal nasgroup/<ldap-group-name> -resource <bucket-name>, <bucket-name>/*

例：次の例は、buck1用のバケットポリシーステートメントを作成するものです。このポリシーでは、LDAPグループgroup1にリソース（バケットとそのオブジェクト）buck1へのアクセスを許可しています。

vserver object-store-server bucket policy add-statement -bucket buck1 -effect allow -action
GetObject,PutObject,DeleteObject,ListBucket,GetBucketAcl,GetObjectAcl,ListBucketMultipartUploads,ListMultipartUploadParts, ListBucketVersions,GetObjectTagging,PutObjectTagging,DeleteObjectTagging,GetBucketVersioning,PutBucketVersioning -principal nasgroup/group1 -resource buck1, buck1/*

LDAPグループgroup1のユーザーがS3クライアントからS3処理を実行できることを確認します。

認証でのLDAP高速バインドモードの使用

グループ用のSVMの_ネームサービスデータベース_としてLDAPを指定し、LDAPのパスワードを指定します。
```
ns-switch modify -vserver <vserver-name> -database group -sources files,ldap
ns-switch modify -vserver <vserver-name> -database passwd -sources files,ldap
```
このコマンドの詳細については、vserver services name-service ns-switch modifyコマンドに関するページを参照してください。
S3バケットにアクセスするLDAPユーザーの権限がバケットポリシーで定義されていることを確認します。詳細については、「バケットポリシーの変更」を参照してください。

LDAPグループのユーザーが次の処理を実行できることを確認します。

S3クライアントでアクセスキーを次の形式で設定します。
"NTAPFASTBIND" + base64-encode(user-name:password)
例："NTAPFASTBIND" + base64-encode(ldapuser:password)の結果は次のようなものになります。
NTAPFASTBINDbGRhcHVzZXI6cGFzc3dvcmQ=

S3クライアントからシークレットキーの入力を求められることがあります。シークレットキーがない場合は、16文字以上のパスワードを入力できます。

ユーザーが権限を持っているS3クライアントから基本的なS3処理を実行します。

ONTAP 9 マニュアル ( CA08871-402 )

外部ディレクトリー サービス用のS3アクセスの設定

外部ディレクトリー サービス用のS3アクセスの設定

認証でのLDAP高速バインド モードの使用

外部ディレクトリーサービス用のS3アクセスの設定

外部ディレクトリーサービス用のS3アクセスの設定

認証でのLDAP高速バインドモードの使用