このリリースでは、継続的なセキュリティ機能拡張の一部として、さまざまなセキュリティ関連の機能向上が適用されています。その大半については目に見える変化はありませんが、ユーザーインターフェイスや構成に影響を与える変更もあります。

/tmp/ パスでファイルをアップロードする

ファイルのアップロードプロセスを安全に保つために、/tmp/ パスでファイルをアップロードする必要があります。

たとえば、次のコマンドについて考えてみます。パスの先頭に /tmp/ を使用します。

xcommand Passworddictionarywrite /tmp/random_file

TrafficServer の DOS 保護を有効にする

SIP および EDGE トラフィックカテゴリの新しい接続には、デフォルトのレート制限が設定されています。管理カテゴリもモニタリングキャパシティに含まれており、構成されたレベルを超える接続イベントの可視性とロギングを可能にします。

承認済み暗号化プリミティブとパラメータ

Expressway は SIP サービスの Anonymous Diffie Hellmen（ADH）暗号をサポートしていないため、TC/CE エンドポイントは SIP の証明書を有効にする必要があります（自己署名証明書はオン モードにする必要があります）。

リモート構成を効率化するために、Expressway 用の REST API を利用できます。たとえば、Cisco Prime Collaboration Provisioning などのサードパーティのシステムなどがあります。新機能の追加にあたって、REST API から構成、コマンド、およびステータス情報にアクセスする手段を追加していますが、同時に、以前の Expressway のバージョンで導入された一部の機能に REST API を選択的に改良しています。

API は、RAML を使用して自己記述されており、https://<ipaddress>/api/raml で RAML の定義にアクセスできます。

TLS 検証モード

VCS（ATS）と CUCM/CUP/JabberGuest/UNITY/CMS の間で通信が発生した場合、デフォルトでサーバー証明書の検証が有効になっています。お客様がリリース 14.2 にアップグレードする場合、CUCM/CUP/JabberGuest/UNITY/CMS サーバー証明書の CA が VCS CA 信頼ストアに存在する必要があります。お客様がサーバー証明書の検証を無効/有効にする場合、次のコマンドを使用します。

xConfiguration EdgeConfigServer VerifyOriginServer: OFF/ON

スマート ライセンシングのエクスポートに関するコンプライアンス

2500 以下のエンドポイントへのシグナリング

Note	2500 件の登録/通話/セッションのエクスポート制限は、すべてのお客様に対してデフォルトでオンになっています。これは、すべてのお客様が 2500 を超える暗号化接続を作成できないことを意味します。 エンドポイントへの暗号化されたシグナリングセッションの上限は 2500 です。 製品アクティベーションキー（PAK）ライセンス（オプションキー）は、Cisco Expressway X14.2 リリースから削除されました。 スマートライセンスはデフォルトであり、Expressway-C および Expressway-E の唯一のライセンスモードです。

Important

2 つの暗号化されたシグナリングセッションが同じエンドポイントからのものであるかどうかを判断するのに十分な情報が Expressway にない場合があります。たとえば、Expressway が個別の SIP および XMPP 登録（個別の暗号化されたシグナリングセッション）を認識する Jabber では、それらが単一のエンドポイントからのものかどうかを判断できません。これは二重にカウントされます。 したがって、2200 人の Jabber ユーザがいるお客様は、アップグレードしても問題ないと考えるかもしれません。しかし、X14.2 にアップグレードすると、これは 4400 シグナリングセッションと見なされ、登録とコールが拒否されます。

詳細については、『Cisco Expressway 管理者ガイド（X14.2）』を参照してください。

CDB API アクセスの有効化または無効化

Expressway 製品のセキュリティを考慮して、CDB API へのアクセスはデフォルトで無効にされています。これらは、Web ユーザーインターフェイスまたは REST API を使用して有効または無効にすることができます。REST API（https://%3CIP%20address%3E/api/provisioning/common/cdbrestapiaccess）を使用して、CDB REST API へのアクセスを有効または無効にすることができます。

詳細については、『Cisco Expressway 管理者ガイド（X14.2）』を参照してください。

4+1 および 5+1 冗長モデルのサポート

Expressway は、4+1 および 5+1 冗長モデルをサポートします。クラスタごとに最大 4 つまたは 5 つの Expressway ノードと最大 N+1 の物理冗長性を設定できます。

