パスワード暗号化の設定

この章では、Cisco NX-OS デバイスにパスワード暗号化を設定する手順について説明します。

この章は、次の項で構成されています。

AES パスワード暗号化およびプライマリ暗号キーについて

強力で、反転可能な 128 ビットの高度暗号化規格（AES）パスワード暗号化を有効にすることができます。タイプ 6 暗号化とも言います。タイプ 6 暗号化の使用を開始するには、AES パスワード暗号化機能を有効にし、パスワード暗号化および復号化に使用されるプライマリ暗号キーを構成する必要があります。

AES パスワード暗号化を有効にしてプライマリキーを構成すると、タイプ 6 パスワード暗号化を無効にしない限り、サポートされているアプリケーション（現在は RADIUS と TACACS+）の既存および新規作成されたクリアテキストパスワードがすべて、タイプ 6 暗号化の形式で保存されます。また、既存の弱いすべての暗号化パスワードをタイプ 6 暗号化パスワードに変換するように Cisco NX-OS を構成することもできます。

パスワード暗号化の注意事項と制約事項

パスワード暗号化設定時の注意事項と制約事項は次のとおりです。

AES パスワード暗号化機能、関連付けられた暗号化と復号化のコマンド、およびプライマリキーを設定できるのは、管理者権限（network-admin）を持つユーザだけです。
Cisco NX-OS リリース 10.3(3)F 以降、RPM キーチェーンインフラストラクチャは、Cisco Nexus 9000 シリーズプラットフォームスイッチの RPM レガシーキーチェーンの AES パスワード暗号化をサポートします。
タイプ 6 暗号化パスワードを含む構成は、ロールバックに準拠していません。
プライマリキーがなくても AES パスワード暗号化機能を有効にできますが、プライマリキーがシステムに存在する場合だけ暗号化が開始されます。
TACACS+ および RPM レガシーキーチェーンの場合、AES パスワード暗号化機能をイネーブルにし、プライマリキーを設定した後、encryption re-encrypt obfuscated コマンドを実行して、パスワードをタイプ 6 暗号化パスワードに変換する必要があります。
プライマリキーを削除するとタイプ 6 暗号化が停止され、同じプライマリキーが再構成されない限り、既存のすべてのタイプ 6 暗号化パスワードが使用できなくなります。
デバイス設定を別のデバイスに移行するには、他のデバイスに移植する前に設定を復号化するか、または設定が適用されるデバイス上に同じプライマリキーを設定します。
タイプ 6 暗号化は、MACsec キーチェーンおよび RPM レガシーキーチェーンでのみサポートされます。cloudsec キーではサポートされていません。
Cisco NX-OS リリース 9.3(6) 以降、タイプ 6 暗号化パスワードを元の状態に戻すことは、MACsec キーチェーンではサポートされていません。
Cisco NX-OS リリース 10.3(3)F 以降、タイプ 6 暗号化パスワードを元の状態に戻すことは、RPM 汎用キーチェーンではサポートされていません。
タイプ 6 暗号化は、AES パスワード暗号化機能が有効で、プライマリキーが設定されている場合にのみ設定できます。
プライマリキーが構成され、AES パスワード暗号化機能がスイッチで有効になっている場合、キーチェーン infra の下の各 MACsec キーストリング構成は、タイプ 6 暗号化で自動的に暗号化されます。
プライマリキーの設定は、スイッチに対してローカルです。あるスイッチからタイプ 6 に構成された実行データを取得し、別のプライマリキーが設定されている別のスイッチに適用すると、新しいスイッチでの復号化は失敗します。
タイプ 6 暗号化の後にスタートアップ構成を消去し、構成の置換機能を使用すると、プライマリキーが PSS に保存されないため、構成の置換は失敗します。したがって、MACsec タイプ 6 暗号化キー文字列の構成が失われます。
タイプ 6 のキーを構成すると、SKSD が提供する復号コマンドを適用しないと、既存のタイプ 6 の暗号化キー文字列をタイプ 7 の暗号化キー文字列に変更できません。
タイプ 6 暗号化がサポートされていない古いイメージでコールドリブートによってシステムをダウングレードする場合は、コールドリブートを続行する前に設定を取り出す必要があります。これを行わないと、設定が失われます。
システムをダウングレードすると、タイプ 6 の構成は失われます。
ISSD によってシステムをダウングレードすると、機能確認チェックが呼び出され、ダウングレードに進む前に設定を削除するように通知されます。encryption decrypt コマンドを使用して、タイプ 6 暗号化キーをタイプ 7 暗号化キーに変換してから、ダウングレードを続行できます。
ISSU のアップグレード中に、タイプ 7 暗号化キーを含む古いイメージからタイプ 6 暗号化をサポートする新しいイメージに移行する場合、再暗号化が強制されるまで、rpm は既存のキーをタイプ 6 暗号化キーに変換しません。再暗号化を適用するには、encryption re-encrypt obfuscated コマンドを使用します。
タイプ 7 暗号化キーを含む古いイメージからタイプ 6 暗号化をサポートする新しいイメージへの ISSU アップグレード後、古いイメージに保存されている構成ファイル、またはアップグレード後にタイプ 6 に対してパスワードを再暗号化せずに保存された構成ファイルを使用して構成の置換が行われた場合（encryption re-encrypt obfuscated コマンドを使用して）、構成の置換は失敗します。
タイプ 6 暗号化の後にプライマリキーを変更すると、既存のタイプ 6 暗号化キー文字列に対する復号コマンドは失敗します。既存のタイプ 6 キーストリングを削除し、新しいキーストリングを設定する必要があります。
RPM レガシーキーチェーンの場合、タイプ 6 キーストリングは、AES パスワード暗号化機能を有効にしてプライマリキーを設定しなくても構成できますが、これらのタイプ 6 キーストリングは、AES パスワード暗号化機能が有効になり、タイプ 6 キーストリングが生成されたプライマリキーが設定されるまでは使用できません。
Cisco NX-OS リリース 10.3(2)F 以降、DME ペイロードおよび非インタラクティブモードを使用して、プライマリキーを構成できます。

