20.1 ユーザ ID およびセキュリティ レベル
ONS 15454 SDH システムには Cisco Transport Controller(CTC)ID がありますが、このユーザ ID は CTC にサインインするときには求められません。この ID は、ほかの ONS 15454 ユーザを設定する際に使用できます。
1 台の ONS 15454 には、最大 500 のユーザ ID を設定できます。各 CTC ユーザまたは TL1 ユーザには、次に示すセキュリティ レベルの 1 つを割り当てることができます。
•
取得:CTC の情報を取得し、見ることができますが、パラメータの設定や修正はできません。
•
メンテナンス:ONS 15454 の Maintenance オプションだけにアクセスできます。
•
プロビジョニング:Provisioning オプションおよび Maintenance オプションにアクセスできます。
•
スーパーユーザ:ほかのユーザの名前、パスワード、セキュリティ レベルの設定のほか、セキュリティ レベルのすべての機能を実行できます。
各セキュリティ レベルに対応したアイドル ユーザのタイムアウトについては、表20-3を参照してください。
デフォルトでは、複数のユーザ ID セッションをノードで同時に実行できます。つまり、複数のユーザが、同じユーザ ID を使用してノードにログインできます。ただし、ユーザごとに 1 つのログインだけを許可し、すべてのユーザに対して、同じユーザ ID を使用して同時に複数ログインできないように、ノードをプロビジュニングできます。
(注) ユーザがアクセスするノードごとに同じユーザ名とパスワードを追加する必要があります。
20.2 ユーザ権限とポリシー
ここでは、各 CTC タスクのユーザ権限を示し、プロビジョニングするためにスーパーユーザが利用できるセキュリティ ポリシーについて説明します。
20.2.1 CTC タスクのユーザ権限
表20-1 に、ノード ビューで各権限レベルのユーザが実行できるアクションを示します。
表20-1 ONS 15454 のセキュリティ レベル:ノード ビュー
|
|
|
|
|
|
|
Alarms |
-- |
Synchronize/Filter/Delete Cleared Alarms |
○ |
○ |
○ |
○ |
Conditions |
-- |
Retrieve/Filter |
○ |
○ |
○ |
○ |
History |
Session |
Filter |
○ |
○ |
○ |
○ |
Node |
Retrieve/Filter |
○ |
○ |
○ |
○ |
Circuits |
Circuits |
Create/Edit/Delete |
-- |
-- |
○ |
○ |
Filter/Search |
○ |
○ |
○ |
○ |
Rolls |
Create/Edit/Delete |
-- |
-- |
○ |
○ |
Filter/Search |
○ |
○ |
○ |
○ |
Provisioning |
General |
General: Edit |
-- |
-- |
一部 |
○ |
Power Monitor: Edit |
-- |
-- |
○ |
○ |
EtherBridge |
Spanning trees: Edit |
-- |
-- |
○ |
○ |
Network |
General: All |
-- |
-- |
-- |
○ |
Static Routing: Create/Edit/ Delete |
-- |
-- |
○ |
○ |
OSPF: Create/Edit/Delete |
-- |
-- |
○ |
○ |
RIP: Create/Edit/Delete |
-- |
-- |
○ |
○ |
Proxy: Create/Delete |
-- |
-- |
-- |
○ |
Firewall: Create/Delete |
-- |
-- |
-- |
○ |
OSI |
Main Setup |
-- |
-- |
-- |
○ |
TARP |
-- |
-- |
-- |
○ |
Routers |
-- |
-- |
-- |
○ |
GRE Tunnel Routes |
-- |
-- |
-- |
○ |
Protection |
Create/Delete/Edit |
-- |
-- |
○ |
○ |
View |
○ |
○ |
○ |
○ |
BLSR(ANSI) |
Create/Edit/Delete |
-- |
-- |
○ |
○ |
MS-SPRing(ETSI) |
Ring Map/Squelch Table/RIP Table |
○ |
○ |
○ |
○ |
Provisioning |
Security |
Users: Create/Delete |
-- |
-- |
-- |
○ |
Users: Change |
同じユーザ |
同じユーザ |
同じユーザ |
すべてのユーザ |
