Kerberosベースの通信で最大限のセキュリティを確保するには、SMBサーバーでAES-256およびAES-128暗号化を有効にします。SMBサーバーでActive Directory（AD）KDCとのKerberosベースの通信にAES暗号化タイプを選択したくない場合は、AES暗号化を無効にすることができます。デフォルトでは、AES暗号化は無効になっています。

タスク概要

ONTAP 9.12.1以降では、-advertised-enc-typesオプションを使用してAES暗号化を有効および無効にし、AD KDCに通知する暗号化タイプも指定できます。デフォルト設定はrc4とdesですが、AESタイプを指定するとAES暗号化が有効になります。また、このオプションを使用して、脆弱な暗号化タイプRC4やDESを明示的に無効にすることもできます。以前のリリースのONTAPでは、-is-aes-encryption-enabledオプションを使用してAES暗号化を有効または無効にする必要があります。暗号化タイプの指定はできません。

セキュリティを強化するため、Storage Virtual Machine（SVM）はAESセキュリティオプションが変更されるたびに、AD内のマシンアカウントのパスワードを変更します。パスワードの変更には、マシンアカウントが所属する組織単位（OU）の管理ADクレデンシャルが必要になることがあります。

IDが保持されないディザスタリカバリーデスティネーションとしてSVMが設定されている場合（SnapMirror構成で-identity-preserveオプションがfalseに設定されている場合）、SMBサーバーのデフォルト以外のセキュリティ設定はデスティネーションにレプリケートされません。ソースSVMでAES暗号化を有効にしている場合は、AES暗号化を手動で有効にする必要があります。

Example 1. 手順

ONTAP 9.12.1以降

次のいずれかを実行します。

Kerberos通信のAES暗号化タイプの設定入力するコマンド

Kerberos通信のAES暗号化タイプの設定	入力するコマンド
有効にする	`vserver cifs security modify -vserver vserver_name -advertised-enc-types aes-128,aes-256`
無効にする	`vserver cifs security modify -vserver vserver_name -advertised-enc-types des,rc4`

有効にする

vserver cifs security modify -vserver vserver_name -advertised-enc-types aes-128,aes-256

無効にする

vserver cifs security modify -vserver vserver_name -advertised-enc-types des,rc4

注：-is-aes-encryption-enabledオプションは、ONTAP 9.12.1で廃止されました。今後のリリースでは削除される可能性があります。

AES暗号化が設定どおり有効または無効になっていることを確認します。vserver cifs security show -vserver vserver_name -fields advertised-enc-types

例

次の例は、SVM vs1のSMBサーバーでAES暗号化タイプを有効にします。

cluster1::> vserver cifs security modify -vserver vs1 -advertised-enc-types aes-128,aes-256

cluster1::> vserver cifs security show -vserver vs1 -fields advertised-enc-types

vserver  advertised-enc-types
-------- --------------------
vs1      aes-128,aes-256

次の例は、SVM vs2のSMBサーバーでAES暗号化タイプを有効にします。管理者は、SMBサーバーが所属するOUの管理ADクレデンシャルを入力するように求められます。

cluster1::> vserver cifs security modify -vserver vs2 -advertised-enc-types aes-128,aes-256

Info: In order to enable SMB AES encryption, the password for the SMB server
machine account must be reset. Enter the username and password for the
SMB domain "EXAMPLE.COM".

Enter your user ID: administrator

Enter your password:

cluster1::> vserver cifs security show -vserver vs2 -fields advertised-enc-types

vserver  advertised-enc-types
-------- --------------------
vs2      aes-128,aes-256

ONTAP 9.11.1以前

次のいずれかを実行します。

Kerberos通信のAES暗号化タイプの設定入力するコマンド

Kerberos通信のAES暗号化タイプの設定	入力するコマンド
有効にする	`vserver cifs security modify -vserver vserver_name -is-aes-encryption-enabled true`
無効にする	`vserver cifs security modify -vserver vserver_name -is-aes-encryption-enabled false`

有効にする

vserver cifs security modify -vserver vserver_name -is-aes-encryption-enabled true

無効にする

vserver cifs security modify -vserver vserver_name -is-aes-encryption-enabled false

AES暗号化が設定どおり有効または無効になっていることを確認します。vserver cifs security show -vserver vserver_name -fields is-aes-encryption-enabled

is-aes-encryption-enabled フィールドに、AES暗号化が有効になっている場合は true が、無効になっている場合は false が表示されます。

例

次の例は、SVM vs1のCIFSサーバーでAES暗号化タイプを有効にします。

cluster1::> vserver cifs security modify -vserver vs1 -is-aes-encryption-enabled true

cluster1::> vserver cifs security show -vserver vs1 -fields is-aes-encryption-enabled

vserver  is-aes-encryption-enabled
-------- -------------------------
vs1      true

cluster1::> vserver cifs security modify -vserver vs2 -is-aes-encryption-enabled true

Info: In order to enable SMB AES encryption, the password for the CIFS server
machine account must be reset. Enter the username and password for the
SMB domain "EXAMPLE.COM".

Enter your user ID: administrator

Enter your password:

cluster1::> vserver cifs security show -vserver vs2 -fields is-aes-encryption-enabled

vserver  is-aes-encryption-enabled
-------- -------------------------
vs2      true