Cisco APIC NX-OS スタイル コマンドライン インターフェイス コンフィギュレーション ガイド

偏向のない言語

この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。

翻訳について

このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。

マニュアルのコンテンツ
このマニュアル内で検索
ご利用いただける言語
Download Options

Book Title

Cisco APIC NX-OS スタイル コマンドライン インターフェイス コンフィギュレーション ガイド

Chapter Title

セキュリティの設定

検索結果

Updated:
2017年6月1日

章のタイトル： セキュリティの設定

セキュリティの設定について

アクセス コントロールは、ネットワーク サーバへのアクセスを許可するユーザと、アクセスしたユーザに使用を許可するサービスを制御する手段です。認証、許可、アカウンティング（AAA）ネットワーク セキュリティ サービスは、APIC 上でアクセス コントロールを設定するための基本的なフレームワークを提供します。

AAA 設定の概要

AAA を使用した APIC のセキュリティを設定するには、このプロセスの通りにします。

  1. 別のセキュリティ サーバを使用するには、radius-server、ldap-server、または tacacs-server 設定コマンドを使用して、セキュリティプロトコルのパラメータを設定します。

  2. 認証の方式リストを定義するには、aaa authenticationコマンドを使用します。

  3. 必要に応じて、方式リストを特定のインターフェイスまたは回線に適用します。

  4. （オプション）aaa authentication コマンドを使用して認証を設定します。

ローカル パスワードによるログイン認証

APIC が認証にローカル ユーザ名データベースを使用するように指定するには、method引数を指定した aaa authentication login コマンドを使用します。たとえば、他の方式リストが定義されていない場合にログイン時のユーザ認証方式としてローカル ユーザ名データベースを指定するには、次のコマンドを入力します。

apic1# configure
apic1(config)# aaa authentication login default
apic1(config-default)# realm local

ローカルのユーザ名データベースにユーザを追加する方法の詳細については、「ローカルで認証されたユーザの設定」の項を参照してください。

リモート サーバによるログイン認証

ログイン認証方式として RADIUS または TACACS+ または LDAP を指定するには、server radius 方式または server tacacs 方式または server ldap 方式を指定して aaa authentication login コマンドを使用します。たとえば、他の方式リストが定義されていない場合にログイン時のユーザ認証方式として RADIUS を指定するには、次のコマンドを入力します。

apic1# configure
apic1(config)# aaa authentication login default
apic1(config-default)# realm radius

ログイン認証方式として RADIUS を使用するには、RADIUS セキュリティ サーバとの通信をイネーブルにしておく必要があります。TACACS+ または LDAP も同様です。リモート セキュリティ サーバとの通信の確立に関する詳細については、該当する章を参照してください。

  • 「RADIUS サーバの設定」

  • 「TACACS+ サーバの設定」

  • 「LDAP サーバの設定」

AAA の設定

手順
      コマンドまたはアクション 目的
    ステップ 1 configure


    例： 
    apic1# configure
     

    グローバル コンフィギュレーション モードを開始します。

     
    ステップ 2 aaaauthenticationloginconsole


    例： 
    apic1(config)# aaa authentication login console
     

    ユーザがコンソールから APIC にアクセスする際のコンソール コンフィギュレーション モードを開始します。

     
    ステップ 3 [no]realm {ldap | local | radius | tacacs}


    例： 
    apic1(config-console)# realm radius
     

    認証方式を指定します。

     
    ステップ 4 [no]groupgroup-name


    例： 
    apic1(config-console)# group radiusGroup5
     

    認証サーバ グループを指定します。

     
    ステップ 5 exit


    例： 
    apic1(config-console)# exit
     

    グローバル コンフィギュレーション モードに戻ります。

     
    ステップ 6 aaaauthenticationlogindefault


    例： 
    apic1(config)# aaa authentication login default
     

    デフォルトのログイン認証の設定モードを開始します。

     
    ステップ 7 [no]realm {ldap | local | radius | tacacs}


    例： 
    apic1(config-default)# realm radius
     

    認証方式を指定します。

     
    ステップ 8 [no]groupgroup-name


    例： 
    apic1(config-default)# group radiusGroup
     

    認証サーバ グループを指定します。

     
    ステップ 9 exit


    例： 
    apic1(config-default)# exit
     

    グローバル コンフィギュレーション モードに戻ります。

     
    ステップ 10 aaaauthenticationlogindomain {domain-name | fallback}


    例： 
    apic1(config)# aaa authentication login domain cisco
     

    デフォルトのログイン認証の設定モードを開始します。ログイン ドメインは、ユーザの認証ドメインを指定します。

     
    ステップ 11 [no]realm {ldap | local | none | radius | tacacs}


    例： 
    apic1(config-domain)# realm radius
     

    認証方式を指定します。

     
    ステップ 12 [no]groupgroup-name


    例： 
    apic1(config-domain)# group radiusGroup
     

    認証サーバ グループを指定します。

     
    ステップ 13 exit


    例： 
    apic1(config-domain)# exit
     

    グローバル コンフィギュレーション モードに戻ります。

     
    ステップ 14 aaabannertext


    例： 
    apic1(config)# aaa banner 'Welcome to APIC'
     

    ユーザ ログインの前に表示する情報のバナーを指定します。バナーは、単一引用符で囲む必要があります。

     
    ステップ 15 aaagroup {ldap | radius | tacacs} group-name


    例： 
    apic1(config)# aaa group radius radiusGroup
     

    認証サーバ グループを作成または設定します。

     
    ステップ 16 [no]server {ip-address | hostname} prioritypriority-number


    例： 
    apic1(config-radius)# server 192.0.20.71 priority 2
     

    認証サーバをサーバ グループに追加し、サーバ グループ内の優先度を指定します。0 ～ 17 の優先度を指定できます。

     
    ステップ 17 exit


    例： 
    apic1(config-radius)# exit
     

    グローバル コンフィギュレーション モードに戻ります。

     
    ステップ 18 aaascvmm-certificatecertificate-name


    例： 
    apic1(config)# aaa scvmm-certificate myScvmmCert
     

    SCVMM の証明書を指定します。『Cisco ACI Virtualization Guide』を参照してください。

     
    ステップ 19 aaauserdefault-role {assign-default-role | no-login}


    例： 
    apic1(config)# aaa user default-role assign-default-role
     

    APIC にログインしようとするユーザ ロールを持たないリモート ユーザの対処法を指定します。次のいずれかのオプションを選択できます。

    • assign-default-role：ユーザ ロールを持たないリモート ユーザには、デフォルト ロールが割り当てられます。

    • no-login：ユーザ ロールを持たないリモート ユーザはログインできません。

     
    ステップ 20 showaaaauthentication


    例： 
    apic1(config)# show aaa authentication
     

    AAA 方式の設定を表示します。

     
    ステップ 21 showaaagroups


    例： 
    apic1(config)# show aaa groups
     

    AAA サーバ グループの設定を表示します。

     

