AAA 機能を使用すると、Cisco NX-OS デバイスを管理するユーザの ID を確認し、ユーザにアクセスを許可し、ユーザの実行するアクションを追跡できます。Cisco NX-OS デバイスは、Remote Access Dial-In User Service（RADIUS）プロトコルまたは Terminal Access Controller Access Control System Plus（TACACS+）プロトコルをサポートします。

Cisco NX-OS は入力されたユーザ ID およびパスワードの組み合わせに基づいて、ローカル データベースによるローカル認証または許可、あるいは 1 つまたは複数の AAA サーバによるリモート認証または許可を実行します。Cisco NX-OS デバイスと AAA サーバの間の通信は、事前共有秘密キーによって保護されます。すべての AAA サーバ用または特定の AAA サーバ専用に共通秘密キーを設定できます。

AAA セキュリティは、次のサービスを実行します。

認証

ログインとパスワードのダイアログ、チャレンジとレスポンス、メッセージング サポート、および選択したセキュリティ プロトコルに応じた暗号化などを使用してユーザを識別します。

認証は、デバイスにアクセスする人物またはデバイスの ID を確認するプロセスです。この ID の確認は、Cisco NX-OS デバイスにアクセスするエンティティから提供されるユーザ ID とパスワードの組み合わせに基づいて行われます。Cisco NX-OS デバイスでは、ローカル認証（ローカル ルックアップ データベースを使用）またはリモート認証（1 台または複数の RADIUS サーバまたは TACACS+ サーバを使用）を実行できます。

許可

アクセス コントロールを提供します。AAA 許可は、ユーザが何を実行する権限を与えられるかを表す一連の属性を組み立てるプロセスです。Cisco NX-OS ソフトウェアでは、AAA サーバからダウンロードされる属性を使用して権限付与が行われます。RADIUS や TACACS+ などのリモート セキュリティ サーバは、適切なユーザで該当する権利を定義した属性値（AV）のペアをアソシエートすることによって、ユーザに特定の権限を付与します。

Accounting

情報を収集する、情報をローカルのログに記録する、情報を AAA サーバに送信して課金、監査、レポート作成などを行う方法を提供します。

アカウンティング機能では、Cisco NX-OS デバイスへのアクセスに使用されるすべての管理セッションを追跡し、ログに記録して管理します。この情報を使用して、トラブルシューティングや監査のためのレポートを生成できます。アカウンティング ログは、ローカルに保存することもできれば、リモート AAA サーバに送信することもできます。

（注）	Cisco NX-OS ソフトウェアでは、認証、許可、およびアカウンティングを個別にサポートしています。たとえば、アカウンティングは設定せずに、認証と許可を設定したりできます。

AAA は、次のような利点を提供します。

• アクセス設定の柔軟性と制御性の向上

• 拡張性

• 標準化された認証方式（RADIUS、TACACS+ など）

• 複数のバックアップ デバイス

RADIUS プロトコルおよび TACACS+ プロトコルを介して提供されるリモート AAA サービスには、ローカル AAA サービスと比べて次のような利点があります。

• ファブリック内の各 Cisco NX-OS デバイスのユーザ パスワード リストの管理が容易になります。

• AAA サーバはすでに企業内に幅広く導入されており、簡単に AAA サービスに使用できます。

• ファブリック内のすべての Cisco NX-OS デバイスのアカウンティング ログを中央で管理できます。

• ファブリック内の各 Cisco NX-OS デバイスのユーザ属性の管理が、Cisco NX-OS デバイスのローカル データベースを使用するよりも容易になります。

認証、許可、アカウンティングのためのリモート AAA サーバは、サーバ グループを使用して指定できます。サーバ グループとは、同じ AAA プロトコルを実装した一連のリモート AAA サーバです。サーバ グループの目的は、リモート AAA サーバが応答できなくなったときにフェールオーバー サーバを提供することです。グループ内の最初のリモート サーバが応答しなかった場合、いずれかのサーバが応答を送信するまで、グループ内の次のリモート サーバで試行が行われます。サーバ グループ内のすべての AAA サーバが応答しなかった場合、そのサーバ グループ オプションは障害が発生しているものと見なされます。必要に応じて、複数のサーバ グループを指定できます。Cisco NX-OS デバイスは、最初のサーバ グループのすべてのサーバからエラーを受信した場合に、次のサーバ グループのサーバを試行します。

Cisco NX-OS デバイスの AAA 設定は、サービス ベースです。次のサービスごとに異なった AAA 設定を作成できます。

• User Telnet または Secure Shell（SSH）ログイン認証

• コンソール ログイン認証

• Cisco TrustSec 認証

• 802.1X 認証

• Network Admission Control（NAC）の Extensible Authentication Protocol over User Datagram Protocol（EAPoUDP）認証

