この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブ ランゲージの取り組みの詳細は、こちらをご覧ください。
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
この章は、次の項で構成されています。
セキュア センシティブ データ（SSD）コマンド モードを開始するには、グローバル コンフィギュレーション モードで ssd config を使用します。このコマンド モードでは、管理者はデバイス上のセンシティブ データ（キーやパスワードなど）をどのように保護するかを設定できます。
ssd config
このコマンドには引数またはキーワードはありません。
グローバル コンフィギュレーション モード
十分な権限を持つユーザのみが、このコマンドを使用して、SSD 設定を編集および表示できます。これらの権限の説明については、ssd rule を参照してください。
switchxxxxxx(config)# ssd config
switchxxxxxx(config-ssd)#
システムのパスフレーズを変更するには、SSD コンフィギュレーション モードで passphrase を使用します。デバイスは、パスフレーズから生成されたキーを使用して自身のセンシティブ データを暗号化して保護します。
パスフレーズをデフォルトのパスフレーズにリセットするには、no passphrase を使用します。
passphrase {passphrase}
encrypted passphrase {encrypted-passphrase}
no passphrase
passphrase：新しいシステム パスフレーズ。
encrypted-passphrase：その暗号化形式のパスフレーズ。
このコマンドを入力しない場合は、デフォルトのパスフレーズが使用されます。
SSD コンフィギュレーション モード
このコマンドを使用するには、passphrase と Enter を入力します。確認メッセージが表示され、ユーザはパスフレーズを変更する意思を確認する必要があります。その後、パスフレーズを入力することができます（例を参照）。
パスフレーズの暗号化は、スタートアップ コンフィギュレーション ファイルにコピーされるソース ファイルの SSD 制御ブロックでのみ許可されます（ユーザがこのコマンドを手動で入力することはできません）。
パスフレーズを生成する場合、ユーザは 4 種類の文字クラスを使用する必要があります（強力なパスワード/パスワードの複雑さに似ています）。標準のキーボードから入力できる大文字、小文字、数値、および特殊文字を使用できます。
次の例では、パスフレーズの復号化を定義しています。
switchxxxxxx(config-ssd)# passphrase
This operation will change the system SSD passphrase. Are you sure? (Y/N)[N] Y
Please enter SSD passphrase:**********
Please reenter SSD passphrase:**********
SSD ルールを設定するには、SSD コンフィギュレーション モードで ssd rule を使用します。デバイスは、SSD ルールに基づいてユーザにセンシティブ データの読み取りアクセス許可を付与します。Both または Plaintext 読み取りアクセス許可を付与されているユーザは、SSD コンフィギュレーション モードを開始する権限も付与されます。
ユーザ定義のルールを削除し、デフォルトのルールに戻すには、no ssd rule を使用します。
[encrypted] SSD rule {all | level-15 | default-user | user user-name}
{secure | insecure | secure-xml-snmp | insecure-xml-snmp}
permission {encrypted-only | plaintext-only | both | exclude}
default-read {encrypted | plaintext | exclude}
no ssd rule [ {all | level-15 | default-user | user user-name}
{secure | insecure | secure-xml-snmp | insecure-xml-snmp}]
SSD コンフィギュレーション モード。
デバイスには、次のような工場出荷時のデフォルト ルールがあります。
|
ルール キー |
規則アクション |
||
|---|---|---|---|
|
ユーザ |
チャネル |
読み取り権限 |
デフォルト読み取りモード |
|
level-15 |
secure-xml-snmp |
Plaintext Only |
Plaintext |
|
level-15 |
secure |
Both |
Encrypted |
|
level-15 |
insecure |
Both |
Encrypted |
|
all |
insecure-xml-snmp |
Exclude |
Exclude |
|
all |
secure |
Encrypted Only |
Encrypted |
|
all |
insecure |
Encrypted Only |
Encrypted |
ユーザ定義のルールを削除したり、変更したデフォルト ルールをデフォルトに戻したりするには、no ssd rule を使用します。
すべての SSD ルールを削除し、デフォルトの SSD ルールに戻すには、no ssd rule（パラメータなし）を使用します。確認メッセージが表示され、これを行うための権限が求められます。特定のルールを削除するには（対象となるのはユーザ定義のルール）、パラメータを使用してチャネルのユーザおよびセキュリティを指定します。
encrypted SSD rule は、安全な方法によりデバイス間で SSD ルールをコピーするために使用します。
デフォルトの SSD ルールは、変更することはできますが削除することはできません。次に、SSD ルールが適用される順序を示します。
指定した users に対する SSD ルール。
default-user（cisco）に対する SSD ルール。
level-15 ユーザの SSD ルール。
all に対する残りの SSD ルール。
ユーザは、コマンドを任意の順序で入力できます。順序付けは、デバイスによって暗黙的に行われます。
例 1：次の例では、ルールを変更しています。
switchxxxxxx(config-ssd)# ssd rule level-15 secure permission encrypted-only default-read encrypted
例 2：次の例では、ルールを追加しています。
switchxxxxxx(config-ssd)# ssd rule user james secure permission both default-read encrypted
例 3：次の例では、ルールを暗号化形式として追加しています。
switchxxxxxx(config-ssd)# encrypted ssd rule iurwe874jho32iu9ufjo32i83232fdefsd
例 4：次の例では、デフォルト ルールを削除しています。
switchxxxxxx(config-ssd)# no ssd rule all secure
例 5：次の例では、ユーザ定義のルールを削除しています。
switchxxxxxx(config-ssd)# no ssd rule user james secure
例 6：次の例では、すべてのルールを削除しています。
switchxxxxxx(config-ssd)# no ssd rule
This operation will delete all user-defined rules and retrieve the default rules instead.
