日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

Kerberos のインフライト暗号化

10/29/2025 共同作成者

PDF

Kerberos インフライト暗号化を使用すると、マネージドクラスターとストレージバックエンド間のトラフィックの暗号化を有効にして、データアクセスのセキュリティを向上させることができます。

Trident は、ストレージバックエンドとしてのONTAPの Kerberos 暗号化をサポートしています。

オンプレミスONTAP - Trident は、 Red Hat OpenShift およびアップストリーム Kubernetes クラスターからオンプレミスONTAPボリュームへの NFSv3 および NFSv4 接続を介した Kerberos 暗号化をサポートします。

NFS 暗号化を使用するボリュームを作成、削除、サイズ変更、スナップショット、クローン、読み取り専用クローン、およびインポートできます。

オンプレミスのONTAPボリュームでインフライト Kerberos 暗号化を構成する

管理対象クラスターとオンプレミスのONTAPストレージバックエンド間のストレージトラフィックで Kerberos 暗号化を有効にできます。

オンプレミスのONTAPストレージバックエンドを使用したNFSトラフィックのKerberos暗号化は、 `ontap-nas`ストレージドライバー。

開始する前に

アクセスできることを確認してください `tridentctl`ユーティリティ。
ONTAPストレージバックエンドへの管理者アクセス権があることを確認します。
ONTAPストレージバックエンドから共有するボリュームの名前を必ず確認してください。
NFS ボリュームの Kerberos 暗号化をサポートするようにONTAPストレージ VM を準備していることを確認します。参照 "データLIFでKerberosを有効にする"手順についてはこちらをご覧ください。
Kerberos 暗号化で使用する NFSv4 ボリュームが正しく構成されていることを確認します。 NetApp NFSv4ドメイン構成セクション（13ページ）を参照してください。 "NetApp NFSv4 の機能強化とベストプラクティスガイド" 。

ONTAPエクスポートポリシーを追加または変更する

既存のONTAPエクスポートポリシーにルールを追加するか、 ONTAPストレージ VM ルートボリュームと、アップストリーム Kubernetes クラスターと共有されているすべてのONTAPボリュームに対して Kerberos 暗号化をサポートする新しいエクスポートポリシーを作成する必要があります。追加するエクスポートポリシールール、または作成する新しいエクスポートポリシーは、次のアクセスプロトコルとアクセス許可をサポートする必要があります。

アクセスプロトコル

NFS、NFSv3、および NFSv4 アクセスプロトコルを使用してエクスポートポリシーを構成します。

アクセス詳細

ボリュームのニーズに応じて、3 つの異なるバージョンの Kerberos 暗号化のいずれかを構成できます。

Kerberos 5 - (認証と暗号化)
Kerberos 5i - (ID保護を備えた認証と暗号化)
Kerberos 5p - (アイデンティティとプライバシー保護を備えた認証と暗号化)

適切なアクセス権限を使用してONTAPエクスポートポリシールールを設定します。たとえば、クラスターが Kerberos 5i と Kerberos 5p 暗号化を組み合わせて NFS ボリュームをマウントする場合は、次のアクセス設定を使用します。

タイプ	読み取り専用アクセス	読み取り/書き込みアクセス	スーパーユーザーアクセス
UNIX	有効	有効	有効
Kerberos 5i	有効	有効	有効
Kerberos 5p	有効	有効	有効

タイプ

読み取り専用アクセス

読み取り/書き込みアクセス

スーパーユーザーアクセス

UNIX

有効

Kerberos 5i

有効

Kerberos 5p

有効

ONTAPエクスポートポリシーとエクスポートポリシールールを作成する方法については、次のドキュメントを参照してください。

ストレージバックエンドを作成する

Kerberos 暗号化機能を含むTridentストレージバックエンド構成を作成できます。

タスク概要

Kerberos暗号化を設定するストレージバックエンド構成ファイルを作成するときに、次のオプションを使用して3つの異なるバージョンのKerberos暗号化のいずれかを指定できます。 `spec.nfsMountOptions`パラメータ:

spec.nfsMountOptions: sec=krb5（認証と暗号化）
spec.nfsMountOptions: sec=krb5i（ID保護を備えた認証と暗号化）
spec.nfsMountOptions: sec=krb5p（アイデンティティとプライバシー保護を備えた認証と暗号化）

