aaa authentication {telnet  | ssh | http | serial } console {LOCAL | server_group [LOCAL ]}

http authentication-certificate interface_name [match certificate_map_name]

証明書認証はインターフェイスごとに設定できます。その結果、信頼できるインターフェイスまたは内部インターフェイス上の接続については証明書の提示が不要になります。コマンドを複数回使用すれば、複数のインターフェイス上で証明書認証をイネーブルにできます。

証明書が証明書マップと一致することを要件にするには、match キーワードと証明書マップ名を指定します。マップを設定するには、crypto ca certificate map コマンドを使用します。

http username-from-certificate {primary-attr [secondary-attr] | use-entire-name | use-script } [pre-fill-username ]

デフォルトでは、ASDM は CN OU 属性を使用します。

• primary-attr 引数は、ユーザ名の抽出に使用する属性を指定します。secondary-attr 引数は、オプションで、ユーザ名を抽出するためにプライマリ属性と一緒に使用する追加の属性を指定します。次の属性を使用できます。

  • C：国

  • CN：共通名

  • DNQ：DN 修飾子

  • EA：電子メール アドレス

  • GENQ：世代修飾子

  • GN：名

  • I：イニシャル

  • L：局所性

  • N：名前

  • O：組織

  • OU：組織単位

  • SER：シリアル番号

  • SN：姓

  • SP：都道府県

  • T：役職

  • UID：ユーザ ID

  • UPN：ユーザ プリンシパル名

• use-entire-name キーワードでは DN 名全体を使用します。

• use-script キーワードでは ASDM によって生成された Lua スクリプトを使用します。

• pre-fill-username キーワードでは、認証を求めるプロンプトにユーザ名が事前入力されています。そのユーザ名が最初に入力したものと異なる場合、最初のユーザ名が事前入力された新しいダイアログボックスが表示されます。そこに、認証用のパスワードを入力できます。

aaa authorization exec {authentication-server | LOCAL} [auto-enable]

auto-enable キーワードを設定すると、十分な特権を持つ管理者のログイン時に自動的に特権 EXEC モードが開始されるようになります。auto-enable オプションを設定する前に、SSH または Telnet ログインを設定して認証をイネーブルにするとともに、すべての認証要求が同じ AAA サーバ グループに送信されるようにすることを推奨します（次の例を参照）。

ciscoasa (config)# aaa authentication ssh console RADIUS
ciscoasa (config)# aaa authentication enable console RADIUS
ciscoasa (config)# aaa authorization exec authentication-server auto-enable

aaa authorization http console {authentication-server | LOCAL}

password-policy lifetime days

有効な値は、0 ～ 65536 です。デフォルト値は 0 日です。この場合、パスワードは決して期限切れになりません。

パスワードの有効期限が切れる 7 日前に、警告メッセージが表示されます。パスワードの有効期限が切れると、リモート ユーザのシステム アクセスは拒否されます。有効期限が切れた後アクセスするには、次のいずれかの手順を実行します。

• 他の管理者に username コマンドを使用してパスワードを変更してもらいます。

• 物理コンソール ポートにログインして、パスワードを変更します。

password-policy minimum-changes value

有効な値は、0 ～ 64 文字です。デフォルト値は 0 です

文字マッチングは位置に依存しません。したがって、新しいパスワードで使用される文字が、現在のパスワードのどこにも使用されていない場合に限り、パスワードが変更されたとみなされます。

password-policy minimum-length value

有効な値は、3 ～ 64 文字です。推奨されるパスワードの最小長は 8 文字です。

password-policy minimum-uppercase value

有効な値は、0 ～ 64 文字です。デフォルト値は、最小個数がないことを意味する 0 です。

password-policy minimum-lowercase value

有効な値は、0 ～ 64 文字です。デフォルト値は、最小個数がないことを意味する 0 です。

password-policy minimum-numeric value

有効な値は、0 ～ 64 文字です。デフォルト値は、最小個数がないことを意味する 0 です。

password-policy minimum-special value

有効な値は、0 ～ 64 文字です。特殊文字には、!、@、#、$、%、^、&、*、(、) が含まれます。デフォルト値は、最小個数がないことを意味する 0 です。

password-policy reuse-interval value

以前に使用された 2 ～ 7 個のパスワードと一致するパスワードの再利用を禁止することができます。以前のパスワードは、password-history コマンドを使用して、暗号化された形で各ユーザ名の設定に保存されます。このコマンドをユーザが設定することはできません。

password-policy username-check

password-policy authenticate enable

デフォルト設定はディセーブルです。どちらの方法でも、ユーザはパスワードを変更することができます。

この機能をイネーブルにして、username コマンドを使用してパスワードを変更しようとすると、次のエラー メッセージが表示されます。

ERROR: Changing your own password is prohibited

clear configure username コマンドを使用して自分のアカウントを消去することもできません。消去を試みた場合は、次のエラー メッセージが表示されます。

ERROR: You cannot delete all usernames because you are not allowed to delete yourself

aaa authentication login-history duration days

days を 1 ～ 365 日に設定できます。デフォルトは 90 です。ログイン履歴を無効にするには、no aaa authentication login-history と入力します。

ユーザがログインすると、以下の SSH の例のように、自身のログイン履歴が表示されます。

cugel@10.86.194.108's password:
User cugel logged in to ciscoasa at 21:04:10 UTC Dec 14 2016
Last login: 21:01:44 UTC Dec 14 2016 from ciscoasa console
Successful logins over the last 90 days: 6
Authentication failures since the last login: 0
Type help or '?' for a list of available commands.
ciscoasa>

show aaa login-history [user name]

有効なサーバ グループ プロトコルは RADIUS と TACACS+ です。

aaa accounting command [privilege level] server-tag

privilege level というキーワードと引数のペアは最小特権レベルであり、server-tag 引数は ASA がコマンド アカウンティング メッセージを送信する TACACS+ サーバ グループの名前です。