AAA Server Groups
AAA Server Groups ペインでは次の設定ができます。
•
セキュリティ アプライアンスが各グループにリストされたサーバとの通信に使用する AAA サーバ グループとプロトコルの設定。
•
個々のサーバの設定と AAA サーバ グループへの追加。
シングルモードでは最大 15 のグループを、マルチモードでは最大 4 つのグループを指定できます。各グループには、シングルモードで最大 16 台、マルチモードで最大 4 台のサーバを含めることができます。ユーザがログインするとき、アクセスされるサーバは一度に 1 つだけです。指定したサーバから、応答があるまで順に 1 つずつアクセスしていきます。
AAA アカウンティングが有効になっている場合、同時アカウンティングを設定していない限り、アカウンティング情報が送られるのはアクティブ サーバに対してだけです。
AAA サービスの概要については、「AAA の概要」を参照してください。
フィールド
AAA Server Groups ペインのフィールドは、AAA Server Groups 領域と Servers In The Selected Group 領域という、2 つの主要領域にグループ化されます。 AAA Server Groups 領域では、セキュリティ アプライアンスが各グループに表示されたサーバとの通信に使用する AAA サーバ グループとプロトコルを設定できます。
(注) AAA Server Groups テーブルで任意の行をダブルクリックすると、Edit AAA Server Group ダイアログボックスが開きます。このダイアログボックスでは、AAA Server Group パラメータを変更できます。ここで行った変更はただちにテーブルに反映されますが、コンフィギュレーションに保存するには Apply をクリックする必要があります。
カラムの先頭をクリックすると、そのカラムの内容に従って、テーブルの行が英数字順に並び替わります。
•
Server Group: 表示のみ。 選択したサーバ グループのシンボリック名が表示されます。
•
Protocol: 表示のみ。 グループのサーバがサポートする AAA プロトコルが一覧表示されます。
•
Accounting Mode: 表示のみ。 同時モード アカウンティングまたはシングル モード アカウンティングのいずれかが表示されます。シングルモードでは、セキュリティ アプライアンスはアカウンティング データを 1 つのサーバにのみ送信します。同時モードでは、セキュリティ アプライアンスはアカウンティング データをグループ内のすべてのサーバに送信します。
•
Reactivation Mode: 表示のみ。 障害が発生したサーバを再アクティブ化する方法(Depletion または Timed 再アクティブ化モード)が表示されます。Depletion モードでは、障害が発生したサーバは、グループ内のサーバのすべてが非アクティブになった場合にのみ再アクティブ化されます。Timed モードでは、障害が発生したサーバは 30 秒の停止時間の後で再アクティブ化されます。
•
Dead Time: 表示のみ。 グループ内の最後のサーバをディセーブルにしてから、すべてのサーバを再度アクティブにするまでの経過時間が分単位で表示されます。このパラメータは、Depletion モードでのみ適用されます。
•
Max Failed Attempts: 表示のみ。 応答のないサーバを非アクティブと宣言する前に許可される接続試行失敗の回数が表示されます。
•
Add:Add AAA Server Group ダイアログボックスが表示されます。
•
Edit:Edit AAA Server Group ダイアログボックスを表示します。ただし、サーバ グループとして LOCAL を選択した場合は、Edit AAA Local Server Group ダイアログボックスを表示します。
•
Delete:現在選択しているサーバ グループ エントリをサーバ グループ テーブルから削除します。確認されず、やり直しもできません。
AAA Server Groups ペインの 2 番目の領域である Servers In Selected Group 領域では、既存の AAA サーバ グループに対して AAA サーバを追加および設定できます。このサーバには、RADIUS、TACACS+、NT、SDI、Kerberos、LDAP、HTTP フォームの各サーバを指定できます。
•
Server Name or IP Address: 表示のみ。 AAA サーバの名前または IP アドレスが表示されます。
•
Interface: 表示のみ。 認証サーバが常駐するネットワーク インターフェイスが表示されます。
•
Timeout: 表示のみ。 タイムアウト間隔が秒数で表示されます。この時間に達すると、セキュリティ アプライアンスはプライマリ AAA サーバに対する要求の送信を放棄します。スタンバイ AAA サーバがある場合、セキュリティ アプライアンスはバックアップ サーバに要求を送信します。
•
Add/Edit:Add/Edit AAA Server ダイアログボックスを表示します。