Kerberos レベルを 1 つだけ指定します。パラメータリストで複数の Kerberos 暗号化レベルを指定した場合、最初のオプションのみが使用されます。

手順

マネージドクラスターで、次の例を使用してストレージバックエンド構成ファイルを作成します。括弧<>内の値は、環境の情報で置き換えます。

apiVersion: v1
kind: Secret
metadata:
  name: backend-ontap-nas-secret
type: Opaque
stringData:
  clientID: <CLIENT_ID>
  clientSecret: <CLIENT_SECRET>
---
apiVersion: trident.netapp.io/v1
kind: TridentBackendConfig
metadata:
  name: backend-ontap-nas
spec:
  version: 1
  storageDriverName: "ontap-nas"
  managementLIF: <STORAGE_VM_MGMT_LIF_IP_ADDRESS>
  dataLIF: <PROTOCOL_LIF_FQDN_OR_IP_ADDRESS>
  svm: <STORAGE_VM_NAME>
  username: <STORAGE_VM_USERNAME_CREDENTIAL>
  password: <STORAGE_VM_PASSWORD_CREDENTIAL>
  nasType: nfs
  nfsMountOptions: ["sec=krb5i"] #can be krb5, krb5i, or krb5p
  qtreesPerFlexvol:
  credentials:
    name: backend-ontap-nas-secret

前の手順で作成した構成ファイルを使用して、バックエンドを作成します。
```
tridentctl create backend -f <backend-configuration-file>
```
バックエンドの作成に失敗した場合、バックエンドの構成に問題があります。次のコマンドを実行すると、ログを表示して原因を特定できます。
```
tridentctl logs
```
構成ファイルの問題を特定して修正したら、create コマンドを再度実行できます。

ストレージクラスを作成する

Kerberos 暗号化を使用してボリュームをプロビジョニングするためのストレージクラスを作成できます。

タスク概要

ストレージクラスオブジェクトを作成するときに、Kerberos暗号化の3つの異なるバージョンのいずれかを指定できます。 `mountOptions`パラメータ:

mountOptions: sec=krb5（認証と暗号化）
mountOptions: sec=krb5i（ID保護を備えた認証と暗号化）
mountOptions: sec=krb5p（アイデンティティとプライバシー保護を備えた認証と暗号化）

Kerberos レベルを 1 つだけ指定します。パラメータリストで複数の Kerberos 暗号化レベルを指定した場合、最初のオプションのみが使用されます。ストレージバックエンド構成で指定した暗号化レベルがストレージクラスオブジェクトで指定したレベルと異なる場合は、ストレージクラスオブジェクトが優先されます。

手順

次の例を使用して、StorageClass Kubernetes オブジェクトを作成します。

apiVersion: storage.k8s.io/v1
kind: StorageClass
metadata:
  name: ontap-nas-sc
provisioner: csi.trident.netapp.io
mountOptions:
  - sec=krb5i #can be krb5, krb5i, or krb5p
parameters:
  backendType: ontap-nas
  storagePools: ontapnas_pool
  trident.netapp.io/nasType: nfs
allowVolumeExpansion: true

ストレージクラスを作成します。

kubectl create -f sample-input/storage-class-ontap-nas-sc.yaml

ストレージクラスが作成されたことを確認します。
```
kubectl get sc ontap-nas-sc
```
次のような出力が表示されます。
```
NAME         PROVISIONER             AGE
ontap-nas-sc    csi.trident.netapp.io   15h
```

プロビジョニングボリューム

ストレージバックエンドとストレージクラスを作成したら、ボリュームをプロビジョニングできるようになります。手順については、 "ボリュームをプロビジョニングする" 。

Azure NetApp Filesボリュームでインフライト Kerberos 暗号化を構成する

マネージドクラスターと単一のAzure NetApp FilesストレージバックエンドまたはAzure NetApp Filesストレージバックエンドの仮想プール間のストレージトラフィックに対して Kerberos 暗号化を有効にできます。

開始する前に

管理対象 Red Hat OpenShift クラスターでTridentが有効になっていることを確認します。
アクセスできることを確認してください `tridentctl`ユーティリティ。
要件に注意し、以下の手順に従って、Kerberos暗号化用のAzure NetApp Filesストレージバックエンドを準備したことを確認します。 "Azure NetApp Files のドキュメント" 。
Kerberos 暗号化で使用する NFSv4 ボリュームが正しく構成されていることを確認します。 NetApp NFSv4ドメイン構成セクション（13ページ）を参照してください。 "NetApp NFSv4 の機能強化とベストプラクティスガイド" 。

