ここでは、リモート ユーザがネットワークにアクセスを試みるときに通過する必要があるセキュリティの第 1 レイヤについて説明します。Kerberos 認証プロセスの第 1 段階は、ユーザが境界ルータに対して自身を認証することです。次のプロセスでは、ユーザが境界ルータに対して認証する方法について説明します。

1. リモート ユーザは、会社サイトのルータに対して PPP 接続を開きます。

2. ルータは、ユーザに対してユーザ名とパスワードの入力を求めます。

3. ルータは、そのユーザに関する KDC の TGT を要求します。

4. KDC は、（他の情報も含まれますが）ユーザの ID を含む暗号化済み TGT をルータに送信します。

5. ルータは、ユーザが入力したパスワードを使用して、TGT の復号化を試行します。復号化に成功すると、リモート ユーザはルータに対して認証されます。

PPP セッションの開始、および境界ルータに対する認証に成功するリモート ユーザは、ファイアウォール内にいますが、ネットワーク サービスにアクセスするには KDC に対して直接認証する必要があります。これは、KDC から発行された TGT はルータに保存され、ユーザが物理的にルータにログインしない限り、追加の認証には役立ちません。

ここでは、境界ルータに対して認証されたリモート ユーザが、KDC に対して自身を認証する方法について説明します。

リモート ユーザが境界ルータに対して認証すると、そのユーザは技術的にはネットワークの一部になります。つまり、ネットワークは、そのリモート ユーザとユーザのマシンまたはネットワークを含むように拡張されます。ただし、リモート ユーザーがネットワーク サービスに対するアクセス権を得るには、KDC から TGT を取得する必要があります。次のプロセスでは、リモート ユーザーが KDC に対して認証する方法について説明します。

1. リモート サイトにあるワークステーションを使用するリモート ユーザーは、KINIT プログラム（Kerberos プロトコルに付属するクライアント ソフトウェアの一部）を起動します。

2. KINIT プログラムは、ユーザの ID を検索し、KDC から TGT を要求します。

3. KDC は TGT を作成します。TGT には、ユーザーの ID、KDC の ID、および TGT の有効期限が含まれます。

4. KDC は、ユーザーのパスワードをキーとして使用して、TGT を暗号化し、その TGT をワークステーションに送信します。

5. KINIT プログラムは暗号化された TGT を受信すると、ユーザーにパスワード（KDC でそのユーザー用に定義されているパスワード）の入力を求めます。

6. ユーザーが入力したパスワードを使用して KINIT プログラムが TGT を復号化できる場合、ユーザーは KDC に対して認証され、KINIT プログラムはユーザーの認定証キャッシュに TGT を保存します。

この時点で、ユーザーは TGT を持っており、KDC と安全に通信できます。 その TGT を使用して、ユーザーは他のネットワーク サービスに対して認証できます。

次のプロセスでは、TGT を持つリモート ユーザーが、特定の Kerberos レルム内でネットワーク サービスに対して認証する方法について説明します。ここでは、ユーザーはリモート ワークステーション（Host A）上にあり、Host B にログインしようとしているとします。

1. Host A 上のユーザーは、Host B に対して Kerberos 化アプリケーション（Telnet など）を開始します。

2. Kerberos 化アプリケーションはサービス認定証要求を構築し、KDC に送信します。サービス認定証要求には、（他の情報も含まれますが）ユーザーの ID と目的のネットワーク サービスの ID が含まれます。TGT は、サービス認定証要求を暗号化するために使用されます。

3. KDC は、Host A 上のユーザーに対して発行された TGT を使用して、サービス認定証要求を復号化しようとします。KDC がパケットを復号化できる場合、要求の発行元が Host A 上の認証済みユーザーであると確認されます。

4. KDC は、サービス認定証要求に含まれるネットワーク サービス ID を記録します。

5. KDC は、Host A 上のユーザーの代理で、適切なネットワーク サービスのサービス認定証を Host B に構築します。サービス認定証には、クライアントの ID および必要なネットワーク サービスの ID が含まれます。

6. 次に、KDC はサービス認定証の暗号化を 2 回実行します。まず、認定証に指定されたネットワーク サービスと共有する SRVTAB を使用して認定証を暗号化します。次に、ユーザー（この場合は Host A 上のユーザー）の TGT を使用して結果のパケットを暗号化します。

7. KDC は、2 回暗号化された認定証を Host A に送信します。

8. Host A は、ユーザーの TGT を使用してサービス認定証の復号化を試行します。Host A がサービス認定証を復号化できる場合、その認定証の発行元が KDC であると確認されます。

9. Host A はサービス認定証を目的のネットワーク サービスに送信します。認定証は、まだ KDC とネットワーク サービスに共有されている SRVTAB で暗号化されています。

10. ネットワーク サービスは、SRVTAB を使用してサービス認定証の復号化を試行します。

11. ネットワーク サービスが認定証を復号化できる場合、その認定証の発行元が KDC であると確認されます。ネットワーク サービスは、ユーザーから間接的に送信されたデータでも、KDC から送信された復号化できるデータであれば、常に信頼します。これは、ユーザーがまず KDC で認証されているためです。

