Microsoft Security Advisory ： ADV190023 Impact on NetApp applies running CIFS/NFS applies Microsoft Active Directory LDAP servers （英語

Q ：この記事に記載されている手順に問題がありましたか？どうすればよいですか?  

• ネットアップに関連しない多くの情報と、これらの変更を行う場所があります。これらの情報は、公開時に Microsoft 関連のリンクから取得されています。この KB に印刷された情報は、以前にメモした情報と同じように変更されている可能性があります。ネットアップ以外の視点で概説されている手順については、次のリンクを参照してください。
  • ADV190023| LDAP チャネルバインディングと LDAP 署名を有効にするためのマイクロソフトガイダンス 
  • Windows での 2020 LDAP チャネルバインディングと LDAP 署名の要件 
  • LDAP チャネルバインディングと LDAP 署名の要件  

Q ： LDAP チャネルバインドの値は、 PATCH 後はデフォルト値の 1 に設定されるようになっているので、 ONTAP で変更を加える必要はありますか？

• 値が 1 に保持され、 2 に設定されていない限り、 LDAP チャネルトークンは必要ありません。 ONTAP は引き続き LDAP と通信します。 
• 1136213 が実装されると、 ONTAP は LDAP チャネルバインディングトークンを正式にサポートできます。   

Q ： LDAP サーバの整合性（署名）はパッチの適用後に有効に設定されますが、 ONTAP で変更を行う必要はありますか？  

• はい。LDAP 署名またはシールを使用するように CIFS サーバと LDAP クライアントを設定します。上記の情報には、これらのオプションの設定方法と確認方法に関するサンプルワークフローが含まれています。システムを停止することなく実行でき、 Microsoft の変更を更新する前に設定することを推奨します。現在 LDAP の Start TLS または LDAPS を使用している場合、 SVM の設定を変更する必要はありません。

質問： SVM ですでに LDAP startTLS を使用していますが、 LDAP サーバの整合性（署名）に関して ONTAP を変更する必要がありますか。

• デスティネーションこの要件は、 TLS\SSL 以外の接続にのみ適用されます。

Q ：すでに LDAPS を使用しているため、 LDAP サーバの整合性（署名）に関して ONTAP に変更を加える必要がありますか。

• デスティネーションこの要件は、 TLS\SSL 以外の接続にのみ適用されます。ONTAP 9.5 リリースでは、 LDAPS （ LDAP over SSL ）のサポートが初めて導入されました。   
  • 詳細情報： ONTAP は LDAPS 用のポート 636 をサポートしていますか（ LDAP over SSL ）

Q ：サポート対象外のバージョンの ONTAP を使用しています。どのようなオプションがありますか？

• 次Data ONTAP 8 は LDAP 署名をサポートしていません（ secd.ldap.connectfailure ）。のマニュアルを参照してください。 Data ONTAP 8 は LDAP 署名をサポートしていません。また、 Microsoft と協力して、レガシークライアントを有効にするためのセキュリティ設定を削除してください。
  • サポートされている ONTAP バージョンへのアップグレードも検討することが重要です。

Q ： 7-Mode ONTAP を使用しています。変更を行う必要がありますか？  

• この記事は、 ONTAP （ clustered Data ONTAP ）専用です。ただし、 2 つの変更点については、 ADV190023 では 7 モードで次の処理が行われます。  
  • 変更 1 ： LDAP チャネルバインディングのサポートについては、この機能を 7 モードで実装する予定はありません。（デフォルト設定値 1 を使用する場合（有効）、 7 Mode ONTAP も影響を与えずにドメインコントローラとの通信を継続します）。 
  • 変更 2 ： LDAP 署名は自動的に有効になり、 LDAP サーバの整合性（署名）設定のために 7 モードで変更する必要はありません。

Q ： Microsoft の更新後、 LDAP サーバの整合性（署名）を無効に戻します。どうすればよいですか？

• 上記の情報では、レジストリを使用して LDAPServerIntegrity を無効にする方法について説明しています。この情報は、 Microsoft の記事「 LDAP Channel Binding and LDAP Signing Requirements – March 2020 Update Final Release 」から直接入手できます   

Q ：どの ONTAP コマンドに影響しますか。

• 次のようなコマンドでは LDAP が使用され、この更新によって影響が生じます。（完全なリストではありません） 

::> vserver cifs create|delete|modify
::> vserver services name-service ldap create
::> vserver services access-check authentication show-creds  
::> vserver active-directory create|delete|modify
::> vserver cifs group-policy update
::> secd authentication get-dc-info
::> vserver cifs domain discovered-servers reset-servers
::> secd connections test
 

Q ： Microsoft では、クライアントにこの LDAP 署名を設定するよう求めています。 ONTAP にはどのような同等の値がありますか。ONTAP では、 Windows クライアントを変更して、静止状態にする必要がありますか。

