- このマニュアルについて
- セキュリティの概要
- HTTP over SSL（HTTPS）の使用方法
- Cisco CTL クライアントの設定
- 電話機のセキュリティの概要
- 電話機セキュリティ プロファイルの 設定
- Certificate Authority Proxy Function の使用方法
- 暗号化された電話機設定ファイルの 設定
- SIP 電話機のダイジェスト認証の設定
- 電話機のセキュリティ強化
- ボイスメール ポートのセキュリティ 設定
- CTI、JTAPI、および TAPI の認証 および暗号化の設定
- Survivable Remote Site Telephony （SRST）リファレンスのセキュリティ 設定
- ゲートウェイおよびトランクの暗号化 の設定
- SIPトランク セキュリティ プロファイル の設定
- SIPトランクのダイジェスト認証の設定
- 索引
Cisco Unified CallManager セキュリティ ガイド Release 5.1(3)
偏向のない言語
この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
翻訳について
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
- Updated:
- 2017年5月29日
章のタイトル： SIPトランク セキュリティ プロファイル の設定
SIPトランク セキュリティ プロファイルの設定
•
「SIP トランク セキュリティ プロファイルの設定のヒント」
• 「SIP トランク セキュリティ プロファイルの設定内容」
• 「その他の情報」
SIP トランク セキュリティ プロファイルの概要
Cisco Unified CallManager の管理ページでは、SIP トランクに対するセキュリティ関連の設定がグループ化され、1 つのセキュリティ プロファイルを複数の SIP トランクに割り当てることができます。セキュリティ関連の設定には、デバイス セキュリティ モード、ダイジェスト認証、着信転送タイプや発信転送タイプの設定などがあります。［トランクの設定（Trunk Configuration）］ウィンドウでセキュリティ プロファイルを選択することで、構成済みの設定を SIP トランクに適用します。
Cisco Unified CallManager をインストールすると、自動登録用の事前定義済み非セキュア SIP トランク セキュリティ プロファイルが提供されます。SIP トランクのセキュリティ機能を有効にするには、新しいセキュリティ プロファイルを設定し、SIP トランクに適用します。トランクがセキュリティをサポートしていない場合は、非セキュア プロファイルを選択します。
SIP トランク セキュリティ プロファイルの設定のヒント
Cisco Unified CallManager の管理ページで SIP トランク セキュリティ プロファイルを設定する場合は、次の点を考慮してください。
• SIP トランクを設定する場合は、［トランクの設定（Trunk Configuration）］ウィンドウでセキュリティ プロファイルを選択する必要があります。デバイスがセキュリティをサポートしていない場合は、非セキュア プロファイルを適用します。
• 現在デバイスに割り当てられているセキュリティ プロファイルを削除することはできません。
• すでに SIP トランクに割り当てられているセキュリティ プロファイルの設定を変更すると、再構成した設定が、そのプロファイルを割り当てられているすべての SIP トランクに適用されます。
• デバイスに割り当てられているセキュリティ ファイルの名前を変更できます。古いプロファイル名および設定を割り当てられている SIP トランクは、新しいプロファイル名および設定を受け入れます。
• Cisco Unified CallManager 5.0 以降へのアップグレード前にデバイス セキュリティ モードを設定した場合は、Cisco Unified CallManager が SIP トランクのプロファイルを作成し、デバイスにプロファイルを適用します。
SIP トランク セキュリティ プロファイルの検索
SIP トランク セキュリティ プロファイルを検索するには、次の手順を実行します。
ステップ 1 Cisco Unified CallManager の管理ページで、 ［システム］>［セキュリティプロファイル］ > ［SIPトランクセキュリティプロファイル］ の順に選択します。
［SIPトランクセキュリティプロファイルの検索と一覧表示（Find and List SIP Trunk Security Profiles）］ウィンドウが表示されます。
ステップ 2 ドロップダウン リスト ボックスから、表示するセキュリティ プロファイルの検索条件を選択し、 ［検索］ をクリックします。
（注） データベースに登録されているすべての SIP トランク セキュリティ プロファイルを検索するには、検索条件を指定せずに、［検索］をクリックします。
ウィンドウが更新され、検索条件と一致するセキュリティ プロファイルが表示されます。
ステップ 3 表示するセキュリティ プロファイルの ［名前（Name）］ リンクをクリックします。
ヒント 検索結果内の［名前（Name）］または［説明］を検索するには、［絞り込み］チェックボックスをオンにして、この手順で説明したように検索条件を入力し、［検索］をクリックします。
詳細については、「関連項目」を参照してください。