    例

    この例では、AAA を設定する方法を示します。

    apic1# configure terminal 
apic1(config)# aaa authentication login console
apic1(config-console)# realm local
apic1(config-console)# exit
apic1(config)# aaa authentication login default
apic1(config-default)# realm radius
apic1(config-default)# group radiusGroup5
apic1(config-default)# exit
apic1(config)# aaa authentication login domain cisco
apic1(config-domain)# realm none
apic1(config-domain)# exit
apic1(config)# aaa banner 'Welcome to APIC'
apic1(config)# aaa group radius radiusGroup
apic1(config-radius)# server 192.0.20.71 priority 2
apic1(config-radius)# exit
apic1(config)# aaa user default-role assign-default-role
apic1(config)# show aaa authentication
Default : radius
Console : local

apic1(config)# show aaa groups
Total number of Groups : 1

RadiusGroups : radiusGroup5
TacacsGroups :
LdapGroups   :

    RADIUS サーバの設定

    手順
        コマンドまたはアクション 目的
      ステップ 1 configure


      例： 

      apic1# configure
       

      グローバル コンフィギュレーション モードを開始します。

       
      ステップ 2 [no]radius-serverretriescount


      例： 
      apic1(config)# radius-server retries 1
       

      APIC からサーバに対して、各 RADIUS 要求を送信する回数の上限を指定します。指定できる範囲は 0 ～ 5 です。

      グローバル コンフィギュレーション モードでは、特定の RADIUS ホスト設定で上書きされない限り、このコマンドはすべての RADIUS サーバに適用されます。

       
      ステップ 3 [no]radius-servertimeoutseconds


      例： 
      apic1(config)# radius-server timeout 5
       

      APIC が RADIUS 要求を再送信する前に応答を待機する秒数を指定します。

      グローバル コンフィギュレーション モードでは、特定の RADIUS ホスト設定で上書きされない限り、このコマンドはすべての RADIUS サーバに適用されます。

       
      ステップ 4 [no]radius-serverhost {ip-address | hostname}


      例： 
      apic1(config)# radius-server host 192.0.20.71
       

      RADIUS サーバの IP アドレスまたはホスト名を指定します。

       
      ステップ 5 [no]retriescount


      例： 
      apic1(config-host)# retries 2
              		（任意）

      この RADIUS サーバにおいて、APIC からサーバに対して、各 RADIUS 要求を送信する回数の上限を指定します。指定できる範囲は 0 ～ 5 です。

      再試行回数が設定されていない場合、グローバル値が使用されます。

       
      ステップ 6 [no]timeoutseconds


      例： 
      apic1(config-host)# timeout 3
              		（任意）

      この RADIUS サーバにおいて、APIC が RADIUS 要求を再送信する前に応答を待機する秒数を指定します。

      タイムアウト値が設定されていない場合は、グローバル値が使用されます。

       
      ステップ 7 [no]descrtext


      例： 
      apic1(config-host)# descr "My primary RADIUS server"
              		（任意）

      この RADIUS サーバに関する説明の情報を提供します。テキストには 128 文字以内の英数字を使用できます。テキストでスペースを含める場合は、単一または二重の引用符で囲む必要があります。

       
      ステップ 8 [no]keykey-value


      例： 
      apic1(config-host)# key myRaDiUSpassWoRd
       

      APIC とこの RADIUS サーバの間で認証用に使用される共有秘密テキスト文字列を指定します。キーの文字数は最大 32 文字です。

       
      ステップ 9 [no]portport-number


      例： 
      apic1(config-host)# port 1812
       

      認証用にのみ使用されるこの RADIUS サーバの UDP ポートを指定します。

       
      ステップ 10 [no]protocol {chap | mschap | pap}


      例： 
      apic1(config-host)# protocol pap
       

      認証用の RADIUS サーバ プロトコルを指定します。

       
      ステップ 11 exit


      例： 
      apic1(config-host)#
       

      グローバル コンフィギュレーション モードに戻ります。

       
      ステップ 12 showradius-server


      例： 
      apic1(config)# show radius-server
       

      （任意）RADIUS サーバ情報を表示します。

       

      例

      次に、1 つの RADIUS サーバとグローバルに RADIUS の設定を行う例を示します。

      apic1# configure 
apic1(config)# radius-server retries 1
apic1(config)# radius-server timeout 5
apic1(config)# radius-server host 192.0.20.71
apic1(config-host)# retries 2
apic1(config-host)# timeout 3
apic1(config-host)# descr "My primary RADIUS server"
apic1(config-host)# key myRaDiUSpassWoRd
apic1(config-host)# port 1812
apic1(config-host)# protocol pap
apic1(config-host)# exit
apic1(config)# show radius-server
timeout : 5
retries : 1

Total number of servers : 1

Hostname : 192.0.20.71
Port     : 1812
Protocol : pap
Timeout  : 3
Retries  : 2
User     : test
Descr    : My primary RADIUS server

      TACACS+ サーバの設定

      手順
          コマンドまたはアクション 目的
        ステップ 1 configure


        例： 

        apic1# configure
         

        グローバル コンフィギュレーション モードを開始します。

         
        ステップ 2 [no]tacacs-serverretriescount


        例： 
        apic1(config)# tacacs-server retries 1
         

        APIC からサーバに対して、各 TACACS+ 要求を送信する回数の上限を指定します。指定できる範囲は 0 ～ 5 です。

        グローバル コンフィギュレーション モードでは、特定の TACACS+ ホスト設定で上書きされない限り、このコマンドはすべての TACACS+ サーバに適用されます。

         
        ステップ 3 [no]tacacs-servertimeoutseconds


        例： 
        apic1(config)# tacacs-server timeout 5
         

        APIC が TACACS+ 要求を再送信する前に応答を待機する秒数を指定します。

        グローバル コンフィギュレーション モードでは、特定の TACACS+ ホスト設定で上書きされない限り、このコマンドはすべての TACACS+ サーバに適用されます。

         
        ステップ 4 [no]tacacs-serverhost {ip-address | hostname}


        例： 
        apic1(config)# tacacs-server host 192.0.20.71
         

        TACACS+ サーバの IP アドレスまたはホスト名を指定します。

         
        ステップ 5 [no]retriescount


        例： 
        apic1(config-host)# retries 2
                  		（任意）

        この TACACS+ サーバにおいて、APIC からサーバに対して、各 TACACS+ 要求を送信する回数の上限を指定します。指定できる範囲は 0 ～ 5 です。

        再試行回数が設定されていない場合、グローバル値が使用されます。

         
        ステップ 6 [no]keykey-value


        例： 
        apic1(config-host)# key myTaCaCspassWoRd
         

        APIC とこの TACACS+ サーバの間で認証用に使用される共有秘密テキスト文字列を指定します。キーの文字数は最大 32 文字です。

         
        ステップ 7 [no]portport-number


        例： 
        apic1(config-host)# port 49
         

        TACACS+ アカウンティング メッセージ用に使用されるこの TACACS+ サーバの UDP ポートを指定します。

         
        ステップ 8 [no]protocol {chap | mschap | pap}


        例： 
        apic1(config-host)# protocol pap
         

        認証用の TACACS+ サーバ プロトコルを指定します。

         
        ステップ 9 exit


        例： 
        apic1(config-host)#
         

        グローバル コンフィギュレーション モードに戻ります。

         
        ステップ 10 showtacacs-server


        例： 
        apic1(config)# show tacacs-server
         

        （任意）TACACS+ サーバ情報を表示します。

         