Users: Clear Security Intrusion |
-- |
-- |
-- |
○ |
Active Logins: Logout |
-- |
-- |
-- |
○ |
Policy: Edit |
-- |
-- |
-- |
○ |
Access: Edit |
-- |
-- |
-- |
○ |
RADIUS Server |
-- |
-- |
-- |
○ |
Legal Disclaimer: Edit |
-- |
-- |
-- |
○ |
SNMP |
Create/Delete/Edit |
-- |
-- |
○ |
○ |
Browse trap destinations |
○ |
○ |
○ |
○ |
Comm Channels |
SDCC: Create/Edit/Delete |
-- |
-- |
○ |
○ |
LDCC: Create/Edit/Delete |
-- |
-- |
○ |
○ |
GCC: Create/Edit/Delete |
-- |
-- |
○ |
○ |
OSC: OSC Terminations: Create/Edit/Delete |
-- |
-- |
○ |
○ |
OSC: DWDM Ring ID: Create/Edit/Delete |
-- |
○ |
○ |
○ |
Provisionable Patchcords: Create/Delete |
-- |
-- |
○ |
○ |
Timing |
General: Edit |
-- |
-- |
○ |
○ |
BITS Facilities: Edit |
-- |
-- |
○ |
○ |
Alarm Profiles |
Alarm Behavior: Edit |
-- |
-- |
○ |
○ |
Alarm Profiles Editor: Load/Store/Delete |
-- |
-- |
○ |
○ |
Alarm Profile Editor: New/Compare/Available/Usage |
○ |
○ |
○ |
○ |
Defaults |
Edit/Import |
-- |
-- |
-- |
○ |
Export |
○ |
○ |
○ |
○ |
UCP |
Node: Edit/Provision |
-- |
-- |
○ |
○ |
Neighbor: Create/Edit/Delete |
-- |
-- |
○ |
○ |
IPCC: Create/Edit/Delete |
-- |
-- |
○ |
○ |
Interface: Create/Edit/Delete |
-- |
-- |
○ |
○ |
Circuit: Create/Edit/Delete |
-- |
-- |
○ |
○ |
WDM-ANS |
Provisioning: Import |
-- |
-- |
-- |
○ |
Provisioning: Export |
○ |
○ |
○ |
○ |
Create/Edit/Delete/Commit/ Calculate |
-- |
-- |
○ |
○ |
Port Status: Launch |
-- |
-- |
○ |
○ |
Inventory |
-- |
Delete |
-- |
-- |
○ |
○ |
Reset |
-- |
○ |
○ |
○ |
Maintenance |
Database |
Backup |
-- |
○ |
○ |
○ |
Restore |
-- |
-- |
-- |
○ |
EtherBridge |
Spanning Trees: View |
○ |
○ |
○ |
○ |
MAC Table: Retrieve |
○ |
○ |
○ |
○ |
MAC Table: Clear/Clear All |
-- |
○ |
○ |
○ |
Trunk Utilization: Refresh |
○ |
○ |
○ |
○ |
Circuits: Refresh |
○ |
○ |
○ |
○ |
OSI |
IS-IS RIB |
-- |
-- |
-- |
○ |
ES-IS RIB |
-- |
-- |
-- |
○ |
TDC |
-- |
-- |
-- |
○ |
Protection |
Switch/Lock out/Lockon/ Clear/ Unlock |
○ |
○ |
○ |
○ |
BLSR(ANSI) MS-SPRing(ETSI) |
West/East Switches |
-- |
-- |
○ |
○ |
Reset |
-- |
○ |
○ |
○ |
Software |
Download |
-- |
○ |
○ |
○ |
Activate/Revert |
-- |
-- |
-- |
○ |
Cross-Connect |
Cards: Switch/Lock/Unlock |
-- |
○ |
○ |
○ |
Resource Usage: Delete |
-- |
-- |
○ |
○ |
Overhead XConnect |
