Azure NetApp Files NFS ボリュームの LDAP ディレクトリサービスを構成する (プレビュー)

ネイティブ Active Directoryのサポートに加えて、Azure NetApp Files では、軽量ディレクトリアクセスプロトコル (LDAP) ディレクトリサーバー用の FreeIPA、Red Hat Identity Management (IdM)、OpenLDAP、Red Hat Directory Server、Oracle Unified Directory (OUD) などのディレクトリサービスとのネイティブ統合がサポートされます。ネイティブ LDAP ディレクトリサーバーのサポートにより、Linux 環境の NFS ボリュームに対してセキュリティで保護されたスケーラブルな ID ベースのアクセス制御を実現できます。

Azure NetApp Files の LDAP 統合により、信頼されたディレクトリサービスを利用することで、ファイル共有のアクセス管理が簡素化されます。 NFSv3 および NFSv4.1 プロトコルをサポートし、DNS SRV レコードベースの検出を使用して、LDAP サーバー間の高可用性と負荷分散を行います。ビジネスの観点から見ると、この機能は次の機能を強化します。

コンプライアンス: 一元化された ID 管理では、監査可能性とポリシーの適用がサポートされます
効率性: Linux および NTFS システム間で ID 制御を統合することで、管理オーバーヘッドを削減
セキュリティ: TLS 経由の LDAP、対称/非対称名マッピング、および拡張グループメンバーシップをサポートします
シームレスな統合: 既存の LDAP インフラストラクチャと連携
スケーラビリティ: 大規模なユーザーディレクトリとグループディレクトリをサポート
柔軟性: 複数の LDAP 実装と互換性がある

サポートされているディレクトリサービス

FreeIPA: Linux 環境でのセキュリティで保護された一元化された ID 管理に最適
Red Hat IdM: Linux 環境での一元化された ID とアクセス管理
OpenLDAP: カスタムデプロイ用の軽量で柔軟なディレクトリサービス
Red Hat Directory Server: 高度なスケーラビリティとセキュリティ機能を備えたエンタープライズレベルの LDAP サービス
Oracle Unified Directory: マルチマスターレプリケーションと包括的なコンプライアンス機能を備えた、Oracle アプリケーションエコシステムに最適なエンタープライズレベルの LDAP ディレクトリサービス

Important

Active Directory で LDAP を構成するには、 NFS ボリュームアクセス用に拡張グループを使用して AD DS LDAP を構成する方法に関する説明を参照してください。

Architecture

次の図は、Azure NetApp Files で LDAP バインド/検索操作を使用してユーザーを認証し、ディレクトリ情報に基づいてアクセス制御を適用する方法を示しています。

アーキテクチャには、次のコンポーネントが含まれます。

クライアント Linux VM: Azure NetApp Filesへの NFS マウント要求を開始します
Azure NetApp Files ボリューム: マウント要求を受信し、LDAP クエリを実行します
LDAP ディレクトリサーバー: ユーザーとグループの情報を使用してバインド/検索要求に応答します
アクセス制御の決定: LDAP 応答に基づいてアクセスの決定を適用します

データフロー

マウント要求: Linux VM は、NFSv3 または NFSv4.1 マウント要求を Azure NetApp Files に送信します。
LDAP バインド/検索: Azure NetApp Filesは、UID/GID を使用して LDAP サーバー (FreeIPA、Red Hat IdM、OpenLDAP、または RHDS) にバインド/検索要求を送信します。
LDAP 応答: ディレクトリサーバーは、ユーザー属性とグループ属性を返します。
アクセス制御の決定: Azure NetApp Files は応答を評価し、アクセスを許可または拒否します。
クライアントアクセス: 決定はクライアントに伝達されます。

考慮事項

FreeIPA、Red Hat IdM、OpenLDAP、Red Hat Directory Server、Oracle Unified Directory は NFSv3 および NFSv4.1 ボリュームでサポートされています。現在、デュアルプロトコルボリュームではサポートされていません。
ボリュームを作成する前に、LDAP サーバーを構成する必要があります。
FreeIPA、Red Hat IdM、OpenLDAP、Red Hat Directory Server、または Oracle Unified Directory は、 新しい NFS ボリュームでのみ構成できます。これらのディレクトリサービスを使用するように既存のボリュームを変換することはできません。
現在、Kerberos は FreeIPA、Red Hat IdM、OpenLDAP、Red Hat Directory Server、Oracle Unified Directory ではサポートされていません。
既定では、NFS 資格情報キャッシュ内の正と負の両方のユーザー/グループ認証エントリの Time-to-Live (TTL) は 1 時間に設定されます。
IdM サーバーで直接観察された IdM の可用性、接続、またはディレクトリ/認証の問題については、Red Hat (IdM) サポートにお問い合わせください。 Azure NetApp Files統合、構成、またはアクセスに関する問題については、NetApp サポートにお問い合わせください。
Oracle Unified Directory で直接観察された LDAP 接続またはディレクトリデータの問題については、Oracle サポートにお問い合わせください。 Azure NetApp Filesの統合と操作に関する問題については、NetApp サポートにお問い合わせください。
指定されたBind DNとパスワード(簡単な認証タイプ)による認証は、政府地域ではサポートされていません。
TLS上のLDAPでは、ファイルごとに1つのサーバーのrootCA証明書をアップロードします。同じPEMファイル内のルート証明書と中間証明書などの証明書バンドルやチェーンはサポートされていません。

機能を登録する

FreeIPA、Red Hat IdM、OpenLDAP、Red Hat Directory Server、Oracle Unified Directory のサポートは現在プレビュー段階です。 NFS ボリュームをこれらのディレクトリサーバーのいずれかに接続する前に、機能を登録する必要があります。