        例

        次に、1 つの TACACS+ サーバとグローバルに TACACS+ の設定を行う例を示します。

        apic1# configure 
apic1(config)# tacacs-server retries 1
apic1(config)# tacacs-server timeout 5
apic1(config)# tacacs-server host 192.0.20.72
apic1(config-host)# retries 2
apic1(config-host)# timeout 3
apic1(config-host)# key myTaCaCspassWoRd
apic1(config-host)# port 49
apic1(config-host)# protocol pap
apic1(config-host)# exit
apic1(config)# show tacacs-server
timeout : 5
retries : 1

Total number of servers : 1

Hostname : 192.0.20.72
Port     : 1812
Protocol : pap
Timeout  : 3
Retries  : 2
User     : test

        LDAP サーバの設定

        一部の ldap-server コマンドは、グローバル コンフィギュレーション モードと特定の LDAP ホストのコンフィギュレーション モードのどちらでも入力できます。グローバル コンフィギュレーション モードでは、特定の LDAP ホスト設定で上書きされない限り、コマンドはすべての LDAP サーバに適用されます。
        手順
            コマンドまたはアクション 目的
          ステップ 1 configure terminal


          例： 
          switch# configure terminal
           

          グローバル コンフィギュレーション モードを開始します。

           
          ステップ 2 [no]ldap-serverhost {ip-address | hostname}


          例： 
          apic1(config)# ldap-server host 192.0.20.73
           

          LDAP サーバの IP アドレスまたはホスト名を指定し、そのサーバのコンフィギュレーション モードを開始します。

           
          ステップ 3 [no]ldap-serverattributeattribute-name


          例： 
          apic1(config-host)# ldap-server attribute memberOf
           

          CiscoAVPair として使用する LDAP エンドポイント属性を指定します。

          グローバル コンフィギュレーション モードでは、特定の LDAP ホスト設定で上書きされない限り、このコマンドはすべての LDAP サーバに適用されます。

           
          ステップ 4 [no]ldap-serverbasedn


          例： 
          apic1(config-host)# ldap-server basedn DC=sampledesign,DC=com
           

          サーバが認可要求を受信した場合に検索を開始する LDAP 階層の位置を指定します。最大 127 文字の文字列を設定できます。文字列でスペースは使用できませんが、他の特殊文字は使用できます。

          グローバル コンフィギュレーション モードでは、特定の LDAP ホスト設定で上書きされない限り、このコマンドはすべての LDAP サーバに適用されます。

           
          ステップ 5 [no]ldap-serverbinddn


          例： 
          apic1(config-host)# ldap-server binddn CN=ucsbind,OU=CiscoUsers,DC=sampledesign,DC=com
           

          ベース DN のすべてのオブジェクトに対する読み取り権限と検索権限を持つ、LDAP データベース アカウントの識別名（DN）を指定します。最大 127 文字の文字列を設定できます。文字列でスペースは使用できませんが、他の特殊文字は使用できます。

           
          ステップ 6 [no]ldap-serverretriescount


          例： 
          apic1(config-host)# ldap-server retries 1
           

          APIC からサーバに対して、各 LDAP 要求を送信する回数の上限を指定します。指定できる範囲は 0 ～ 5 です。

          グローバル コンフィギュレーション モードでは、特定の LDAP ホスト設定で上書きされない限り、このコマンドはすべての LDAP サーバに適用されます。

           
          ステップ 7 [no]ldap-servertimeoutseconds


          例： 
          apic1(config-host)# ldap-server timeout 30
           

          APIC が LDAP 要求を再送信する前に応答を待機する秒数を指定します。

          グローバル コンフィギュレーション モードでは、特定の LDAP ホスト設定で上書きされない限り、このコマンドはすべての LDAP サーバに適用されます。

           
          ステップ 8 [no]ldap-serverfilterfilter-expression


          例： 
          apic1(config-host)# ldap-server filter sAMAccountName=$userid
           

          LDAP 検索の結果をフィルタ処理するフィルタを指定します。フィルタには、最大 63 文字を指定できます。

          グローバル コンフィギュレーション モードでは、特定の LDAP ホスト設定で上書きされない限り、このコマンドはすべての LDAP サーバに適用されます。

           
          ステップ 9 [no]keykey-value


          例： 
          apic1(config-host)# key myLdAppassWoRd
           

          APIC とこの LDAP サーバの間で認証用に使用される共有秘密テキスト文字列を指定します。キーの文字数は最大 32 文字です。

           
          ステップ 10 [no]portport-number


          例： 
          apic1(config-host)# port 389
           

          認証用の LDAP サーバのポートを指定します。

           
          ステップ 11 [no]retriescount


          例： 
          apic1(config-host)# retries 2
                      		（任意）

          この LDAP サーバにおいて、APIC からサーバに対して、各 LDAP 要求を送信する回数の上限を指定します。指定できる範囲は 0 ～ 5 です。

          再試行回数が設定されていない場合、グローバル値が使用されます。

           
          ステップ 12 [no]enable-ssl


          例： 
          apic1(config-host)# enable-ssl
           

          LDAP プロバイダーとの SSL 接続を有効にします。

           
          ステップ 13 [no]ssl-validation-level [permissive | strict]


          例： 
          apic1(config-host)# ssl-validation-level permissive
           

          LDAP サーバの SSL 証明書検証レベルを設定します。

           
          ステップ 14 [no]timeoutseconds


          例： 
          apic1(config-host)# timeout 3
                      		（任意）

          この LDAP サーバにおいて、APIC が LDAP 要求を再送信する前に応答を待機する秒数を指定します。

          タイムアウト値が設定されていない場合は、グローバル値が使用されます。

           
          ステップ 15 exit


          例： 
          apic1(config-host)# exit
           

          グローバル コンフィギュレーション モードに戻ります。

           
          ステップ 16 showldap-server


          例： 
          apic1(config)# show ldap-server
           

           

          例

          次に、LDAP サーバの設定をグローバルおよび 1 つの LDAP サーバに対して行う例を示します。

          apic1# configure 
apic1(config)# ldap-server retries 1
apic1(config)# ldap-server timeout 30
apic1(config)# ldap-server host 192.0.20.73
apic1(config-host)# retries 2
apic1(config-host)# timeout 3
apic1(config-host)# filter sAMAccountName=$userid
apic1(config-host)# key myLdAppassWoRd
apic1(config-host)# ssl-validation-level permissive
apic1(config-host)# enable-ssl
apic1(config-host)# port 389
apic1(config-host)# exit
apic1(config)# show ldap-server
timeout : 30
retries : 1
filter  : sAMAccountName=$userid

Total number of servers : 1

Hostname  : 192.0.20.73
Port      : 389
Timeout   : 3
Retries   : 2
SSL       : yes
SSL Level : permissive
User      : test

          パスワード ポリシーの設定

          このトピックのパスワード ポリシー設定では、ローカル認証されたすべての APIC ユーザのパスワード履歴やパスワード変更間隔プロパティを設定します。ローカル認証されたユーザのそれぞれに異なるパスワード ポリシーを指定することはできません。
          手順
              コマンドまたはアクション 目的
            ステップ 1 configure


