Cisco Unity Express ボイスメールおよび自動受付 CLI アドミニストレータ ガイド（3.0 およびそれ以降 のバージョン）

AAA アカウンティング設定の指定

概略手順

1. config t

2. aaa accounting server remote

3. address address [ port port] secret secret

4. address address [ port port] credentials hidden cred

5. retries number

6. timeout seconds

7. end

8. show aaa accounting service

詳細手順

例

show aaa accounting service コマンドのサンプル出力を次に示します。

AAA 認証設定の指定

概略手順

1. config t

2. aaa authentication server remote

3. address address [ port port] secret secret

4. address address [ port port] credentials hidden cred

5. retries number

6. timeout seconds

7. end

詳細手順

認証フェールオーバー

認証フェールオーバー機能を使用すると、ローカル データベース用に加え、ユーザ ログイン認証用として、リモート RADIUS サーバを必要に応じて使用できるようになります。この項の手順では、認証を解決する順序を設定します。認証は、次のように設定できます。

• ローカル データベースだけを使用する

• リモート サーバだけを使用する

• ローカル データベース、リモート サーバの順に使用する

• リモート サーバ、ローカル データベースの順に使用する

ローカル認証とリモート認証の両方を使用する場合は、リモート RADIUS AAA サーバから取得したユーザ属性をローカル ユーザ データベースにある同じユーザ名の属性とマージするかどうかを設定することもできます。

（注） 認証フェールオーバー機能には、次の制限があります。

• RADIUS サーバによる認証は、GUI または CLI インターフェイスにアクセスする場合に限り使用できます。この認証では、ユーザ ID とパスワードだけが必要です。TUI、VVE、AvT、および IMAP インターフェイスの認証では、ローカル データベースしか使用できません。したがって、アクセスを取得するには、TUI、VVE、AvT、および IMAP インターフェイスのユーザをローカルに設定する必要があります。自動受付インターフェイスはユーザに依存しないため、認証は必要ありません。

• ローカル システムとリモート サーバの間では、ログイン情報は同期されません。セキュリティ機能（パスワードの有効期限など）は、Cisco Unity Express と RADIUS サーバ用に個別に設定する必要があります。また、RADIUS サーバでセキュリティ イベント（パスワードの期限切れ、アカウント ロックアウトなど）が発生しても、Cisco Unity Express ユーザに対してプロンプトは表示されません。逆の場合も同様です。

到達不能フェールオーバー

到達不能フェールオーバーは、RADIUS サーバだけで使用されます。この機能を使用すると、RADIUS サーバへのアクセスに使用できるアドレスを最大で 2 つ設定できるようになります。

Cisco Unity Express が RADIUS サーバを使用してユーザの認証を試行するとき、次の場合に通知メッセージがユーザに送信されます。

• RADIUS サーバに到達できない

• RADIUS サーバでユーザの認証に失敗した

例

この例の認証は、まずリモート サーバによって実行され、次にローカル データベースによって実行されます。また、リモート RADIUS サーバには、アドレスが 2 つ設定されています。

この例は、認証時に実行される可能性があるイベント シーケンスです。

1. Cisco Unity Express は、1 番目のリモート RADIUS サーバへの接続を試行します。

2. 1 番目の RADIUS サーバが応答しない場合、またはユーザの認証資格を受け入れない場合、Cisco Unity Express は 2 番目のリモート RADIUS サーバへの接続を試行します。

3. 2 番目の RADIUS サーバが応答しない場合、またはユーザの認証資格を受け入れない場合、ユーザは対応するエラー メッセージを受け取り、Cisco Unity Express はローカル データベースへの接続を試行します。

4. ローカル データベースがユーザの認証資格を受け入れない場合、ユーザはエラー メッセージを受け取ります。

認証および許可の動作を制御するポリシーの指定

概略手順

1. config t

2. aaa policy system

3. authentication-order {remote [local] | local [remote]}

4. authorization merge-attributes

5. end

6. show aaa policy

詳細手順

例

show aaa policy コマンドのサンプル出力を次に示します。

設定例

この例では、ある会社が 2 つのレベルのセキュリティ管理を使用したセキュリティ構成を必要としているとします。レベルを 2 つにすることにより、管理者は次の操作を実行できます。

• 1 つ目のレベルでは、ユーザが自分のパスワードを忘れた場合や、何度もログイン試行に失敗したことによりアカウントがロックされた場合でも、セキュリティ管理者は、システムによってロックされたユーザのパスワードおよび PIN をリセットできます。このレベルをパスワード リセットと呼びます。

