Cisco Unified CallManager 4.x での LDAP ディレクトリ統合の保護

ダウンロードオプション

PDF (164.0 KB)
Adobe Reader を使ってさまざまなデバイスで表示
ePub (77.8 KB)
iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
Mobi (Kindle) (79.6 KB)
Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示

Updated: 2009 年 3 月 9 日

Document ID:109804

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポートコンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

概要

このドキュメントでは、次の項目について説明します。

権限を制限するためにいくつかの設定を行うことで、Cisco Unified CallManager（CUCM）との LDAP ディレクトリ統合のセキュリティが向上します。これらの手順により、ディレクトリ統合の既存および新規インストールの両方が向上します。
ディレクトリへのアクセスとディレクトリの管理には、特殊なユーザとグループが必要です。専用ユーザとグループを制限するためオブジェクトに権限が設定され、ディレクトリ統合が更新（既存のインストール）または完了（新規インストール）します。最後に統合が確認されます。

前提条件

使用するコンポーネント

このドキュメントは、Cisco Unified CallManager 4.x に関連しています。

次の手順では Microsoft Active Directory（AD）が使用されていますが、この手順はサポートされているその他のディレクトリ製品にも適用できます。

表記法

ドキュメント表記の詳細は、『シスコテクニカルティップスの表記法』を参照してください。

背景説明

既存のディレクトリを統合する場合

既存のディレクトリを統合するには、次の手順を実行します。

新しいグループ（例：CUCM Directory Group）を作成します。
ディレクトリアクセスのグループ権限を設定します。
既存のディレクトリユーザを新しいグループに移動します。
古いグループからユーザを削除します。メンバーは新しいグループだけに属するメンバーにできます。。
確認を行います。

専用アカウントを使用していない既存のインストールの場合

専用アカウントを使用していない既存のディレクトリ統合では、次の手順を実行します。

新しいユーザ（例：CUCM Directory Manager）を作成します。
このユーザを新しいグループだけに属するメンバーにします。
この新しいユーザを使用するように CUCM を変更します。レジストリと ini ファイルを変更します。
Cisco Tomcat を再起動します。
使用していた元のアカウントのパスワードを変更します。
確認を行います。

新規インストールの場合

ディレクトリ統合の新規インストールの場合は、次の手順を実行します。

新しいグループ（例：CUCM Directory Group）を作成します。
この新しいグループに対して制限を設定します。
新しいユーザ（例：CUCM Directory Manager）を作成します。
Administrator 権限が設定されているグループ（例：Domain Admins）にこの新しいユーザを追加します。
プラグインのインストール時にこの新しいユーザを使用します。
新しく作成した CUCM Directory Group にこのユーザを移動します。
この新しいグループを管理者ユーザのプライマリグループとして設定します。
古いグループからこのユーザを削除します。これで、このユーザは他のどのグループのメンバーでもありません。
確認を行います。

確認

次の手順に従って確認を行います。

ディレクトリサーバのディレクトリに新しいユーザ ccmtest を作成します。
ccmtest ユーザが [CUCM Users] にリストされていることを確認します。
[CUCM User Configuration] ページで ccmtest の PIN を変更します。
ディレクトリでフィールドが更新されていることを確認します。
ディレクトリで ccmtest の [ciscoCCNatCTIUseEnabled] を [True] に変更します。
CUCM で ccmtest の [Enable CTI Application Use] チェックボックスがオンであることを確認します。
ccmtest ユーザを削除します。
LDAP ブラウザに、ツリーの必要な部分だけが表示されていることを確認します。 [Cisco Organizational Unit (OU)] または [Users OU] の外部はすべて表示されていないはずです。

手順の詳細

注: この手順での専用アカウントの名前は CUCM Directory Manager、専用グループの名前は CUCM Directory Group ですが、異なる名前を使用できます。

Microsoft Active Directory（ADUC）の開始

[Start] > [Programs] > [Administrative Tools] > [Active Directory Users and Computers] を選択します。

新しいグループの作成

新しいグループを作成するには、次の手順を実行します。

[Users] コンテナを右クリックします。
[New] > [Group] を選択します。
グループ名、スコープ、およびタイプを入力します（例：CUCM Directory Group、Global、および Security）。
[Next] をクリックします。
[Finish] をクリックします。

ディレクトリアクセスのためのグループアクセス許可の設定

グループには次の権限が付与されている必要があります。

Read/Write/Create all child objects/
   Delete all child objects on the Cisco OU

次の権限がこのオブジェクトとそのすべての子オブジェクトに適用されている必要があります。

Read privileges on the Users OU, 
   Read/Write privileges on the ciscoatGUID,
   ciscoatUserProfile, and ciscoatUserProfileString 
   attributes for all User objects.