            例： 
            apic1# configure
             

            グローバル コンフィギュレーション モードを開始します。

             
            ステップ 2 [no]passwordchange-countcount


            例： 
            apic1(config)# password change-count 5
             

            変更間隔内で許可されるパスワード変更の回数を設定します。指定できる範囲は 0 ～ 10 回です。

             
            ステップ 3 [no]passwordchange-during-interval {enable | disable}


            例： 
            apic1(config)# password change-during-interval enable
             

            ローカル認証されたユーザが変更間隔の間に実行できるパスワード変更の回数の制限を有効または無効にします。

             
            ステップ 4 [no]passwordchange-intervalhours


            例： 
            apic1(config)# password change-interval 300
             

            change-during-interval を有効にしたときに、ローカル認証されたユーザが指定した時間内にパスワードを変更できる回数を制限します。範囲は 1 ～ 745 時間です。

             
            ステップ 5 [no]passwordno-change-intervalhours


            例： 
            apic1(config)# password no-change-interval 60
             

            ユーザがパスワードを再度変更できない最小期間を設定します。範囲は 1 ～ 745 時間です。

             
            ステップ 6 passwordexpiration-warn-time


            例： 
            apic1(config)# password expiration-warn-time 5
             

            パスワードの有効期限の前に警告を表示する警告期間を設定します。範囲は 0 ～ 30 日です。

             
            ステップ 7 [no]passwordhistory-countcount


            例： 
            apic1(config)# password history-count 10
             

            パスワード履歴のカウントにより、ローカル認証されたユーザが何度も同じパスワードを再利用しないようにすることができます。このプロパティが設定されている場合、APIC はローカル認証されたユーザが以前に使用したパスワードを最大 15 個まで保存します。パスワードは最近のものから時系列の逆順で格納され、履歴カウントがしきい値に達した場合に、最も古いパスワードだけを再利用可能にします。

            あるパスワードが再利用可能になる前に、ユーザはパスワード履歴カウントで設定された数のパスワードを作成して使用する必要があります。たとえば、パスワード履歴カウントを 8 に設定した場合、ローカル認証されたユーザは最初のパスワードを 9 番目のパスワードが期限切れになった後まで、最初のパスワードを再利用できません。

            デフォルトでは、パスワード履歴は 0 に設定されます。この値によって履歴カウントが無効化されるため、ユーザはいつでも以前のパスワードを使用できます。必要に応じて、そのユーザのユーザ名コンフィギュレーション モードで clear-pwd-history コマンドを使用してユーザのパスワード履歴をクリアできます。

             
            ステップ 8 [no]passwordpwd-strength-check


            例： 
            apic1(config)# password pwd-strength-check
             

            すべてのユーザに強力なパスワードの使用を強制します。

             

            例

            次に、ローカル認証されたユーザのグローバル パスワード設定を設定する例を示します。

            apic1# configure
apic1(config)# password change-count 5
apic1(config)# password change-during-interval enable
apic1(config)# password change-interval 300
apic1(config)# password no-change-interval 60
apic1(config)# password expiration-warn-time 5
apic1(config)# password history-count 10
apic1(config)# password pwd-strength-check

            この例では、ローカル認証されたユーザがパスワード変更後 48 時間以内にパスワードを変更できないようにする方法を示しています。

            apic1# configure
apic1(config)# password change-during-interval disable
apic1(config)# password no-change-interval 48

            この例では、ローカル認証されたユーザがパスワード変更後 24 時間以内にパスワードを 1 回だけ変更できるようにする方法を示しています。

            apic1# configure
apic1(config)# password change-count 1
apic1(config)# password change-during-interval enable
apic1(config)# password change-interval 24

            ローカルで認証されたユーザの設定

            手順
                コマンドまたはアクション 目的
              ステップ 1 configure


              例： 
              apic1# configure
               

              グローバル コンフィギュレーション モードを開始します。

               
              ステップ 2 username {name | admin}


              例： 
              apic1(config)# username user5
               

              ローカル認証されたユーザ アカウントの作成または既存のユーザを設定します。最大 28 文字までの名前を指定できます。

               
              ステップ 3 [no]first-namefirst


              例： 
              apic1(config-username)# first-name George
               

              このユーザの名を設定します。

               
              ステップ 4 [no]last-namelast


              例： 
              apic1(config-username)# last-name Washington
               

              このユーザの姓を設定します。

               
              ステップ 5 [no]emailemail-address


              例： 
              apic1(config-username)# email gwashington@exampleCorp.com
               

              このユーザの電子メール アドレスを設定します。

               
              ステップ 6 [no]phonephone-number


              例： 
              apic1(config-username)# phone 14085551212
               

              このユーザの電話番号を設定します。

               
              ステップ 7 [no]account-status {active | inactive | status}


              例： 
              apic1(config-username)# account-status active
               

              このユーザ アカウントをアクティブ化または非アクティブ化します。

               
              ステップ 8 clear-pwd-history


              例： 
              apic1(config-username)# clear-pwd-history
               

              ユーザのパスワード履歴リストをクリアし、このユーザが以前のパスワードを再使用できるようにします。

               
              ステップ 9 [no]expires


              例： 
              apic1(config-username)# expires
               

              expiration コマンドで設定された日時でのこのユーザ アカウントの有効期限を有効にします。

               
              ステップ 10 expirationdate-time


              例： 
              apic1(config-username)# expiration 2017-12-31T23:59+08:00
               

              このユーザ アカウントの有効期限の日時を設定します。形式は UTC 日付形式（YYYY-MM-DDThh:mmTZD）です。また、expires コマンドを設定して有効期限を有効にする必要があります。

               
              ステップ 11 passwordpassword


              例： 
              apic1(config-username)# password c1\$c0123
               

              ユーザ パスワードを設定します。

              （注）     

              このコマンドでは「$」または「!」などの特殊文字をバックスラッシュでエスケープし（「\$」）、Bash によって誤って解釈されないようにする必要があります。エスケープのバックスラッシュはこのコマンドでパスワードを設定するときに必要なだけであり、ユーザはログイン時にバックスラッシュを入力しません。
               
              ステップ 12 [no]pwd-lifetimedays


              例： 
              apic1(config-username)# pwd-lifetime 90
               

              ユーザ パスワードの有効期間を設定します。範囲は 0 ～ 3650 日です。

               
              ステップ 13 [no]domain {all | common | mgmt | domain-name}


              例： 
              apic1(config-username)# domain mySecDomain
               

              このユーザが属する AAA ドメインを指定または作成します。

               
              ステップ 14 [no]rolerole


              例： 
              apic1(config-domain)# role tenant-admin
               

              ユーザ ドメインの特権ビットマスクを設定する AAA ドメイン ロールを作成します。

               
              ステップ 15 [no]priv-type {readPriv | writePriv}


              例： 
              apic1(config-role)# priv-type writePriv
               

              ユーザ ドメインの特権ビットマスクを設定する AAA ドメイン ロールを作成します。

               
              ステップ 16 exit


              例： 
              apic1(config-role)# exit
               

              ドメイン コンフィギュレーション モードに戻ります。

               
              ステップ 17 exit


              例： 
              apic1(config-domain)# exit
               

              ユーザ名コンフィギュレーション モードに戻ります。

               
              ステップ 18 showusernamename


              例： 
              apic1(config-username)# show username user5
               

              このユーザに関する構成の詳細情報を表示します。

               