•
Delete:選択した AAA サーバをリストから削除します。
•
Move up:選択した AAA サーバを AAA シーケンス内で上に移動します。
•
Move down:選択した AAA サーバを AAA シーケンス内で後ろに移動します。
•
Test:Test AAA Server ダイアログボックスを表示します。
モード
次の表に、この機能を使用できるモードを示します。
Add/Edit AAA Server
Add/Edit AAA Server ダイアログボックスでは、既存の AAA サーバのパラメータを変更したり、AAA サーバ グループ テーブルで選択した既存のグループに新しい AAA サーバを追加したりできます。
フィールド
(注) 最初の 4 つのフィールドは、すべてのサーバ タイプに共通です。コンテンツ領域は、各サーバ タイプに固有です。
•
Server Group: 表示のみ。 サーバ グループの名前が表示されます。
•
Interface Name:サーバが常駐するネットワーク インターフェイスを指定します。
•
Server Name or IP Address:AAA サーバの名前または IP アドレスを指定します。
•
Timeout:タイムアウト間隔を秒数で指定します。この時間に達すると、セキュリティ アプライアンスはプライマリ AAA サーバに対する要求の送信を放棄します。スタンバイ AAA サーバがある場合、セキュリティ アプライアンスはバックアップ サーバに要求を送信します。
•
RADIUS Parameters 領域:RADIUS サーバの使用に必要なパラメータを指定します。選択したサーバ グループが RADIUS を使用するときにのみ、この領域が表示されます。
–
Retry Interval:サーバにクエリーを送信しても応答がないときに、接続を再試行する前に待機する秒数を指定します。最短時間は 1 秒です。デフォルトは 10 秒です。最長時間は 10 秒です。
–
Server Authentication Port:ユーザ認証に使用するサーバ ポートを指定します。デフォルト ポートは 1645 です。
(注) 最新の RFC では、RADIUS を UDP ポート番号 1812 に設定すべきだとしているので、このデフォルトは 1812 への変更が必要になる場合があります。
–
Server Accounting Port:ユーザ アカウンティングに使用するサーバ ポートを指定します。デフォルト ポートは 1646 です。
–
Server Secret Key:暗号化に使用する、たとえば C8z077f のようなサーバ秘密鍵(「共有秘密情報」とも呼ばれます)を指定します。この秘密鍵では、大文字と小文字が区別されます。 セキュリティ アプライアンスはサーバ秘密鍵を使用して、RADIUS サーバに対する認証を行います。ここで設定したサーバ秘密鍵は、RADIUS サーバで設定されたサーバ秘密鍵と一致する必要があります。RADIUS サーバのサーバ秘密鍵がわからない場合は、RADIUS サーバの管理者に問い合せてください。最大フィールド長は、64 文字です。
–
Common Password:グループの共通パスワードを指定します。パスワードは、大文字と小文字が区別されます。RADIUS サーバを認可ではなく認証に使用するよう定義する場合は、共通パスワードを設定しないでください。
RADIUS 認可サーバでは、接続しようとする各ユーザのパスワードとユーザ名が必要です。パスワードはここに入力します。RADIUS 認可サーバの管理者は、このパスワードをセキュリティ アプライアンス経由でサーバに接続する各ユーザ認可に関連付けて RADIUS サーバを設定する必要があります。この情報は、必ず RADIUS サーバの管理者に提供してください。このセキュリティ アプライアンス経由で RADIUS 認可サーバにアクセスするすべてのユーザの共通パスワードを入力します。
このフィールドを空白のままにすると、各ユーザのユーザ名がパスワードになります。たとえば、ユーザ名「jsmith」であるユーザの場合、「jsmith」と入力されます。セキュリティ上の予防措置として、RADIUS 認可サーバを絶対に認証に使用しないでください。共通パスワードを使用したり、パスワードとしてユーザ名を使用したりすることは、ユーザごとに強力なパスワードを使用するのに比べてはるかにセキュリティが低くなります。
(注) RADIUS プロトコルではパスワード フィールドが必須であり、RADIUS サーバによっても要求されますが、ユーザはパスワードを知る必要がありません。
–
ACL Netmask Convert:ダウンロード可能なアクセスリストから受け取ったネットマスクをセキュリティ アプライアンスが処理する方法を指定します。セキュリティ アプライアンスは、ダウンロード可能なアクセスリストに標準ネットマスク表現が含まれていることを想定しますが、Cisco Secure VPN 3000 シリーズ コンセントレータは、ダウンロード可能なアクセスリストに、標準ネットマスク表現とは反対のワイルドカード ネットマスク表現が含まれていることを想定します。ワイルドカード マスクには、無視するビット位置に 1 が、一致するビット位置に 0 が入っています。ACL Netmask Convert リストは、ダウンロード可能なアクセスリストの RADIUS サーバ上での設定方法の違いによる影響を最小限に抑えます。
