Cisco Unified Communications Manager セキュリティ ガイド for Cisco Unified Communications Manager Business Edition Release 6.0(1)

［名前］

セキュリティ プロファイルの名前を入力します。

新しいプロファイルを保存すると、該当する電話機タイプおよびプロトコルの［電話の設定(Phone Configuration)］ウィンドウにある［デバイスセキュリティプロファイル（Device Security Profile）］ドロップダウン リスト ボックスにその名前が表示されます。

［説明］

セキュリティ プロファイルの説明を入力します。

［デバイスセキュリティモード(Device Security Mode)］

ドロップダウン リスト ボックスから、次のオプションのいずれかを選択します。

• ［非セキュア］ ：電話機にイメージ認証以外のセキュリティ機能はない。TCP 接続で Cisco Unified Communications Manager が利用できる。

• ［認証のみ］ ：Cisco Unified Communications Manager は電話機の整合性と認証を提供する。シグナリング用に、NULL/SHA を使用する TLS 接続を開始する。

• ［暗号化］ ：Cisco Unified Communications Manager は電話機の整合性、認証、および暗号化を提供する。シグナリング用に AES128/SHA を使用する TLS 接続を開始し、すべての電話機コールのメディアを SRTP で搬送する。

［TFTP暗号化(TFTP Encrypted Config)］

このチェックボックスがオンの場合、Cisco Unified Communications Manager は電話機が TFTP サーバからダウンロードする設定ファイルを暗号化します。詳細については、「設定ファイルの暗号化」および 「暗号化された電話機設定ファイルの設定」を参照してください。

［認証モード(Authentication Mode)］

このフィールドでは、電話機が CAPF 証明書操作中に使用する認証方式を選択できます。

ドロップダウン リスト ボックスから、次のオプションのいずれかを選択します。

• ［認証ストリング］ ：ユーザが電話機に CAPF 認証文字列を入力した場合だけ、ローカルで有効な証明書をインストール、アップグレード、削除、またはトラブルシューティングします。

• ［Nullストリング］ ：ユーザが介入することなく、ローカルで有効な証明書をインストール、アップグレード、削除、またはトラブルシューティングします。

このオプションではセキュリティを一切提供しません。したがって、このオプションは安全な閉じた環境の場合にだけ選択することを強く推奨します。

• ［既存の証明書（LSCの優先）］ ：製造元でインストールされる証明書（MIC）またはローカルで有効な証明書（LSC）が電話機に存在する場合、LSC をインストール、アップグレード、削除、またはトラブルシューティングします。LSC が電話機に存在する場合、MIC が電話機に存在するかどうかに関係なく、認証は LSC を介して行われます。MIC と LSC が電話機に存在する場合、認証は LSC を介して行われます。電話機に LSC が存在せず、MIC が存在する場合、認証は MIC を介して行われます。

このオプションを選択する前に、証明書が電話機に存在することを確認します。このオプションを選択した場合に証明書が電話機に存在しないと、操作は失敗します。

MIC と LSC は電話機で同時に存在できるものの、電話機は常に 1 つの証明書だけを使用して CAPF を認証します。優先されるプライマリ証明書が何らかの理由で侵害された場合、あるいは他の証明書を介して認証する場合には、認証モードを更新する必要があります。

• ［既存の証明書（MICの優先）］ ：LSC または MIC が電話機に存在する場合、LSC をインストール、アップグレード、削除、またはトラブルシューティングします。MIC が電話機に存在する場合、LSC が電話機に存在するかどうかに関係なく、認証は MIC を介して行われます。電話機に LSC だけが存在し MIC が存在しない場合、認証は LSC を介して行われます。

このオプションを選択する前に、証明書が電話機に存在することを確認します。このオプションを選択した場合に証明書が電話機に存在しないと、操作は失敗します。

（注） ［電話セキュリティプロファイルの設定(Phone Security Profile Configuration)］ウィンドウで設定される CAPF 設定は、［電話の設定(Phone Configuration)］ウィンドウで設定される CAPF パラメータと相互に関係があります（詳細については、「電話機セキュリティ プロファイルの設定のヒント」を参照してください）。［電話の設定(Phone Configuration)］ウィンドウで CAPF 設定を定義する方法については、『Cisco Unified Communications Manager アドミニストレーション ガイド』を参照してください。

［キーサイズ（Key Size、ビット）］

CAPF で使用されるこの設定では、ドロップダウン リスト ボックスから証明書の鍵サイズを選択します。デフォルト設定値は 1024 です。これ以外のオプションには、512 と 2048 があります。

