トラバースチェックのバイパスは、トラバースするディレクトリーに対する権限がユーザーにない場合でも、ファイルのパスに含まれるすべてのディレクトリーをユーザーがトラバースできるかを判断するユーザー権限です。トラバースチェックのバイパスを許可または拒否した場合の動作と、Storage Virtual Machine（SVM）でのユーザーに対するトラバースチェックのバイパスの設定方法を理解しておく必要があります。

トラバースチェックのバイパスを許可または拒否した場合の動作

許可した場合、ユーザーがファイルにアクセスしようとすると、中間ディレクトリーのトラバース権限がチェックされないで、ファイルへのアクセスの可否が判別されます。
拒否した場合、ONTAPはファイルのパスにあるすべてのディレクトリーでトラバース（実行）権限をチェックします。

いずれかの中間ディレクトリーに「X」（トラバース権限）がない場合は、このファイルへのアクセスが拒否されます。

トラバースチェックのバイパスの設定

ONTAP CLIを使用するか、Active Directoryグループポリシーにこのユーザー権限を設定すると、トラバースチェックのバイパスを設定できます。

SeChangeNotifyPrivilege 権限は、ユーザーがトラバースチェックのバイパスを許可されているかを制御します。

この権限をSVMのローカルSMBユーザーまたはグループ、ドメインユーザーまたはグループに追加すると、トラバースチェックのバイパスを許可できます。
この権限をSVMのローカルSMBユーザーまたはグループ、ドメインユーザーまたはグループから削除すると、トラバースチェックのバイパスを拒否できます。

SVMの次のBUILTINグループには、デフォルトでトラバースチェックのバイパス権限が割り当てられています。

BUILTIN\Administrators
BUILTIN\Power Users
BUILTIN\Backup Operators
BUILTIN\Users
Everyone

これらのいずれかのグループのメンバーにトラバースチェックのバイパスを許可したくない場合は、グループからこの権限を削除する必要があります。

CLIを使用してSVMのローカルSMBユーザーおよびグループのトラバースチェックのバイパスを設定する場合は、次の点に注意する必要があります。

カスタムのローカルまたはドメイングループのメンバーにトラバースチェックのバイパスを許可したい場合は、グループに SeChangeNotifyPrivilege 権限を追加する必要があります。
ローカルまたはドメインユーザーに個別にトラバースチェックのバイパスを許可したい場合に、そのユーザーが権限を持つグループのメンバーでない場合は、ユーザーアカウントに SeChangeNotifyPrivilege 権限を追加できます。

ローカルまたはドメインのユーザーやグループから SeChangeNotifyPrivilege 権限を削除すると、いつでもトラバースチェックのバイパスを無効にできます。

特定のローカルまたはドメインのユーザーやグループに対してトラバースチェックのバイパスを無効にするには、Everyone グループからも SeChangeNotifyPrivilege 権限を削除する必要があります。

ONTAP 9 マニュアル ( CA08871-402 )

トラバース チェックのバイパスの設定 - 概要

トラバース チェックのバイパスを許可または拒否した場合の動作

トラバース チェックのバイパスの設定

トラバースチェックのバイパスの設定 - 概要

トラバースチェックのバイパスを許可または拒否した場合の動作

トラバースチェックのバイパスの設定