Cisco Unified Communications オペレーティング システム アドミニストレーション ガイド
偏向のない言語
この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
翻訳について
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
- Updated:
- 2017年6月4日
章のタイトル： セキュリティ
セキュリティ
この章では証明書の管理と IPSec の管理について説明し、次の作業を実行する手順を説明します。
•
「Internet Explorer のセキュリティ オプションの設定」
Internet Explorer のセキュリティ オプションの設定
サーバから証明書をダウンロードするには、Internet Explorer のセキュリティ設定が次のように設定されていることを確認します。
ステップ 1 Internet Explorer を起動します。
ステップ 2 [Tools] > [Internet Options] を選択します。
ステップ 4 [Advanced] タブの [Security] セクションまでスクロール ダウンします。
ステップ 5 必要に応じて、[Do not save encrypted pages to disk] チェックボックスをオフにします。
証明書と Certificate Trust List の管理
次の各項では、[Certificate Management] メニューから実行できる機能を説明します。
• 「証明書の表示」
• 「証明書または Certificate Trust List のアップロード」
（注） [Security] メニューの項目にアクセスするには、管理者パスワードを使用して Cisco Unified Communications オペレーティング システムの管理に再ログインする必要があります。
証明書の表示
ステップ 1 [Security] > [Certificate Management] を選択します。
[Certificate List] ウィンドウが表示されます。
ステップ 2 [Find] コントロールを使用すると、証明書のリストをフィルタリングできます。
ステップ 3 証明書または信頼ストアの詳細を表示するには、そのファイル名をクリックします。
[Certificate Configuration] ウィンドウに該当の証明書の情報が表示されます。
ステップ 4 [Certificate List] ウィンドウに戻るには、[Related Links] リストの [Back To Find/List] を選択し、[Go] をクリックします。
証明書のダウンロード
証明書を Cisco Unified Communications オペレーティング システム から PC にダウンロードするには、次の手順を実行します。
ステップ 1 [Security] > [Certificate Management] を選択します。
[Certificate List] ウィンドウが表示されます。
ステップ 2 [Find] コントロールを使用すると、証明書のリストをフィルタリングできます。
[Certificate Configuration] ウィンドウが表示されます。
ステップ 5 [File Download] ダイアログボックスで、[Save] をクリックします。
証明書の削除と再作成
• 「証明書の削除」
証明書の削除
ステップ 1 [Security] > [Certificate Management] を選択します。
[Certificate List] ウィンドウが表示されます。
ステップ 2 [Find] コントロールを使用すると、証明書のリストをフィルタリングできます。
ステップ 3 証明書または CTL のファイル名をクリックします。
[Certificate Configuration] ウィンドウが表示されます。
証明書の再作成
（注） 証明書の再作成に関する詳細については、『Cisco Unified Communications Manager Security Guide』の「Security by Default」の第 3 章を参照してください。
ステップ 1 [Security] > [Certificate Management] を選択します。
[Certificate List] ウィンドウが表示されます。
ステップ 2 [Generate New] をクリックします。
[Generate Certificate] ダイアログボックスが表示されます。
ステップ 3 [Certificate Name] リストから、証明書の名前を選択します。表示される証明書の名前の説明については、 表 6-1 を参照してください。
ステップ 4 [Generate New] をクリックします。
（注） Cisco Unified Communications オペレーティング システム で証明書を再作成したら、バックアップを実行して、最新のバックアップに再作成した証明書が含まれるようにします。バックアップに再作成した証明書が含まれず、何らかの理由で回復タスクを実行する必要がでた場合は、システム上の電話をそれぞれ手動でロック解除して、Cisco Unified Communications Manager に登録できるようにします。バックアップの実行に関する詳細については、『Disaster Recovery System Administration Guide』を参照してください。
証明書または Certificate Trust List のアップロード
（注） システムが信頼証明書を他のクラスタ ノードに自動的に配信することはありません。複数のノードで同じ証明書が必要な場合は、証明書を各ノードに個々にアップロードする必要があります。