              例

              次に、ローカル ユーザの設定方法を示します。

              apic1# configure terminal 
apic1(config)# username user5
apic1(config-username)# first-name George
apic1(config-username)# last-name Washington
apic1(config-username)# email gwashington@exampleCorp.com
apic1(config-username)# phone 14085551212
apic1(config-username)# account-status active
apic1(config-username)# domain mySecDomain
apic1(config-username)# clear-pwd-history
apic1(config-username)# expires
apic1(config-username)# expiration 2017-12-31T23:59+08:00
apic1(config-username)# password c1$c0123
apic1(config-username)# pwd-lifetime 90
apic1(config-username)# domain mySecDomain
apic1(config-domain)# role tenant-admin
apic1(config-role)# priv-type writePriv
apic1(config-role)# exit
apic1(config-domain)# exit
apic1(config-username)# show username user5
UserName                : user5
First-Name              : George
Last-Name               : Washington
Email                   : gwashington@exampleCorp.com
Acount Status           : active
Password strength check : yes
              次の作業

              ローカル ユーザの SSH キーまたは証明書を設定するには、「証明書および SSH キーの設定」を参照してください。

              ローカル ユーザの証明書および SSH キーの設定

              この項では、ローカルユーザがパスワードを要求されることなく、ログインできるように証明書または SSH キーを設定する方法について説明します。

              手順
                  コマンドまたはアクション 目的
                ステップ 1 configure


                例： 
                apic1# configure
                 

                グローバル コンフィギュレーション モードを開始します。

                 
                ステップ 2 username {name | admin}


                例： 
                apic1(config)# username user5
                 

                ローカル認証されたユーザ アカウントの作成または既存のユーザを設定します。最大 28 文字までの名前を指定できます。

                 
                ステップ 3 [no]certificatecertificate-name


                例： 
                apic1(config-username)# certificate myCertificate
                 

                証明書コンフィギュレーション モードを開始します。

                 
                ステップ 4 datacertificate-data


                例： 
                apic1(config-certificate)# data -----BEGIN CERTIFICATE-----MIIC4j.....
                 

                PEM エンコードされた証明書を設定します。

                 
                ステップ 5 exit


                例： 
                apic1(config-certificate)# exit
                 

                ユーザ名コンフィギュレーション モードに戻ります。

                 
                ステップ 6 [no]ssh-keyssh-key-name


                例： 
                apic1(config-username)# ssh-key mySSHkey
                 

                SSH キーを設定すると、パスワードを要求されることなく、SSH クライアントを使用してログインできます。

                 
                ステップ 7 datakey-data


                例： 
                apic1(config-ssh-key)# data AAAAB3NzaC1yc2EAA......
                 

                SSH キーを設定します。キーの文字数は最大 64 文字です。

                 
                ステップ 8 exit


                例： 
                apic1(config-ssh-key)# exit
                 

                ユーザ名コンフィギュレーション モードに戻ります。

                 

                例

                この例では、ローカル ユーザの SSH キーと証明書を設定する方法を示します。

                apic1# configure terminal 
apic1(config)# username user5
apic1(config-username)# certificate myCertificate
apic1(config-certificate)# data -----BEGIN CERTIFICATE-----MIIC4j.....
apic1(config-certificate)# exit
apic1(config-username)# ssh-key mySSHkey
apic1(config-ssh-key)# data AAAAB3NzaC1yc2EAA...
apic1(config-ssh-key)# exit

                認証局との信頼チェーンの設定

                証明機関（CA）は証明書要求を管理して、ホスト、ネットワーク デバイス、ユーザなどの参加エンティティに証明書を発行します。APIC では、信頼できる CA の自己署名ルート証明書（または下位 CA の証明書チェーン）をローカルに保存しています。信頼できる CA について保存された情報をトラストポイントと呼び、CA 自体もトラストポイント CA と呼びます。

                手順
                    コマンドまたはアクション 目的
                  ステップ 1 configure


                  例： 
                  apic1# configure
                   

                  グローバル コンフィギュレーション モードを開始します。

                   
                  ステップ 2 [no]cryptocatrustpoint-name


                  例： 
                  apic1(config)# crypto ca myCA
                   

                  選択したトラストポイントの認証局（CA）のコンフィギュレーション モードを開始します。

                   
                  ステップ 3 [no]cert-chainpem-data


                  例： 
                  apic1(config-ca)# cert-chain -----BEGIN CERTIFICATE----- MIIC4jCCAoygAw.....
                   

                  PEM フォーマットの証明書チェーンを保存します。トラストポイントから信頼されたルート証明機関に信頼のチェーン全体を入力します。

                   

                  例

                  この例では、CA を設定する方法を示します。

                  apic1# configure

apic1(config)# crypto ca myCA
apic1(config-ca)# cert-chain -----BEGIN CERTIFICATE----- MIIC4jCCAoygAw.....

                  キーとキーリングの設定

                  RSA キー ペアを作成し、RSA キー ペアと APIC が登録しようとしているトラストポイント CA を関連付けることによって、APIC のアイデンティティ証明書を入手することができます。RSA キーは APIC によって暗号キーリングに保存されます。

                  APIC ソフトウェアでは、設定変更が可能なキーのサイズ（またはモジュラス）で RSA キー ペアを作成できます。デフォルトのキーのサイズは 512 です。また、RSA キー ペアのラベルも設定できます。デフォルトのキー ラベルは、デバイスの完全修飾ドメイン名（FQDN）です。

                  手順
                      コマンドまたはアクション 目的
                    ステップ 1 configure


                    例： 
                    apic1# configure
                     

                    グローバル コンフィギュレーション モードを開始します。

                     
                    ステップ 2 [no]cryptokeyring {default | keyring-name}


                    例： 
                    apic1(config)# crypto keyring myKeyring
                     

                    キーリングを作成または設定して SSL 証明書を保持します。

                     
                    ステップ 3 regen


                    例： 
                    apic1(config-keyring)# regen
                     

                    RSA キー ペアの再生を強制します。

                     
                    ステップ 4 [no]certcertificate-data


                    例： 
                    apic1(config-keyring)# cert "-----BEGIN CERTIFICATE----- MIIC4jCCAoygAw.....
                     

