スイッチベースの認証の設定

デフォルトのパスワードおよびイネーブル レベル

機能	デフォルト設定
イネーブル パスワードおよび イネーブル レベル	パスワードは定義されていません。デフォルトはレベル15です（イネーブルEXECレベル）。パスワードは、コンフィギュレーション ファイル内では暗号化されていない状態です。
イネーブル シークレット パスワードおよびイネーブル レベル	パスワードは定義されていません。デフォルトはレベル15です（イネーブルEXECレベル）。パスワードは、暗号化されてからコンフィギュレーション ファイルに書き込まれます。
回線パスワード	パスワードは定義されていません。

	コマンド	説明
	configure terminal	グローバル コンフィギュレーション モードを開始します。
	enable password password	イネーブルEXECモードのアクセス用に新しいパスワードを定義するか、既存のパスワードを変更します。 デフォルトでは、パスワードは定義されていません。 password には、1〜25文字の英数字のストリングを指定します。ストリングは数字で始めることはできません。大文字/小文字を区別し、スペースを使用できますが、先行スペースは無視されます。疑問符（?）は、パスワードを作成する場合に、疑問符の前にキーの組み合わせCtrl-vを入力すれば使用できます。たとえば、パスワードabc?123を作成するときは、次のようにします。 abc を入力します。 Ctrl-v を入力します。 ?123 を入力します。 システムからイネーブル パスワードを入力するよう求められた場合、疑問符の前にCtrl-vを入力する必要はなく、パスワードのプロンプトにそのままabc?123と入力することができます。
	end	イネーブルEXECモードに戻ります。
	show running-config	設定を確認します。
	copy running-config startup-config	（任意）コンフィギュレーション ファイルに設定を保存します。 イネーブル パスワードは暗号化されず、スイッチのコンフィギュレーション ファイル内では読み取ることができる状態です。

パスワードを削除するには、 no enable password グローバル コンフィギュレーション コマンドを使用します。

次に、イネーブル パスワードを l1u2c3k4y5 に変更する例を示します。パスワードは暗号化されておらず、レベル15のアクセスが与えられます（従来のイネーブルEXECモード アクセス）。

Switch(config)# enable password l1u2c3k4y5

	コマンド	説明
	configure terminal	グローバル コンフィギュレーション モードを開始します。
	enable password [ level level ] { password | encryption-type encrypted- password } または enable secret [ level level ] { password | encryption-type encrypted- password }	イネーブルEXECモードのアクセス用に新しいパスワードを定義するか、既存のパスワードを変更します。 または シークレット パスワードを定義し、非可逆暗号方式を使用して保存します。 （任意） level に指定できる範囲は0〜15です。レベル1が通常のユーザEXECモード権限です。デフォルト レベルは15です（イネーブルEXECモード権限）。 password には、1〜25文字の英数字のストリングを指定します。ストリングは数字で始めることはできません。大文字/小文字を区別し、スペースを使用できますが、先行スペースは無視されます。デフォルトでは、パスワードは定義されていません。 （任意） encryption-type には、シスコ独自の暗号化アルゴリズムであるタイプ5しか利用できません。暗号化タイプを指定する場合は、暗号化されたパスワードを使用する必要があります。この暗号化パスワードは、別のCatalyst 3550スイッチ コンフィギュレーションからコピーしたものです。 暗号化タイプを指定してクリア テキスト パスワードを入力した場合は、再度イネーブルEXECモードを開始することはできません。暗号化されたパスワードが失われた場合は、どのような方法でも回復することはできません。
	service password-encryption	（任意）パスワードを定義するとき、またはコンフィギュレーションを保存するときに、パスワードを暗号化します。 暗号化によって、コンフィギュレーション ファイルのパスワードが読み取り不能になります。
	end	イネーブルEXECモードに戻ります。
	copy running-config startup-config	（任意）コンフィギュレーション ファイルに設定を保存します。

イネーブル パスワードおよびイネーブル シークレット パスワードの両方が定義されている場合、ユーザはイネーブル シークレット パスワードを入力する必要があります。

特定のイネーブル レベルのパスワードを定義するには、 level キーワードを使用します。レベルを指定してパスワードを設定したら、そのレベルでアクセスする必要のあるユーザだけにそのパスワードを渡してください。さまざまなレベルでアクセス可能なコマンドを指定する場合は、 privilege level グローバル コンフィギュレーション コマンドを使用します。詳細については、 複数のイネーブル レベルの設定 を参照してください。

