SnapCenterのロールベースアクセス制御（RBAC）とONTAPの権限を使用すると、SnapCenter管理者は、SnapCenterリソースの制御を別のユーザーまたはユーザーグループに委任できます。この方法でアクセスを一元管理することで、アプリケーション管理者がそれぞれの委譲された環境で安全に作業することができます。

ロールの作成と変更、ユーザーへのリソースアクセスの追加はいつでもできますが、SnapCenterを初めて設定するときは、少なくともActive Directoryユーザーまたはグループをロールに追加してから、そのユーザーまたはグループにリソースアクセスを追加する必要があります。

SnapCenterを使用して、ユーザーアカウントやグループアカウントを作成することはできません。ユーザーアカウントやグループアカウントは、オペレーティングシステムまたはデータベースのActive Directoryに作成する必要があります。

SnapCenterでは、次の種類のロールベースアクセス制御を使用します。

SnapCenterのRBAC
SnapCenterプラグインのRBAC（一部のプラグイン）
アプリケーションレベルのRBAC
ONTAPの権限

SnapCenterのRBAC

ロールと権限

SnapCenterには、権限を割り当て済みの事前定義されたロールが用意されています。これらのロールにユーザーまたはユーザーグループを割り当てることができます。また、新しいロールを作成して権限とユーザーを管理することもできます。

ユーザーまたはグループへの権限の割り当て

ホスト、ストレージ接続、リソースグループなどのSnapCenterオブジェクトにアクセスするための権限をユーザーまたはグループに割り当てることができます。SnapCenterAdminロールの権限は変更できません。

RBACの権限は、同じフォレスト内のユーザーとグループ、および別のフォレストに属しているユーザーに割り当てることができます。フォレストにまたがってネストされたグループに属するユーザーには、RBACの権限を割り当てることはできません。

カスタムロールを作成する場合は、SnapCenter Adminロールのすべての権限を含める必要があります。「Host add」や「Host remove」など、一部の権限しかコピーしなかった場合、それらの処理を実行することはできません。

認証

ユーザーは、グラフィカルユーザーインターフェイス（GUI）またはPowerShellコマンドレットを使用して、ログインする際に認証情報を指定する必要があります。ユーザーが複数のロールに割り当てられている場合は、ログインクレデンシャルの入力後に、使用するロールを指定するように求められます。また、APIを実行する際にも認証が必要になります。

アプリケーションレベルのRBAC

SnapCenterでは、クレデンシャルを使用して、権限のあるSnapCenterユーザーにアプリケーションレベルの権限も付与されていることを検証します。

たとえば、SQL Server環境でSnapshotコピーやデータ保護の処理を実行する場合は、クレデンシャルにWindowsまたはSQLの適切なクレデンシャルを設定する必要があります。SnapCenter Serverは、どちらの方法で設定されたクレデンシャルも認証します。Windowsファイルシステム環境でONTAPストレージに対してSnapshotコピーやデータ保護の処理を実行する場合は、SnapCenterの管理者ロールにWindowsホストに対する管理者権限を割り当てる必要があります。

同様に、Oracleデータベースに対してデータ保護処理を実行する場合、データベースホストでオペレーティングシステム（OS）認証が無効なときは、クレデンシャルにOracleデータベースまたはOracle ASMのクレデンシャルを設定する必要があります。SnapCenter Serverは、処理に応じて、いずれかの方法で設定されたクレデンシャルを認証します。

SnapCenter Plug-in for VMware vSphereのRBAC

VMと整合性のあるデータ保護にSnapCenter VMwareプラグインを使用する場合は、vCenter ServerでRBACをさらに強化できます。SnapCenter VMwareプラグインは、vCenter Server RBACとData ONTAP RBACの両方をサポートしています。

詳細については、ロールベースアクセス制御（RBAC）を参照してください。

ONTAPの権限

ストレージシステムにアクセスするために必要な権限を持つvsadminアカウントを作成する必要があります。

アカウントを作成して権限を割り当てる方法については、最小限の権限でONTAPクラスタロールを作成するを参照してください。