                    公開キーと署名された情報を含んだ証明書をインポートします。証明書データは引用符で囲む必要があります。

                     
                    ステップ 5 [no]tpcertificate-name


                    例： 
                    apic1(config-keyring)# tp myCertificate
                     

                    デバイス アイデンティティの信頼できるソースからのサードパーティ証明書を設定します。

                     
                    ステップ 6 [no]keykey-data


                    例： 
                    apic1(config-keyring)# key XXXXXXXXXXXXXXXXXXXXXXX
                     

                    証明書の秘密キーを作成します。

                     
                    ステップ 7 [no]modulus {mod512 | mod1024 | mod1536 | mod2048}


                    例： 
                    apic1(config-keyring)# modulus mod1024
                     

                    暗号キーの長さを設定します。

                     
                    ステップ 8 exit


                    例： 
                    apic1(config-keyring)# exit
                     

                    グローバル コンフィギュレーション モードに戻ります。

                     

                    例

                    この例では、キーリングを設定する方法を示します。

                    apic1# configure
apic1(config)# crypto keyring myKeyring
apic1(config-keyring)# cert "-----BEGIN CERTIFICATE----- MIIC4jCCAoygAw.....
apic1(config-keyring)# tp myCertificate
apic1(config-keyring)# key XXXXXXXXXXXXXXXXXXXXXXX
apic1(config-keyring)# modulus mod1024
apic1(config-keyring)# exit

                    証明書署名要求の生成

                    証明書署名要求（CSR）は、デジタル ID 証明書を申請するために申請者が CA に送信するメッセージです。CSR を作成する前に、申請者は、最初に秘密キーを守るキー ペアを生成します。CSR には、申請者が生成する公開キーなどの申請者を特定する情報が含まれています。対応する秘密キーは CSR に含まれていませんが、要求全体に対するデジタル署名を行うために使用されます。

                    はじめる前に

                    証明書署名要求（CSR）を生成する前に、トラストポイントの認証局（CA）を設定し、キー ペアを生成する必要があります。

                    手順
                        コマンドまたはアクション 目的
                      ステップ 1 configure


                      例： 
                      apic1# configure
                       

                      グローバル コンフィギュレーション モードを開始します。

                       
                      ステップ 2 [no]cryptokeyring {default | keyring-name}


                      例： 
                      apic1(config)# crypto keyring default
                       

                      キーリングを作成または設定して SSL 証明書を保持します。

                       
                      ステップ 3 csr


                      例： 
                      apic1(config-keyring)# csr
                       

                      このキーリングに対する証明書署名要求を作成します。

                       
                      ステップ 4 subj-namename


                      例： 
                      apic1(config-csr)# subj-name www.exampleCorp.com
                       

                      要求側デバイスの完全修飾ドメイン名または識別名を設定します。名前には最大 64 文字を使用できます。

                       
                      ステップ 5 [no]certcertificate-data


                      例： 
                      apic1(config-csr)# cert "-----BEGIN CERTIFICATE----- MIIC4jCCAoygAw.....
                       

                      公開キーと署名された情報を含んだ証明書をインポートします。証明書データは引用符で囲む必要があります。

                       
                      ステップ 6 pwdpassword


                      例： 
                      apic1(config-csr)# pwd c1$c0123
                       

                      新しいパスワードを設定します。

                       
                      ステップ 7 org-name


                      例： 
                      apic1(config-csr)# org-name ExampleCorp
                       

                      組織の完全な正式名称を設定します。

                       
                      ステップ 8 org-unit-name


                      例： 
                      apic1(config-csr)# org-unit-name Sales
                       

                      組織内の部門または部署の名前を設定します。

                       
                      ステップ 9 電子メール


                      例： 
                      apic1(config-csr)# email admin@exampleCorp.com
                       

                      組織の担当者の電子メール アドレスを設定します。

                       
                      ステップ 10 localitycity-name


                      例： 
                      apic1(config-csr)# locality SanJose
                       

                      組織の市町村を設定します。

                       
                      ステップ 11 statestate


                      例： 
                      apic1(config-csr)# state CA
                       

                      組織が所在する州や県を設定します。

                       
                      ステップ 12 countrycountry-code


                      例： 
                      apic1(config-csr)# country US
                       

                      組織の所在地の国を表す 2 文字の ISO コードを設定します。

                       
                      ステップ 13 exit


                      例： 
                      apic1(config-csr)# exit
                       

                      キーリング コンフィギュレーション モードに戻ります。

                       

                      例

                      次に、証明書署名要求（CSR）を生成する例を示します。

                      apic1# configure
apic1(config)# crypto keyring default
apic1(config-keyring)# csr
apic1(config-csr)# subj-name www.exampleCorp.com
apic1(config-csr)# cert "-----BEGIN CERTIFICATE----- MIIC4jCCAoygAw.....
apic1(config-csr)# pwd c1$c0123
apic1(config-csr)# org-name ExampleCorp
apic1(config-csr)# org-unit-name Sales
apic1(config-csr)# email admin@exampleCorp.com
apic1(config-csr)# locality SanJose
apic1(config-csr)# state CA
apic1(config-csr)# country US
apic1(config-csr)# exit
                      次の作業

                      CSR を CA に送信します。

                      ウェブトークンの設定

                      手順
                          コマンドまたはアクション 目的
                        ステップ 1 configure


                        例： 
                        apic1# configure
                         

                        グローバル コンフィギュレーション モードを開始します。

                         
                        ステップ 2 [no]cryptowebtoken


                        例： 
                        apic1(config)# crypto webtoken
                         

                         
                        ステップ 3 [no]max-validity-periodhours


                        例： 
                        apic1(config-webtoken)# max-validity-period 10
                         

                        webtoken の最長有効期間を設定します。範囲は 4 ～ 24 時間です。

                         
                        ステップ 4 [no]session-record-flagscsv-list


                        例： 
                        apic1(config-webtoken)# session-record-flags login,refresh
                         

                        セッション レコードの更新を有効または無効にします。セッション レコード フラグは、login、logout、および refresh の 1 つ以上のフラグのカンマ区切り値のリストとして指定します。

                         
                        ステップ 5 [no]ui-idle-timeout-secondsseconds


                        例： 
                        apic1(config-webtoken)# ui-idle-timeout-seconds 120
                         

                        ログインの更新を要求するまでの最大の GUI アイドル継続時間を設定します。値の範囲は 60 ～ 65525 秒です。

                         
                        ステップ 6 [no]webtoken-timeout-secondsseconds


                        例： 
                        apic1(config-webtoken)# webtoken-timeout-seconds 1200
                         

                        webtoken のタイムアウト間隔を設定します。値の範囲は 600 ～ 9600 秒です。

                         
                        ステップ 7 exit


                        例： 
                        apic1(config-webtoken)# exit
                         

                         

                        例

                        次に、webtoken を設定する例を示します。

                        apic1# configure
apic1(config)# crypto webtoken
apic1(config-webtoken)# max-validity-period 10
apic1(config-webtoken)# session-record-flags login,refresh
apic1(config-webtoken)# ui-idle-timeout-seconds 120
apic1(config-webtoken)# webtoken-timeout-seconds 1200

                        HTTP ポリシーの設定

                        手順
                            コマンドまたはアクション 目的
                          ステップ 1 configure


                          例： 
                          apic1# configure
                           

                          グローバル コンフィギュレーション モードを開始します。

                           
                          ステップ 2 [no]comm-policy {default | policy-name}


                          例： 
                          apic1(config)# comm-policy myCommPolicy
                           

                          通信ポリシー コンフィギュレーション モードを開始します。

                           
                          ステップ 3 http


                          例： 
                          apic1(config-comm-policy)# http
                           

                          HTTP ポリシー コンフィギュレーション モードを開始します。

                           
                          ステップ 4 [no]admin-state-enable


                          例： 
                          apic1(config-http)# admin-state-enable
                           

                          HTTP 通信サービスをイネーブルにします。

                           
                          ステップ 5 [no]allow-originurl


                          例： 
                          apic1(config-http)# allow-origin www.example.com
                           

                          Access-Control-Allow-Origin ヘッダーで返す URL を指定します。

                           
                          ステップ 6 [no]portport-number


                          例： 
                          apic1(config-http)# port 8080
                           

                          HTTP 通信サービスに使用するポートを設定します。

                           
                          ステップ 7 [no]redirect


                          例： 
                          apic1(config-http)# no redirect
                           

                          HTTP リダイレクションをイネーブルにします。

                           
                          ステップ 8 [no]request-status-countcount


                          例： 
                          apic1(config-http)# request-status-count 512
                           

                          追跡する HTTP 要求の最大数を設定します。指定できる範囲は 0 ～ 10240 です。

                           
                          ステップ 9 exit


                          例： 
                          apic1(config-http)# exit
                           

                          通信ポリシー コンフィギュレーション モードに戻ります。

                           