Detect Automatically を選択すると、使用されているネットマスク表現のタイプをセキュリティ アプライアンスが判定します。ワイルドカード ネットマスク表現が検出された場合は、標準のネットマスク表現に変換されます。しかし、一部のワイルドカードは明確な検出が困難であるため、この設定を使用すると、ワイルドカード ネットマスク表現が、標準のネットマスク表現と誤解される場合があります。
Standard を選択すると、セキュリティ アプライアンスは、RADIUS サーバから受け取ったダウンロード可能なアクセスリストに、標準ネットマスク表現だけが入っていると想定します。ワイルドカード ネットマスク表現からの変換は行われません。
Wildcard を選択すると、セキュリティ アプライアンスは、RADIUS サーバから受け取ったダウンロード可能なアクセスリストに、ワイルドカード ネットマスク表現だけが含まれていると想定し、アクセスリストがダウンロードされたときにすべてを標準ネットマスク表現に変換します。
–
SDI Messages Table:SDI サーバへのプロキシとして設定されている RADIUS サーバによってセキュリティ アプライアンスに転送される SDI メッセージを指定します。
リモート ユーザが、AnyConnect VPN クライアントを使用してセキュリティ アプライアンスに接続し、RSA SecurID トークンを使用して認証を試みると、セキュリティ アプライアンスが RADIUS サーバと通信し、続いて RADIUS サーバが認証について SDI サーバと通信します。 SDI メッセージ テーブルには、セキュリティ アプライアンスが認識し、リモート クライアントに渡す SDI メッセージが示されます。
表12-2 に、SDI メッセージ(op-code)、デフォルトのメッセージ テキスト、および各メッセージの機能を示します。
表12-2 SDI Op-code、デフォルトのメッセージ テキスト、およびメッセージ機能
|
|
|
next-code |
Enter Next PASSCODE |
ユーザが PIN なしで NEXT トークンコードを入力する必要があることを示します。 |
new-pin-sup |
Please remember your new PIN |
新しいシステム PIN が提供され、その PIN がユーザに表示されることを示します。 |
new-pin-meth |
Do you want to enter your own pin |
ユーザが、新しい PIN の作成に使用する新しい PIN 方式を指定するように要求します。 |
new-pin-req |
Enter your new Alpha-Numerical PIN |
ユーザ生成の PIN であることを示し、ユーザに PIN を入力するように要求します。 |
new-pin-reenter |
Reenter PIN: |
ユーザが指定した PIN を確認するためにセキュリティ アプライアンスが内部的に使用します。 ユーザにプロンプトを表示せずに、クライアントが PIN を確認します。 |
new-pin-sys-ok |
New PIN Accepted |
ユーザが指定した PIN が受け入れられたことを示します。 |
next-ccode-and-reauth |
new PIN with the next card code |
PIN 操作の後に表示され、ユーザが次のトークンコードを待ち、新しい PIN と次のトークンコードの両方を入力して認証を受ける必要があることを示します。 |
ready-for-sys-pin |
ACCEPT A SYSTEM GENERATED PIN |
システムが生成した PIN をユーザが使用できる状態であることを示すためにセキュリティ アプライアンスが内部的に使用します。 |
SDI メッセージは SDI サーバに設定できるため、セキュリティ アプライアンス上の SDI メッセージのメッセージ テキストは、SDI サーバのメッセージと同じでなければなりません。 これらが異なると、リモート クライアント ユーザに対して表示されるプロンプトが、認証時に要求される操作に対して適切でない場合があります。 AnyConnect クライアントが応答できず、認証が失敗する可能性があります。
セキュリティ アプライアンスは 表12-1 の順序どおりに文字列を検索するため、ある op-code に使用する文字列が他の文字列に含まれないようにする必要があります。 たとえば、new-pin-req を「New PIN」、new-pin-sys-ok を「New PIN Accepted」と設定した場合、new-pin-req がメッセージ テキストは「New PIN Accepted」に含まれているため、常に new-pin-req が一致します。 このため、メッセージが誤って一致しないように、メッセージ テキストを一意にしてください。