パスワードの暗号化をイネーブルにすると、ユーザ名パスワード、認証鍵パスワード、イネーブル コマンド パスワード、コンソールおよび仮想端末回線パスワードなど、すべてのパスワードに適用されます。

パスワードとレベルを削除するには、 no enable password [ level level ] または no enable secret [ level level ]グローバル コンフィギュレーション コマンドを使用します。パスワードの暗号化をディセーブルにするには、 no service password-encryption グローバル コンフィギュレーション コマンドを使用します。

イネーブル レベル2に対して暗号化パスワード $1$FaD0$Xyti5Rkls3LoyxzS8 を設定する例を示します。

Switch(config)# enable secret level 2 5 $1$FaD0$Xyti5Rkls3LoyxzS8

	コマンド	説明
	configure terminal	グローバル コンフィギュレーション モードを開始します。
	no service password-recovery	パスワード回復をディセーブルにします。 この設定は、フラッシュ メモリのブート ローダーがアクセスできる領域およびIOSイメージに保存されます。ただし、ファイルシステムの領域ではないのでユーザはアクセスできません。
	end	イネーブルEXECモードに戻ります。
	show version	出力の最後の数行を調べて設定を確認します。

パスワード回復を再びイネーブルにするには、 service password-recovery グローバル コンフィギュレーション コマンドを使用します。

パスワード回復のディセーブル化は、 boot manual グローバル コンフィギュレーション コマンドを使用して手動で起動するようにスイッチが設定されている場合は無効です。このコマンドによって、スイッチの電源をいったん切ってから再投入すると、ブート ローダー プロンプト（ switch: ）が自動的に表示されるためです。

	コマンド	説明
		エミュレーション ソフトウェアを備えたPCまたはワークステーションと、スイッチのコンソール ポートを接続します。 コンソール ポートのデフォルトのデータ特性は、9600ボー、8データ ビット、1ストップ ビット、パリティなしです。コマンドライン プロンプトを表示させるため、Returnキーを数回押すこともあります。
	enable password password	イネーブルEXECモードを開始します。
	configure terminal	グローバル コンフィギュレーション モードを開始します。
	line vty 0 15	Telnetセッション（回線）の数を設定し、ライン コンフィギュレーション モードを開始します。 コマンド対応スイッチでは、最大16のセッションが可能です。0および15を指定することは、使用できる16個のTelnetセッションを全部設定することを意味します。
	password password	1つまたは複数の回線のTelnetパスワードを入力します。 password には、1〜25文字の英数字のストリングを指定します。ストリングは数字で始めることはできません。大文字/小文字を区別し、スペースを使用できますが、先行スペースは無視されます。デフォルトでは、パスワードは定義されていません。
	end	イネーブルEXECモードに戻ります。
	show running-config	設定を確認します。 コマンド line vty 0 15 の下にパスワードが表示されます。
	copy running-config startup-config	（任意）コンフィギュレーション ファイルに設定を保存します。

パスワードを削除するには、 no password グローバル コンフィギュレーション コマンドを使用します。

Telnetパスワードを let45me67in89 に設定する例を示します。

Switch(config)# line vty 10

Switch(config-line)# password let45me67in89

	コマンド	説明
	configure terminal	グローバル コンフィギュレーション モードを開始します。
	username name [ privilege level ] { password encryption-type password }	各ユーザのユーザ名、イネーブル レベル、パスワードを入力します。 name には、ユーザIDを1ワードで指定します。スペースや引用符は使用できません。 （任意） level には、アクセス後ユーザに設定するイネーブル レベルを指定します。指定できる範囲は0〜15です。レベル15ではイネーブルEXECモードでのアクセスが可能です。レベル1では、ユーザEXECモードでのアクセスとなります。 encryption-type には、暗号化されていないパスワードがあとに続く場合は0を、暗号化されたパスワードがあとに続く場合は7を指定します。 password には、ユーザがスイッチにアクセスする際に入力する必要のあるパスワードを指定します。パスワードは1〜25文字で、埋め込みスペースを使用でき、 username コマンドの最後のオプションとして指定します。
	line console 0 または line vty 0 15	ライン コンフィギュレーション モードを開始し、コンソール ポート（回線0）またはVTY回線（回線0〜15）を設定します。
	login local	ログイン時のローカル パスワード チェックをイネーブルにします。認証は、ステップ2で指定されたユーザ名に基づきます。
	end	イネーブルEXECモードに戻ります。
	show running-config	設定を確認します。
	copy running-config startup-config	（任意）コンフィギュレーション ファイルに設定を保存します。