Are you sure (Y/N): N
現在の SSD のルールを表示するには（ルールはプレーンテキストとして表示されます）、SSD コンフィギュレーション モードで show ssd rules を使用します。
show SSD [rules | brief]
rules：（オプション）SSD ルールのみを表示します。
brief：（オプション）暗号化パスフレーズ、ファイル パスフレーズ制御、およびファイル整合性の属性を表示します。
SSD コンフィギュレーション モード
すべての SSD 情報を表示します。
例 1：次の例では、すべての SSD 情報を表示しています。
switchxxxxxx(config-ssd)# show ssd
SSD current parameters:
Local Passphrase: Default
File Passphrase Control: Unrestricted
File Integrity Control: Disabled
SSD parameters after reset:
Local Passphrase: Default
File Passphrase Control: Unrestricted
File Integrity Control: Disabled
User Type User Name Channel Read Permission Default Read Type
------------ --------- ----------------- --------------- ------------ -----------
Specific admin11 secure Both Encrypted User-Define
Specific admin2 secure Encrypted-Only Encrypted User-Define
Level-15 secure-xml-snmp Plaintext-Only Plaintext Default
Level-15 secure Both Encrypted Default
Level-15 insecure Both Encrypted Default
All secure Encrypted-Only Encrypted Default
All insecure Encrypted-Only Encrypted Default
All insecure-xml-snmp Plaintext-Only Plaintext *Default
* Modified default entry
例 2：次の例では、SSD ルールを表示しています。
switchxxxxxx(config-ssd)# show ssd rules
User Type User Name Channel Read Permission Default Read Type
------------ --------- ----------------- --------------- ------------ -----------
Specific admin11 secure Both Encrypted User-Define
Specific admin2 secure Encrypted-Only Encrypted User-Define
Level-15 secure-xml-snmp Plaintext-Only Plaintext Default
Level-15 secure Both Encrypted Default
Level-15 insecure Both Encrypted Default
All secure Encrypted-Only Encrypted Default
All insecure Encrypted-Only Encrypted Default
All insecure-xml-snmp Plaintext-Only Plaintext *Default
* Modified default entry
例 3：次の例では、SSD 属性を表示しています。
switchxxxxxx(config-ssd)# show ssd brief
SSD current parameters:
Local Passphrase: Default
File Passphrase Control: Unrestricted
File Integrity Control: Disabled
SSD parameters after reset:
Local Passphrase: Default
File Passphrase Control: Unrestricted
File Integrity Control: Disabled
現在のセッションにおける SSD 読み取りの現在のデフォルトをオーバーライドするには、グローバル コンフィギュレーション モードで ssd session read を使用します。
ssd session read {encrypted | plaintext | exclude}
no ssd session read
encrypted：SSD のデフォルトのオプションを encrypted にオーバーライドします。
plaintext：SSD のデフォルトのオプションを plaintext にオーバーライドします。
exclude：SSD のデフォルトのオプションを exclude にオーバーライドします。
グローバル コンフィギュレーション モード。
このコマンド自体にデフォルトはありません。ただし、セッション自体の読み取りモードは、デフォルトではデバイスがセッションのユーザに SSD 権限を付与するために使用する SSD ルールのデフォルトの読み取りモードに設定されます。