Cisco OU の読み取り/書き込み/作成権限の設定

Cisco OU に対して読み取り/書き込み/作成権限を設定するには、次の手順を実行します。

[Cisco] コンテナを右クリックします。
Properties を選択します。
[Security] タブを選択します。
[Advanced] をクリックします。
[Add....] をクリックします。
CCM Directory Group と入力します。
[Apply onto] フィールドを [This object and all child objects] に設定します。
[Read All Properties] の [Allow] をオンにします。
[Write All Properties] の [Allow] をオンにします。
[Create All Child Objects] の [Allow] をオンにします。
[Delete All Child Objects] の [Allow] をオンにします。
[OK] をクリックします。

Users OU の読み取り権限の設定

Users OU に読み取り権限を設定するには、次の手順を実行します。

[Users] コンテナを右クリックします。
Properties を選択します。
[Security] タブを選択します。
[Advanced] をクリックします。
[Add....] をクリックします。
CCM Directory Group と入力します。
[Apply onto] フィールドにユーザオブジェクトを設定します。
[Read All Properties] の [Allow] をオンにします。
[OK] をクリックします。

Cisco 属性の読み取り/書き込み権限の設定

Cisco 属性に対して読み取り/書き込み権限を設定するには、次の手順を実行します。

[Users] コンテナを右クリックします。
Properties を選択します。
[Security] タブを選択します。
[Advanced] をクリックします。
[Add....] をクリックします。
CCM Directory Group と入力します。
[Apply onto] フィールドにユーザオブジェクトを設定します。
[Read ciscoatGUID]、[Read ciscoatUserProfile]、[ReadatUserProfileString] の [Allow] をオンにします。
[Write ciscoatGUID]、[Write ciscoatUserProfile]、[Write atUserProfileString] の [Allow] をオンにします。
[OK] をクリックします。

新しいユーザの作成

新しいユーザを作成するには、次の手順に従います。

[Users] コンテナを右クリックします。
[New] > [User] を選択します。
名前とログオン名を入力します（例：CUCM Directory Manager、ccmdiruser）。
[Password] フィールドと [Confirm Password] フィールドにパスワードを入力します。
[Password Never Expires] チェックボックスをオンにします。
[Next] をクリックします。
[Finish] をクリックします。

新しいグループへのユーザの移動と古いグループからのユーザの削除

新しいグループにユーザを移動して古いグループからユーザを削除するには、次の手順を実行します。

[Users] OU を選択します。
[ccmdiruser] を右クリックし、[Properties] を選択します。
[Member Of] タブを選択します。
[Add....] をクリックします。
CCM Directory Group と入力します。
[OK] をクリックします。
[CCM Directory Group] を選択します。
[Set Primary Group] をクリックします。
古いグループを選択します。
[Remove] をクリックします。

新しいユーザを使用するように CUCM を変更する際に必要な 3 つのステップ

新しいユーザを使用するように CUCM を変更するには、3 つの手順を実行する必要があります。

暗号化されたパスワードを取得します。
レジストリのアカウントとパスワードを設定します。
DC Directory 初期化ファイルでアカウントとパスワードを設定します。

暗号化されたパスワードの取得

注: この手順では説明の目的でパスワード password を使用していますが、これよりも複雑なパスワードを使用する必要があります。

[Start] > [Run] を選択します。
cmd と入力します。
cd C:\dcdsrvr\bin と入力します。
PasswordUtils.cmd password と入力します。

注意： 誤ったレジストリキーを編集したり、レジストリの編集でミスをすると、レジストリを修復するまでシステムが使用できなくなることがあります。変更前にレジストリのバックアップを作成しておく必要があります。続行する前に、必ずレジストリをバックアップから復元する方法を理解しておいてください。サーバレジストリの維持方法についてはこのドキュメントの対象外であるため、その情報についてはシステムのドキュメントを参照してください。

[Start] > [Run] を選択します。
regedit と入力し、[OK] をクリックします。
レジストリ内で \\HKEY_LOCAL_MACHINE\Software\Cisco Systems, Inc.\Directory Configuration を参照します。
右側のペインで、[MGRDN] レジストリキーをダブルクリックします。
ユーザを変更します（例：[Administrator] > [ccmdiruser]）。
[MGRPW] レジストリキーをダブルクリックします。
暗号化されたパスワードを、PasswordUtils ツールから取得した値に変更します。
[Regedit] を終了します。