SIP トランク セキュリティ プロファイルの設定
SIP トランク セキュリティ プロファイルを追加、更新、またはコピーするには、次の手順を実行します。
ステップ 1 Cisco Unified CallManager の管理ページで、 ［システム］>［セキュリティプロファイル］>［SIPトランクセキュリティプロファイル］ の順に選択します。
• 新しいプロファイルを追加するには、 ［新規追加］ ボタンをクリックし、ステップ 3 に進みます。
• 既存のセキュリティ プロファイルをコピーするには、「SIP トランク セキュリティ プロファイルの検索」の説明に従って適切なプロファイルを見つけて表示し、 ［コピー］ ボタンをクリックして、ステップ 3に進みます。
• 既存のプロファイルを更新するには、「SIP トランク セキュリティ プロファイルの検索」の説明に従い、適切なセキュリティ プロファイルを見つけて、ステップ 3に進みます。
ステップ 3 表14-1 の説明に従って、適切な設定を入力します。
セキュリティ プロファイルを作成した後、「SIP トランク セキュリティ プロファイルの適用」の説明に従い、トランクに適用します。
SIP トランクにダイジェスト認証を設定した場合は、トランクの［SIPレルムの設定（SIP Realm Configuration）］ウィンドウと、SIP トランクを介して接続されるアプリケーションの［アプリケーションユーザの設定（Application User Configuration）］ウィンドウで、ダイジェスト クレデンシャルを設定する必要があります（まだ設定していない場合）。
SIP トランクを介して接続されるアプリケーションのアプリケーションレベル許可を有効にした場合は、［アプリケーションユーザの設定（Application User Configuration）］ウィンドウで、そのアプリケーションに許可される方式を設定する必要があります（まだ設定していない場合）。
詳細については、「関連項目」を参照してください。
SIP トランク セキュリティ プロファイルの設定内容
表14-1 で、SIP トランク セキュリティ プロファイルの設定について説明します。
• 設定のヒントについては、「SIP トランク セキュリティ プロファイルの設定のヒント」を参照してください。
• 関連する情報および手順については、「関連項目」を参照してください。
|
|
|
|---|---|
セキュリティ プロファイルの名前を入力します。新しいプロファイルを保存すると、［トランクの設定（Trunk Configuration）］ウィンドウの［SIPトランクセキュリティプロファイル（SIP Trunk Security Profile）］ドロップダウン リスト ボックスに名前が表示されます。 |
|
ドロップダウン リスト ボックスから、次のオプションのいずれかを選択します。 • • •
（注） SIP トランクは、シグナリング暗号化をサポートします（SRTP はサポートしません）。 |
|
［デバイスセキュリティモード（Device Security Mode）］が ［デバイスセキュリティモード（Device Security Mode）］が［Authenticated］または［Encrypted］である場合、［TLS］が転送タイプとなります。
（注） Transport Layer Security（TLS）プロトコルによって、Cisco Unified CallManager とトランクとの間の接続が保護されます。 |
|
ドロップダウン リスト ボックスから、発信転送モードを選択します。 ［デバイスセキュリティモード（Device Security Mode）］が［Non Secure］である場合、［TCP］または［UDP］を選択します。 ［デバイスセキュリティモード（Device Security Mode）］が［Authenticated］または［Encrypted］である場合、［TLS］が転送タイプとなります。
（注） TLS は、SIP トランクのシグナリング整合性、デバイス認証、およびシグナリング暗号化を実現します。 
|
|
ダイジェスト認証を有効にするには、このチェックボックスをオンにします。このチェックボックスをオンにすると、Cisco Unified CallManager は、トランクからのすべての SIP 要求でチャレンジを行います。 ダイジェスト認証は、デバイス認証、整合性、および信頼性を提供しません。これらの機能を使用するには、セキュリティ モード［Authenticated］または［Encrypted］を選択します。 ダイジェスト認証の詳細については、「ダイジェスト認証」および 「SIPトランクのダイジェスト認証の設定」を参照してください。
|
|
ナンス値が有効な時間を秒単位で入力します。デフォルト値は 600（10 分）です。この時間が経過すると、Cisco Unified CallManager は新しい値を生成します。
（注） ナンス値は、ダイジェスト認証をサポートするランダム値で、ダイジェスト認証パスワードの MD5 ハッシュの計算に使用されます。 |
|
このフィールドは、［着信転送タイプ（Incoming Transport Type）］および［発信転送タイプ（Outgoing Transport Type）］に TLS を設定した場合に適用されます。 デバイス認証のために、SIP トランク デバイスの X.509 証明書の件名を入力します。Cisco Unified CallManager クラスタがある場合、または TLS ピアに対して SRV ルックアップを使用する場合、単一のトランクが複数のホストに解決されることがあります。その結果、トランクに複数の X.509 の件名が設定されます。複数の X.509 の件名がある場合は、スペース、カンマ、セミコロン、またはコロンのいずれか 1 つを使用して、名前を区切ります。