SSD ルールの読み取りオプションをデフォルトに戻すには、no ssd session read を使用します。この設定が許可されるのは、現在のセッションのユーザが十分な読み取りアクセス許可を持っている場合のみです。それ以外の場合、コマンドは失敗し、エラーが表示されます。設定は、ただちに有効になり、ユーザが設定を元に戻すかセッションを終了すると終了します。
switchxxxxxx(config)# ssd session read plaintext
現在のセッションのユーザに対する SSD 読み取りアクセス許可およびデフォルトの読み取りモードを表示するには、特権 EXEC モードで show ssd session を使用します。
show ssd session
特権 EXEC モード
なし
switchxxxxxx# show ssd session
User Name/Level: James / Level 15
User Read Permission: Both
Current Session Read mode: Plaintext
コンフィギュレーション ファイルをスタートアップ コンフィギュレーション ファイルにコピーするときに保護のレベルを高めるには、SSD コンフィギュレーション モードで ssd file passphrase control を使用します。コンフィギュレーション ファイル内のパスフレーズは、常にデフォルトのパスフレーズ キーで暗号化されます。
ssd file passphrase control {restricted | unrestricted}
no ssd file passphrase control
Restricted：このモードでは、デバイスは自身のパスフレーズがコンフィギュレーション ファイルにエクスポートされるのを制限します。制限モードは、パスフレーズがないデバイスからコンフィギュレーション ファイル内の暗号化されたセンシティブ データを保護します。このモードは、ユーザがコンフィギュレーション ファイルにパスフレーズを公開しないようにする場合に使用します。
Unrestricted：このモードでは、デバイスはコンフィギュレーション ファイルを作成するときに自身のパスフレーズを含めます。これにより、コンフィギュレーション ファイルを受け入れるすべてのデバイスがそのファイルからパスフレーズを学習できます。
デフォルトは unrestricted です。
SSD コンフィギュレーション モード。
デフォルトの状態に戻すには、no ssd file passphrase control コマンドを使用します。
デバイスを工場出荷時の設定にリセットすると、そのローカル パスフレーズがデフォルトのパスフレーズに設定されることに注意してください。そのため、このままではデバイスは自身のコンフィギュレーション ファイルにあるユーザ定義のパスフレーズ キーで暗号化されたセンシティブ データを復号化できません。これを行うには、ユーザ パスフレーズで再度デバイスを手動で設定するか、コンフィギュレーション ファイルを無制限モードで作成します。
無制限モードのユーザ定義のパスフレーズを設定する場合は、SSD ファイル整合性制御を有効にすることを強く推奨します。SSD ファイル整合性制御を有効にすると、コンフィギュレーション ファイルを改ざんから保護できます。
console(ssd-config)# ssd file passphrase control restricted
console(ssd-config)# no ssd file passphrase control
暗号化されたセンシティブ データが含まれている新規生成のコンフィギュレーション ファイルを改ざんから保護するようにデバイスに指示するには、SSD コンフィギュレーション モードで ssd file integrity control コマンドを使用します。
Integrity Control を無効にするには、no ssd file integrity control を使用します。
ssd file integrity control enabled
no ssd file integrity control
enabled：ファイル整合性制御を有効にして、新規生成のコンフィギュレーション ファイルを改ざんから保護します。
デフォルトのファイル入力制御は無効になっています。
SSD コンフィギュレーション モード。
TA ユーザは、ファイル整合性制御を有効にしたファイルを作成することで、コンフィギュレーション ファイルを改ざんから保護できます。ファイル パスフレーズ制御を無制限にしたユーザ定義のパスフレーズをデバイスで使用する場合には、ファイル整合性制御を有効にすることを推奨します。
デバイスは、コンフィギュレーション ファイルでファイル整合性制御コマンドを調べて、コンフィギュレーション ファイルの整合性が保護されているかどうかを判別します。ファイルの整合性を保護するようになっているのに、ファイルの整合性が維持されていないことをデバイスが検出した場合、デバイスはファイルを拒否します。そうでない場合、ファイルは受け入れられて、さらに処理が加えられることになります。
switchxxxxxx(config-ssd)# ssd file integrity control enabled
File Integrity が有効である場合、コンフィギュレーション ファイル全体の末尾に内部のダイジェスト コマンドを追加します。これは、スタートアップ コンフィギュレーションにコンフィギュレーション ファイルをダウンロードする場合に使用します。
config-file-digest 0AC78001122334400AC780011223344
フィードバック