SMBのみの導入では、「pcuser」のマッピングは引き続き有効ですが、Windowsのユーザとグループの所有権が正しく表示され、SMBのみのボリュームへのNFSアクセスは許可されないため、問題ありません。また、SMBのみのボリュームでは、NFSまたはデュアルプロトコルのボリューム作成後のボリュームへの変換はサポートされません。

Windowsは、Active Directoryドメインコントローラでのユーザ名認証にKerberosを使用します。この場合、Google Cloud NetApp Volumeインスタンスの外部にあるAD DCとのユーザ名とパスワードの交換が必要になります。Kerberos認証は、UNCパスがSMBクライアントによって使用され、次の条件に該当する場合に使用され `\\SERVERNAME`ます。

Google Cloud NetApp VolumesのSMBボリュームが作成されると、「マシンアカウント"「Google Cloud NetApp VolumeがActive Directoryにどのように表示されるか」"名もSMB共有アクセスパスになります。これは、Google Cloud NetApp Volumesが動的DNS（DDNS）を利用して、DNSに必要なA/AAAAおよびPTRエントリ、およびマシンアカウントプリンシパルに必要なSPNエントリを作成するためです。

たとえば、このGoogle Cloud NetAppボリュームは、UNC共有パスを使用します \\cvs-east- 433d.cvsdemo.local。

Active Directoryでは、Google Cloud NetApp Volumesによって生成されるSPNエントリは次のとおりです。

DNS前方/後方参照の結果は次のとおりです。

必要に応じて、Google Cloud NetApp VolumeでSMB共有に対してSMB暗号化を有効または必須にすることで、より多くのアクセス制御を適用できます。いずれかのエンドポイントでSMB暗号化がサポートされていない場合、アクセスは許可されません。

Google Cloud NetApp VolumeでSMBアクセスを使用するボリュームを最初に作成すると、そのボリュームを保護するための一連の選択肢が表示されます。

これらの選択肢の一部は、Google Cloud NetApp Volumeレベル（パフォーマンスまたはソフトウェア）によって異なり、次のような選択肢があります。

セキュリティ上の理由、パフォーマンス上の理由（これらのフォルダをAVスキャンから非表示にする）、または設定上の理由から、エンドユーザに対してSnapshotコピーを非表示にすることが望ましい場合があります。Google Cloud NetApp VolumeのSnapshotは読み取り専用であるため、これらのSnapshotが表示されていても、エンドユーザはSnapshotディレクトリ内のファイルを削除したり変更したりすることはできません。Snapshotコピーが作成された時点のファイルまたはフォルダのファイル権限Snapshotコピー間でファイルまたはフォルダの権限が変更された場合、変更内容はSnapshotディレクトリ内のファイルまたはフォルダにも適用されます。ユーザとグループは、権限に基づいてこれらのファイルやフォルダにアクセスできます。Snapshotディレクトリ内のファイルの削除または変更はできませんが、ファイルまたはフォルダをSnapshotディレクトリからコピーすることは可能です。

Google Cloud NetApp VolumeでSMBサーバを作成すると、 "非表示の管理共有"データボリュームのSMB共有に加えて（$命名規則を使用して）が作成されます。これには、C$（名前空間アクセス）とIPC$（Microsoft管理コンソール（MMC）へのアクセスに使用されるリモート手順 呼び出し（RPC）などのプログラム間の通信用の名前付きパイプの共有）が含まれます。

IPC$共有には共有ACLは含まれておらず、変更することはできません。これはRPC呼び出しおよびにのみ使用されます "Windowsは、これらの共有への匿名アクセスをデフォルトで禁止します"。

C$共有にはデフォルトでBUILTIN/Administratorsアクセスが許可されますが、Google Cloud NetApp Volumeの自動化では共有ACLが削除され、誰にもアクセスできません。これは、C$共有へのアクセスによって、Google Cloud NetApp Volumesファイルシステム内のマウントされたすべてのボリュームが可視化されるためです。その結果、は失敗するようにナビゲートしようとし `\\SERVER\C$`ます。

Google Cloud NetApp Volumes SMBサーバでは、特定のドメインユーザとグループにアクセス権を適用するローカルグループ（BUILTIN\Administratorsなど）が存在するという点で、通常のWindows SMBサーバと同様の機能を維持しています。

Backup Usersに追加するユーザを指定すると、そのActive Directory接続を使用するGoogle Cloud NetApp VolumeインスタンスのBUILTIN\Backup Operatorsグループにそのユーザが追加され、が取得されます。 "SeBackupPrivilegeおよびSeRestorePrivilege"

Security Privilegeユーザにユーザを追加すると、そのユーザにはSeSecurityPrivilegeが付与されます。これは、などの一部のアプリケーションユースケースで役立ちます "SMB共有上のSQL Server"。

Google Cloud NetApp Volumesのローカルグループメンバーシップは、MMCと適切なPrivilegesを使用して表示できます。次の図は、Google Cloud NetApp Volumesコンソールを使用して追加されたユーザを示しています。

次の表に、デフォルトのBUILTINグループのリストと、デフォルトで追加されるユーザ/グループを示します。

*グループメンバーシップは、Google Cloud NetApp VolumesのActive Directory接続設定で制御されます。

MMCウィンドウにはローカルユーザとローカルグループ（およびグループメンバー）を表示できますが、このコンソールからオブジェクトの追加や削除、グループメンバーシップの変更はできません。デフォルトでは、Google Cloud NetApp VolumeのBUILTIN\Administratorsグループには、Domain AdminsグループとAdministratorのみが追加されます。現時点では、これを変更することはできません。

Google Cloud NetApp VolumeでのSMBアクセスは、コンピュータの管理MMCへの接続を提供します。このMMCでは、共有の表示、共有ACLの管理、SMBセッションおよび開いているファイルの表示/管理を行うことができます。

MMCを使用してGoogle Cloud NetApp VolumeのSMB共有とセッションを表示するには、ログインしたユーザがドメイン管理者である必要があります。他のユーザには、MMCからSMBサーバを表示または管理するアクセスが許可され、Google Cloud NetApp Volumes SMBインスタンスの共有またはセッションを表示しようとすると、[権限がありません]ダイアログボックスが表示されます。

SMBサーバーに接続するには、[コンピューターの管理]を開き、[コンピューターの管理]を右クリックして、[別のコンピューターに接続]を選択します。[コンピュータの選択]ダイアログボックスが開き、SMBサーバ名を入力できます（Google Cloud NetApp Volumeのボリューム情報にあります）。

適切な権限を持つSMB共有を表示すると、Active Directory接続を共有するGoogle Cloud NetApp Volumeインスタンス内の使用可能なすべての共有が表示されます。この動作を制御するには、Google Cloud NetApp Volumeボリュームインスタンスで[SMB共有を非表示]オプションを設定します。

リージョンごとに許可されるActive Directory接続は1つだけです。

次の表に、MMCでサポートされる機能とサポートされない機能を示します。

Google Cloud NetApp VolumeのSMBサーバは、Kerberosのクロックスキュー、チケットの有効期間、暗号化など、SMB接続のセキュリティポリシーを定義する一連のオプションを使用します。

次の表に、これらのオプションの一覧、機能、デフォルトの構成、およびGoogle Cloud NetApp Volumeで変更できるかどうかを示します。一部のオプションは、Google Cloud NetApp Volumeには適用されません。