Skip to main content
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

Kerberos ベースの通信用の AES 暗号化を有効または無効にします

共同作成者
PDF

Kerberosベースの通信で最も強力なセキュリティを活用するには、SMBサーバでAES-256暗号化とAES-128暗号化を使用する必要があります。ONTAP 9.13.1以降では、AES暗号化がデフォルトで有効になります。 Active Directory （ AD ） KDC との Kerberos ベースの通信に AES 暗号化タイプを SMB サーバで選択したくない場合は、 AES 暗号化を無効にすることができます。

AES暗号化がデフォルトで有効になっているかどうか、および暗号化タイプを指定できるかどうかは、ONTAPのバージョンによって異なります。

ONTAPバージョン AES暗号化が有効になっている…​ 暗号化タイプを指定できますか。

9.13.1以降

デフォルトでは

はい。

9.12.1:

手動で実行する

はい。

9.11.1以前

手動で実行する

いいえ

ONTAP 9.12.1以降では、を使用してAES暗号化を有効または無効にします -advertised-enc-types オプション。AD KDCにアドバタイズする暗号化タイプを指定できます。デフォルト設定はです rc4 および des`ただし、AESタイプを指定すると、AES暗号化が有効になります。オプションを使用して、弱いRC4暗号化タイプとDES暗号化タイプを明示的に無効にすることもできます。ONTAP 9.11.1以前では、 `-is-aes-encryption-enabled AES暗号化を有効または無効にするオプションを指定できません。また、暗号化タイプは指定できません。

セキュリティを強化するため、 Storage Virtual Machine （ SVM ）は AES セキュリティオプションが変更されるたびに、 AD 内のマシンアカウントのパスワードを変更します。パスワードの変更には、マシンアカウントが含まれる組織単位（ OU ）の管理 AD クレデンシャルが必要になることがあります。

IDが保持されないディザスタリカバリデスティネーションとしてSVMが設定されている場合（ -identity-preserve オプションはに設定されています false SnapMirrorの設定では、デフォルト以外のSMBサーバセキュリティ設定はデスティネーションにレプリケートされません。ソースSVMでAES暗号化を有効にした場合は、AES暗号化を手動で有効にする必要があります。

例 1. 手順
ONTAP 9.12.1以降

  1. 次のいずれかを実行します。

    Kerberos 通信の AES 暗号化タイプの設定 入力するコマンド

    有効

    vserver cifs security modify -vserver vserver_name -advertised-enc-types aes-128,aes-256

    無効

    vserver cifs security modify -vserver vserver_name -advertised-enc-types des,rc4

    注： -is-aes-encryption-enabled オプションはONTAP 9.12.1では廃止され、以降のリリースでは削除される可能性があります。

  2. AES暗号化が設定どおり有効または無効になっていることを確認します。 vserver cifs security show -vserver vserver_name -fields advertised-enc-types

例

次の例は、SVM vs1のSMBサーバでAES暗号化タイプを有効にします。

cluster1::> vserver cifs security modify -vserver vs1 -advertised-enc-types aes-128,aes-256

cluster1::> vserver cifs security show -vserver vs1 -fields advertised-enc-types

vserver  advertised-enc-types
-------- --------------------
vs1      aes-128,aes-256

次の例は、SVM vs2のSMBサーバでAES暗号化タイプを有効にします。管理者は、 SMB サーバを含む OU の管理 AD クレデンシャルを入力するように求められます。

cluster1::> vserver cifs security modify -vserver vs2 -advertised-enc-types aes-128,aes-256

Info: In order to enable SMB AES encryption, the password for the SMB server
machine account must be reset. Enter the username and password for the
SMB domain "EXAMPLE.COM".

Enter your user ID: administrator

Enter your password:

cluster1::> vserver cifs security show -vserver vs2 -fields advertised-enc-types

vserver  advertised-enc-types
-------- --------------------
vs2      aes-128,aes-256
ONTAP 9.11.1以前

  1. 次のいずれかを実行します。

    Kerberos 通信の AES 暗号化タイプの設定 入力するコマンド

    有効

    vserver cifs security modify -vserver vserver_name -is-aes-encryption-enabled true

    無効

    vserver cifs security modify -vserver vserver_name -is-aes-encryption-enabled false

  2. AES暗号化が設定どおり有効または無効になっていることを確認します。 vserver cifs security show -vserver vserver_name -fields is-aes-encryption-enabled

    。 is-aes-encryption-enabled フィールドが表示されます true AES暗号化が有効になっている場合と false 無効になっている場合。

例

次の例は、SVM vs1のSMBサーバでAES暗号化タイプを有効にします。

cluster1::> vserver cifs security modify -vserver vs1 -is-aes-encryption-enabled true

cluster1::> vserver cifs security show -vserver vs1 -fields is-aes-encryption-enabled

vserver  is-aes-encryption-enabled
-------- -------------------------
vs1      true

次の例は、SVM vs2のSMBサーバでAES暗号化タイプを有効にします。管理者は、 SMB サーバを含む OU の管理 AD クレデンシャルを入力するように求められます。

cluster1::> vserver cifs security modify -vserver vs2 -is-aes-encryption-enabled true

Info: In order to enable SMB AES encryption, the password for the CIFS server
machine account must be reset. Enter the username and password for the
SMB domain "EXAMPLE.COM".

Enter your user ID: administrator

Enter your password:

cluster1::> vserver cifs security show -vserver vs2 -fields is-aes-encryption-enabled

vserver  is-aes-encryption-enabled
-------- -------------------------
vs2      true