• 上記の KB の設定およびコマンドは、 ONTAP でこれらの値を設定する方法です。

質問： CIFS の運用に影響を与えずに、 LDAP の署名や封印を今すぐ変更できますか。

• 次のコマンドを使用して、 ONTAP LDAP クライアントセッションセキュリティを「 sign 」または「 seal 」に設定します。 

1. ::> vserver services name-service ldap client modify -session-security
2. ::> vserver cifs security modify -session-security-for-ad-ldap 
   • このオプションを設定すると、中断のない動作になることが予想されます。 

• 既存の CIFS/NFS 接続は、この変更の影響を受けません。接続されたセッションはキャッシュされ、確立後は LDAP は必要ありません。 
• 次の LDAP バインドでは、 ONTAP は署名または封印のいずれかを使用します。設定オプションは、 LDAP 操作に無停止である必要があります。 
• これらの設定は、 LDAP の変更の前に [ 署名が必要 ] で適切に設定できます。 
  • ただし、 LDAP 環境でグローバルなセキュリティが変更される可能性がある場合と同様に、お客様の環境によっては適切なテストと検証が推奨されます。

Q ：この問題に関する詳しい情報はどこで入手できますか。また、この影響をよりよく理解するために、他の情報源を参照できますか。

• ネットアップの TME チームは、ブログの投稿を公開しました。 Microsoft 、 ONTAP 、 LDAP Channel Binding Apocalypse をご覧ください  
• その投稿を購読して、トピックの更新を取得します。 

Q ： ADV 190023 への対応を維持するために ONTAP で行う必要のある最小限の変更点は何ですか。

• パッチ適用後に予想されるデフォルトが展開されている場合は、次のコマンドを使用して、 ONTAP LDAP クライアントセッションセキュリティを「 sign 」に設定します。 

::> vserver services name-service ldap client modify -session-security sign 
::> vserver cifs security modify -session-security-for-ad-ldap sign 

• CIFS サーバまたは LDAP クライアントのどちらに設定するかによって、次のようになります。  
  • 最小要件は署名です。シーリング、 LDAPS 、 STARTTLS はすべて最小要件を超えており、追加の設定手順（ IE ）自己署名 CA 証明書が必要になる場合があります。 

Q ： vserver に対する -session-security の出力に「–」が表示されているか、または空白になっています。どういう意味ですか？

• Dash または Blank のデフォルト値は None です。場合によっては、これらのオプションがまだ存在しない、 9 より前のバージョン以降に存在していた Vserver が、アップグレード後にこれらの値として表示されることがあります。パッチに準拠するには、この KB の推奨事項に従ってください。

Q ： LDAP の封印を使用すると、 LDAP の監査で SVM のイベント情報が報告されます。

• これはフォールスポジティブです。ONTAP は LDAP の署名と封印に準拠しています。 
  • session-security-for-ad-ldap seal を指定すると、 ONTAP に EventID 2889 LDAP 監査のフラグが設定されます 
  • LDAP シールを使用すると、 Windows ドメインコントローラで生成される 1300585 イベント ID 2889 
  • このログに記録された異常についての Microsoft の説明

Q ： LDAP の署名と封印に関するネットアップの推奨事項は何ですか？

• LDAP 署名を使用することを推奨します。  

Q ：この KB のリンクをすべて読みましたが、 LDAPS 、署名と封印、 startTLS の違いは何ですか。

次のリンクを参照して、違いを説明してください。 

• LDAP 署名と封印（ポート 389 経由） ONTAP 9.0 以降 

  • 署名は、秘密鍵テクノロジを使用して LDAP ペイロードデータの整合性を確認します。封印は、LDAPペイロード データを暗号化して機密情報がクリア テキストで送信されないようにします。LDAP セキュリティレベルオプションは、 LDAP トラフィックに署名、署名、および封印を行う必要があるかどうかを示します。デフォルトは none です。（詳細情報：『 LDAP Si Gning and 封印の概念と NFS ガイド』） 

• 自己署名ルート CA 証明書が必要です 

  • LDAP over TLS （ポート 389 経由） ONTAP 8.2.1 以降（詳細情報： LDAP over TLS の概念）  

  • LDAPS （ポート 636 経由） ONTAP 9.5+ （詳細情報： LDAP の使用）  

Q ： LDAP の署名と封印が使用されていることを確認するにはどうすればよいですか？

• 確認方法については、ネットアップテクニカルサポートにお問い合わせください。

Q ： LDAP チャネルバインドをサポートする前に、すべてのオプションと想定される動作を説明するグラフはありますか。

• はい。 LDAP の動作については、以下の表を参照してください。

Q ：このドキュメントは、 Active IQ システムリスク検出機能を備えているため、お読みになっています。

• ™ストレージシステムで AutoSupport を有効[3]にしたお客様には、 Active IQ ポータルで、お客様レベルとサイトレベル、システムレベルで詳細なシステムリスクレポートを提供します。レポートには、特定のリスクを持つシステム、重大度レベル、および軽減アクションプランが示されますこれらのアラートのいずれかの結果として、この記事を読んでいる可能性があります。システム上の CIFS サーバまたは LDAP クライアント設定でセキュリティ保護されていない LDAP 設定が検出された場合は、この記事全体を参照して、 ADV190023 を適用した場合の問題の軽減方法に関するベストプラクティスの推奨事項を確認してください。