パスワード暗号化のデフォルト設定

次の表に、パスワード暗号化パラメータのデフォルト設定を示します。

表 1. パスワード暗号化パラメータのデフォルト設定
パラメータ	デフォルト
AES パスワード暗号化機能	無効
プライマリ鍵	未設定

パスワード暗号化の設定

ここでは、Cisco NX-OS デバイスでパスワード暗号化を設定する手順について説明します。

プライマリキーの設定および AES パスワード暗号化機能の有効化

タイプ 6 暗号化用のプライマリキーを構成し、高度暗号化規格（AES）パスワード暗号化機能を有効にすることができます。

Cisco NX-OS リリース 10.3(3)F 以降では、RPM レガシーキーチェーンでタイプ 6 暗号化がサポートされています。

Procedure

Command or Action Purpose

Step 1

[no] key config-key ascii [ <new_key> old <old_master_key>]

Example:

switch# key config-key ascii
New Master Key:
Retype Master Key:
{
    "actionLSubj": {
        "attributes": {
            "dn": "sys/action/lsubj-[sys/passwdenc]"
        }
        "children": [{
            "smartcardPasswdEncryptMasterKeyConfigLTask": {
                "attributes": {
                    "adminSt": "start",
                    "dn": "sys/action/lsubj-[sys/passwdenc]/smartcardPasswdEncryptMasterKeyConfigLTask",
                    "key": "ciscociscociscocisco",
                    "oldKey": "test1test1test1test1",
                    "delete": "no",
                    
                    "freq": "one-shot"
                }
            }
        }]
    }
}

プライマリキー（マスターキー）を、AES パスワード暗号化機能で使用するように設定します。プライマリキーは、16 ～ 32 文字の英数字を使用できます。このコマンドの no 形式を使用すると、いつでもプライマリキーを削除できます。

