このドキュメントでは、次の項目について説明します。
権限を制限するためにいくつかの設定を行うことで、Cisco Unified CallManager(CUCM)との LDAP ディレクトリ統合のセキュリティが向上します。 これらの手順により、ディレクトリ統合の既存および新規インストールの両方が向上します。
ディレクトリへのアクセスとディレクトリの管理には、特殊なユーザとグループが必要です。 専用ユーザとグループを制限するためオブジェクトに権限が設定され、ディレクトリ統合が更新(既存のインストール)または完了(新規インストール)します。 最後に統合が確認されます。
このドキュメントに関しては個別の要件はありません。
このドキュメントは、Cisco Unified CallManager 4.x に関連しています。
次の手順では Microsoft Active Directory(AD)が使用されていますが、この手順はサポートされているその他のディレクトリ製品にも適用できます。
ドキュメント表記の詳細は、『シスコ テクニカル ティップスの表記法』を参照してください。
既存のディレクトリを統合するには、次の手順を実行します。
新しいグループ(例:CUCM Directory Group)を作成します。
ディレクトリ アクセスのグループ権限を設定します。
既存のディレクトリ ユーザを新しいグループに移動します。
古いグループからユーザを削除します。 メンバーは新しいグループだけに属するメンバーにできます。。
確認を行います。
専用アカウントを使用していない既存のディレクトリ統合では、次の手順を実行します。
新しいユーザ(例:CUCM Directory Manager)を作成します。
このユーザを新しいグループだけに属するメンバーにします。
この新しいユーザを使用するように CUCM を変更します。 レジストリと ini ファイルを変更します。
Cisco Tomcat を再起動します。
使用していた元のアカウントのパスワードを変更します。
確認を行います。
ディレクトリ統合の新規インストールの場合は、次の手順を実行します。
新しいグループ(例:CUCM Directory Group)を作成します。
この新しいグループに対して制限を設定します。
新しいユーザ(例:CUCM Directory Manager)を作成します。
Administrator 権限が設定されているグループ(例:Domain Admins)にこの新しいユーザを追加します。
プラグインのインストール時にこの新しいユーザを使用します。
新しく作成した CUCM Directory Group にこのユーザを移動します。
この新しいグループを管理者ユーザのプライマリ グループとして設定します。
古いグループからこのユーザを削除します。これで、このユーザは他のどのグループのメンバーでもありません。
確認を行います。
次の手順に従って確認を行います。
ディレクトリ サーバのディレクトリに新しいユーザ ccmtest を作成します。
ccmtest ユーザが [CUCM Users] にリストされていることを確認します。
[CUCM User Configuration] ページで ccmtest の PIN を変更します。
ディレクトリでフィールドが更新されていることを確認します。
ディレクトリで ccmtest の [ciscoCCNatCTIUseEnabled] を [True] に変更します。
CUCM で ccmtest の [Enable CTI Application Use] チェックボックスがオンであることを確認します。
ccmtest ユーザを削除します。
LDAP ブラウザに、ツリーの必要な部分だけが表示されていることを確認します。 [Cisco Organizational Unit (OU)] または [Users OU] の外部はすべて表示されていないはずです。
注: この手順での専用アカウントの名前は CUCM Directory Manager、専用グループの名前は CUCM Directory Group ですが、異なる名前を使用できます。
[Start] > [Programs] > [Administrative Tools] > [Active Directory Users and Computers] を選択します。
新しいグループを作成するには、次の手順を実行します。
[Users] コンテナを右クリックします。
[New] > [Group] を選択します。
グループ名、スコープ、およびタイプを入力します(例:CUCM Directory Group、Global、および Security)。
[Next] をクリックします。
[Finish] をクリックします。
グループには次の権限が付与されている必要があります。
Read/Write/Create all child objects/ Delete all child objects on the Cisco OU
次の権限がこのオブジェクトとそのすべての子オブジェクトに適用されている必要があります。
Read privileges on the Users OU, Read/Write privileges on the ciscoatGUID, ciscoatUserProfile, and ciscoatUserProfileString attributes for all User objects.