XCP ルーティングテーブル

この改善により、Extensible Communications Platform（XCP）ルーティングテーブルの内容が表示されます。この内容は、Cisco Jabber に含まれる XCP ルーティング情報の完全なデータダンプです。この情報は、XCP の視点からのデバッグに役立ちます。これは、VCS デバイスの routing.xml ファイルと developer.xcp.jabber ログの両方で使用できます。

さらに、ConnectionManager の情報は、デベロッパーログを通じてデータダンプとして利用することもできます。この情報には、ConnectedSockets および FailedRequests カウンタの状態が表示されます。

このすべての情報は、管理者が、各 Jabber クライアント接続のルーティング情報、接続数、および詳細を確認するのに役立ちます。

電子メール通知の削減

この改善の目的は、何らかの理由で短期間に複数のアラームが発生した場合に、管理者を電子メールでスパミングしないようにすることです。

1 時間以内に同じアラームが 2 回以上発生した場合、電子メールは 1 回だけ送信されます。同じアラームが止み、再び発生した場合は、経過時間に関係なく電子メールが送信されます。当然、これは、管理者がデバイスで電子メール通知を受信するように構成している場合にのみ適用されます。

xCommand FIPS を使用する別の方法

• Expressway シリーズ：エクスポート制御を有効にして（[True] に設定）FIPS をアクティブ化します。これを有効にすると、すべてのコマンド（<leave/enter/status>）が使用可能になります。

• Cisco VCS：[オプションキーの追加] フィールドで（または CLI コマンドを使用して）、[メンテナンス] > [オプションキー] に J00 オプションキーを追加する必要があります。FIPS（<leave/enter/status>）は、JOO オプションキーを追加する前にのみ表示されます。JOO オプションキーは、追加後にのみ使用できます。

Note	Smart Licensing は FIPS に準拠しています。

ECDSA 暗号を RSA より優先

ECDSA 証明書は RSA よりも優先されます。

14.2 以前のバージョンから 14.2 以降のバージョンにアップグレードする場合は、ECDSA よりも RSA 証明書を優先するために、"ECDHE-RSA-AES256-GCM-SHA384:" がデフォルトの暗号リストに追加されていることに注意してください。RSA よりも ECDSA 証明書を優先する場合は、Web UI（[メンテナンス] > [セキュリティ] > [暗号方式]）または CLI コマンド（xConfiguration Ciphers）を使用して、暗号文字列から "ECDHE-RSA-AES256-GCM-SHA384:" を削除します。

TLS 1.3 対応

X14.2 リリース以降、Expressway は SIP およびリバースプロキシ機能のために TLS 1.3 をサポートしています。

自動作成された CE ゾーンステータス

X14.0.2 以前の Expressway バージョンでは、ゾーンプロファイルで [ピア ステータスのモニタ]/[ネイバーモニタ] が [いいえ] に設定されている CE ゾーンのステータスがアクティブであると表示されます。Expressway は CE ゾーンのピアステータスをモニタリングしていないため、より正確なステータス [アドレス解決可能] が示されるためです。

自動作成された UC ゾーンと関連付けられたユニファイド コミュニケーション ゾーン プロファイルはカスタマイズできず、ネイバーモニタを [いいえ] に設定するのは設計によるものです。

Expressway X14.0.2 以降、UC ノード宛ての自動作成された CE（tcp/tls/OAuth）ゾーンは、CSCup29823 の修正に従って、ステータスを [アドレス解決可能] と表示します。

トラフィックサーバーが証明書の検証を強制する

Important

X14.0.2 より前のリリースから X14.2 にアップグレードする前に、次の証明書の要件が満たされていることを確認してください。

X14.0.2 以降の Expressway のトラフィック サーバー サービスの改善により、MRA に対して以下を設定する必要があります。

要件：Expressway-C 証明書に署名した認証局（CA）は、UCM が非セキュアモードの場合でも、Cisco Unified Communications Manager（UCM）の Tomcat-trust および CallManager-trust リストに追加する必要があります。その後で、CUCM 側で次のサービスを再起動します。

• Tomcat サービス

• CallManager サービス

• HA プロキシサービス（Tomcat で TLS を使用している場合）

理由：Expressway のトラフィック サーバー サービスは、サーバー（UCM）が要求するたびに証明書を送信します。これらの要求は、8443 以外のポート（たとえば、ポート 6971、6972 など）で実行されているサービスに対するものです。これにより、UCM が非セキュアモードの場合でも、証明書の検証が強制されます。

詳細については、『Expressway 経由のモバイルおよびリモートアクセス導入ガイド』を参照してください。