Cisco Nexus 1000V セキュリティ コンフィギュレー ション ガイド リリース 4.0(4)SV1(3)

偏向のない言語

この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。

翻訳について

このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。

マニュアルのコンテンツ
このマニュアル内で検索
ご利用いただける言語
Download Options

Book Title

Cisco Nexus 1000V セキュリティ コンフィギュレー ション ガイド リリース 4.0(4)SV1(3)

Chapter Title

AAA の設定

検索結果

Updated:
2017年6月20日

章のタイトル： AAA の設定

AAA の設定

この章では、Authentication, Authorization, and Accounting（AAA; 認証、認可、アカウンティング）を設定する手順について次の内容で説明します。

• 「AAA の概要」

• 「AAA の前提条件」

• 「AAA の注意事項および制限事項」

• 「デフォルト設定」

• 「AAA の設定」

• 「AAA 設定の確認」

• 「AAA 設定例」

• 「その他の関連資料」

• 「AAA 機能の履歴」

AAA の概要

ここでは、次の内容について説明します。

• 「AAA セキュリティ サービス」

• 「AAA サーバ グループ」

AAA セキュリティ サービス

AAA は、ユーザ ID とパスワードの組み合わせに基づいて、ユーザを認証および許可するために使用します。鍵は、AAA サーバとの通信を保護します。

多くの場合、AAA は RADIUS または TACACS+ などのプロトコルを使用してセキュリティ機能を管理します。ルータまたはアクセス サーバがネットワーク アクセス サーバとして動作している場合は、ネットワーク アクセス サーバと RADIUS または TACACS+ セキュリティ サーバとの間の通信を確立する手段に、AAA を使用します。

AAA は主要な（推奨される）アクセス コントロール方式ですが、さらに、ローカル ユーザ名認証、回線パスワード認証、イネーブル パスワード認証など、AAA の範囲外で簡単なアクセス コントロールを行う機能も用意されています。ただし、これらの機能では、AAA を使用した場合と同レベルのアクセス コントロールは実現できません。

次のサービスごとに別個の AAA 設定を作成します。

• ユーザの Telnet または Secure Shell（SSH; セキュア シェル）ログイン認証

• コンソール ログイン認証

• ユーザ管理セッション アカウンティング

表 4-1 に、AAA サービスを設定するための CLI の関連コマンドを示します。

 

表 4-1 AAA サービス コンフィギュレーション コマンド

AAA サービス設定オプション
関連コマンド

Telnet または SSH ログイン

aaa authentication login default

コンソール ログイン

aaa authentication login console

AAA では次の保護を行います。

• 「認証」

• 「許可」

• 「アカウンティング」

認証

認証では、ログインとパスワード、メッセージング、および暗号化によってユーザを識別します。

認証は次のように実行されます。

 

認証方式
説明

ローカル データベース

ユーザ名またはパスワードのローカル ルックアップ データベースによって次の認証を行います。

• コンソール ログイン認証

• ユーザ ログイン認証

• ユーザ管理セッション アカウンティング

リモート RADIUS または TACACS+ サーバ

ユーザ名およびパスワードのリモート サーバ ルックアップ データベースを使用して次の認証を行います。

• コンソール ログイン認証

• ユーザ ログイン認証

• ユーザ管理セッション アカウンティング

なし

ユーザ名だけで次の認証を行います。

• コンソール ログイン認証

• ユーザ ログイン認証

• ユーザ管理セッション アカウンティング

図 4-1 ユーザ ログインの認証

許可

許可では、ユーザが実行を許可される操作を制限します。

アカウンティング

アカウンティングでは、すべての SVS 管理セッションを追跡し、ログに記録して管理します。この情報を使用してレポートを生成し、トラブルシューティングや監査に役立てることができます。アカウンティング ログは、ローカルに保存するか、またはリモートの AAA サーバに送信することができます。

AAA サーバ グループ

リモート AAA サーバ グループは、1 つのリモート AAA サーバが応答できない場合に備えて、フェールオーバーを提供することができます。グループ内の最初のサーバが応答しない場合は、同じグループ内の次のサーバが試行され、サーバが応答するまでこの処理が行われます。これと同じように、複数のサーバ グループが相互にフェールオーバーを提供できます。

すべてのリモート サーバ グループが応答しない場合は、ローカル データベースが認証に使用されます。

AAA の前提条件

リモート AAA サーバを使用する認証では、次の準備が整っている必要があります。

• 少なくとも 1 台の TACACS+ サーバが IP で到達可能になっていること。

「TACACS+ サーバ ホストの設定」を参照してください。

• SVS が AAA サーバのクライアントとして設定されていること。

• 共有秘密鍵が SVS およびリモート AAA サーバに設定されていること。

「共有鍵の設定」を参照してください。

AAA の注意事項および制限事項

Cisco Nexus 1000V は、すべて数字で構成されたユーザ名をサポートしていません。そのため、すべて数字で構成されたローカル ユーザ名は作成しません。すべて数字で構成されたユーザ名が AAA サーバ上に存在していて、ログイン時に入力された場合には、そのユーザは SVS で認証されます。

デフォルト設定

次の表に、AAA のデフォルトを示します。

 

パラメータ
デフォルト

コンソール認証方式

local

デフォルト認証方式

local

ログイン認証エラー メッセージ

ディセーブル

AAA の設定

ここでは、次の内容について説明します。

• 「ログイン認証方式の設定」

• 「ログイン認証エラー メッセージのイネーブル化」

AAA を設定するには、次のフロー チャートを使用します。

フロー チャート：AAA の設定

 

 