機能を登録します。

Register-AzProviderFeature -ProviderNamespace Microsoft.NetApp -FeatureName ANFOpenLDAP

機能の登録の状態を確認します。

注

RegistrationState は、Registeringに変更する前に最大 60 分間、Registered状態を維持できます。この状態が Registered になってから続行してください。
```
Get-AzProviderFeature -ProviderNamespace Microsoft.NetApp -FeatureName ANFOpenLDAP
```

また、Azure CLI のコマンドaz feature register と az feature show を使用して、機能を登録し、登録状態を表示することもできます。

LDAP サーバーを作成する

Azure NetApp Files に接続する前に、まず LDAP サーバーを作成する必要があります。関連するサーバーの指示に従います。

FreeIPA を構成するには、 FreeIPA クイックスタートガイドを参照し、 Red Hat のガイダンスに従ってください。
RedHat IDM を構成するには、 Red Hat のドキュメントを参照してください。
OpenLDAP を構成するには、 OpenLDAP のドキュメントを参照してください。
Red Hat Directory Server を構成するには、 Red Hat のドキュメントに従います。詳細については、「 Red Hat Directory Server のインストール」を参照してください。
Oracle Unified Directory を構成するには、 Oracle Unified Directory のドキュメントに従います。

Azure NetApp Files で LDAP 接続を構成する

Azure NetApp Filesは、カスタムLDAPポート、顧客指定のDNSサーバー、設定可能なLDAPスコープ設定、証明書検証オプションなど、追加のLDAP接続設定オプションをサポートしています。これらの設定は、エンタープライズLDAP展開との互換性を向上させ、既存のディレクトリインフラとの統合においてより柔軟性を提供します。

Azure ポータルで、NetApp アカウント内の LDAP 接続 を選択します。
[ + 作成] を選択して新しい LDAP 接続を作成します。
[LDAP 接続の構成] ウィンドウで、 接続の詳細を指定します。
- ドメイン名: ドメイン名は基本の識別名(DN)として機能します。
- LDAP サーバー: LDAP サーバーの IP アドレス。
- LDAPポート: このポートはかつてLDAPサーバーに接続していました。 Azure NetApp Filesは標準およびカスタムのLDAPポート割り当ての両方をサポートし、非デフォルトのLDAP構成を使用する環境との統合を可能にします。
- TLS 経由の LDAP: 必要に応じて、TLS 経由の LDAP を有効にしてセキュリティで保護された通信を有効にするチェックボックスをオンにします。
  
  注
  
  複数のサーバーで TLS 経由で LDAP を有効にするには、各サーバーに共通証明書を生成してインストールし、Azure portal でサーバー CA 証明書をアップロードする必要があります。
  - サーバー CA 証明書: 証明機関の証明書。 TLS 経由で LDAP を使用する場合は、このオプションが必要です。
  - 検証方法:
    - DNS名で検証
      DNSサーバー:Azure NetApp Filesが接続確立および証明書検証時にLDAPサーバーのホスト名を解決するために使用するDNSサーバーです。
    - ホスト名を使って検証
      証明書 CN ホスト: ホストの共通ネームサーバー (server.contoso.com など)。
LDAPスコープの設定:
- ユーザーDN: ユーザーエントリが所在するLDAPディレクトリ内のベースパスを定義します。
- グループDN: アクセス制御および権限に使用されるグループエントリの場所を指定します。
- Netgroup DN: ネットワークベースのグループを定義し、多くの場合NFSやシステムレベルのアクセス制御用です。顧客がこれらのDNを設定できるようにすることで、ANFは特定のLDAPディレクトリ構造と正確にクエリ・統合できるため、柔軟性が向上します。
認証タイプを選択してください:
- 匿名： 識別名またはパスワードを指定せずに接続します。アクセスは、LDAP サーバーの匿名アクセスポリシーによって管理されます。
- Simple: Azure Key Vaultに格納されているシークレットから取得した、指定されたバインド DN とパスワードを使用して認証します。
  1. Bind DNユーザー名に、LDAPサーバーで認証するために使われたアカウントの識別名を入力します。
    例： uid=binduser,cn=users,cn=accounts,dc=contoso,dc=com
  2. LDAP認証用のバインドパスワードを含む秘密を選択します。
    - ここで登場するのが秘密のURI: 秘密識別子を手動で入力してください。
    - Key Vaultから選択:Azure Key Vaultから秘密を選択します。
    ポータルにはKey VaultとSecretが表示されます。別の秘密を選択するには 「選択を変更する 」を選べます。
  3. Key Vault シークレットへのアクセスに使用する ID の種類を選択します。管理されるアイデンティティを設定するには、編集ウィンドウで「 新しいアイデンティティを追加 」を選択し、以下のいずれかのオプションを選択してください。
    - システム割り当て: システム割り当てマネージド ID を有効にします。
    - ユーザー割り当て: 既存のユーザー割り当てマネージド ID を選択または追加します。
    注
    
    アイデンティティはターゲットKey Vault上で少なくともKey Vault Secrets Userの役割を付与されなければなりません。
保存を選択します。
LDAP接続を設定した後、 NFSボリュームを作成できます。

LDAP 接続を検証する

接続を検証するには、LDAP接続を使用してボリューム概要に移動します。
[ LDAP 接続 ]、[ LDAP グループ ID リスト] の順に選択します。
[Username]\(ユーザー名\) フィールドに、LDAP サーバーを構成したときに指定したユーザー名を入力します。 [ グループ ID の取得] を選択します。グループ ID がクライアントとサーバーと一致していることを確認します。

詳細については、「 Azure NetApp Files の LDAP ボリュームに対するユーザーアクセスをトラブルシューティングする」を参照してください。

次のステップ

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-07-14