                          例

                          次に、HTTP サービスを設定する例を示します。

                          apic1# configure
apic1(config)# comm-policy myCommPolicy
apic1(config-comm-policy)# http
apic1(config-http)# admin-state-enable
apic1(config-http)# allow-origin www.example.com
apic1(config-http)# port 8080
apic1(config-http)# no redirect
apic1(config-http)# request-status-count 512
apic1(config-http)# exit

                          HTTPS ポリシーの設定

                          手順
                              コマンドまたはアクション 目的
                            ステップ 1 configure


                            例： 
                            apic1# configure
                             

                            グローバル コンフィギュレーション モードを開始します。

                             
                            ステップ 2 [no]comm-policy {default | policy-name}


                            例： 
                            apic1(config)# comm-policy myCommPolicy
                             

                            通信ポリシー コンフィギュレーション モードを開始します。

                             
                            ステップ 3 https


                            例： 
                            apic1(config-comm-policy)# https
                             

                            HTTPS ポリシー コンフィギュレーション モードを開始します。

                             
                            ステップ 4 [no]admin-state-enable


                            例： 
                            apic1(config-https)# admin-state-enable
                             

                            HTTPS 通信サービスをイネーブルにします。

                             
                            ステップ 5 [no]portport-number


                            例： 
                            apic1(config-https)# port 443
                             

                            HTTPS 通信サービスに使用するポートを設定します。

                             
                            ステップ 6 [no]request-status-countcount


                            例： 
                            apic1(config-https)# request-status-count 512
                             

                            追跡する HTTPS 要求の最大数を設定します。指定できる範囲は 0 ～ 10240 です。

                             
                            ステップ 7 [no]ssl-protocols {TLSv1 | TLSv1.1 | TLSv1.2}


                            例： 
                            apic1(config-https)# ssl-protocols TLSv1.1,TLSv1.2
                             

                            カンマ区切りのリストでサポートされる SSL プロトコルを指定します。オプションは、TLSv1、TLSv1.1、および TLSv1.2 です。

                             
                            ステップ 8 [no]use-keyringkeyring-name


                            例： 
                            apic1(config-https)# use-keyring myKeyRing
                             

                            HTTPS サーバの SSL 証明書に使用するキーリングを指定します。

                             
                            ステップ 9 exit


                            例： 
                            apic1(config-https)# exit
                             

                            通信ポリシー コンフィギュレーション モードに戻ります。

                             

                            例

                            次に、HTTPS サービスを設定する例を示します。

                            apic1# configure
apic1(config)# comm-policy myCommPolicy
apic1(config-comm-policy)# https
apic1(config-https)# admin-state-enable
apic1(config-https)# port 443
apic1(config-https)# request-status-count 512
apic1(config-https)# ssl-protocols TLSv1.1,TLSv1.2
apic1(config-https)# use-keyring myKeyRing
apic1(config-https)# exit

                            SSH ポリシーの設定

                            手順
                                コマンドまたはアクション 目的
                              ステップ 1 configure


                              例： 
                              apic1# configure
                               

                              グローバル コンフィギュレーション モードを開始します。

                               
                              ステップ 2 [no]comm-policy {default | policy-name}


                              例： 
                              apic1(config)# comm-policy myCommPolicy
                               

                              通信ポリシー コンフィギュレーション モードを開始します。

                               
                              ステップ 3 ssh-service


                              例： 
                              apic1(comm-policy)# ssh-service
                               

                              SSH ポリシー コンフィギュレーション モードを開始します。

                               
                              ステップ 4 [no]admin-state-enable


                              例： 
                              apic1(config-ssh-service)# admin-state-enable
                               

                              HTTP 通信サービスをイネーブルにします。

                               
                              ステップ 5 [no]portport-number


                              例： 
                              apic1(config-ssh-service)# port 22
                               

                              SSH 通信サービスに使用するポートを設定します。

                               
                              ステップ 6 exit


                              例： 
                              apic1(config-ssh-service)# exit
                               

                              通信ポリシー コンフィギュレーション モードに戻ります。

                               

                              例

                              次に、SSH サービスを設定する例を示します。

                              apic1# configure
apic1(config)# comm-policy myCommPolicy
apic1(config-comm-policy)# ssh-service
apic1(config-ssh-service)# admin-state-enable
apic1(config-ssh-service)# port 22
apic1(config-ssh-service)# exit

                              Telnet ポリシーの設定

                              はじめる前に

                              Telnet 通信を可能にするには、Telnet トラフィック（通常、TCP および UDP ポート 23 上）を許可するアウトオブバンド コントラクトを設定する必要があります。

                              手順
                                  コマンドまたはアクション 目的
                                ステップ 1 configure


                                例： 
                                apic1# configure
                                 

                                グローバル コンフィギュレーション モードを開始します。

                                 
                                ステップ 2 [no]comm-policy {default | policy-name}


                                例： 
                                apic1(config)# comm-policy myCommPolicy
                                 

                                通信ポリシー コンフィギュレーション モードを開始します。

                                 
                                ステップ 3 Telnet


                                例： 
                                apic1(config-comm-policy)# telnet
                                 

                                Telnet ポリシー コンフィギュレーション モードを開始します。

                                 
                                ステップ 4 [no]admin-state-enable


                                例： 
                                apic1(config-telnet)# admin-state-enable
                                 

                                Telnet 通信サービスをイネーブルにします。

                                 
                                ステップ 5 [no]portport-number


                                例： 
                                apic1(config-telnet)# port 23
                                 

                                Telnet 通信サービスに使用するポートを設定します。

                                 
                                ステップ 6 exit


                                例： 
                                apic1(config-telnet)# exit
                                 

                                通信ポリシー コンフィギュレーション モードに戻ります。

                                 

                                例

                                次に、Telnet サービスを設定する例を示します。

                                apic1# configure
apic1(config)# comm-policy myCommPolicy
apic1(config-comm-policy)# telnet
apic1(config-telnet)# admin-state-enable
apic1(config-telnet)# port 23
apic1(config-telnet)# exit

                                AES 暗号化の設定

                                Cisco APIC リリース 1.1(2) 以降、APIC 設定ファイルのセキュアなプロパティは、AES-256 暗号化を有効にすることで暗号化できます。AES 暗号化はグローバル コンフィギュレーション オプションです。すべてのセキュア プロパティは AES 構成設定に従っています。テナント設定などの ACI ファブリック設定のサブセットを AES 暗号化を使用してエクスポートするが、ファブリック設定の残りの部分は暗号化しないということはできません。セキュアなプロパティのリストについては、『Cisco Application Centric Infrastructure Fundamentals』の「Appendix K: Secure Properties」を参照してください。