メッセージ テキストを編集するには、Message Text フィールドをダブルクリックします。
Restore default message texts:メッセージをデフォルトのメッセージ(Cisco ACS のデフォルト メッセージ)に復元します。
•
TACACS+ Parameters:TACACS+ サーバの使用に必要なパラメータを指定します。選択したサーバ グループが TACACS+ を使用するときにのみ、この領域が表示されます。
–
Server Port:使用するサーバ ポートを指定します。
–
Server Secret Key:暗号化に使用するサーバ秘密鍵を指定します。この秘密鍵では、大文字と小文字が区別されます。フィールドには、アスタリスクだけが表示されます。
•
SDI Parameters:SDI サーバの使用に必要なパラメータを指定します。選択したサーバ グループが SDI を使用するときにのみ、この領域が表示されます。
–
Server Port:使用するサーバ ポートを指定します。
–
Retry Interval:接続を再試行する前に待機する秒数を指定します。
•
Kerberos Parameters:Kerberos サーバの使用に必要なパラメータを指定します。選択したサーバ グループが Kerberos を使用するときにのみ、この領域が表示されます。
–
Server Port:Kerberos サーバがリスンするサーバ ポートを指定します。
–
Retry Interval:再試行間隔値とは、再試行から次の再試行までの時間で、1 ~ 10 秒の範囲で指定します。
–
Kerberos Realm:使用する Kerberos 領域の名前(USDOMAIN.ACME.COM など)を指定します。最大長は 64 文字です。サーバ タイプが Windows 2000、Windows XP、Windows.NET の場合、領域名はすべて大文字で入力する必要があります。この名前は入力するとき、IP アドレスを Server IP Address フィールドに入力したサーバの領域名に一致している必要があります。
•
LDAP Parameters:LDAP サーバの使用に必要なパラメータを指定します。選択したサーバ グループが LDAP を使用するときにのみ、この領域が表示されます。
–
Enable LDAP Over SSL:セキュリティ アプライアンスと LDAP サーバ間の通信を SSL でセキュリティ保護するように指定します。セキュア LDAP とも呼ばれます。
–
Server Port:使用するサーバ ポートを指定します。サーバにアクセスするための TCP ポート番号を入力します。
–
Server Type:手動で LDAP サーバ タイプを設定できます。または、サーバ タイプの判別に自動検出を指定します。
–
Base DN:ベース DN を指定します。認可要求を受信したときに、サーバが検索を開始する LDAP 階層の位置を入力します。たとえば、OU=people, dc=cisco, dc=com となります。
–
Scope:サーバが認可要求を受け取ったときに行う、LDAP 階層での検索範囲を指定します。オプションは One Level(ベース DN の下にある 1 レベルのみを検索します。このオプションは、時間がかかりません)および All Levels(ベース DN の下にあるすべてのレベルを検索します。つまり、サブツリー階層全体を検索します。このオプションは、多少時間がかかります)です。
–
Naming Attribute(s):LDAP サーバのエントリを一意に識別する Relative Distinguished Name アトリビュートを指定します。共通の名前付きアトリビュートは、Common Name(cn)と User ID(uid)です。
–
Login DN:ログイン DN を指定します。一部の LDAP サーバ(Microsoft Active Directory サーバなど)は、セキュリティ アプライアンスに対し、他のあらゆる LDAP 操作の要求を受け入れる前に、認証済みバインディングを介してハンドシェイクを確立することを要求します。セキュリティ アプライアンスは、ユーザの認証要求に Login DN フィールドを付加することにより、自身が認証バインディングされていることを示します。Login DN フィールドは、セキュリティ アプライアンスの認証特性を定義します。これらの特性は、管理者の権限が与えられているユーザの特性に対応します。セキュリティ アプライアンスの認証済みバインディングのディレクトリ オブジェクト名を入力します。たとえば、cn=Administrator, cn=users, ou=people, dc=Example Corporation, dc=com となります。匿名アクセスの場合は、このフィールドをブランクのままにしておきます。
–
Login Password:ログイン パスワードを指定します。入力した文字はアスタリスクに置き換えられます。
–