特定ユーザのユーザ名認証をディセーブルにするには、 no username name グローバル コンフィギュレーション コマンドを使用します。パスワード チェックをディセーブルにし、パスワードなしでの接続を可能にするには、 no login ライン コンフィギュレーション コマンドを使用します。

コマンドのイネーブル レベルの設定

コマンド モードのイネーブル レベルを設定するには、イネーブルEXECモードで次の手順を実行します。

回線に対するデフォルトのイネーブル レベルの変更

回線に対するデフォルトのイネーブル レベルを変更するには、イネーブルEXECモードで次の手順を実行します。

イネーブル レベルへのログインおよび終了

特定のイネーブル レベルにログインし、特定のイネーブル レベルを終了するには、イネーブルEXECモードで次の手順を実行します。

	コマンド	説明
	enable level	特定のイネーブル レベルにログインします。 level に指定できる範囲は0〜15です。
	disable level	特定のイネーブル レベルを終了します。 level に指定できる範囲は0〜15です。

一般的なTACACS+ネットワーク構成

TACACS+は、AAAセキュリティ サービスによって管理され、次のようなサービスを提供します。

• 認証 ― ログインおよびパスワード ダイアログ、チャレンジおよび応答、メッセージ サポートによって認証の総合的な制御を行います。

認証機能は、ユーザとの対話を実行できます（たとえば、ユーザ名とパスワードが入力されたあと、自宅の住所、母親の旧姓、サービス タイプ、社会保険番号などのいくつかの質問をすることによりユーザを試す）。TACACS+認証サービスは、ユーザ画面にメッセージを送信することもできます。たとえば、会社のパスワード有効期間ポリシーに従い、パスワードの変更の必要があることをユーザに通知することもできます。

• 許可 ― オートコマンド、アクセス制御、セッション期間、プロトコル サポートの設定といった、ユーザ セッション内でのユーザ機能についてきめ細かい制御を行います。また、TACACS+許可機能によって、ユーザが実行できるコマンドを制限することもできます。
• アカウンティング ― 課金、監査、レポートに使用する情報を収集してTACACS+デーモンに送信します。ネットワークの管理者は、アカウンティング機能を使用して、セキュリティ監査のためにユーザの活動状況を追跡したり、ユーザ課金用の情報を提供したりすることができます。アカウンティング レコードには、ユーザID、開始時刻および終了時刻、実行されたコマンド（PPPなど）、パケット数、およびバイト数が含まれます。

TACACS+プロトコルは、スイッチとTACACS+デーモンとの間の認証を行い、スイッチとTACACS+デーモンとの間のプロトコル交換をすべて暗号化することにより機密保持を実現します。

スイッチでTACACS+を使用するには、TACACS+デーモン ソフトウェアが稼働するシステムが必要です。

TACACS+のデフォルト設定

TACACS+とAAAは、デフォルトでディセーブルに設定されています。

セキュリティの失効を防止するため、ネットワーク管理アプリケーションによりTACACS+を設定することはできません。イネーブルに設定されている場合、TACACS+はCLIを使用してスイッチにアクセスするユーザを認証できます。

TACACS+の設定はCLIを使用して行いますが、TACACS+サーバはイネーブル レベル15に設定されたHTTP接続を許可します。

TACACS+サーバ ホストの特定と認証鍵の設定

認証用に1つのサーバを使用することも、また、既存のサーバ ホストをグループ化するためにAAAサーバ グループを使用するよう設定することもできます。設定済みサーバ ホストのサブセットを選択してサーバをグループ化し、特定のサービスに使用することができます。サーバ グループは、グローバル サーバホスト リストと共に使用され、選択されたサーバ ホストのIPアドレスのリストを含んでいます。

IPホストまたはTACACS+サーバを保持するホストを特定し、任意で暗号鍵を設定するには、イネーブルEXECモードで次の手順を実行します。

TACACS+ログイン認証の設定

AAA認証を設定するには、認証方式の名前付きリストを作成してから、さまざまなインターフェイスにそのリストを適用します。方式リストは実行される認証のタイプと実行順序を定義します。このリストを特定のインターフェイスに適用してから、定義済み認証方式を実行する必要があります。唯一の例外はデフォルトの方式リスト（偶然に default と名前が付けられている）です。デフォルトの方式リストは、名前付き方式リストが明示的に定義されたインターフェイスを除いて、自動的にすべてのインターフェイスに適用されます。定義済みの方式リストは、デフォルトの方式リストに優先します。