デフォルト設定値よりも大きな鍵サイズを選択すると、電話機で鍵生成に必要なエントロピーを生成するためにさらに時間がかかります。鍵生成を低いプライオリティで設定すると、アクションの実行中も電話機の機能を利用できます。電話機モデルによっては、鍵生成の完了に 30 分以上かかることがあります。

（注） ［電話セキュリティプロファイルの設定(Phone Security Profile Configuration)］ウィンドウで設定される CAPF 設定は、［電話の設定(Phone Configuration)］ウィンドウで設定される CAPF パラメータと相互に関係があります（詳細については、「電話機セキュリティ プロファイルの設定のヒント」を参照してください）。［電話の設定(Phone Configuration)］ウィンドウで CAPF 設定を定義する方法については、『Cisco Unified Communications Manager アドミニストレーション ガイド』を参照してください。

［名前］

セキュリティ プロファイルの名前を入力します。

新しいプロファイルを保存すると、該当する電話機タイプおよびプロトコルの［電話の設定(Phone Configuration)］ウィンドウにある［デバイスセキュリティプロファイル(Device Security Profile)］ドロップダウン リスト ボックスにその名前が表示されます。

［説明］

セキュリティ プロファイルの説明を入力します。

［ナンス確認時間（Nonce Validity Time、分）］

ナンス値が有効な時間を秒単位で入力します。デフォルト値は 600（10 分）です。この時間が経過すると、Cisco Unified Communications Manager は新しい値を生成します。

（注） ナンス値は、ダイジェスト認証をサポートするランダム値で、ダイジェスト認証パスワードの MD5 ハッシュの計算に使用されます。

［デバイスセキュリティモード(Device Security Mode)］

ドロップダウン リスト ボックスから、次のオプションのいずれかを選択します。

• ［非セキュア］ ：電話機にイメージ認証以外のセキュリティ機能はない。TCP 接続で Cisco Unified Communications Manager が利用できる。

• ［認証のみ］ ：Cisco Unified Communications Manager は電話機の整合性と認証を提供する。シグナリング用に、NULL/SHA を使用する TLS 接続を開始する。

• ［暗号化］ ：Cisco Unified Communications Manager は電話機の整合性、認証、および暗号化を提供する。シグナリング用に AES128/SHA を使用する TLS 接続を開始し、すべての SRTP 対応 ホップ上のすべての電話機コールのメディアを SRTP で搬送する。

［転送タイプ(Transport Type)］

［デバイスセキュリティモード(Device Security Mode)］が［非セキュア］である場合は、ドロップダウン リスト ボックスから次のオプションのいずれかを選択します（表示されないオプションもあります）。

• [TCP] ：パケットを送信された順に受信するには、Transmission Control Protocol を選択します。このプロトコルは、パケットがドロップされないことを保証しますが、セキュリティは提供しません。

• [UDP] ：パケットを高速に受信するには、User Datagram Protocol を選択します。このプロトコルは、パケットをドロップすることがあり、送信された順に受信するとは限りません。セキュリティは提供しません。

• [TCP + UDP] ：TCP と UDP を組み合せて使用するには、このオプションを選択します。このオプションは、セキュリティを提供しません。

［デバイスセキュリティモード(Device Security Mode)］が［認証のみ］または［暗号化］である場合、TLS が転送タイプとなります。TLS は、SIP 電話機のシグナリング整合性、デバイス認証、およびシグナリング暗号化（暗号化モードのみ）を提供します。

プロファイルでデバイス セキュリティ モードを設定できない場合、転送タイプは UDP になります。

［ダイジェスト認証を有効化(Enable Digest Authentication)］

このチェックボックスをオンにすると、Cisco Unified Communications Manager は、電話機からのすべての SIP 要求でチャレンジを行います。

ダイジェスト認証は、デバイス認証、整合性、および信頼性を提供しません。これらの機能を使用するには、セキュリティ モード［認証のみ］または［暗号化］を選択します。

（注） ダイジェスト認証の詳細については、「ダイジェスト認証」および 「SIP 電話機のダイジェスト認証の設定」を参照してください。

［TFTP暗号化(TFTP Encrypted Config)］

このチェックボックスがオンの場合、Cisco Unified Communications Manager は電話機が TFTP サーバからダウンロードする設定ファイルを暗号化します。このオプションは、シスコ製電話機専用です。