例：ポート 5061 の SIP TLS trunk1 の［X.509の件名（X.509 Subject Name）］は、my_cm1, my_cm2 です。ポート 5071 の SIP TLS trunk1 の［X.509の件名（X.509 Subject Name）］は、my_cm2, my_cm3 です。この場合、ポート 5061 の SIP TLS trunk3 の［X.509の件名（X.509 Subject Name）］は my_ccm4 にできますが、my_cm1 にはできません。 |
|
着信ポートを選択します。1024 ～ 65535 の一意のポート番号を入力します。着信 TCP および UDP の SIP メッセージのデフォルト ポート値は、5060 です。着信 TLS メッセージの保護されたデフォルト SIP ポートは、5061 です。入力した値は、このプロファイルを使用するすべての SIP トランクに適用されます。
|
|
アプリケーションレベルの許可は、SIP トランクを介して接続されるアプリケーションに適用されます。 このチェックボックスをオンにする場合は、［ダイジェスト認証を有効化（Enable Digest Authentication）］チェックボックスもオンにし、トランクのダイジェスト認証を設定する必要があります。Cisco Unified CallManager は、許可されているアプリケーション方式を確認する前に、SIP アプリケーション ユーザを認証します。 アプリケーションレベルの許可が有効な場合は、まずトランクレベルの許可が発生してから、アプリケーションレベルの許可が発生します。つまり、Cisco Unified CallManager は、［アプリケーションユーザの設定（Application User Configuration）］ウィンドウで SIP アプリケーション ユーザに許可されている方式よりも先に、（このセキュリティ プロファイルで）トランクに許可されている方式を確認します。
トランクのダイジェスト認証設定の詳細については、「SIPトランクのダイジェスト認証の設定」を参照してください。許可の詳細については、「許可」および 「相互作用」を参照してください。［アプリケーションユーザの設定（Application User Configuration）］ウィンドウでアプリケーションレベルの許可を設定する方法の詳細については、『Cisco Unified CallManager アドミニストレーション ガイド』を参照してください。 |
|
Cisco Unified CallManager が SIP トランク経由で着信するプレゼンス サブスクリプション要求を受け付けるようにする場合は、このチェックボックスをオンにします。 ［アプリケーションレベル認証を有効化（Enable Application Level Authorization）］チェックボックスをオンにした場合は、［アプリケーションユーザの設定（Application User Configuration）］ウィンドウに移動し、この機能について許可するアプリケーション ユーザの［プレゼンス登録の許可（Accept Presence Subscription）］チェックボックスをオンにします。 アプリケーションレベルの許可が有効で、アプリケーション ユーザの［プレゼンス登録の許可（Accept Presence Subscription）］チェックボックスがオンで、トランクのチェックボックスがオフの場合、トランクに接続されている SIP ユーザ エージェントに 403 エラー メッセージが送信されます。 |
|
Cisco Unified CallManager が SIP トランク経由で着信する非インバイトのアウトオブダイアログ REFER 要求を受け付けるようにする場合は、このチェックボックスをオンにします。 ［アプリケーションレベル認証を有効化（Enable Application Level Authorization）］チェックボックスをオンにした場合は、［アプリケーションユーザの設定（Application User Configuration）］ウィンドウに移動し、この方式について許可するアプリケーション ユーザの［アウトオブダイアログREFERの許可（Accept Out-of-Dialog REFER）］チェックボックスをオンにします。 |
|
Cisco Unified CallManager が SIP トランク経由で着信する非インバイトの未承諾 NOTIFY メッセージを受け付けるようにする場合は、このチェックボックスをオンにします。 ［アプリケーションレベル認証を有効化（Enable Application Level Authorization）］チェックボックスをオンにした場合は、［アプリケーションユーザの設定（Application User Configuration）］ウィンドウに移動し、この方式について許可するアプリケーション ユーザの［未承諾NOTIFYの許可（Accept Unsolicited Notification）］チェックボックスをオンにします。 |
|