View |
○ |
○ |
○ |
○ |
Diagnostic |
Retrieve/Lamp Test |
-- |
○ |
○ |
○ |
Timing |
Source: Edit |
-- |
○ |
○ |
○ |
Timing Report: View/Refresh |
○ |
○ |
○ |
○ |
Audit |
Retrieve/Archive |
-- |
-- |
-- |
○ |
Routing Table |
Retrieve |
○ |
○ |
○ |
○ |
RIP Routing Table |
Retrieve |
○ |
○ |
○ |
○ |
Test Access |
Read-only |
○ |
○ |
○ |
○ |
DWDM |
APC: Run/Disable/Refresh |
-- |
○ |
○ |
○ |
WDM Span Check: Retrieve Span Loss values, Reset |
○ |
○ |
○ |
○ |
Power Monitoring: Refresh |
○ |
○ |
○ |
○ |
表20-2 に、ノード ビューで各権限レベルのユーザが実行できるアクションを示します。
表20-2 ONS 15454 のセキュリティ レベル:ネットワーク ビュー
|
|
|
|
|
|
|
Alarms |
-- |
Synchronize/Filter/Delete cleared alarms |
○ |
○ |
○ |
○ |
Conditions |
-- |
Retrieve/Filter |
○ |
○ |
○ |
○ |
History |
-- |
Filter |
○ |
○ |
○ |
○ |
Circuits |
Circuits |
Create/Edit/Delete |
-- |
-- |
○ |
○ |
Filter/Search |
○ |
○ |
○ |
○ |
Rolls |
Create/Edit/Delete |
-- |
-- |
○ |
○ |
Filter/Search |
○ |
○ |
○ |
○ |
Provisioning |
Security |
Users: Create/Delete |
-- |
-- |
-- |
○ |
Users: Change |
同じユーザ |
同じユーザ |
同じユーザ |
すべてのユーザ |
Active logins: Logout |
-- |
-- |
-- |
○ |
Policy: Change |
-- |
-- |
-- |
○ |
Alarm Profiles |
New/Load/Store/Delete |
-- |
-- |
○ |
○ |
Compare/Available/Usage |
○ |
○ |
○ |
○ |
BLSR(ANSI) MS-SPRing(ETSI) |
Create/Edit/Delete/Upgrade |
-- |
-- |
○ |
○ |
Overhead Circuits |
Create/Delete/Edit/Merge |
-- |
-- |
○ |
○ |
Search |
○ |
○ |
○ |
○ |
Provisionable Patchcords (PPC) |
Create/Delete |
-- |
-- |
○ |
○ |
Maintenance |
Software |
Download/Cancel |
○ |
○ |
○ |
○ |
20.2.2 セキュリティ ポリシー
スーパーユーザのセキュリティ ポリシーを持つユーザは、ONS 15454 にセキュリティ ポリシーをプロビジョニングすることができます。これらのセキュリティ ポリシーには、アイドル ユーザのタイムアウト、パスワードの変更、パスワードの有効期限、およびユーザのロックアウト パラメータが含まれます。さらに、スーパーユーザは、TCC2/TCC2P RJ-45 ポート、バックプレーン LAN 接続、またはその両方を経由して ONS 15454 にアクセスすることができます。
20.2.2.1 アイドル ユーザのタイムアウト
ONS 15454 の CTC または TL1 の各ユーザは、ログイン セッションの間、指定した時間だけアイドル状態でいることができ、指定した時間が経過すると CTC ウィンドウはロックされます。このロックアウトにより、権限のないユーザによる変更を防止しています。 表20-3 に示すように、デフォルトのアイドル時間は、上位レベルのユーザであるほど短くなり、下位レベルになるにつれ長くなるか、無制限になります。ユーザ アイドル時間はスーパーユーザにより変更可能です。「G88 ユーザの修正とセキュリティの変更」を参照してください。
表20-3 ONS 15454 のデフォルト ユーザのアイドル時間
|
|
スーパーユーザ |
15 分 |
プロビジョニング |
30 分 |
メンテナンス |
60 分 |
取得 |
無制限 |
20.2.2.2 ユーザ パスワード、ログイン、およびアクセス ポリシー