次の各項では、CA ルート証明書、アプリケーション証明書、または CTL ファイルをサーバにアップロードする方法について説明します。
証明書のアップロード
ステップ 1 [Security] > [Certificate Management] を選択します。
[Certificate List] ウィンドウが表示されます。
ステップ 2 [Upload Certificate] をクリックします。
[Upload Certificate] ダイアログボックスが表示されます。
ステップ 3 [Certificate Name] リストから、証明書の名前を選択します。
ステップ 4 サードパーティの CA で発行されたアプリケーション証明書をアップロードする場合は、CA ルート証明書の名前を [Root Certificate] テキストボックスに入力します。CA ルート証明書をアップロードする場合は、このテキストボックスを空白のままにします。
ステップ 5 次のいずれかの手順で、アップロードするファイルを選択します。
• [Upload File] テキストボックスに、ファイルのパスを入力します。
• [Browse] ボタンをクリックしてファイルを選択し、[Open] をクリックします。
ステップ 6 ファイルをサーバにアップロードするには、[Upload File] ボタンをクリックします。
Certificate Trust List のアップロード
ステップ 1 [Security] > [Certificate Management] を選択します。
[Certificate List] ウィンドウが表示されます。
ステップ 2 [Upload Certificate] をクリックします。
[Upload Certificate Trust List] ダイアログボックスが表示されます。
ステップ 3 [Certificate Name] リストから、証明書の名前を選択します。
ステップ 4 サードパーティの CA で発行されたアプリケーション証明書をアップロードする場合は、CA ルート証明書の名前を [Root Certificate] テキストボックスに入力します。CA ルート証明書をアップロードする場合は、このテキストボックスを空白のままにします。
ステップ 5 次のいずれかの手順で、アップロードするファイルを選択します。
• [Upload File] テキストボックスに、ファイルのパスを入力します。
• [Browse] ボタンをクリックしてファイルを選択し、[Open] をクリックします。
ステップ 6 ファイルをサーバにアップロードするには、[Upload File] ボタンをクリックします。
ディレクトリの信頼証明書のアップロード
ステップ 1 [Security] > [Certificate Management] を選択します。
[Certificate List] ウィンドウが表示されます。
ステップ 2 [Upload Certificate] をクリックします。
[Upload Certificate Trust List] ダイアログボックスが表示されます。
ステップ 3 [Certificate Name] リストから、[directory-trust] を選択します。
ステップ 4 アップロードするファイルを [Upload File] フィールドに入力します。
ステップ 5 ファイルをアップロードするには、[Upload File] ボタンをクリックします。
ステップ 6 Cisco Unified Serviceability にログインします。
ステップ 7 [Tools] > [Control Center - Feature Services] を選択します。
ステップ 8 Cisco Dirsync サービスを再起動します。
ステップ 9 Cisco Unified Communications オペレーティング システム の CLI に管理者としてログインします。
ステップ 10 Tomcat サービスを再起動するには、コマンド utils service restart Cisco Tomcat と入力します。
ステップ 11 サービスの再起動後、SSL のディレクトリ契約を追加することができます。
サードパーティ製の CA 証明書の使用法
Cisco Unified Communications オペレーティング システム は、サードパーティ製の Certificate Authority（CA; 認証局）が PKCS # 10 Certificate Signing Request（CSR; 証明書署名要求）によって発行した証明書をサポートしています。次の表に、このプロセスの概要および参考となる文書を示します。
|
|
|
|
|---|---|---|
「証明書署名要求の作成」を参照してください。 |
||
「証明書署名要求のダウンロード」を参照してください。 |
||
アプリケーション証明書の取得に関する情報は、CA から入手してください。その他の注意事項については、「サードパーティ製の CA 証明書の取得」を参照してください。 |
||
ルート証明書の取得に関する情報は、CA から入手してください。その他の注意事項については、「サードパーティ製の CA 証明書の取得」を参照してください。 |
||
「証明書のアップロード」を参照してください。 |
||
「証明書のアップロード」を参照してください。 |
||
CAPF または Cisco Unified Communications Manager の証明書を更新した場合は、新しい CTL ファイルを作成する。 |
『 Cisco Unified Communications Manager Security Guide 』を参照してください。 |