LDAP Attribute Map:LDAP サーバに適用可能な LDAP アトリビュート マップを一覧表示します。LDAP アトリビュート マップでは、Cisco アトリビュート名がユーザ定義のアトリビュート名および値に変換されます。
–
SASL MD5 authentication:Simple Authentication and Security Layer(SASL)の MD5 メカニズムが、セキュリティ アプライアンスと LDAP サーバ間の認証通信をセキュリティ保護するように指定します。
–
SASL Kerberos authentication:Simple Authentication and Security Layer(SASL)の Kerberos メカニズムが、セキュリティ アプライアンスと LDAP サーバ間の認証通信をセキュリティ保護するように指定します。
–
Kerberos Server Group:認証に使用する Kerberos サーバまたはサーバ グループを指定します。 Kerberos Server group オプションはデフォルトでディセーブルになっており、SASL Kerberos 認証が選択された場合だけイネーブルになります。
•
NT Domain Parameters:NT サーバの使用に必要なパラメータを指定します。次のフィールドがあります。
–
Server Port:サーバにアクセスするための TCP ポート番号を指定します。デフォルト ポート番号は 139 です。
–
NT Domain Controller:このサーバの NT プライマリ ドメイン コントローラのホスト名(PDC01 など)を指定します。ホスト名の最大長は 15 文字です。この名前を入力するとき、Authentication Server Address に入力したサーバのホスト名に一致している必要があります。名前が正しくないと、認証が失敗します。
•
HTTP Form Parameters:シングル サインオン認証用に HTTP Form プロトコルのパラメータを指定します。クライアントレス SSL VPN のユーザのみが使用できます。この領域は、選択したサーバ グループが HTTP Form を使用しているときにのみ表示され、サーバ グループ名とプロトコルのみが表示されます。HTTP Form を使用している場合、他のフィールドは使用できません。
(注) HTTP プロトコルを使用して SSO を正しく設定するには、認証および HTTP プロトコル交換に関する実用的な知識が必要です。
次のパラメータがわからない場合は、セキュリティ アプライアンスを介してではなく直接認証 Web サーバにログインしているときに、HTTP GET および POST 交換からデータを抽出します。HTTP 交換からのこれらのパラメータの抽出についての詳細は、『 Cisco Security Appliance Command Line Configuration Guide 』のクライアントレス SSL VPN に関する章を参照してください。
–
Start URL:認証 Web サーバの事前ログイン クッキーを取得できる場所の完全 URL を指定します。このパラメータは、認証 Web サーバがログイン ページとともに事前ログイン クッキーをロードするときにのみ設定する必要があります。ドロップダウン リストには HTTP と HTTPS の両方が提供されます。入力できる最大文字数は 1024 文字で、最低文字数は制限されていません。
–
Action URI:認可 Web サーバ上の認証プログラムの完全 Uniform Resource Identifier(URI; ユニフォーム リソース識別子)を指定します。完全 URI の最大文字数は 2048 文字です。
–
Username:SSO 認証に使用される HTTP フォームの一部として発行される必要のあるユーザ名パラメータの名前(特定のユーザ名ではありません)を指定します。入力できる最大文字数は 128 文字で、最低文字数は制限されていません。
–
Password:SSO 認証に使用される HTTP フォームの一部として発行される必要のあるパスワード パラメータの名前(特定のパスワード値ではありません)を指定します。入力できる最大文字数は 128 文字で、最低文字数は制限されていません。
–
Hidden Values:SSO 認証用に認証 Web サーバに発行される、HTTP POST 要求の非表示パラメータを指定します。HTTP POST 要求内に存在することで示されているように、このパラメータは認証 Web サーバで想定されている場合にのみ必要です。入力できる最大文字数は 2048 文字です。
–
Authentication Cookie Name:(オプション)正常なログイン時にサーバによって設定され、認証情報を含んでいるクッキーの名前を指定します。認証クッキーに意味のある名前を割り当てるときに使用され、Web サーバから返される他のクッキーと区別するのに役立ちます。入力できる最大文字数は 128 文字で、最低文字数は制限されていません。
モード
次の表に、この機能を使用できるモードを示します。