この時点で、ユーザーは Host B のネットワーク サービスに認証されます。このプロセスは、ユーザーが Kerberos レルムのネットワーク サービスにアクセスするときは毎回繰り返されます。

Kerberos プロトコルを使用するために認証するすべてのルータは、SRVTAB を持っている必要があります。SRVTAB の抽出の詳細については、「SRVTAB の抽出」を参照してください。

KDC に SRVTAB エントリを作成するには、特権 EXEC モードで次のコマンドを使用します。

Router# ark  SERVICE/HOSTNAME@REALM

たとえば、router1 という Cisco ルータ用の Kerberos 化認証サービスを Kerberos レルム CISCO.COM に追加するには、次の Kerberos コマンドを入力します。

ark host/router1.cisco.com@CISCO.COM

すべての Kerberos 化ホスト上に、認証にこの KDC を使用するすべてのネットワーク サービスに関するエントリを作成します。

SRVTAB には、（他の情報も含まれますが）KDC データベースに入力したサービス プリンシパルのパスワードまたはランダムに生成されたキーが含まれます。サービス プリンシパル キーは、そのサービスを実行するホストと共有する必要があります。そのためには、SRVTAB をファイルに保存し、Kerberos レルムにあるルータおよびすべてのホストにそのファイルをコピーします。SRVTAB エントリをファイルに保存することを、SRVTAB の抽出といいます。SRVTAB を抽出するには、特権 EXEC モードで次のコマンドを使用します。

Router# xst
 router-name host

たとえば、host/router1.cisco.com@CISCO.COM SRVTAB をファイルに書き込むには、次の Kerberos コマンドを入力します。

xst router1.cisco.com@CISCO.COM host

quit コマンドを使用して、kdb5_edit プログラムを終了します。

リモート ユーザが Kerberos 認定証を使用してルータに対して認証できるようにするには、ルータが KDC 秘密キーを共有する必要があります。そのためには、KDC で抽出した SRVTAB をルータにコピーする必要があります。

SRVTAB ファイルを Kerberos レルムのホストにコピーする最もセキュアな方式は、ファイルを物理メディアにコピーし、各ホストの場所に行き、そのシステムに手動でファイルをコピーすることです。ルータに物理メディア ドライバがない場合、SRVTAB ファイルをルータにコピーするには、TFTP を使用してネットワークを介して転送する必要があります。

KDC からルータに対して SRVTAB ファイルをリモート コピーするには、グローバル コンフィギュレーション モードで次のコマンドを使用します。

Router(config)# kerberos srvtab remote  {hostname
 | ip-address
} {filename
}

SRVTAB ファイルをルータから KDC にコピーする場合、kerberos srvtab remote コマンドでこのファイルの情報を解析し、kerberos srvtab entry 形式でルータの実行コンフィギュレーションに保存します。ルータをリブートしたときに SRVTAB が使用できるようにするには（KDC から取得する必要はありません）、write memory コンフィギュレーション コマンドを使用し、実行コンフィギュレーション（解析した SRVTAB ファイルを含みます）を NVRAM に書き込みます。

SRVTAB ファイルのコピー例については、「SRVTAB ファイルのコピー例」を参照してください。

これまでの操作でルータの Kerberos の設定が完了しました。そのため、ルータは Kerberos を使用して認証できます。次の手順は、認証するようにルータに指示することです。AAA によって Kerberos 認証が容易になるため、aaa authentication コマンドを入力し、認証方式として Kerberos を指定する必要があります。詳細については、「認証の設定」の章を参照してください。

これまでの手順で Kerberos を設定すると、Kerberos 化ルータに対して認証されているユーザは TGT を持ち、その TGT を使用してネットワーク上のホストに対して認証できます。ただし、ユーザがホストの認証後に認定証のリストを表示しようとすると、出力には Kerberos 認定証が表示されません。

Kerberos 化された Telnet、rcp、rsh、および rlogin（適切なフラグ付き）を使用するときに、ルータからネットワーク上の Kerberos 化リモート ホストに対して認証する場合、オプションで、ユーザの TGT を転送するようにルータを設定できます。

Kerberos レルムで他のホストに接続するときにユーザーの認定証を転送するように、すべてのクライアントに強制するには、グローバル コンフィギュレーション モードで次のコマンドを使用します。

Router(config)# kerberos credentials forward 

認定証の転送を有効にすると、ユーザーの TGT は、認証を受ける次のホストへ自動的に転送されます。この方法で、ユーザーは Kerberos レルム内の複数のホストに接続できます。新しい TGT を取得するたびに KINIT プログラムを実行する必要はありません。

ネットワーク内からルータに対して Telnet セッションを開始するユーザを認証するために、Kerberos を使用するには、グローバル コンフィギュレーション モードで次のコマンドを使用します。