ストレージバックエンドを作成する

Kerberos 暗号化機能を含むAzure NetApp Filesストレージバックエンド構成を作成できます。

タスク概要

Kerberos 暗号化を構成するストレージバックエンド構成ファイルを作成するときに、次の 2 つのレベルのいずれかで適用されるように定義できます。

*ストレージバックエンドレベル*は、 `spec.kerberos`分野
*仮想プールレベル*を使用して `spec.storage.kerberos`分野

仮想プールレベルで構成を定義する場合、ストレージクラスのラベルを使用してプールが選択されます。

どちらのレベルでも、Kerberos 暗号化の 3 つの異なるバージョンのいずれかを指定できます。

kerberos: sec=krb5（認証と暗号化）
kerberos: sec=krb5i（ID保護を備えた認証と暗号化）
kerberos: sec=krb5p（アイデンティティとプライバシー保護を備えた認証と暗号化）

手順

管理対象クラスターで、ストレージバックエンドを定義する必要がある場所 (ストレージバックエンドレベルまたは仮想プールレベル) に応じて、次のいずれかの例を使用してストレージバックエンド構成ファイルを作成します。括弧<>内の値は、環境の情報で置き換えます。

ストレージバックエンドレベルの例

apiVersion: v1
kind: Secret
metadata:
  name: backend-tbc-secret
type: Opaque
stringData:
  clientID: <CLIENT_ID>
  clientSecret: <CLIENT_SECRET>

---
apiVersion: trident.netapp.io/v1
kind: TridentBackendConfig
metadata:
  name: backend-tbc
spec:
  version: 1
  storageDriverName: azure-netapp-files
  subscriptionID: <SUBSCRIPTION_ID>
  tenantID: <TENANT_ID>
  location: <AZURE_REGION_LOCATION>
  serviceLevel: Standard
  networkFeatures: Standard
  capacityPools: <CAPACITY_POOL>
  resourceGroups: <RESOURCE_GROUP>
  netappAccounts: <NETAPP_ACCOUNT>
  virtualNetwork: <VIRTUAL_NETWORK>
  subnet: <SUBNET>
  nasType: nfs
  kerberos: sec=krb5i #can be krb5, krb5i, or krb5p
  credentials:
    name: backend-tbc-secret

仮想プールレベルの例

---
apiVersion: v1
kind: Secret
metadata:
  name: backend-tbc-secret
type: Opaque
stringData:
  clientID: <CLIENT_ID>
  clientSecret: <CLIENT_SECRET>

---
apiVersion: trident.netapp.io/v1
kind: TridentBackendConfig
metadata:
  name: backend-tbc
spec:
  version: 1
  storageDriverName: azure-netapp-files
  subscriptionID: <SUBSCRIPTION_ID>
  tenantID: <TENANT_ID>
  location: <AZURE_REGION_LOCATION>
  serviceLevel: Standard
  networkFeatures: Standard
  capacityPools: <CAPACITY_POOL>
  resourceGroups: <RESOURCE_GROUP>
  netappAccounts: <NETAPP_ACCOUNT>
  virtualNetwork: <VIRTUAL_NETWORK>
  subnet: <SUBNET>
  nasType: nfs
  storage:
    - labels:
        type: encryption
      kerberos: sec=krb5i #can be krb5, krb5i, or krb5p
  credentials:
    name: backend-tbc-secret

前の手順で作成した構成ファイルを使用して、バックエンドを作成します。
```
tridentctl create backend -f <backend-configuration-file>
```
バックエンドの作成に失敗した場合、バックエンドの構成に問題があります。次のコマンドを実行すると、ログを表示して原因を特定できます。
```
tridentctl logs
```
構成ファイルの問題を特定して修正したら、create コマンドを再度実行できます。

ストレージクラスを作成する

Kerberos 暗号化を使用してボリュームをプロビジョニングするためのストレージクラスを作成できます。

手順

次の例を使用して、StorageClass Kubernetes オブジェクトを作成します。

apiVersion: storage.k8s.io/v1
kind: StorageClass
metadata:
  name: sc-nfs
provisioner: csi.trident.netapp.io
parameters:
  backendType: azure-netapp-files
  trident.netapp.io/nasType: nfs
  selector: type=encryption

ストレージクラスを作成します。

kubectl create -f sample-input/storage-class-sc-nfs.yaml

ストレージクラスが作成されたことを確認します。
```
kubectl get sc -sc-nfs
```
次のような出力が表示されます。
```
NAME         PROVISIONER             AGE
sc-nfs       csi.trident.netapp.io   15h
```

Kerberos のインフライト暗号化

Creating your file...

オンプレミスのONTAPボリュームでインフライト Kerberos 暗号化を構成する

ONTAPエクスポートポリシーを追加または変更する

ストレージバックエンドを作成する

ストレージクラスを作成する

プロビジョニングボリューム

Azure NetApp Filesボリュームでインフライト Kerberos 暗号化を構成する

ストレージバックエンドを作成する

ストレージクラスを作成する

プロビジョニングボリューム