方式リストは、ユーザ認証のためクエリ送信を行う手順と認証方式を記述したものです。認証に使用する1つまたは複数のセキュリティ プロトコルを指定できるので、最初の方式が失敗した場合のバックアップ システムが確保されます。ソフトウェアは、リスト内の最初の方式を使用してユーザを認証します。その方式で応答が得られなかった場合、ソフトウェアはそのリストから次の方式を選択します。このプロセスは、リスト内の認証方式による通信が成功するか、定義された方式をすべて試すまで続きます。この処理のある時点で認証が失敗した場合（つまり、セキュリティ サーバまたはローカルのユーザ名データベースがユーザ アクセスを拒否すると応答した場合）、認証プロセスは停止し、それ以上認証方式が試行されることはありません。

ログイン認証を設定するには、イネーブルEXECモードで次の手順を実行します。

イネーブルEXECアクセスおよびネットワーク サービス用のTACACS+許可の設定

AAA許可は、ユーザが利用できるサービスを制限します。AAA許可がイネーブルに設定されていると、スイッチはユーザのプロファイルから取得した情報を使用します。このプロファイルは、ローカルのユーザ データベースまたはセキュリティ サーバ上にあり、ユーザのセッションを設定します。ユーザは、ユーザ プロファイル内の情報で認められている場合に限り、要求したサービスのアクセスが認可されます。

aaa authorization グローバル コンフィギュレーション コマンドに tacacs+ キーワードを付けて使用すると、イネーブルEXECモードへのユーザのネットワーク アクセスを制限するパラメータを設定できます。

aaa authorization exec tacacs+ localコマンドは、次の許可パラメータを設定します。

• TACACS+を使用して認証を行った場合は、イネーブルEXECアクセス許可にTACACS+を使用します。
• 認証にTACACS+を使用しなかった場合は、ローカル データベースを使用します。

許可が設定されていても、CLIを使用してログインし、認証されたユーザに対して、許可は省略されます。

イネーブルEXECアクセスおよびネットワーク サービスに関するTACACS+許可を指定するには、イネーブルEXECモードで次の手順を実行します。

TACACS+アカウンティングの開始

AAAアカウンティング機能は、ユーザがアクセスするサービスと、ユーザが消費するネットワーク リソースを追跡します。AAAアカウンティングがイネーブルに設定されていると、スイッチは、アカウンティング レコードの形式でユーザの活動状況をTACACS+セキュリティ サーバに報告します。各アカウンティング レコードには、アカウンティングの属性/値（AV）のペアが含まれ、セキュリティ サーバ上に保存されます。このデータを分析し、ネットワーク管理、クライアントへの課金、または監査に利用できます。

各Cisco IOSイネーブル レベルおよびネットワーク サービスに関するTACACS+アカウンティングをイネーブルにするには、イネーブルEXECモードで次の手順を実行します。

RADIUSからTACACS+サービスへの移行

ACCEPT ― ユーザは認証されます。

1. REJECT ― ユーザは認証されず、ユーザ名とパスワードの再入力を求めるプロンプトが表示されるか、アクセスが拒否されます。
2. CHALLENGE ― ユーザからの追加データが要求されます。
3. CHALLENGE PASSWORD ― ユーザは新しいパスワードを選択するよう要求されます。

ACCEPTまたはREJECT応答には、イネーブルEXECまたはネットワーク許可に使用される追加データがバンドルされています。RADIUS許可がイネーブルになっている場合、ユーザはまず、RADIUS認証に成功しなければRADIUS許可に進めません。ACCEPTまたはREJECTパケットの追加データには、次の項目が含まれています。

• Telnet、SSH、rlogin、またはイネーブルEXECサービス
• 接続パラメータ（ホストまたはクライアントのIPアドレス、アクセス リスト、ユーザ タイムアウトなど）

RADIUSのデフォルト設定

RADIUSとAAAは、デフォルトでディセーブルに設定されています。

セキュリティの失効を防止するため、ネットワーク管理アプリケーション使用してRADIUSを設定することはできません。RADIUSをイネーブルに設定すると、CLIを使用して、スイッチにアクセスするユーザを認証します。

