Cisco Nexus 1000V セキュリティ コンフィギュレーション ガイド リリース 4.2(1)SV1(5.1)

ルール

定義済みロール基準の 1 つ（たとえば、許可または拒否するコマンド）。各ロールには最大 256 個の規則を追加できます。

事前定義されているロールの規則は次のとおりです。

• role: network-admin

• role: network-operator

機能

個々の機能（syslog や TACACS+ など）。この機能に対するアクセス権を規則の中で定義することができます。使用可能な機能の一覧を表示するには、 show role feature コマンドを使用します。

機能グループ

機能をグループ化したもの。このグループに対するアクセス権を規則の中で定義することができます。このグループは、最大 64 個作成できます。使用可能な機能グループの一覧を表示するには、 show role feature-group コマンドを使用します。

コマンド

単一のコマンド、または 1 つの正規表現で表現されるコマンドの集合。このコマンドに対するアクセス権を規則の中で定義することができます。

コマンドへのアクセスを許可するロールは、そのコマンドへのアクセスを拒否するロールよりも優先されます。たとえば、あるユーザに割り当てられているロールの 1 つではコンフィギュレーション コマンドへのアクセスが拒否されているけれども、このユーザに割り当てられた別のロールでそのコマンドへのアクセスが許可されている場合は、アクセスは許可されます。

• 最低 8 文字

• 大文字の英字

• 小文字の英字

• 数字

• 特殊文字

• 連続する文字（例：abcd）

• 文字の繰り返し（例：aaabbb）

• 辞書に載っている単語

• 固有名詞

ステップ 1

config t

例:

n1000v# config t

n1000v(config)#

CLI グローバル コンフィギュレーション モードを開始します。

ステップ 2

password strength-check

例:

n1000v(config)# password strength-check

パスワードの強度確認をイネーブルにします。デフォルトはイネーブルです。

パスワード強度のチェックをディセーブルにするには、このコマンドの no 形式を使用します。

ステップ 3

show password strength-check

例:

n1000v# show password strength-check

Password strength check enabled

n1000v(config)#

（任意）パスワード強度チェックの設定を表示します。

ステップ 4

copy running-config startup-config

例:

n1000v# copy running-config startup-config

（任意）リブート後に永続的な実行コンフィギュレーションを保存し、スタートアップ コンフィギュレーションにコピーして再起動します。

ステップ 1

config t

例:

n1000v# config t

n1000v(config)#

CLI グローバル コンフィギュレーション モードを開始します。

ステップ 2

no password strength-check

例:

n1000v(config)# no password strength-check

n1000v(config)#

パスワード強度のチェックをディセーブルにします。

デフォルトはイネーブルです。

ステップ 3

show password strength-check

例:

n1000v# show password strength-check

Password strength check not enabled

n1000v(config)#

（任意）パスワード強度チェックの設定を表示します。

ステップ 4

copy running-config startup-config

例:

n1000v# copy running-config startup-config

（任意）リブート後に永続的な実行コンフィギュレーションを保存し、スタートアップ コンフィギュレーションにコピーして再起動します。

adm

bin

daemon

ftp

ftpuser

games

gdm

gopher

haltlp

mail

mailnull

man

mtsuser

news

nobody

nscd

operator

rpc

rpcuser

shutdown

sync

sys

uucp

xfs

ステップ 1

config t

例:

n1000v# config t

n1000v(config)#

CLI グローバル コンフィギュレーション モードを開始します。

ステップ 2

show role

例:

n1000v(config)# show role

（任意）ユーザに割り当てることのできるロールを表示します。

新しいユーザ ロールを作成する場合は、「ロールの作成」を使用してください。

ステップ 3

例:

n1000v(config)# username NewUser password 4Ty18Rnt

ユーザ アカウントを作成します。

• name：最大 28 文字の英数字ストリングです。大文字と小文字が区別されます。

• password：デフォルト パスワードは未定義です。

– 0 =（デフォルト）入力するパスワードがクリア テキストであることを指定します。Cisco Nexus 1000V は、クリア テキストのパスワードを実行コンフィギュレーションに保存する前に暗号化します。

