Skip to main content
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

MAVのONTAP管理者承認グループを管理する

共同作成者 netapp-andreajost netapp-aaron-holt netapp-bhouser netapp-forry netapp-aoife netapp-dbagwell
PDF

マルチ管理者認証（MAV）を有効にする前に、承認または拒否の権限が付与された1人以上の管理者を含む管理者承認グループを作成する必要があります。マルチ管理者認証を有効にした場合、承認グループのメンバーシップを変更するには、認定された既存のいずれかの管理者の承認が必要です。

タスク概要

既存の管理者をMAVグループに追加するか、または新しい管理者を作成できます。

MAV機能は、既存のロールベースアクセス制御（RBAC）設定を尊重します。MAV管理者候補は、MAV管理者グループに追加される前に、保護された操作を実行するための十分な権限を持っている必要があります。"RBACの詳細をご覧ください。"

MAV を設定して、承認リクエストが保留中であることを MAV 管理者に通知することができます。そのためには、メール通知（特に `Mail From`および `Mail Server`パラメータ）を設定する必要があります。または、これらのパラメータをクリアして通知を無効にすることもできます。メールアラートがない場合、MAV 管理者は承認キューを手動で確認する必要があります。

ONTAP 9.15.1以降では、Active Directory（AD）ユーザーをMAV管理者として設定できます。ADユーザーは"ONTAP管理者として設定されている"である必要があります。

ONTAP 9.20.1以降では、承認グループにIDプロバイダ（IdP）、Active Directory（AD）、またはLDAP（nsswitch）グループを含めることもできます。サポートされるグループタイプには、Entra ID（旧Azure AD）、ADFS、ADドメイングループ、およびLDAPグループが含まれます。

IDプロバイダーにおけるユーザーのグループメンバーシップの変更は、ユーザーが次回正常にログインした際に有効になります。MAVの再構成は不要です。

メモ IdP、AD、またはLDAPグループをMAV承認グループに追加するには、そのグループにログインアクセスがすでに設定されており、ロールマッピングを使用して `security login group`テーブルに登録されている必要があります。以下の手順を参照してください。

System Managerの手順

MAV承認グループを初めて作成する場合は、System Managerの手順を参照してください"複数管理者による検証を有効にします。"

既存の承認グループを変更する、または追加の承認グループを作成するには、次の手順を実行します。

  1. マルチ管理者認証の対象となる管理者を特定します。

    1. *「クラスタ」>「設定」*を選択します。

    2. *Users, groups, and roles.*の横にある矢印アイコンを選択します。

    3. ユーザー の下の アイコンを追加 を選択します。

    4. 必要に応じて内容を変更します。

      詳細については、"管理者アクセスを制御します。"を参照してください。

  2. ONTAP 9.20.1以降では、IdP、AD、またはLDAPグループをMAV承認者として追加する場合、まずグループを登録してMAV構成で参照できるようにする必要があります。

    1. グループ で、アイコンを追加 を選択してグループを追加します。

      グループ名を入力してください。UUIDフィールドはMicrosoft Entraグループの場合にのみ必須です。他のIDプロバイダーはグループ名を使用します。

    2. 「グループとロールのマッピング」で、アイコンを追加 を選択し、グループを選択して、MAVリクエストを承認するのに十分な権限を持つロールを割り当てます。

  3. MAV承認グループを作成または変更します。

    1. *「クラスタ」>「設定」*を選択します。

    2. *セキュリティ*セクションの*複数管理者承認*の横にある矢印アイコンを選択します。（MAVがまだ設定されていない場合はアクションアイコンアイコンが表示されます。）

      • Name：グループ名を入力します。

      • 承認者（ユーザー）：ユーザーリストから個々の承認者を選択します。

      • 承認者（グループ）：ONTAP 9.20.1以降では、必要に応じて、登録済みのIdP、AD、またはLDAPグループを1つ以上選択します。

      • Email address：Eメール アドレスを入力します。

      • Default group：グループを選択します。

MAVを有効にしたあとで既存の設定を編集するには、MAVの承認が必要です。

CLIの手順

  1. `Mail From`および `Mail Server`パラメータに値が設定されていることを確認します。次のように入力します：

    event config show

    次のような出力が表示されます。

    cluster01::> event config show
                           Mail From:  admin@localhost
                         Mail Server:  localhost
                           Proxy URL:  -
                          Proxy User:  -
 Publish/Subscribe Messaging Enabled:  true

    これらのパラメータを設定するには、次のように入力します。

    event config modify -mail-from email_address -mail-server server_name

    `event config show`および `event config modify`の詳細については、link:https://docs.netapp.com/us-en/ontap-cli/search.html?q=event+config["ONTAPコマンド リファレンス"^]をご覧ください。