RADIUSサーバ ホストの特定

スイッチとRADIUSサーバ間の通信には、次の要素が関係します。

• ホスト名またはIPアドレス
• 認証宛先ポート
• アカウンティング宛先ポート
• キー ストリング
• タイムアウト時間
• 再送信回数

RADIUSセキュリティ サーバは、ホスト名またはIPアドレス、ホスト名と各UDPポート番号、あるいはIPアドレスと各UDPポート番号で識別されます。IPアドレスとUDPポート番号の組み合わせによって一意の識別子が作成され、特定のAAAサービスを提供するRADIUSホストとしてさまざまなポートを個別に定義できます。この一意の識別子によって、サーバ上の複数のUDPポートに同じIPアドレスでRADIUS要求を送信できるようになります。

同一のRADIUSサーバ上の2つの異なるホスト エントリが同じサービス（たとえば、アカウンティング）を設定している場合、設定された2番目のホスト エントリは、最初のエントリの代替バックアップとして機能します。この例では、最初のホスト エントリがアカウンティング サービスを提供できない場合は、スイッチは、同じデバイス上に設定された2番目のホスト エントリでアカウンティング サービスを試行します（RADIUSのホスト エントリは、設定された順序で試行されます）。

RADIUSサーバおよびスイッチは、共有シークレット テキストを使用してパスワードを暗号化し、応答を交換します。AAAセキュリティ コマンドを使用するようにRADIUSを設定するには、RADIUSサーバ デーモンが稼働するホストと、そのスイッチを共用するシークレット テキスト（キー）ストリングを指定する必要があります。

タイムアウト、再送信回数、および暗号化鍵の値は、すべてのRADIUSサーバに対してグローバルにサーバ単位で設定することも、グローバルな設定とサーバ単位の設定を組み合わせることもできます。この設定を、スイッチと通信するすべてのRADIUSサーバに対してグローバルに適用するには、3つの特別なグローバル コンフィギュレーション コマンド、 radius-server timeout 、 radius-server retransmit 、および radius-server key を使用します。特定のRADIUSサーバにこれらの値を適用するには、 radius-server host グローバル コンフィギュレーション コマンドを使用します。

スイッチにグローバルおよびサーバ単位の両方で機能（タイムアウト、再送信回数、およびキー コマンド）を設定すると、サーバ単位のタイマー、再送信回数、およびキー コマンドは、グローバルのタイマー、再送信、およびキー コマンドを上書きします。すべてのRADIUSサーバに対してこれらの値を設定するには、 すべてのRADIUSサーバに対する設定 を参照してください。

認証用に既存のサーバ ホストをグループ化するために、AAAサーバ グループを使用するようスイッチを設定できます。詳細については、 AAAサーバ グループの定義 を参照してください。

サーバ単位でのRADIUSサーバ通信を設定するには、イネーブルEXECモードで次の手順を実行します。この手順は必須です。

RADIUSログイン認証の設定

AAA認証を設定するには、認証方式の名前付きリストを作成してから、さまざまなインターフェイスにそのリストを適用します。方式リストは実行される認証のタイプと実行順序を定義します。このリストを特定のインターフェイスに適用してから、定義済み認証方式を実行する必要があります。唯一の例外はデフォルトの方式リスト（偶然に default と名前が付けられている）です。デフォルトの方式リストは、名前付き方式リストが明示的に定義されたインターフェイスを除いて、自動的にすべてのインターフェイスに適用されます。

方式リストは、ユーザ認証のためクエリ送信を行う手順と認証方式を記述したものです。認証に使用する1つまたは複数のセキュリティ プロトコルを指定できるので、最初の方式が失敗した場合のバックアップ システムが確保されます。ソフトウェアは、リスト内の最初の方式を使用してユーザを認証します。その方式で応答が得られなかった場合、ソフトウェアはそのリストから次の方式を選択します。このプロセスは、リスト内の認証方式による通信が成功するか、定義された方式をすべて試すまで続きます。この処理のある時点で認証が失敗した場合（つまり、セキュリティ サーバまたはローカルのユーザ名データベースがユーザ アクセスを拒否すると応答した場合）、認証プロセスは停止し、それ以上認証方式が試行されることはありません。

