CIFS対応のSVMのグループポリシーの更新間隔

Registry GPOを使用して設定します。
グループポリシーの更新間隔のランダムオフセット

Registry GPOを使用して設定します。
BranchCacheのハッシュの発行

BranchCacheのハッシュの発行GPOは、BranchCacheの動作モードに対応します。次の3つの動作モードがサポートされています。
- Per-share
- All-shares
- Disabled Registry GPOを使用して設定します。
BranchCacheのハッシュバージョンサポート

次の3つのハッシュバージョン設定がサポートされています。
- BranchCacheバージョン1
- BranchCacheバージョン2
- BranchCacheバージョン1および2 Registry GPOを使用して設定します。

BranchCache GPO設定を使用するには、その設定を適用するCIFS対応のSVM上でBranchCacheを構成する必要があります。SVMでBranchCacheが構成されていない場合、GPO設定は適用されず、破棄されます。

セキュリティ設定

監査ポリシーおよびイベントログ

ログオンイベントの監査

監査対象となるログオンイベントのタイプを次の中から指定します。

監査しない
成功イベントのみ監査
失敗イベントの監査
成功イベントと失敗イベントの両方を監査 Local Policies/Audit Policy GPO内の Audit logon events 設定を使用して設定します。

オブジェクトへのアクセスの監査

監査対象となるオブジェクトアクセスのタイプを次の中から指定します。

監査しない
成功イベントのみ監査
失敗イベントの監査
成功イベントと失敗イベントの両方を監査 Local Policies/Audit Policy GPO内の Audit object access 設定を使用して設定します。

ログの保持方法

監査ログの保持方法を次の中から指定します。
- ログファイルのサイズが最大ログサイズを超えた場合、イベントログを上書き
- イベントログを上書きしない（手動でログを消去） Event Log GPO内の Retention method for security log 設定を使用して設定します。
最大ログサイズ

監査ログの最大サイズを指定します。

Event Log GPO内の Maximum security log size 設定を使用して設定します。

監査ポリシーとイベントログGPO設定を使用するには、その設定を適用するCIFS対応のSVM上で監査を構成する必要があります。SVMで監査が構成されていない場合、GPO設定は適用されず、破棄されます。

ファイルシステムのセキュリティ

GPOでファイルセキュリティを適用するファイルまたはディレクトリーのリストを指定します。

File System GPOを使用して設定します。

SVM内にファイルシステムセキュリティGPOを構成するボリュームパスが存在している必要があります。
Kerberosポリシー
- 最大クロックスキュー
  
  コンピュータークロックの同期の許容最大誤差を分単位で指定します。
  
  Account Policies/Kerberos Policy GPO内の Maximum tolerance for computer clock synchronization 設定を使用して設定します。
- チケットの有効期間
  
  ユーザーチケットの最大有効期間を時間単位で指定します。
  
  Account Policies/Kerberos Policy GPO内の Maximum lifetime for user ticket 設定を使用して設定します。
- チケットの更新の有効期間
  
  ユーザーチケットの更新の最大有効期間を日単位で指定します。
  
  Account Policies/Kerberos Policy GPO内の Maximum lifetime for user ticket renewal 設定を使用して設定します。
ユーザー権限割り当て（特権）
- 所有権の取得
  
  セキュリティ保護が可能なオブジェクトの所有権を取得できるユーザーとグループのリストを指定します。
  
  Local Policies/User Rights Assignment GPO内の Take ownership of files or other objects 設定を使用して設定します。
- セキュリティ権限
  
  ファイル、フォルダー、Active Directoryオブジェクトなどの個々のリソースへのオブジェクトアクセスの監査オプションを指定できるユーザーとグループのリストを指定します。
  
  Local Policies/User Rights Assignment GPO内の Manage auditing and security log 設定を使用して設定します。
- 変更通知権限（トラバースチェックのバイパス）
  
  トラバースするディレクトリーに対する権限がなくても、ディレクトリーツリーをトラバースできるユーザーとグループのリストを指定します。
  
  ファイルやディレクトリーへの変更通知を受け取るユーザーにも同じ権限が必要です。Local Policies/User Rights Assignment GPO内の Bypass traverse checking 設定を使用して設定します。
レジストリー値
- 署名要求設定
  
  SMB署名要求を有効にするか無効にするかを指定します。
  
  Security Options GPO内の Microsoft network server: Digitally sign communications (always) 設定を使用して設定します。
匿名の制限

匿名ユーザーに対する制限を、次の3つのGPO設定で指定します。
- Security Account Manager（SAM）アカウントを列挙しない：
  
  コンピューターへの匿名接続に対して追加で付与される権限を決定します。このオプションが有効な場合、ONTAPでは no-enumeration と表示されます。
  
  Local Policies/Security Options GPO内の Network access: Do not allow anonymous enumeration of SAM accounts 設定を使用して設定します。
- SAMアカウントと共有を列挙しない
  
  匿名によるSAMアカウントと共有の列挙を許可するかどうかを決定します。このオプションが有効な場合、ONTAPでは no-enumeration と表示されます。
  
  Local Policies/Security Options GPO内の Network access: Do not allow anonymous enumeration of SAM accounts and shares 設定を使用して設定します。
- 共有と名前付きパイプへの匿名アクセスを制限
  
  共有とパイプへの匿名アクセスを制限します。このオプションが有効な場合、ONTAPでは no-access と表示されます。
  
  Local Policies/Security Options GPO内の Network access: Restrict anonymous access to Named Pipes and Shares 設定を使用して設定します。

定義されて適用されているグループポリシーについての情報を表示した場合、Resultant restriction for anonymous user 出力フィールドに上記3つの匿名制限GPO設定によって適用される制限内容が表示されます。表示される可能性がある制限は次のとおりです。

no-access

匿名ユーザーは、指定された共有と名前付きパイプへのアクセスを拒否され、SAMアカウントと共有を列挙できません。この制限は、Network access: Restrict anonymous access to Named Pipes and Shares GPOが有効な場合に表示されます。
no-enumeration

匿名ユーザーは、指定された共有と名前付きパイプにアクセスできますが、SAMアカウントと共有は列挙できません。この制限は、次の両方の条件に該当する場合に表示されます。
- Network access: Restrict anonymous access to Named Pipes and Shares GPOが無効。
- Network access: Do not allow anonymous enumeration of SAM accounts GPOまたは Network access: Do not allow anonymous enumeration of SAM accounts and shares GPOが有効。
no-restriction

匿名ユーザーにはフルアクセスが付与され、列挙できます。この制限は、次の両方の条件に該当する場合に表示されます。
- Network access: Restrict anonymous access to Named Pipes and Shares GPOが無効。
- Network access: Do not allow anonymous enumeration of SAM accounts GPOと Network access: Do not allow anonymous enumeration of SAM accounts and shares GPOの両方が無効。
  - 制限されたグループ
    
    制限されたグループを設定して、組み込みグループやユーザー定義グループのメンバーを集中管理することができます。グループポリシーを通して制限されたグループを適用する場合、CIFSサーバーローカルグループのメンバーは、適用されるグループポリシーで定義されているメンバーリスト設定に一致するように自動的に設定されます。
    
    Restricted Groups GPOを使用して設定します。

集約型アクセスポリシーの設定

集約型アクセスポリシーのリストを示します。集約型アクセスポリシーと関連付けられた集約型アクセスポリシールールによって、SVM上の複数のファイルに対するアクセス権が決定されます。