                                APIC は AES-256 キーを生成する 16 ～ 32 文字パスフレーズを使用します。APIC GUI は、AES パスフレーズのハッシュを表示します。このハッシュは、同じパスフレーズが 2 つの ACI ファブリックに使用されているかどうかを確認するために使用することができます。このハッシュをクライアント コンピュータにコピーして、別の ACI ファブリックのパスフレーズ ハッシュと比較できます。これにより、それらのハッシュが同じパスフレーズを使用して生成されたかどうかを確認できます。ハッシュを使用して、元のパスフレーズまたは AES-256 キーを再構築することはできません。

                                手順
                                    コマンドまたはアクション 目的
                                  ステップ 1 configure


                                  例： 
                                  apic1# configure
                                   

                                  コンフィギュレーション モードに入ります。

                                   
                                  ステップ 2 cryptoaes


                                  例： 
                                  apic1(config)# crypto aes
                                   

                                  AES コンフィギュレーション モードを開始します。

                                   
                                  ステップ 3 clear-encryption-key


                                  例： 
                                  apic1(config-aes)# clear-encryption-key
                                                                      		（任意）

                                  既存の AES 暗号化キーを削除します。

                                   
                                  ステップ 4 passphrasephrase


                                  例： 
                                  apic1(config-aes)# passphrase "This is my passphrase"
                                   

                                  AES 暗号化のパスフレーズを指定します。パスフレーズは、16 ～ 32 文字で、引用符で囲む必要があります。

                                   
                                  ステップ 5 [no]encryption


                                  例： 
                                  apic1(config-aes)# encryption
                                   

                                  AES 暗号化をイネーブル（またはディセーブル）にします。

                                   

                                  例

                                  この例では、AES 暗号化を有効にする方法およびパスフレーズを設定する方法を示します。

                                  apic1# configure
apic1(config)# crypto aes
apic1(config-aes)# clear-encryption-key
apic1(config-aes)# passphrase "This is my passphrase"
apic1(config-aes)# encryption

                                  ファブリック セキュア モードの設定

                                  ファブリック セキュア モードでは、ファブリック機器に物理的にアクセスできるユーザが管理者による手動の認証を受けずにファブリックにスイッチまたは APIC コントローラを追加するのを防止できます。Cisco APIC リリース 1.2(1x) 以降、ファームウェアでは、ファブリックのスイッチとコントローラに有効なシスコ デジタル署名付き証明書と関連付けられた有効なシリアル番号があることを確認します。この検証は、このリリースへのアップグレード時、またはファブリックの最初のインストール時に行われます。この機能のデフォルト設定は、非制限モードです。既存のファブリックは、リリース 1.2(1) へのアップグレード後も継続して実行されます。ファブリック全体のアクセス権限を持つ管理者は、ストリクト モードを有効にする必要があります。

                                  非制限モード（デフォルト）は次のように動作します。

                                  • 1 つ以上のスイッチに無効な証明書がある場合でも既存のファブリックは正常に動作することができます。

                                  • シリアル番号に基づく認証は適用されません。

                                  • 自動検出されたコントローラとスイッチはシリアル番号の認証を適用せずにファブリックに参加することができます。

                                  ストリクト モードは次のように動作します。

                                  • 有効なシスコ シリアル番号および SSL 証明書を持つスイッチのみが許可されます。

                                  • シリアル番号に基づく認証が適用されます。

                                  • コントローラとスイッチがファブリックに参加するには管理者が手動で承認する必要があります。

                                  手順
                                      コマンドまたはアクション 目的
                                    ステップ 1 configure


                                    例： 
                                    apic1# configure
                                     

                                    コンフィギュレーション モードに入ります。

                                     
                                    ステップ 2 systemfabric-security-mode {permissive | strict}


                                    例： 
                                    apic1(config)# system fabric-security-mode strict
                                     

                                    ファブリック セキュリティ モードを指定します。

                                     
                                    ステップ 3 systemcontroller-idcontroller-id {approve | reject}


                                    例： 
                                    apic1(config)# system controller-id FCH1750V025 approve
                                     

                                    ストリクト モードで、コントローラのファブリックへの参加を承認または拒否します。

                                     

                                    例

                                    次に、ファブリック セキュリティ モードをストリクトに変更する例を示します。

                                    apic1# configure
apic1(config)# system fabric-security-mode strict

                                    次に、ストリクト モードが設定されているときにコントローラのファブリックへの参加を承認する例を示します。

                                    apic1# configure
apic1(config)# system controller-id FCH1750V025 approve

                                    COOP 認証について

                                    マッピング情報（ロケーションおよび ID）をスパイン プロキシに伝達するために、Council of Oracles Protocol（COOP）を使用します。リーフ スイッチは、ZeroMQ（Zero Message Queue または ZMQ）を使用してエンドポイント アドレス情報をスパインに転送します。スパイン ノードで実行している COOP によって、すべてのスパイン ノードが一貫性のあるエンドポイント アドレスとロケーション情報のコピーを維持することができ、さらに、ロケーション マッピング データベースに対するエンドポイント ID の分散ハッシュ テーブル（DHT）レポジトリを維持することができます。

                                    ユーザは COOP 認証なしで任意の COOP メッセージを送信できますが、これはファブリック ノードによって実行されます。Cisco APIC リリース 2.0 は MD5 TCP オプションを追加して ZMQ TCP 転送に認証と整合性の保護を提供します。次の 2 つの認証モードがサポートされています。

                                    • Compatible：COOP はメッセージの転送に MD5 認証接続と非認証 ZMQ 接続の両方を許可します。COOP データ パス通信は、セキュアな接続を介した転送を優先します。

                                    • Strict：COOP は MD5 認証済みの ZMQ 接続のみを許可します。

                                    COOP の認証タイプの設定を変更すると、次のように影響します。

                                    • 互換モードからストリクト モードに設定を変更すると、すべての非認証 ZMQ 接続が切断されます。

                                    • ストリクト モードから互換モードに設定を変更すると、COOP はすぐに認証済みの ZMQ 接続と非認証の ZMQ 接続の両方を許可するようになります。

                                    COOP 認証の設定

                                    手順
                                        コマンドまたはアクション 目的
                                      ステップ 1 configure


                                      例： 
                                      apic1# configure
                                       

                                      グローバル コンフィギュレーション モードを開始します。

                                       
                                      ステップ 2 coop-fabric


                                      例： 
                                      apic1(config)# coop-fabric
                                       

                                      COOP ファブリック コンフィギュレーション モードを開始します。

                                       
                                      ステップ 3 authenticationtype {compatible | strict}


                                      例： 
                                      apic1(config-coop-fabric)# authentication type compatible
                                       

                                      次のいずれかの COOP 認証タイプを選択します。

                                      • compatible：COOP は MD5 認証接続と非人称 ZMQ 接続を許可します。

                                      • strict：MD5 認証 ZMQ 接続のみを許可します。

                                       

                                      次に、互換モードで COOP 認証を設定する例を示します。

                                      apic1# configure
apic1(config)# coop-fabric
apic1(config-coop-fabric# authentication type compatible

                                      このドキュメントは役に立ちましたか?

                                      Feedbackフィードバック

                                      シスコに問い合わせ