ログイン認証を設定するには、イネーブルEXECモードで次の手順を実行します。この手順は必須です。

AAAサーバ グループの定義

認証用に既存のサーバ ホストをグループ化するために、AAAサーバ グループを使用するようスイッチを設定できます。設定済みサーバ ホストのサブセットを選択し、特定のサービスに使用できます。サーバ グループには、グローバル サーバホスト リストを使用します。このリストは、選択したサーバ ホストのIPアドレスのリストです。

サーバ グループには、各エントリが一意の識別子（IPアドレスとUDPポート番号の組み合わせ）を持っていれば、同じサーバに対して複数のホスト エントリを組み込むことができます。また、特定のAAAサービスを提供するRADIUSホストとして、さまざまなポートを個別に定義できます。同一のRADIUSサーバ上の2つの異なるホスト エントリを同じサービス（たとえば、アカウンティング）を設定すると、設定された2番目のホスト エントリは、最初のエントリの代替バックアップとして機能します。

定義済みのグループ サーバに特定のサーバを対応づけるには、 server グループ サーバ コンフィギュレーション コマンドを使用します。IPアドレスでサーバを特定したり、任意の auth-port および acct-port キーワードを使用して複数のホスト インスタンスまたはエントリを識別することもできます。

AAAサーバ グループを定義して特定のRADIUSサーバに対応づけるには、イネーブルEXECモードで次の手順を実行します。

ユーザ イネーブル アクセスおよびネットワーク サービス用のRADIUS許可の設定

AAA許可は、ユーザが利用できるサービスを制限します。AAA許可がイネーブルに設定されていると、スイッチはユーザのプロファイルから取得した情報を使用します。このプロファイルは、ローカルのユーザ データベースまたはセキュリティ サーバ上にあり、ユーザのセッションを設定します。ユーザは、ユーザ プロファイル内の情報で認められている場合に限り、要求したサービスのアクセスが認可されます。

aaa authorization グローバル コンフィギュレーション コマンドに radius キーワードを付けて使用すると、イネーブルEXECモードへのユーザのネットワーク アクセスを制限するパラメータを設定できます。

aaa authorization exec radius localコマンドは、次の許可パラメータを設定します。

• RADIUSを使用して認証を行った場合は、イネーブルEXECアクセス許可にRADIUSを使用します。
• 認証にRADIUSを使用しなかった場合は、ローカル データベースを使用します。

許可が設定されていても、CLIを使用してログインし認証されたユーザに対して、許可は省略されます。

イネーブルEXECアクセスおよびネットワーク サービスに関するRADIUS許可を指定するには、イネーブルEXECモードで次の手順を実行します。

RADIUSアカウンティングの開始

AAAアカウンティング機能は、ユーザがアクセスするサービスと、ユーザが消費するネットワーク リソースを追跡します。AAAアカウンティングがイネーブルに設定されていると、スイッチは、アカウンティング レコードの形式でユーザの活動状況をRADIUSセキュリティ サーバに報告します。各アカウンティング レコードには、アカウンティングの属性/値（AV）のペアが含まれ、セキュリティ サーバ上に保存されます。このデータを分析し、ネットワーク管理、クライアントへの課金、または監査に利用できます。

各Cisco IOSイネーブル レベルおよびネットワーク サービスに関するRADIUSアカウンティングをイネーブルにするには、イネーブルEXECモードで次の手順を実行します。

すべてのRADIUSサーバに対する設定

スイッチとすべてのRADIUSサーバ間のグローバル通信コンフィギュレーションを設定するには、イネーブルEXECモードで次の手順を実行します。

ベンダー固有のRADIUSアトリビュート用にスイッチを設定する方法

Internet Engineering Task Force（IETF）ドラフト規格では、ベンダー固有のアトリビュート（アトリビュート26）を使用して、スイッチとRADIUSサーバとの間のベンダー固有情報の通信方式を定めています。Vendor-Specific Attribute（VSA）を使用すると、ベンダーは、汎用に適さない独自の拡張アトリビュートをサポートできます。シスコの実装RADIUSでは、仕様で推奨されたフォーマットを使用して1つのベンダー固有オプションをサポートします。シスコのベンダーIDは9で、サポート対照のオプションにはベンダータイプ1が設定されており、 cisco-avpair と名前が付けられています。この値は次のフォーマットのストリングです。

protocol : attribute sep value *

Protocol は、特定のタイプの許可に対応するシスコ プロトコル アトリビュートの値です。 Attribute と value は、シスコTACACS+仕様で定義されている適正な属性/値（AV）のペアです。 sep は、必須アトリビュートの場合は「 = 」、オプションのアトリビュートの場合は「 * 」です。TACACS+許可で利用できるすべての機能は、RADIUSにも使用できます。