Cisco OU に対して読み取り/書き込み/作成権限を設定するには、次の手順を実行します。
[Cisco] コンテナを右クリックします。
Properties を選択します。
[Security] タブを選択します。
[Advanced] をクリックします。
[Add....] をクリックします。
CCM Directory Group と入力します。
[Apply onto] フィールドを [This object and all child objects] に設定します。
[Read All Properties] の [Allow] をオンにします。
[Write All Properties] の [Allow] をオンにします。
[Create All Child Objects] の [Allow] をオンにします。
[Delete All Child Objects] の [Allow] をオンにします。
[OK] をクリックします。
Users OU に読み取り権限を設定するには、次の手順を実行します。
[Users] コンテナを右クリックします。
Properties を選択します。
[Security] タブを選択します。
[Advanced] をクリックします。
[Add....] をクリックします。
CCM Directory Group と入力します。
[Apply onto] フィールドにユーザ オブジェクトを設定します。
[Read All Properties] の [Allow] をオンにします。
[OK] をクリックします。
Cisco 属性に対して読み取り/書き込み権限を設定するには、次の手順を実行します。
[Users] コンテナを右クリックします。
Properties を選択します。
[Security] タブを選択します。
[Advanced] をクリックします。
[Add....] をクリックします。
CCM Directory Group と入力します。
[Apply onto] フィールドにユーザ オブジェクトを設定します。
[Read ciscoatGUID]、[Read ciscoatUserProfile]、[ReadatUserProfileString] の [Allow] をオンにします。
[Write ciscoatGUID]、[Write ciscoatUserProfile]、[Write atUserProfileString] の [Allow] をオンにします。
[OK] をクリックします。
新しいユーザを作成するには、次の手順に従います。
[Users] コンテナを右クリックします。
[New] > [User] を選択します。
名前とログオン名を入力します(例:CUCM Directory Manager、ccmdiruser)。
[Password] フィールドと [Confirm Password] フィールドにパスワードを入力します。
[Password Never Expires] チェックボックスをオンにします。
[Next] をクリックします。
[Finish] をクリックします。
新しいグループにユーザを移動して古いグループからユーザを削除するには、次の手順を実行します。
[Users] OU を選択します。
[ccmdiruser] を右クリックし、[Properties] を選択します。
[Member Of] タブを選択します。
[Add....] をクリックします。
CCM Directory Group と入力します。
[OK] をクリックします。
[CCM Directory Group] を選択します。
[Set Primary Group] をクリックします。
古いグループを選択します。
[Remove] をクリックします。
新しいユーザを使用するように CUCM を変更するには、3 つの手順を実行する必要があります。
暗号化されたパスワードを取得します。
レジストリのアカウントとパスワードを設定します。
DC Directory 初期化ファイルでアカウントとパスワードを設定します。
注: この手順では説明の目的でパスワード password を使用していますが、これよりも複雑なパスワードを使用する必要があります。
[Start] > [Run] を選択します。
cmd と入力します。
cd C:\dcdsrvr\bin と入力します。
PasswordUtils.cmd password と入力します。
注意: 誤ったレジストリ キーを編集したり、レジストリの編集でミスをすると、レジストリを修復するまでシステムが使用できなくなることがあります。 変更前にレジストリのバックアップを作成しておく必要があります。 続行する前に、必ずレジストリをバックアップから復元する方法を理解しておいてください。 サーバ レジストリの維持方法についてはこのドキュメントの対象外であるため、その情報についてはシステムのドキュメントを参照してください。
[Start] > [Run] を選択します。
regedit と入力し、[OK] をクリックします。
レジストリ内で \\HKEY_LOCAL_MACHINE\Software\Cisco Systems, Inc.\Directory Configuration を参照します。
右側のペインで、[MGRDN] レジストリ キーをダブルクリックします。
ユーザを変更します(例:[Administrator] > [ccmdiruser])。
[MGRPW] レジストリ キーをダブルクリックします。
暗号化されたパスワードを、PasswordUtils ツールから取得した値に変更します。
[Regedit] を終了します。
DC Directory ini ファイルでアカウントとパスワードを設定するには、次の手順を実行します。
[Start] > [Run] を選択します。
notepad C: //dcdsrvr/DirectoryConfiguration.ini と入力し、[OK] をクリックします。
ユーザを変更します(例:[Administrator] > [ccmdiruser])。
passwd= の右側の値を、PasswordUtils ツールから取得した暗号化パスワードに変更します。
[File] > [Save] を選択します。
[File] > [Exit] を選択します。
Cisco Tomcat サービスを再起動するには、次の手順を実行します。
[Programs] > [Administrative Tools]> [Services] を選択します。
[Cisco Tomcat] を右クリックし、[Restart] を選択します。
CUCM Directory に一時ユーザ ccmtest が含まれていることを確認するには、次の手順を実行します。
[CUCM Administration] ページから、[User] > [Global Directory] を選択します。
[Search] ボタンを押します。
ユーザ リストに ccmtest ユーザがあることを確認します。
ccmtest ユーザの PIN を変更するには、次の手順を実行します。
[User Information Page] で [ccmtest] を選択します。
[Change...] ボタンをクリックします。
5 桁の PIN を入力します(例:12345)。
[Update] ボタンと [Close] ボタンをクリックします。
ディレクトリ ブラウザを使用して [Cisco OU] を選択します。
[CCN] > [profiles] > [ccm-test-CCNProfile] の順に移動します。
[CiscoCCNatPIN] フィールドに新しい値が示されていることを確認します。
[ciscoCCNatCTIUseEnabled] フィールドを変更するには、次の手順を実行します。
ディレクトリ ブラウザを使用して [Cisco OU] を選択します。
[CCN] > [profiles] > [ccm-test-CCNProfile] の順に移動します。
[ciscoCCNatCTIUseEnabled] を [true] に変更します。
ユーザ ccmtest の [User Configuration] ページを更新します。
[Enable CTI Application Use] チェックボックスがオンであることを確認します。
ccmtest ユーザを削除するには、次の手順に従います。
[Users] OU を選択します。
[ccmtest] を右クリックし、[Delete] を選択します。
確認のために [Yes] をクリックします。