ログイン認証方式の設定

ログイン認証方式を設定するには、次の手順を実行します。

始める前に

この手順を開始する前に、次のことを確認または実行する必要があります。

• EXEC モードで CLI にログインしています。

• TACACS+ サーバ グループを使用して認証が行われる場合は、グループが追加済みです。詳細については、「TACACS+ サーバ グループの設定」を参照してください。

手順の概要

1. config t

2. aaa authentication login {console | default} { group group-list [ none ] | local | none }

3. exit

4. show aaa authentication

5. copy running-config start-config

手順の詳細

 

コマンド
目的

ステップ 1

config t

 

例:

n1000v# config t

n1000v(config)#

CLI グローバル コンフィギュレーション モードを開始します。

ステップ 2

aaa authentication login {console | default} { group group-list [ none ]| local | none }

 

例:

n1000v(config)# aaa authentication login console group tacgroup

コンソールまたはデフォルト ログイン認証方式を設定します。

• group：サーバ グループによって認証が行われます。

– group-list：スペースで区切ったサーバ グループ名のリストです。認証なしの場合は none です。

• local： ローカル データベースが認証に使用されます。

（注） デフォルトは local で、方式が設定されていない場合、または設定されたすべての認証方式で応答が得られなかった場合に使用されます。

• none： ユーザ名によって認証が行われます。

ステップ 3

exit

 

例:

n1000v(config)# exit

n1000v#

CLI グローバル コンフィギュレーション モードを終了し、EXEC モードに戻ります。

ステップ 4

show aaa authentication

 

例:

n1000v# show aaa authentication

default: group tacgroup

console: group tacgroup

n1000v#

（任意）設定されたログイン認証方式を表示します。

ステップ 5

copy running-config startup-config

 

例:

n1000v# copy running-config startup-config

（任意）実行コンフィギュレーションを、スタートアップ コンフィギュレーションにコピーします。

ログイン認証エラー メッセージのイネーブル化

リモート AAA サーバが応答しない場合のログイン認証エラー メッセージの表示をイネーブルにするには、次の手順を実行します。

始める前に

この手順を開始する前に、次のことを確認または実行する必要があります。

• EXEC モードで CLI にログインしています。

• 次に、ログイン認証エラー メッセージを示します。

Remote AAA servers unreachable; local authentication done.
Remote AAA servers unreachable; local authentication failed.
 

手順の概要

1. config t

2. aaa authentication login error-enable

3. exit

4. show aaa authentication login error-enable

5. copy running-config start-config

手順の詳細

 

コマンド
目的

ステップ 1

config t

 

例:

n1000v# config t

n1000v(config)#

CLI グローバル コンフィギュレーション モードを開始します。

ステップ 2

aaa authentication login error-enable

 

例:

n1000v(config)# aaa authentication login error-enable

n1000v(config)#

ログイン認証エラー メッセージをイネーブルにします。デフォルトはディセーブルです。

ステップ 3

exit

 

例:

n1000v(config)# exit

n1000v#

CLI グローバル コンフィギュレーション モードを終了し、EXEC モードに戻ります。

ステップ 4

show aaa authentication login error-enable

 

例:

 

n1000v# show aaa authentication login error-enable

enabled

n1000v#

（任意）ログイン エラー メッセージの設定を表示します。

ステップ 5

copy running-config startup-config

 

例:

n1000v# copy running-config startup-config

（任意）実行コンフィギュレーションを、スタートアップ コンフィギュレーションにコピーします。

AAA 設定の確認

AAA の設定情報を表示するには、次の作業のいずれかを行います。

 

コマンド
目的

show aaa authentication [ login { error-enable | mschap }]

AAA 認証情報を表示します。

例 4-1（P.4-8） を参照してください。

show aaa groups

AAA サーバ グループの設定を表示します。

show running-config aaa [ all]

実行コンフィギュレーション内の AAA 設定を表示します。

例 4-2（P.4-8） を参照してください。

show startup-config aaa

スタートアップ コンフィギュレーション内の AAA 設定を表示します。

例 4-3（P.4-9） を参照してください。

 

例 4-1 show aaa authentication

n1000v# show aaa authentication login error-enable
disabled
 

例 4-2 show running config aaa

n1000v# show running-config aaa all
version 4.0(1)
aaa authentication login default local
aaa accounting default local
no aaa authentication login error-enable
no aaa authentication login mschap enable
no radius-server directed-request
no snmp-server enable traps aaa server-state-change
no tacacs-server directed-request
n1000v#

例 4-3 show startup-config aaa

n1000v# show startup-config aaa
version 4.0(1)svs#
 
 

AAA 設定例

次に、AAA の設定例を示します。

aaa authentication login default group tacacs
aaa authentication login console group tacacs
 

その他の関連資料

AAA の実装に関する詳細情報については、次を参照してください。

• 「関連資料」

• 「標準規格」

関連資料

関連項目
マニュアル タイトル

システム管理

『Cisco Nexus 1000V System Management Configuration Guide, Release 4.0(4)SV1(3) 』

CLI

『 Cisco Nexus 1000V Getting Started Guide, Release 4.0(4)SV1(3) 』

TACACS+ セキュリティ プロトコル

「TACACS+ の設定」

標準規格

 

標準規格
タイトル

この機能でサポートされる新規または改訂された標準規格はありません。また、この機能による既存の標準規格サポートの変更はありません。

―

AAA 機能の履歴

ここでは、AAA のリリース履歴について説明します。

 

機能名
リリース
機能情報

AAA

4.0

この機能が追加されました。

このドキュメントは役に立ちましたか?

Feedbackフィードバック

シスコに問い合わせ