Cisco Unified CallManager が既存の SIP ダイアログを置き換える新しい SIP ダイアログを受け付けるようにする場合は、このチェックボックスをオンにします。 ［アプリケーションレベル認証を有効化（Enable Application Level Authorization）］チェックボックスをオンにした場合は、［アプリケーションユーザの設定（Application User Configuration）］ウィンドウに移動し、この方式について許可するアプリケーション ユーザの［REPLACE ヘッダの許可（Accept Replaces Header）］チェックボックスをオンにします。 |
SIP トランク セキュリティ プロファイルの適用
［トランクの設定（Trunk Configuration）］ウィンドウで、SIP トランク セキュリティ プロファイルをトランクに適用します。デバイスにセキュリティ プロファイルを適用するには、次の手順を実行します。
ステップ 1 『 Cisco Unified CallManager アドミニストレーション ガイド 』の説明に従って、トランクを検索します。
ステップ 2 ［トランクの設定（Trunk Configuration）］ウィンドウが表示されたら、 ［SIPトランクセキュリティプロファイル（SIP Trunk Security Profile）］ 設定を見つけます。
ステップ 3 セキュリティ プロファイルのドロップダウン リスト ボックスから、デバイスに適用するセキュリティ プロファイルを選択します。
ステップ 5 ［リセット］ をクリックして、トランクをリセットします。
SIP トランクにダイジェスト認証を有効にするプロファイルを適用した場合は、トランクの［SIPレルムの設定（SIP Realm Configuration）］ウィンドウでダイジェスト クレデンシャルを設定する必要があります。「SIP レルムの設定」を参照してください。
アプリケーションレベルの許可を有効にするプロファイルを適用した場合は、［アプリケーションユーザの設定（Application User Configuration）］ウィンドウで、ダイジェスト クレデンシャルと可能な許可方式を設定する必要があります（まだ設定していない場合）。
詳細については、「関連項目」を参照してください。
SIP トランク セキュリティ プロファイルの削除
ここでは、Cisco Unified CallManager データベースから SIP トランク セキュリティ プロファイルを削除する方法について説明します。
Cisco Unified CallManager の管理ページからセキュリティ プロファイルを削除する前に、別のプロファイルをデバイスに適用するか、該当プロファイルを使用するすべてのデバイスを削除してください。該当プロファイルを使用しているデバイスを検索するには、［SIPトランクセキュリティプロファイルの設定（SIP Trunk Security Profile Configuration）］ウィンドウの［関連リンク］ドロップダウン リスト ボックスから ［依存関係レコード］ を選択して、 ［移動］ をクリックします。
システムで依存関係レコード機能が有効になっていない場合は、［依存関係レコード要約（Dependency Records Summary）］ウィンドウに、依存関係レコードを有効にすると実行できるアクションを示すメッセージが表示されます。また、依存関係レコード機能を使用すると、CPU 使用率が高くなるという情報も表示されます。依存関係レコードの詳細については、『 Cisco Unified CallManager システム ガイド 』を参照してください。
ステップ 1 「SIP トランク セキュリティ プロファイルの検索」の手順に従って、セキュリティ プロファイルを検索します。
ステップ 2 複数のセキュリティ プロファイルを削除するには、［SIPトランクセキュリティプロファイルの検索と一覧表示（Find and List SIP Trunk Security Profiles）］ウィンドウで、適切なチェックボックスの横に表示されているチェックボックスをオンにして、 ［選択項目の削除］ アイコンまたは ［選択項目の削除］ ボタンをクリックします。
ステップ 3 単一のセキュリティ プロファイルを削除するには、次の作業のどちらかを実行します。
• ［SIPトランクセキュリティプロファイルの検索と一覧表示（Find and List SIP Trunk Security Profiles）］ウィンドウで、適切なセキュリティ プロファイルの横に表示されているチェックボックスをオンにして、 ［選択項目の削除］ アイコンまたは ［選択項目の削除］ ボタンをクリックします。
• ［SIPトランクセキュリティプロファイルの検索と一覧表示（Find and List SIP Trunk Security Profiles）］ウィンドウで、セキュリティ プロファイルの ［名前（Name）］ リンクをクリックします。指定した［SIPトランクセキュリティプロファイルの設定（SIP Trunk Security Profile Configuration）］ウィンドウが表示されたら、 ［削除］ アイコンまたは ［削除］ ボタンをクリックします。
ステップ 4 削除操作の確認を要求するプロンプトが表示されたら、 ［OK］ をクリックして削除するか、 ［キャンセル］ をクリックして削除操作を取り消します。
詳細については、「関連項目」を参照してください。
その他の情報
• 「SIP トランク セキュリティ プロファイルの設定のヒント」
• 「SIP トランク セキュリティ プロファイルの設定内容」
• 「許可」
• 「相互作用」
フィードバック