• 2 つ目のレベルでは、セキュリティ管理者は次の操作を行うことにより、システム保護者としての役割を果たすことができます。

– パスワード エージング、アカウント ロックアウト、暗号化、認証、許可、およびアカウンティングなどの問題に対して適切なセキュリティ ポリシーを実装する

– セキュリティ関連の詳細事項やタスクに伴う負荷がエンド ユーザにかかりすぎないようにしながら、ボイスメール メッセージやその他のデータを攻撃者から保護する

– 正規のユーザだけがアクセスできるようにシステムを監視する

– 正規のユーザが抱えている、システムへのアクセスに伴う問題のトラブルシューティングを行う

– ユーザが自分のパスワードを忘れた場合や、何度もログイン試行に失敗したことによりアカウントがロックされた場合に、システムによってロックされたユーザのパスワードおよび PIN をリセットする

このレベルをシステム保護と呼びます。

「特権の設定」で説明した一般的な計画手順と設定手順を利用する場合に、この例のセキュリティ管理レベルを設定すると、次のような結果になります。

• 次の各項目が決定されます。

– 会社用に作成するユーザ特権のレベル数またはカテゴリ数

– ユーザが各特権を使用して実行できる機能

上記のように、パスワード リセットとシステム保護と呼ばれる 2 つのレベルが生成されます。

• 事前定義済みの特権を調べて、それらの中に各セキュリティ レベルに付与しようとしている権限と同じようなものがあるかどうかを確認すると、次のことがわかります。

– manage-passwords という名前の事前定義済みの特権は、システムによってロックされたユーザを救済するのに必要な権限をすべて備えているため、パスワード リセットという名前のセキュリティ レベル用に使用できます。

– また、 manage-passwords 特権は、システム保護という名前のセキュリティ レベルに必要な権限のサブセットを備えている、ユーザの要件に最も合致した事前定義済みの特権です。ただし、システム保護者としての役割を果たすには、追加の操作として security.access 、 security.aaa 、 security.password 、 security.pi n、 system.debug 、および system.view を含める必要があります。詳細については、表 10を参照してください。

• 事前定義済みの特権 manage-passwords を含めて、前述の操作を追加することにより、システム保護セキュリティ レベル用の特権を設定するには、次のコマンドを使用します。

（注） 事前定義済みの特権 manage-passwords を使用できるので、パスワード リセット セキュリティ レベル用の特権を設定する必要はありません。

• password-reset という名前の新しいグループを作成して、 manage-passwords という名前の特権をそのグループに割り当てるには、次のコマンドを使用します。

• system-guardian という名前の新しいグループを作成して、 guardian-privilege という名前の特権を割り当てるには、次のコマンドを使用します。

• 新しいグループに適切なユーザを割り当てて、そのユーザにロールを関連付けます。たとえば、Bob と Ned にパスワード リセット セキュリティ管理レベルの特権を付与し、Ann にシステム保護セキュリティ管理レベルの特権を付与する場合、次のコマンドを使用します。

• これで、この例の設定は完了です。次のコマンドで設定を確認できます。

show group detail groupname password-reset expanded コマンドのサンプル出力を次に示します。

show group detail groupname system-guardian expanded コマンドのサンプル出力を次に示します。

show privilege detail manage-passwords expanded コマンドのサンプル出力を次に示します。

show privilege detail guardian-privilege expanded コマンドのサンプル出力を次に示します。

特権の作成とカスタマイズ

概略手順

1. config t

2. privilege privilege-name create

3. privilege privilege-name description string

4. privilege privilege-name operation operation-name

5. privilege privilege-name member privilege-name2

6. end

7. show operations

8. show operation detail operation-name

9. show privileges

10. show privilege detail privilege-name

詳細手順

例

show operations コマンドのサンプル出力を次に示します。

show operation detail コマンドのサンプル出力を次に示します。

show privileges コマンドのサンプル出力を次に示します。

show privilege detail コマンドのサンプル出力を次に示します。

アカウンティング イベント ログの設定

概略手順

1. config t

2. aaa accounting enable

3. aaa accounting event

4. login

5. logout

6. login-fail

7. config-commands

8. exec-commands

9. system-startup

10. system-shutdown

11. end

12. show aaa accounting event

詳細手順

例

show aaa accounting event コマンドのサンプル出力を次に示します。

コンソール接続を認証に依存させるかどうかの指定

概略手順

1. config t

2. line console

3. login

4. end

詳細手順