例では、実行コンフィギュレーションのパスワード 4Ty18Rnt は password 5 形式で暗号化されています。

– 5 = 入力するパスワードがすでに暗号化形式であることを指定します。Cisco Nexus 1000V は、パスワードを実行コンフィギュレーションに保存する前に暗号化しません。

ユーザのパスワードは、設定ファイルでは表示されません。

• expire date：YYYY-MM-DD。
デフォルトは無期限です。

• role：少なくとも 1 つのロールを割り当てる必要があります。最大 64 個のロールを割り当てることができます。デフォルトのロールは、 network-operator です。

ステップ 4

新しいユーザ アカウントの設定を表示します。

ステップ 5

例:

n1000v# copy running-config startup-config

（任意）リブート後に永続的な実行コンフィギュレーションを保存し、スタートアップ コンフィギュレーションにコピーして再起動します。

ステップ 1

例:

n1000v# config t

n1000v(config)#

CLI グローバル コンフィギュレーション モードを開始します。

ステップ 2

例:

n1000v(config)# role name UserA

n1000v(config-role)#

ユーザ ロールの名前を指定して、そのロールのロール コンフィギュレーション モードを開始します。

名前は最大 16 文字の英数字ストリングです。大文字と小文字が区別されます。

ステップ 3

例:

n1000v(config-role)# description Prohibits use of clear commands

（任意）ロールの説明を設定します。説明にはスペースを含めることができます。

ステップ 4

例:

n1000v(config-role)# rule 1 deny command clear users

特定のコマンドを許可または拒否する規則を作成します。

指定するコマンドには、スペースや正規表現を含めることができます。たとえば、「interface ethernet *」と指定すると、すべてのイーサネット インターフェイスへのアクセスが許可または拒否されます。

この例の規則では、 clear users コマンドへのアクセスが拒否されます。

例:

n1000v(config-role)# rule 2 deny read-write

あらゆる操作を許可または拒否するための包括的規則を作成します。

この例の規則では、どの操作に対しても読み取りアクセスだけが許可されます。

例:

n1000v(config-role)# rule 3 permit read feature eth-port-sec

機能アクセスの規則を作成します。

show role feature コマンドを実行すると、使用可能な機能の一覧が表示されます。

この例の規則では、イーサネット ポート セキュリティ機能に対する読み取り専用アクセスがユーザに許可されます。

例:

n1000v(config-role)# rule 4 deny read-write feature-group eth-port-sec

機能グループ アクセスの規則を作成します。

show role feature-group コマンドを使用すれば、機能グループのリストが表示されます。

この例の規則では、特定の機能グループへのアクセスが拒否されます。

ステップ 5

ステップ 4 を繰り返して、指定したロールに必要な規則をすべて作成します。

ステップ 6

例:

n1000v(config)# show role

（任意）ユーザ ロールの設定を表示します。

ステップ 7

例:

n1000v(config)# copy running-config startup-config

（任意）リブート後に永続的な実行コンフィギュレーションを保存し、スタートアップ コンフィギュレーションにコピーして再起動します。

ステップ 1

config t

例:

n1000v# config t

n1000v(config)#

CLI グローバル コンフィギュレーション モードを開始します。

ステップ 2

role feature-group name group-name

例:

n1000v(config)# role feature-group name GroupA

n1000v(config-role-featuregrp)#

グループ名を指定して、そのグループのロール機能グループ コンフィギュレーション モードを開始します。

• group-name： 最大 32 文字の英数字ストリングです。大文字と小文字が区別されます。

ステップ 3

show role feature

例:

n1000v(config-role-featuregrp)# show role feature

feature: aaa

feature: access-list

feature: cdp

feature: install

. . .

