LIF 上で TLS 経由の NFS を有効にするには、 `security certificate install`を使用して SVM にサーバ X.509 証明書をインストールする必要があります。証明書は、 `-certificate-name`を使用して有効化時に LIF ごとにバインドされます。

ONTAPは、提供されたサーバー証明書に対して2つのチェックを実施します。

オプション -skip-san-validation`ブール値（デフォルト `false）は、有効化時または変更時にSANチェックを抑制します。

チェックが失敗するたびに、それぞれ異なるエラーが返されます。

相互TLS（mTLS）ホスト認証はオプトイン方式です。 `-enforce-host-auth true`を `vserver nfs tls interface enable`または `modify`に設定して有効にしてください。デフォルトは `false`で、サーバー側のみの認証を意味します。クライアント証明書は、SVMにインストールされているCAトラストチェーンに対して検証されます。このCAトラストチェーンのプロビジョニングはお客様の責任となります。

NFS over TLS のすべての構成変更は、標準の ONTAP 監査ログ（(security audit log show）に記録されます。以下の操作がログに記録されます：

読み取り専用 `show`および `GET`操作は標準の ONTAP 監査ポリシーに従い、監査がログを記録するように設定されていない限り、通常は記録されません。

NFS over TLS データ パスで、顧客から見える3つのEMSイベントが発信されます。イベントの詳細、トリガー条件、およびレート制限については、"EMSメッセージ"を参照してください。

NFS over TLSの設定はSVMごとに行われます。SVM管理者は、自身のSVMに属するLIF上のTLS設定のみを表示および管理できます。クラスタ管理者はすべてのSVMを表示できます。

サーバー証明書の参照先はSVMローカルです。この設定はクラスタ全体に複製されるため、特定のLIFを処理するすべてのノードが同じTLS設定を適用します。

自己署名証明書に関する注意点CLI `enable`および `modify`コマンドは、自己署名証明書を使用すると中間者攻撃にさらされる可能性があると警告します。 `security certificate install`を使用してインストールされた CA 署名証明書を使用してください。

相互TLSはオプトイン方式です。 デフォルト `-enforce-host-auth false`では、TLS上のNFSはネットワーク上の機密性と完全性を保護し、サーバーをクライアントに対して認証しますが、クライアントホストを暗号化によって認証するわけではありません。必要な場合は、mTLSを明示的に有効にしてください。

TLSのみの適用は、エクスポートポリシールールごとに行われ、グローバルには適用されません。関連するエクスポートポリシールールに `-allow-nfs-tls-only true`を設定するまで、同じLIFは、そのルールによって許可されているクライアントからの非TLS NFS接続を引き続き受け入れることができます。