プライマリキーを設定する前に AES パスワード暗号化機能を有効にすると、プライマリキーが設定されていない限りパスワード暗号化が実行されないことを示すメッセージが表示されます。プライマリキーがすでに設定されている場合は、新しいプライマリキーを入力する前に現在のプライマリキーを入力するように求められます。

Note

Cisco NX-OS リリース 10.3(2)F 以降、DME ペイロードおよび非インタラクティブモードを使用して、プライマリキーを構成できます。

Step 2

configure terminal

Example:

switch# configure terminal
switch(config)#

グローバル設定モードを開始します。

Step 3

[no] feature password encryption aes tam

Example:

switch(config)# feature password encryption aes tam

AES パスワード暗号化機能を有効化または無効化します。

Step 4

encryption re-encrypt obfuscated

Example:

switch(config)# encryption re-encrypt obfuscated

既存の単純で脆弱な暗号化パスワードをタイプ 6 暗号化パスワードに変換します。

Step 5

(Optional) show encryption service stat

Example:

switch(config)# show encryption service stat

(Optional)

AES パスワード暗号化機能とプライマリキーの設定ステータスを表示します。

Step 6

copy running-config startup-config

Example:

switch(config)# copy running-config startup-config

実行コンフィギュレーションを、スタートアップコンフィギュレーションにコピーします。

Note

このコマンドは、実行コンフィギュレーションとスタートアップコンフィギュレーションのプライマリキーを同期するために必要です。

既存のパスワードのタイプ 6 暗号化パスワードへの変換

既存の単純で脆弱な暗号化パスワードをタイプ 6 暗号化パスワードに変換できます。

Before you begin

AES パスワード暗号化機能を有効にし、プライマリキーを設定したことを確認します。

Procedure

Command or Action Purpose

Command or Action	Purpose
encryption re-encrypt obfuscated Example: `switch# encryption re-encrypt obfuscated`	既存の単純で脆弱な暗号化パスワードをタイプ 6 暗号化パスワードに変換します。

encryption re-encrypt obfuscated

Example:

switch# encryption re-encrypt obfuscated

既存の単純で脆弱な暗号化パスワードをタイプ 6 暗号化パスワードに変換します。

タイプ 6 暗号化パスワードの元の状態への変換

タイプ 6 暗号化パスワードを元の状態に変換できます。この機能は、macsec キーチェーンではサポートされていません。

Before you begin

プライマリキーを設定したことを確認します。

Procedure

Command or Action Purpose

Command or Action	Purpose
encryption decrypt type6 Example: `switch# encryption decrypt type6 Please enter current Master Key:`	タイプ 6 暗号化パスワードを元の状態に変換します。

encryption decrypt type6

Example:

switch# encryption decrypt type6
Please enter current Master Key:

タイプ 6 暗号化パスワードを元の状態に変換します。

MACsec キーでのタイプ 6 暗号化の有効化

Advanced Encryption Standard（AES）パスワード暗号化機能とも呼ばれるタイプ 6 暗号化機能を使用すると、タイプ 6 暗号化形式で MACsec キーを安全に保存できます。

Cisco NX-OS リリース 9.3(5) 以降では、MACsec 機能をサポートするすべての Cisco Nexus 9000 シリーズスイッチに、タイプ 6 暗号化形式で MACsec キーを保存できます。