|
すべての証明書タイプで、対応するサービスを再起動します（たとえば、Tomcat の証明書を更新した場合は Tomcat サービスを再起動します）。さらに、CAPF または Cisco Unified Communications Manager の証明書を更新した場合は、TFTP サービスも再起動します。 （注） Tomcat の証明書を更新した場合は、Cisco Unity Connection サービスアビリティで接続 IMAP サーバ サービスも再起動してください。サービスの再起動の詳細については、『Cisco Unified Communications Manager Serviceability Administration Guide 』を参照してください。 |
証明書署名要求の作成
Certificate Signing Request（CSR; 証明書署名要求）を作成するには、次の手順を実行します。
ステップ 1 [Security] > [Certificate Management] を選択します。
[Certificate List] ウィンドウが表示されます。
ステップ 2 [Generate CSR] をクリックします。
[Generate Certificate Signing Request] ダイアログボックスが表示されます。
ステップ 3 [Certificate Name] リストから、証明書の名前を選択します。
（注） Cisco Unified オペレーティング システムの現行リリースでは、[Certificate Name] リストの [Directory] オプションは使用できなくなりました。ただし、DirSync サービスをセキュア モードで実行する場合に必要となるディレクトリの信頼証明書は、以前のリリースからアップロードできます。
ステップ 4 [Generate CSR] をクリックします。
証明書署名要求のダウンロード
証明書署名要求をダウンロードするには、次の手順を実行します。
ステップ 1 [Security] > [Certificate Management] を選択します。
[Certificate List] ウィンドウが表示されます。
ステップ 2 [Download CSR] をクリックします。
[Download Certificate Signing Request] ダイアログボックスが表示されます。
ステップ 3 [Certificate Name] リストから、証明書の名前を選択します。
ステップ 4 [Download CSR] をクリックします。
ステップ 5 [File Download] ダイアログボックスで、[Save] をクリックします。
サードパーティ製の CA 証明書の取得
サードパーティの CA が発行するアプリケーション証明書を使用するには、署名付きのアプリケーション証明書と CA ルート証明書の両方を CA から取得する必要があります。これらの証明書の取得に関する情報は、CA から入手してください。入手の手順は、CA によって異なります。
CAPF および Cisco Unified Communications Manager の CSR には、CA へのアプリケーション証明書要求に含める必要のある拡張情報が含まれています。CA が拡張要求メカニズムをサポートしていない場合は、CSR 作成プロセスの最後のページに表示される X.509 拡張を有効にする必要があります。
Cisco Unified Communications オペレーティング システムでは、証明書は DER および PEM 符号化フォーマットで、CSR は PEM 符号化フォーマットで作成されます。また、DER および PEM 符号化フォーマットの証明書を受け入れます。
CAPF 以外の証明書の場合、それぞれのノードについて CA ルート証明書およびアプリケーション証明書を取得およびアップロードしてください。
CAPF の場合、1 つ目のノードについてのみ CA ルート証明書およびアプリケーション証明書を取得およびアップロードしてください。
CAPF および Cisco Unified Communications Manager の CSR には、CA へのアプリケーション証明書要求に含める必要のある拡張情報が含まれています。CA が拡張要求メカニズムをサポートしていない場合は、次の手順に従って X.509 拡張をイネーブルにする必要があります。
• Cisco Unified Communications Manager、Tomcat、および IPSec の CSR では、次の拡張情報を使用します。
アプリケーション証明書を署名した CA の CA ルート証明書をアップロードします。下位 CA がアプリケーション証明書を署名した場合、ルート CA ではなく、下位 CA の CA ルート証明書をアップロードします。
CA ルート証明書およびアプリケーション証明書をアップロードするには、同じ [Upload Certificate] ダイアログ ボックスを使用します。CA ルート証明書をアップロードする場合、 certificate type -trust 形式の証明書を選択します。アプリケーション証明書をアップロードする場合、証明書タイプのみが含まれる証明書の名前を選択します。たとえば、Tomcat CA ルート証明書をアップロードする場合、[tomcat-trust] を選択し、Tomcat アプリケーション証明書をアップロードする場合、[tomcat] を選択します。
CAPF CA ルート証明書をアップロードすると、CallManager の信頼ストアにコピーされるため、CA ルート証明書を個別に CallManager にアップロードする必要はありません。
証明書の有効期限日の監視