スーパーユーザは、ノードごとに現在 CTC または TL1 にログインしているユーザのリストをリアルタイムで表示することができます。スーパーユーザは、次のとおり、パスワード、ログイン、およびノード アクセス ポリシーをプロビジョニングすることもできます。
•
パスワードの有効期限と再使用:スーパーユーザは、パスワードの変更が必要な期限とパスワードが再使用可能になる期限を指定できます。
•
ログイン試行:スーパーユーザは、ユーザの CTC へのログイン試行が許可される最大回数を指定できます。
•
ロックアウトとユーザのディセーブル化:スーパーユーザは、ロックアウトされるまでに許される無効なログインの回数と非アクティブなユーザが無効になるまでの時間の長さをプロビジョニングできます。許容されるロックアウト試行回数は、許容されるログイン試行回数に設定されます。
•
ノード アクセスとユーザ セッション : スーパーユーザは、1 人のユーザが起動できる CTC セッションの数を制限でき、LAN または TCC2/TCC2P RJ-45 接続を使用した ONS 15454 へのアクセスを禁止できます。
また、スーパーユーザは、CTC の Provisioning > Security > Access タブで、Telnet の代わりに Secure Shell(SSH;セキュア シェル)を選択することができます。SSH は、暗号化されたリンクを使用する端末リモート ホストのインターネット プロトコルです。非セキュア チャネル上で、認証とセキュア通信を提供します。ポート 22 がデフォルトのポートで、変更することはできません。
20.3 監査証跡
Cisco ONS 15454 は、TCC2 カードおよび TCC2P カード上に監査証跡ログ(Telcordia GR-839-CORE に準拠)を保持しています。監査証跡は、セキュリティ管理、失われたトランザクションの回復、およびアカウンタビリティの実行に役立ちます。アカウンタビリティは、ユーザのアクティビティの追跡、つまりプロセスやアクションを特定のユーザに関連付けることを意味します。このレコードには、システムにアクセスしたユーザ、およびある一定期間に実行された操作が記録されます。ログには、オペレーティング システムの CLI(コマンドライン インターフェイス)、CTC、および TL1 を使用した、認可済みのシスコ ログインおよびログアウトが含まれます。また、FTP の動作、回線の作成と削除、およびユーザとシステムによって生成される動作も含まれます。
イベント モニタリングも、監査ログに記録されます。各イベントは、ネットワーク内にある何らかの要素のステータス変更として定義されます。外部イベント、内部イベント、アトリビュートの変更、およびソフトウェアのアップロードとダウンロード アクティビティが、監査証跡に記録されます。
監査証跡は固定メモリに格納され、プロセッサの切り替え、リセット、またはアップグレードが原因で破損することはありません。ただし、TCC2 と TCC2P の両方のカードを取り外した場合には、監査証跡ログは失われます。
必要に応じて、「G108 監査証跡レコードの表示」を参照してください。
20.3.1 監査証跡ログのエントリ
表20-4 に、Audit Trail ウィンドウで表示されるカラムを示します。
表20-4 Audit Trail ウィンドウのカラム
|
|
Date |
動作が発生した日付 |
Num |
動作のカウント |
User |
動作を開始したユーザの ID |
P/F |
成功/失敗(その動作が実行されたかどうか) |
Operation |
行われた動作 |
監査証跡レコードには、次のアクティビティがキャプチャされます。
•
User:アクションを実行したユーザの名前
•
Host:アクティビティが記録されるホスト
•
Device ID:アクティビティに関連するデバイスの IP アドレス
•
Application:アクティビティに関連するアプリケーションの名前
•
Task:アクティビティに関連するタスク(ダイアログボックスの表示、設定の適用など)の名前
•
Connection Mode:Telnet、コンソール、Simple Network Management Protocol(SNMP; 簡易ネットワーク管理プロトコル)
•
Category:変更の種類:ハードウェア、ソフトウェア、構成
•
Status:ユーザの動作のステータス:読み取り、初回、成功、タイムアウト、失敗
•
Time:変更の時間
•
Message Type:イベントの Success(成功)/Failure(失敗)を表示
•
Message Details:変更の説明
20.3.2 監査証跡のキャパシティ
システムには、640 個のログ エントリを格納できます。この上限に到達すると、最も古いエントリが新しいイベントで上書きされます。ログ サーバの使用率が 80 パーセントになると、AUD-LOG-LOW 条件が発生してログに記録されます(Common Object Request Broker Architecture [CORBA] /CTC を使用)。