Router(config)# aaa authentication login  {default  | list-name
} krb5_telnet 

ルータに対する Telnet セッションは認証されますが、イネーブル モードを開始するには、ユーザがクリア テキスト パスワードを入力する必要があります。後述する kerberos instance map コマンドを使用すると、事前に定義した特権レベルでルータに対して認証できます。

ユーザーがセキュア Telnet セッションを開始するもう 1 つの方法は、Encrypted Kerberized Telnet を使用することです。Encrypted Kerberized Telnet を使用すると、Telnet セッションを確立する前に、ユーザーは Kerberos 認定証によって認証されます。Telnet セッションは、64-bit Cipher Feedback（CFB）による 56-bit データ暗号規格（DES）暗号を使用して暗号化されます。送受信データは暗号化され、クリア テキストではないため、着信したルータまたはアクセス サーバの整合性は制御しやすくなります。

Note	この機能を使用できるのは、56-bit 暗号化イメージを持っている場合だけです。56 ビット DES 暗号化は、米国政府の輸出管理規制の対象となります。

ルータからリモート ホストに対して、Encrypted Kerberized Telnet セッションを確立するには、EXEC コンフィギュレーション モードで次のコマンドのいずれかを使用します。

Router(config)# connect  host
 [port
] /encrypt kerberos 

Router(config)# telnet  host
 [port
] /encrypt kerberos 

ユーザが Cisco ルータからリモート ホストに対する Telnet セッションを開始すると、ルータとリモート ホストは、Kerberos 認定証を使用してユーザを認証するためにネゴシエートします。この認証に成功すると、ルータとリモート ホストは、暗号化を使用するかどうかをネゴシエートします。このネゴシエーションに成功すると、着信および発信トラフィックは、64-bit CFB による 56-bit DES を使用して暗号化されます。

ユーザが、リモート ホストから Kerberos 認証用に設定された Cisco ルータに対してダイヤルインすると、Telnet セッションに暗号化を使用するかどうかについて、ホストとルータでネゴシエーションが試行されます。このネゴシエーションに成功すると、ルータは Telnet セッション中のすべての発信データを暗号化します。

暗号化のネゴシエーションに成功しなかった場合、セッションは終了し、ユーザは、暗号化された Telnet セッションの確立に失敗したというメッセージを受信します。

リモート ホストから双方向暗号化をイネーブル化する方法については、リモート ホスト デバイスのマニュアルを参照してください。

暗号化された Kerberos 対応 Telnet を使用してセキュアな Telnet セッションを開始する例については、この章で後述する「 暗号化された Telnet セッションの例」を参照してください。

セキュリティの追加レイヤとして、リモート ユーザがルータに対して認証した後に、ユーザは Kerberos 化 Telnet、rlogin、rsh、および rcp だけを使用してネットワーク上の他のサービスに対して認証できます。Kerberos 認証を必須にしていない状態で Kerberos 認証に失敗すると、アプリケーションは、そのネットワーク サービスのデフォルト認証方式を使用して、ユーザーの認証を試行します。たとえば、Telnet および rlogin はパスワードの入力を求め、rsh はローカル rhost ファイルを使用して認証を試行します。

Kerberos 認証を必須にするには、グローバル コンフィギュレーション モードで次のコマンドを使用します。

Router(config)# kerberos clients mandatory 

「KDC での SRVTAB の作成」で説明したように、KDC データベースにユーザの管理インスタンスを作成することができます。kerberos instance map コマンドを使用すると、その管理インスタンスを Cisco IOS XE 特権レベルにマッピングできます。それによって、事前定義した特権レベルで、ユーザーはルータに対するセキュア Telnet セッションを開くことができます。イネーブルモードを開始するためにクリアテキストのパスワードを入力する必要はありません。

Kerberos インスタンスを Cisco IOS XE 特権レベルにマッピングするには、グローバル コンフィギュレーション モードで次のコマンドを使用します。

Router(config)# kerberos instance map  instance
 privilege-level

KDC データベースにユーザ loki（たとえば、loki/admin）の Kerberos インスタンスがある場合、ユーザ loki は、loki/admin としてルータに対して Telnet セッションを開始し、特権レベル 15 で自動的に認証します。インスタンス「admin」は特権レベル 15 にマッピングされるという前提です。（ルータに対する Telnet セッションの開始を参照してください。）

Cisco IOS XE コマンドは、 privilege level コマンドを使用して、さまざまな権限レベルに設定できます。

Kerberos インスタンスを Cisco IOS XE 権限レベルにマッピングした後、ユーザーがログインするたびに Kerberos インスタンスをチェックするようにルータを設定する必要があります。マッピングされた Kerberos インスタンスに基づいて、ユーザーに EXEC シェルの実行を許可するかどうかを決定するための承認を実行するには、krb5-instance キーワードを指定して aaa authorization コマンドを使用します。詳細については、「認可の設定」の章を参照してください。