  2. 複数管理者による検証に参加する管理者を特定します。

    次の操作を行う場合： 入力するコマンド

    現在の管理者を表示する

    security login show

    現在の管理者の認証情報を変更する

    security login modify <parameters>

    新しい管理者アカウントを作成する

    security login create -user-or-group-name admin_name -application ssh -authentication-method password

    		 
    `security login show`、 `security login modify`、および `security login create`の詳細については、link:https://docs.netapp.com/us-en/ontap-cli/search.html?q=security+login["ONTAPコマンド リファレンス"^]をご覧ください。

  3. ONTAP 9.20.1以降、IdP、AD、またはLDAPグループをMAV承認者として追加する場合は、グループにログインアクセスが設定されていることを確認してから、MAVに登録してください。

    グループにログインアクセスが設定されていない場合は、以下を入力してください：

    security login create -user-or-group-name group_name -application http|ssh -authentication-method domain|nsswitch|saml|oauth2 -role role

    次に、グループを登録してMAV構成で参照できるようにし、役割にマッピングします：

    security login group create -vserver svm_name -name group_name [-uuid uuid]

    security login group role-mapping create -group-id group_id -role role

    `-uuid` パラメータは、Microsoft Entra IDグループにのみ必要です。ADドメイン、ADFS/SAML、およびLDAP（nsswitch）グループは、名前のみで識別されます。

    例： 以下のコマンドは、MAV用にADグループ `mydomain\mav_approvers`を登録し、それを `admin`ロールにマッピングします。

    cluster-1::> security login group create -vserver cluster-1 -name mydomain\mav_approvers
cluster-1::> security login group show -vserver cluster-1

     Vserver: cluster-1
  Group Name: mydomain\mav_approvers
    Group ID: 1
  Group UUID: -
     Comment: -

cluster-1::> security login group role-mapping create -group-id 1 -role admin
    `security login group create`および `security login group role-mapping create`の詳細については、link:https://docs.netapp.com/us-en/ontap-cli/search.html?q=security+login+group["ONTAPコマンド リファレンス"^]をご覧ください。

  4. MAV承認グループを作成します。

    security multi-admin-verify approval-group create [ -vserver svm_name] -name group_name [-approvers approver1[,approver2…]] [-groups group1[,group2…]] [[-email address1], address1…​]

    • -vserver - このリリースでは管理 SVM のみがサポートされます。

    • -name - MAV グループ名（最大 64 文字）。

    • -approvers - 1名以上の個別の承認者のリスト。ADユーザーの場合は、 `domain\user`の形式を使用してください。たとえば、 `mydomain\pavan`です。

    • -groups - 承認グループに含める1つ以上のIdP、AD、またはLDAPグループのリスト。各グループは、ロールマッピングを使用して `security login group`テーブルにすでに登録されている必要があります。

    • -email - リクエストが作成、承認、拒否、または実行されたときに通知される1つ以上の電子メールアドレス。

      例： 次のコマンドは、2 人の個別の承認者と 1 つの Entra ID グループを含む MAV グループを作成します。

    cluster-1::> security multi-admin-verify approval-group create -name mav-grp1 -approvers pavan,julia -groups entra-group-mav-approvers -email pavan@myfirm.com,julia@myfirm.com

  5. グループの作成とメンバーシップを確認します。

    security multi-admin-verify approval-group show

    例：

    cluster-1::> security multi-admin-verify approval-group show
Vserver  Name        Approvers        Approver Groups                  Email
-------  ---------------- ------------------  ------------------------------- ------------------------------------------------------------
svm-1    mav-grp1   pavan,julia      entra-group-mav-approvers        pavan@myfirm.com,julia@myfirm.com

MAVグループの初期設定を変更するには、次のコマンドを使用します。

注： すべて、実行前に MAV 管理者の承認が必要です。

次の操作を行う場合： 入力するコマンド

グループの特性を変更するか、既存のメンバー情報を変更する

security multi-admin-verify approval-group modify [-vserver svm_name] -name group_name [-approvers approver1[,approver2…]] [-groups group1[,group2…]] [[-email address1], address1…​]

メンバーを追加または削除する

security multi-admin-verify approval-group replace [-vserver svm_name] -name group_name [-approvers-to-add approver1[,approver2…]][-approvers-to-remove approver1[,approver2…]] [-groups-to-add group1[,group2…]][-groups-to-remove group1[,group2…]]

グループを削除する

security multi-admin-verify approval-group delete [-vserver svm_name] -name group_name
関連情報