たとえば、次のAVペアは、IP許可時（PPPのIPCPアドレス割り当て時）に、シスコの 複数の名前付きIPアドレスプール 機能をアクティブにします。

cisco-avpair= "ip:addr-pool=first"

次の例は、スイッチからログインしているユーザに、イネーブルEXECコマンドへの直接アクセスを可能にする方法を示します。

cisco-avpair= "shell:priv-lvl=15"

次の例は、RADIUSサーバ データベース内の許可VLANを指定する方法を示しています。

cisco-avpair= "tunnel-type(#64)=VLAN(13)"

cisco-avpair= "tunnel-medium-type(#65)=802 media(6)"

cisco-avpair= "tunnel-private-group-ID(#81)=vlanid"

次の例は、この接続中にASCII形式の入力ACLをインターフェイスに適用する方法を示しています。

cisco-avpair= "ip:inacl#1=deny ip 10.10.10.10 0.0.255.255 20.20.20.20 255.255.0.0"

cisco-avpair= "ip:inacl#2=deny ip 10.10.10.10 0.0.255.255 any"

cisco-avpair= "mac:inacl#3=deny any any decnet-iv"

次の例は、この接続中にASCII形式の出力ACLをインターフェイスに適用する方法を示しています。

cisco-avpair= "ip:outacl#2=deny ip 10.10.10.10 0.0.255.255 any"

その他のベンダーにも、独自に一意のベンダーID、オプション、および対応するVSAが割り当てられます。ベンダーIDとVSAの詳細については、RFC 2138「Remote Authentication Dial-In User Service (RADIUS)」を参照してください。

VSAを認識して使用するようにスイッチを設定するには、イネーブルEXECモードで次の手順を実行します。

ベンダー独自のRADIUSサーバ通信用にスイッチを設定する方法

RADIUSに関するIETFドラフト規格では、スイッチとRADIUSサーバとの間のベンダー独自情報の通信方式を規定していますが、一部のベンダーは、独自の方法でRADIUSアトリビュートを機能拡張しています。Cisco IOSソフトウェアは、ベンダー独自仕様のRADIUSアトリビュートのサブセットをサポートします。

前述したように、RADIUS（ベンダー独自またはIETFのドラフト準拠）を設定するには、RADIUSサーバ デーモンが稼働しているホスト、およびスイッチと共有するシークレット テキスト ストリングを指定する必要があります。RADIUSホストおよびシークレット テキスト ストリングを指定するには、 radius-server グローバル コンフィギュレーション コマンドを使用します。