ログ サーバが最大キャパシティの 640 エントリに到達して、アーカイブされていない記録の上書きが開始されると、AUD-LOG-LOSS 条件が発生してログに記録されます。このイベントは、監査証跡レコードが失われたことを示します。このイベントは、システムが上書きするエントリ数に関わらず、ユーザがファイルをオフロードするまでの間に 1 回だけ発生します。詳細は、「G109 監査証跡レコードのオフロード」を参照してください。
20.4 RADIUS セキュリティ
スーパーユーザは、ノードを設定して Remote Authentication Dial In User Service(RADIUS)認証を使用できます。RADIUS は通常、Authentication, Authorization, and Accounting(AAA; 認証、許可、アカウンティング)として知られている機能を使用して、リモート ユーザについて、アイデンティティの確認、アクセスの許可、操作の追跡を行います。必要に応じて、「G281 RADIUS 認証のノード設定」を参照してください。
20.4.1 RADIUS 認証
RADIUS は、認識されていないユーザによる、ネットワークおよびネットワーク サービスへのリモート アクセスを防ぐ分数セキュリティ システムです。RADIUS は、次の 3 つのコンポーネントで構成されています。
•
UDP/IPを使用したフレーム形式のプロトコル
•
サーバ
•
クライアント
サーバは通常、カスタマー サイトの中央コンピュータで実行されます。一方、クライアントはダイヤルアップ アクセス サーバに存在し、ネットワーク全体に分散できます。
ONS 15454 ノードは RADUIS のクライアントとして動作します。クライアントには指定の RADIUS サーバへユーザ情報を送る役割があり、応答に基づいて動作します。RADIUS サーバにはユーザの接続要求を受信する役割があるため、ユーザを認証し、クライアントがユーザにサービスを提供するために必要なすべての設定情報を返します。RADIUS サーバは、他の認証サーバに対しては、プロキシ クライアントとして動作します。クライアントと RADIUS サーバ間の処理は、共有秘密を使用して認証されます。共有秘密はネットワーク上に送信されることはありません。さらに、ユーザのパスワードはクライアントと RADIUS サーバ間で暗号化して送信されます。これにより、保護されていないネットワーク上でこれらの情報が盗まれることがなくなります。
20.4.2 共有秘密
共有秘密は、次の間で、パスワードとして使用されるテキスト文字列です。
•
RADIUS クライアントと RADIUS サーバ
•
RADIUS クライアントと RADIUS プロキシ
•
RADIUS プロキシと RADIUS サーバ
RADIUS クライアント、RADIUS プロキシ、および RADIUS サーバを使用する構成では、RADIUS クライアントと RADIUS プロキシ間で使用される共有秘密が、RADIUS プロキシと RADIUS サーバ間で使用する共有秘密とは異なる場合があります。
共有秘密は、RADIUS メッセージ(Access-Requestメッセージを除く)が同じ共有秘密で設定されている RADIUS 対応デバイスによって送信されているかどうかを検証するために使用されます。また、共有秘密は、送信中に修正されなかった RADIUS メッセージも検証します(メッセージの整合性)。共有秘密は、ユーザのパスワードやトンネル パスワードのような一部の RADIUS アトリビュートの暗号化にも使用されます。
共有秘密の作成および使用には、次の点に注意してください。
•
RADIUS デバイス間で大文字と小文字が区別される同じ共有秘密を使用する。
•
RADIUS サーバと RADIUS クライアントの各ペアごとに、異なる共有秘密を使用する。
•
ランダムな共有秘密を確実に作成するには、最低 22 文字以上のランダムな文字列を作成する。
•
標準の英数字および特殊文字を使用できる。
•
最大 128 文字の長さの共有秘密を使用できる。サーバと RADIUS クライアントを悪意のある攻撃から保護するには、22 文字を超える長い共有秘密を使用する。
•
サーバと RADIUS クライアントを辞書攻撃から保護するために、共有秘密には数字や文字、句読点からなるランダムな文字列を使用し、頻繁に変更する。共有秘密には、 表20-5 に示す 3 つのグループの文字を含めるようにする。
表20-5 共有秘密の文字グループ
|
|
文字(大文字および小文字) |
A、B、C、D、および a、b、c、d |
数字 |
0、1、2、3 |
記号(文字や数字として定義されないものすべて) |
感嘆符(!)、アスタリスク(*)、コロン(:) |
共有秘密が強力なほど、共有秘密により暗号化されるアトリビュート(パスワード、暗号鍵として使用されるアトリビュートなど)はよりセキュアになります。次に、セキュアな共有秘密の例を示します:8d#>9fq4bV)H7%a3-zE13sW$hIa32M#m<PqAa72(