ONTAP tools for VMware vSphere 9.13

ONTAP Toolsでは、各ストレージ システムの認証とそのストレージ システムで実行できるストレージ操作の判別に、ONTAP Toolsで設定したクレデンシャル（ユーザー名とパスワード）が使用されます。ストレージ システムごとに1組のクレデンシャルが使用され、そのクレデンシャルに基づいて、ストレージ システムで実行できるONTAP Toolsタスクが決まります。つまり、このクレデンシャルはONTAP Toolsのクレデンシャルであり、個々のONTAP Toolsユーザーに対するものではありません。

ONTAP RBACは、ストレージ システムへのアクセスとストレージ関連のONTAP Toolsタスク（仮想マシンのプロビジョニングなど）の実行にのみ適用されます。それぞれのストレージ システムに対する適切なONTAP RBAC権限がないと、そのストレージ システムでホストされるvSphereオブジェクトに対してタスクを実行することはできません。ONTAP RBACとONTAP Tools固有の権限を組み合わせることで、ユーザーが実行できるONTAP Toolsタスクを制御することができます。

ONTAP RBACとONTAP Tools固有の権限を使用すると、ストレージ主体のセキュリティ レイヤーをストレージ管理者が管理できるようになります。これにより、ONTAP RBACまたはvCenter Server RBACのどちらか一方のアクセス制御だけを使用した場合に比べ、よりきめ細かい制御が可能になります。たとえば、vCenter Server RBACを使用して、弊社のストレージでのデータストアのプロビジョニングをvCenterUserBには許可し、vCenterUserAには許可しないように設定したとします。この場合、特定のストレージ システムのクレデンシャルに対してストレージの作成を禁止すれば、vCenterUserBとvCenterUserAのどちらもそのストレージ システムでデータストアのプロビジョニングを実行することはできません。

ONTAP Toolsタスクを開始すると、最初にそのタスクに対する正しいvCenter Serverアクセス許可がユーザーにあるかが検証されます。タスクを実行するための十分なvCenter Serverアクセス許可がなければ、最初のvCenter Serverのセキュリティ チェックをパスできないため、そのストレージ システムのONTAP権限は確認されません。そのため、ストレージ システムへのアクセスは許可されません。

十分なvCenter Serverアクセス許可がある場合は、次にストレージ システムのクレデンシャル（ユーザー名とパスワード）に関連付けられたONTAP RBAC権限（ONTAPロール）について、ONTAP Toolsタスクで必要なストレージ操作をそのストレージ システムで実行するための十分な権限があるかが確認されます。適切なONTAP権限があれば、ストレージ システムにアクセスしてONTAP Toolsタスクを実行できます。ストレージ システムで実行できるONTAP ToolsタスクはONTAPロールで決まります。

各ストレージ システムには、一連のONTAP権限が関連付けられます。

ONTAP RBACとvCenter Server RBACの両方を使用すると、次のような利点があります。