証明書の有効期限日が近づいたときに、システムから自動的に E メールを送信できます。証明書有効期限モニタの表示と設定をするには、次の手順を実行します。
ステップ 1 現在の証明書有効期限モニタの設定を表示するには、[Security] > [Certificate Monitor] を選択します。
[Certificate Monitor] ウィンドウが表示されます。
ステップ 2 必要な設定情報を入力します。[Certificate Monitor Expiration] フィールドの説明については、 表 6-2 を参照してください。
ステップ 3 変更内容を保存するには、[Save] をクリックします。
|
|
|
|---|---|
| （注） システムから通知を送信するようにするには、SMTP ホストを設定する必要があります。 |
IPSEC 管理
次の各項では、[IPSec] のメニューで実行できる機能を説明します。
（注） IPSec は、インストール時にクラスタ内のノード間で自動的に設定されません。
新しい IPSec ポリシーの設定
新しい IPSec ポリシーとアソシエーションを設定するには、次の手順を実行します。
（注） システムのアップグレード中、IPSec ポリシーに何らかの変更を行ってもその変更は無効になります。アップグレード中は IPSec ポリシーを作成したり変更したりしないでください。
ステップ 1 [Security] > [IPSEC Configuration] を選択します。
[IPSEC Policy List] ウィンドウが表示されます。
[IPSEC Policy Configuration] ウィンドウが表示されます。
ステップ 3 [IPSEC Policy Configuration] ウィンドウに適切な情報を入力します。このウィンドウの各フィールドの説明については、 表 6-3 を参照してください。
ステップ 4 新しい IPSec ポリシーを設定するには、[Save] をクリックします。
既存の IPSec ポリシーの管理
既存の IPSec ポリシーを表示、イネーブル/ディセーブル、または削除するには、次の手順を実行します。
（注） システムのアップグレード中、IPSec ポリシーに何らかの変更を行ってもその変更は無効になります。アップグレード中は IPSec ポリシーを作成したり変更したりしないでください。
ステップ 1 [Security] > [IPSEC Configuration] を選択します。
（注） [Security] メニューの項目にアクセスするには、管理者パスワードを使用して Cisco Unified Communications オペレーティング システムの管理に再ログインする必要があります。
[IPSEC Policy List] ウィンドウが表示されます。
ステップ 2 ポリシーを表示、イネーブル、またはディセーブルにするには、次の手順を実行します。
[IPSEC Policy Configuration] ウィンドウが表示されます。
b. ポリシーをイネーブルまたはディセーブルにするには、[Enable Policy] チェックボックスを使用します。
ステップ 3 1 つまたは複数のポリシーを削除するには、次の手順を実行します。
a. 削除するポリシーの横にあるチェックボックスをオンにします。
[Select All] をクリックするとすべてのポリシーを選択でき、[Clear All] を選択するとすべてのチェックボックスをクリアできます。
b. [Delete Selected] をクリックします。
Bulk Certificate Management
Extension Mobility Cross Cluster（EMCC）機能をサポートするため、クラスタ管理者によって構成された共通 SFTP サーバ間で一括インポートおよびエクスポートを実行できます。
（注） Cisco Unified IP Phone 8961、9951、または 9971 の ファームウェア リリースが 9.0(2) で、クラスタが混合モードで実行されている場合、EMCC 機能が動作するためには、クラスタすべての CTL が共通した一連のセキュリティ トークンで署名される必要があります。すべてのクラスタで共通のトークンが 1 つ以上必要です。
証明書のエクスポート
[Bulk Certificate Management] を使用して証明書をエクスポートするには、次の手順を実行します。
ステップ 1 [Security] > [Bulk Certificate Management] を選択します。
[Bulk Certificate Management] ウィンドウが表示されます。
ステップ 2 [Bulk Certificate Management] ウィンドウに適切な情報を入力します。このウィンドウの各フィールドの説明については、 表 6-4 を参照してください。
ステップ 3 入力した値を保存するには、[Save] をクリックします。
ステップ 4 証明書をエクスポートするには、[Export] をクリックします。
[Bulk Certificate Export] ポップアップ ウィンドウが表示されます。
ステップ 5 ドロップダウン メニューからエクスポートする証明書のタイプを選択します。
システムによって選択した証明書が中央 SFTP サーバにエクスポートおよび保存されます。
証明書のインポート
[Bulk Certificate Management] ウィンドウを使用して、他のクラスタからエクスポートした証明書をインポートすることもできます。ただし、[Import] ボタンが表示されるには、次の操作を完了する必要があります。
• クラスタ 2 つ以上から SFTP サーバに証明書をエクスポートします。
|
|
|
|---|---|
フィードバック