詳細については、「設定ファイルの暗号化」および 「暗号化された電話機設定ファイルの設定」を参照してください。

［設定ファイル内のダイジェスト信用証明書を除外(Exclude Digest Credentials in Configuration File)］

このチェックボックスがオンの場合、Cisco Unified Communications Manager は電話機が TFTP サーバからダウンロードする設定ファイル内のダイジェスト クレデンシャルを削除します。このオプションは、Cisco Unified IP SIP Phone 7905、7912、7940、および 7960 モデル専用です。

詳細については、「設定ファイルの暗号化」および 「暗号化された電話機設定ファイルの設定」を参照してください。

［認証モード(Authentication Mode)］

このフィールドでは、電話機が CAPF 証明書操作中に使用する認証方式を選択できます。このオプションは、シスコ製電話機専用です。

ドロップダウン リスト ボックスから、次のオプションのいずれかを選択します。

• ［認証ストリング］ ：ユーザが電話機に CAPF 認証文字列を入力した場合だけ、ローカルで有効な証明書をインストール、アップグレード、またはトラブルシューティングします。

• ［Null ストリング］ ：ユーザが介入することなく、ローカルで有効な証明書をインストール、アップグレード、またはトラブルシューティングします。

このオプションではセキュリティを一切提供しません。したがって、このオプションは安全な閉じた環境の場合にだけ選択することを強く推奨します。

• ［既存の証明書（LSCの優先）］ ：製造元でインストールされる証明書（MIC）またはローカルで有効な証明書（LSC）が電話機に存在する場合、LSC をインストール、アップグレード、またはトラブルシューティングします。LSC が電話機に存在する場合、MIC が電話機に存在するかどうかに関係なく、認証は LSC を介して行われます。電話機に LSC が存在せず、MIC が存在する場合、認証は MIC を介して行われます。

このオプションを選択する前に、証明書が電話機に存在することを確認します。このオプションを選択した場合に証明書が電話機に存在しないと、操作は失敗します。

MIC と LSC は電話機で同時に存在できるものの、電話機は常に 1 つの証明書だけを使用して CAPF を認証します。優先されるプライマリ証明書が何らかの理由で侵害された場合、あるいは他の証明書を介して認証する場合には、認証モードを更新する必要があります。

• ［既存の証明書（MICの優先）］ ：LSC または MIC が電話機に存在する場合、LSC をインストール、アップグレード、またはトラブルシューティングします。MIC が電話機に存在する場合、LSC が電話機に存在するかどうかに関係なく、認証は MIC を介して行われます。電話機に LSC だけが存在し MIC が存在しない場合、認証は LSC を介して行われます。

このオプションを選択する前に、証明書が電話機に存在することを確認します。このオプションを選択した場合に証明書が電話機に存在しないと、操作は失敗します。

（注） ［電話セキュリティプロファイルの設定(Phone Security Profile Configuration)］ウィンドウで設定される CAPF 設定は、［電話の設定(Phone Configuration)］ウィンドウで設定される CAPF パラメータと相互に関係があります（詳細については、この章の 「電話機セキュリティ プロファイルの設定のヒント」を参照してください）。［電話の設定(Phone Configuration)］ウィンドウで CAPF 設定を定義する方法については、『Cisco Unified Communications Manager アドミニストレーション ガイド』を参照してください。

［キーサイズ（Key Size、ビット）］

CAPF で使用されるこの設定では、ドロップダウン リスト ボックスから証明書の鍵サイズを選択します。デフォルト設定値は 1024 です。これ以外のオプションには、512 と 2048 があります。

デフォルト設定値よりも大きな鍵サイズを選択すると、電話機で鍵生成に必要なエントロピーを生成するためにさらに時間がかかります。鍵生成を低いプライオリティで設定すると、アクションの実行中も電話機の機能を利用できます。電話機モデルによっては、鍵生成の完了に 30 分以上かかることがあります。

（注） ［電話セキュリティプロファイルの設定(Phone Security Profile Configuration)］ウィンドウで設定される CAPF 設定は、［電話の設定(Phone Configuration)］ウィンドウで設定される CAPF パラメータと相互に関係があります（詳細については、この章の 「電話機セキュリティ プロファイルの設定のヒント」を参照してください）。［電話の設定(Phone Configuration)］ウィンドウで CAPF 設定を定義する方法については、『Cisco Unified Communications Manager アドミニストレーション ガイド』を参照してください。

［SIP電話ポート(SIP Phone Port)］

この設定は、UDP 転送を使用する SIP 電話機に適用されます。

UDP を使用する Cisco Unified SIP IP Phone が、Cisco Unified Communications Manager からの SIP メッセージの傍受に使用するポート番号を入力します。デフォルト設定は 5060 です。

TCP または TLS を使用する電話機は、この設定を無視します。