ベンダー独自のRADIUSサーバ ホスト、および共有シークレット テキスト ストリングを指定するには、イネーブルEXECモードで次の手順を実行します。

Kerberosの用語

用語	定義
認証	ユーザやサービスが他のサービスに対して自分自身の身元を証明する手順。たとえば、クライアントはスイッチに対して認証を得、、スイッチは他のスイッチに対して認証を得ます。
許可	ネットワークやスイッチにおいてユーザがどのような権限を有していて、またどのような動作を実行できるかを、スイッチが決定する手段。
証明書	認証チケット（TGT 1 やサービス証明書など）を表す総称。Kerberos証明書で、ユーザまたはサービスのIDを検証します。ネットワーク サービスがチケットを発行したKerberosサーバを信頼することにした場合、ユーザ名やパスワードを再入力する代わりにこれを使用できます。証明書の有効期限は、8時間がデフォルトの設定です。
インスタンス	Kerberosプリンシパルの認証レベル ラベル。ほとんどのKerberosプリンシパルは、「 user@REALM 」という形式です（たとえば、 smith@EXAMPLE.COM）。KerberosインスタンスのあるKerberosプリンシパルは、「 user/instance@REALM 」という形式です（たとえば、smith/admin@EXAMPLE.COM）。Kerberosインスタンスは、認証が成功した場合のユーザの許可レベルを指定するのに使用できます。各ネットワーク サービスのサーバは、Kerberosインスタンスの許可マッピングを適用し実行できますが、必須ではありません。 Kerberosプリンシパル名およびインスタンス名はすべて小文字で なければなりません 。 Kerberosレルム名はすべて大文字で なければなりません 。
KDC 2	ネットワーク ホストで稼働するKerberosサーバおよびデータベース プログラムで構成される鍵発行局。
Kerberos対応	Kerberos証明書のインフラストラクチャをサポートするために変更されたアプリケーションやサービスのことを指す用語。
Kerberosレルム	Kerberosサーバに登録されたユーザ、ホスト、およびネットワーク サービスで構成されるドメイン。Kerberosサーバを信頼して、ユーザまたはネットワークサービスに対する別のユーザまたはネットワーク サービスのIDを検証します。 Kerberosレルム名はすべて大文字で なければなりません 。
Kerberosサーバ	ネットワーク ホストで稼働しているデーモン。ユーザおよびネットワーク サービスはそれぞれKerberosサーバにIDを登録します。ネットワーク サービスはKerberosサーバにクリエを送信して、他のネットワーク サービスの認証を得ます。
KEYTAB 3	ネットワーク サービスがKDCと共有するパスワード。Kerberos 5以降のバージョンでは、ネットワーク サービスはKEYTABを使って暗号化されたサービス証明書を暗号解除して認証します。Kerberos5以前のバージョンでは、KEYTABはSRVTAB 4 と呼びます。
プリンシパル	Kerberos IDとも呼ばれ、Kerberosサーバに基づき、ユーザが誰であるか、サービスが何であるかを表します。 Kerberosプリンシパル名はすべて小文字で なければなりません 。
サービス証明書	ネットワーク サービスの証明書。KDCから証明書が発行されると、ネットワーク サービスとKDCが共有するパスワードで暗号化されます。ユーザTGTともパスワードを共有します。
SRVTAB	ネットワーク サービスがKDCと共有するパスワード。Kerberos 5以降のバージョンでは、SRVTABはKEYTABと呼びます。
TGT	身分証明書のことで、KDCが認証済みユーザに発行する証明書。TGTを受け取ったユーザは、KDCが表したKerberosレルム内のネットワーク サービスに対して認証を得ることができます。

境界スイッチに対する認証の取得

ここでは、リモート ユーザが通過しなければならない最初のセキュリティ レイヤについて説明します。ユーザは、まず境界スイッチに対して認証を得なければなりません。リモート ユーザが境界スイッチに対して認証を得る際、次のプロセスが発生します。

1. ユーザが境界スイッチに対して、Kerberos未対応のTelnet接続を開始します。
2. ユーザ名とパスワードの入力を求めるプロンプトをスイッチが表示します。
3. スイッチが、このユーザのTGTをKDCに要求します。
4. KDCがユーザIDを含む暗号化されたTGTをスイッチに送信します。
5. スイッチは、ユーザが入力したパスワードを使ってTGTの暗号解除を試行します。暗号解除に成功したら、ユーザはスイッチに対して認証を得ます。暗号解除に成功しない場合、ステップ2から手順をやり直します。

Kerberos未対応のTelnetセッションを開始し、境界スイッチの認証を得ているリモート ユーザはファイアウォールの内側にいますが、ネットワーク サービスにアクセスする前にKDCから直接認証を得る必要があります。ユーザがKDCから認証を得なければならないのは、KDCが発行するTGTはスイッチに保存されていて、ユーザがスイッチにログオンしないと追加の認証に使えないからです。

KDCからのTGTの取得

ここでは、リモート ユーザが通過しなければならない2番目のセキュリティ レイヤについて説明します。ユーザは、ネットワークにアクセスするために、ここでKDCの認証を得てKDCからTGTを取得しなければなりません。

KDCに対して認証を得る方法については、『 Cisco IOS Security Configuration Guide 』Release 12.1の「Security Server Protocols」の章にある「Obtaining a TGT from a KDC」を参照してください。URLは次の通りです。

http://www.cisco.com/univercd/cc/td/doc/product/software/ios121/121cgcr/secur_c/scprt2/scdkerb.htm#xtocid154005 .

ネットワークに対する認証の取得

ここでは、リモート ユーザが通過しなければならない3番目のセキュリティ レイヤについて説明します。TGTを持つユーザは、ここでKerberosレルム内のネットワーク サービスに対して認証を得なければなりません。

ネットワーク サービスに対して認証を得る方法については、『 Cisco IOS Security Configuration Guide 』Release 12.1の「Security Server Protocols」の章にある「Authenticating to Network Services」を参照してください。URLは次のとおりです。

http://www.cisco.com/univercd/cc/td/doc/product/software/ios121/121cgcr/secur_c/scprt2/scdkerb.htm#xtocid154006 .