n1000v(config-role-featuregrp)#

機能グループを定義するときに使用できる機能の一覧を表示します。

ステップ 4

feature feature-name

例:

n1000v(config-role-featuregrp)# feature syslog

n1000v(config-role-featuregrp)#

機能を機能グループに追加します。

ステップ 5

機能グループに追加するすべての機能について、ステップ 6 を繰り返します。

ステップ 6

show role feature-group

例:

n1000v(config-role-featuregrp)# show role feature-group

feature group: GroupA

feature: syslog

feature: snmp

feature: ping

n1000v(config-role-featuregrp)#

（任意）機能グループの設定を表示します。

ステップ 7

copy running-config startup-config

例:

n1000v(config-role-featuregrp)# copy running-config startup-config

（任意）リブート後に永続的な実行コンフィギュレーションを保存し、スタートアップ コンフィギュレーションにコピーして再起動します。

ステップ 1

config t

例:

n1000v# config t

n1000v(config)#

CLI グローバル コンフィギュレーション モードを開始します。

ステップ 2

role name role-name

例:

n1000v(config)# role name network-observer

n1000v(config-role)#

ユーザ ロールを指定して、そのロールのロール コンフィギュレーション モードを開始します。

ステップ 3

interface policy deny

例:

n1000v(config-role)# interface policy deny

n1000v(config-role-interface)#

インターフェイス コンフィギュレーション モードを開始し、このロールによるすべてのインターフェイス アクセスを拒否します。

これで、 permit interface コマンドを使用して明示的に定義しない限り、このロールはインターフェイスに一切アクセスできなくなりました。

ステップ 4

permit interface interface-list

例:

n1000v(config-role-interface)# permit interface ethernet 2/1-4

このロールに割り当てられたユーザにアクセスを許可するインターフェイスを指定します。

このロールに割り当てられたユーザにアクセスを許可するインターフェイスがすべて指定されるまで、このコマンドを繰り返します。

ステップ 5

show role role-name

例:

n1000v(config-role-interface)# show role name network-observer

role: network-observer

description: temp

Vlan policy: permit (default)

Interface policy: deny

Permitted interfaces: Ethernet2/1-4

（任意）ロールの設定を表示します。

ステップ 6

copy running-config startup-config

例:

n1000v(config-role-featuregrp)# copy running-config startup-config

（任意）リブート後に永続的な実行コンフィギュレーションを保存し、スタートアップ コンフィギュレーションにコピーして再起動します。

ステップ 1

config t

例:

n1000v# config t

n1000v(config)#

CLI グローバル コンフィギュレーション モードを開始します。

ステップ 2

role name role-name

例:

n1000v(config)# role name network-observer

n1000v(config-role)#

ユーザ ロールを指定し、ロール コンフィギュレーション モードを開始します。

ステップ 3

vlan policy deny

例:

n1000v(config-role)# vlan policy deny

n1000v(config-role-vlan)#

VLAN コンフィギュレーション モードを開始し、このロールによるすべての VLAN アクセスを拒否します。

これで、 permit vlan コマンドを使用して明示的に定義しない限り、このロールは VLAN に一切アクセスできなくなりました。

ステップ 4

permit vlan vlan-list

例:

n1000v(config-role-vlan)# permit vlan 1-4

このロールに割り当てられたユーザにアクセスを許可する VLAN を指定します。

このロールに割り当てられたユーザにアクセスを許可する VLAN がすべて指定されるまで、このコマンドを繰り返します。

ステップ 5

show role role-name

例:

n1000v(config-role)# show role network-observer

role: network-observer

description: temp

Vlan policy: deny

Permitted vlans: vlan 1-4

Interface policy: deny

Permitted interfaces: Ethernet2/1-4

（任意）ロールの設定を表示します。

ステップ 6

copy running-config startup-config

例:

n1000v(config-role)# copy running-config startup-config

（任意）リブート後に永続的な実行コンフィギュレーションを保存し、スタートアップ コンフィギュレーションにコピーして再起動します。

ユーザ アクセスのコマンド

『 Cisco Nexus 1000V Command Reference, Release 4.2(1)SV1(5.1) 』

スイッチ上のユーザの管理

『 Cisco Nexus 1000V Installation and Upgrade Guide, Release 4.2(1)SV1(5.1) 』

この機能でサポートされる新規の標準または変更された標準はありません。また、既存の標準のサポートは変更されていません。

--

• CISCO-COMMON-MGMT-MIB

MIB を検索およびダウンロードするには、次の URL にアクセスしてください。

http://www.cisco.com/public/sw-center/netmgmt/cmtk/mibs.shtml