手順

	コマンドまたはアクション	目的
ステップ 1	configure terminal 例: `switch# configure terminal switch(config)#`	グローバル設定モードを開始します。
ステップ 2	[no] key config-key ascii 例: `switch(config)# key config-key ascii switch(config)# New Master Key: Switch(config)# Retype Master Key:`	プライマリキー（`マスターキー`）を構成します。
ステップ 3	[no] feature password encryption aes 例: `switch(config)# feature password encryption aes`	AES パスワード暗号化機能を有効化または無効化します。
ステップ 4	key chain `name` macsec 例: `switch(config)# key chain 1 macsec switch(config-macseckeychain)#`	MACSec キーチェーンを作成して MACSec キーのセットを保持し、MACSec キーチェーン設定モードを開始します。
ステップ 5	key `key-id` 例: `switch(config-macseckeychain)# key 1000 switch(config-macseckeychain-macseckey)#`	MAC secキーを作成し、MACsec キー設定モードを開始します。範囲は 1 〜 32 オクテットで、最大サイズは 64 です。AES_128 は 32 ビットで使用され、AES_256 は 64 ビットで使用されます。
ステップ 6	key-octet-string `octet-string` cryptographic-algorithm {AES_128_CMAC \| AES_256_CMAC} 例: `switch(config-macseckeychain-macseckey)# key-octet-string abcdef0123456789abcdef0123456789abcdef0123456789abcdef0123456789 cryptographic-algorithm AES_256_CMAC`	そのキーの octet ストリングを設定します。`octet-string` 引数には、最大 64 文字の 16 進数文字を含めることができます。オクテットキーは内部でエンコードされるため、show running-config macsec コマンドの出力にクリアテキストのキーが現れることはありません。キーオクテット文字列には、次のものが含まれます。 0 暗号化タイプ - 暗号化なし（デフォルト） 6 Encryption Type-Proprietary（Type-6 encrypted） 7 暗号化タイプ - 最大 64 文字の、独自仕様 WORD キーオクテット文列

タイプ 6 暗号化パスワードの削除

Cisco NX-OS デバイスからすべてのタイプ 6 暗号化パスワードを削除できます。

Procedure

Command or Action Purpose

Command or Action	Purpose
encryption delete type6 Example: `switch# encryption delete type6`	すべてのタイプ 6 暗号化パスワードを削除します。

encryption delete type6

Example:

switch# encryption delete type6

すべてのタイプ 6 暗号化パスワードを削除します。

パスワード暗号化の設定の確認

パスワード暗号化の設定情報を表示するには、次の作業を行います。


コマンド	目的
show encryption service stat	AES パスワード暗号化機能とプライマリキーの設定ステータスを表示します。

パスワード暗号化の設定例

次の例は、プライマリキーを作成し、AES パスワード暗号化機能を有効にして、TACACS+ アプリケーションのためのタイプ 6 暗号化パスワードを構成する方法を示しています。

key config-key ascii
  New Master Key:
  Retype Master Key:
configure terminal
feature password encryption aes tam
show encryption service stat
		Encryption service is enabled.
  Master Encryption Key is configured.
  Type-6 encryption is being used.
feature tacacs+
tacacs-server key Cisco123
show running-config tacacs+
  feature tacacs+
  logging level tacacs 5
  tacacs-server key 6 "JDYkqyIFWeBvzpljSfWmRZrmRSRE8syxKlOSjP9RCCkFinZbJI3GD5c6rckJR/Qju2PKLmOewbheAA=="

Cisco Nexus 9000 Series NX-OS セキュリティ構成ガイド、リリース 10.4(x)

偏向のない言語

翻訳について

検索結果

章のタイトル： パスワード暗号化の設定

パスワード暗号化の設定

AES パスワード暗号化およびプライマリ暗号キーについて

パスワード暗号化の注意事項と制約事項

パスワード暗号化のデフォルト設定

パスワード暗号化の設定

プライマリ キーの設定および AES パスワード暗号化機能の有効化

Procedure

Example:

Example:

Example:

Example:

Example:

Example:

既存のパスワードのタイプ 6 暗号化パスワードへの変換

Before you begin

Procedure

Example:

タイプ 6 暗号化パスワードの元の状態への変換

Before you begin

Procedure

Example:

MACsec キーでのタイプ 6 暗号化の有効化

手順

例:

例:

例:

例:

例:

例:

タイプ 6 暗号化パスワードの削除

Procedure

Example:

パスワード暗号化の設定の確認

パスワード暗号化の設定例

このドキュメントは役に立ちましたか?

シスコに問い合わせ

章のタイトル：パスワード暗号化の設定

プライマリキーの設定および AES パスワード暗号化機能の有効化