• ユーザ管理セッション アカウンティング

• 802.1X アカウンティング

AAA サービスには、次の認証方式を指定できます。

すべての RADIUS サーバ

RADIUS サーバのグローバル プールを使用して認証を行います。

指定サーバ グループ

設定した特定の RADIUS、TACACS+、または LDAP サーバ グループを使用して認証を行います。

ローカル

ローカルのユーザ名またはパスワード データベースを使用して認証を行います。

なし

AAA 認証が使用されないように指定します。

（注）	「指定サーバ グループ」方式でなく、「すべての RADIUS サーバ」方式を指定した場合、Cisco NX-OS デバイスは、設定された RADIUS サーバのグローバル プールから設定の順に RADIUS サーバを選択します。このグローバル プールから選択されるサーバは、Cisco NX-OS デバイス上で RADIUS サーバ グループに選択的に設定できるサーバです。

（注）	コンソール ログイン認証、ユーザ ログイン認証、およびユーザ管理セッション アカウンティングの場合は、Cisco NX-OS デバイスが、指定された順序で各オプションを試行します。その他の設定済みオプションが失敗した場合、ローカル オプションがデフォルト方式です。no aaa authentication login {console | default} fallback error local コマンドを使用すると、コンソール ログインまたはデフォルト ログインの local オプションをディセーブルにできます。

図 1. ユーザ ログインの認証および許可フロー. 次の図に、ユーザ ログインの認証および許可プロセスのフローチャートを示します。

（注）	この図は、ユーザ名とパスワードによる SSH 認証にのみ該当します。公開キー SSH 認証には適用されません。ユーザ名とパスワードによる SSH 認証は、常に AAA を介して行われます。

次に、このプロセスについて順番に説明します。

• Cisco NX-OS デバイスにログインする場合、Telnet、SSH、またはコンソール ログインのオプションが使用できます。

• サーバ グループ認証方式を使用して AAA サーバ グループを設定した場合は、Cisco NX-OS デバイスが、次のように認証要求をグループ内の最初の AAA サーバに送信します。

  • 特定の AAA サーバが応答しなかった場合は、その次の AAA サーバ、さらにその次へと、各サーバが順に試行されます。この処理は、リモート サーバが認証要求に応答するまで続けられます。

  • サーバ グループのすべての AAA サーバが応答しなかった場合、その次のサーバ グループのサーバが試行されます。

  • コンソール ログインでローカルへのフォールバックがディセーブルでないかぎり、設定されている認証方式がすべて失敗した場合、ローカル データベースを使用して認証が実行されます。

• Cisco NX-OS デバイスがリモート AAA サーバでユーザの認証に成功した場合は、次のいずれかが適用されます。

  • AAA サーバ プロトコルが RADIUS の場合、cisco-av-pair 属性で指定されているユーザ ロールが認証応答とともにダウンロードされます。

  • AAA サーバ プロトコルが TACACS+ の場合、シェルのカスタム属性として指定されているユーザ ロールを取得するために、もう 1 つの要求が同じサーバに送信されます。

  • リモート AAA サーバからのユーザ ロールの取得に成功しない場合、ユーザに vdc-operator ロールが割り当てられます。

• ローカルでユーザ名とパスワードの認証が成功した場合は、ログインが許可され、ローカル データベースに設定されているロールが割り当てられます。

（注）	「残りのサーバ グループなし」とは、すべてのサーバ グループのいずれのサーバからも応答がないということです。「残りのサーバなし」とは、現在のサーバ グループ内のいずれのサーバからも応答がないということです。

デフォルトのコンソール方式と AAA アカウンティング ログを除き、すべての AAA 設定と操作は仮想デバイス コンテキスト（VDC）に対してローカルです。コンソール ログインの AAA 認証方式の設定と操作は、デフォルト VDC に対してだけ適用されます。AAA アカウンティング ログは、デフォルト VDC だけに存在します。任意の VDC から内容を表示できますが、内容のクリアはデフォルト VDC で行う必要があります。

VDC の詳細については、『Cisco Nexus 7000 Series NX-OS Virtual Device Context Configuration Guide』を参照してください。

AAA 認証およびアカウンティングを設定するには、次の作業を行います。

1. 認証にリモート RADIUS、TACACS+、または LDAP サーバを使用する場合は、Cisco NX-OS デバイス上でホストを設定します。

2. コンソール ログイン認証方式を設定します。

3. ユーザ ログインのためのデフォルトのログイン認証方式を設定します。

4. デフォルト AAA アカウンティングのデフォルト方式を設定します。

ここでは、コンソール ログインの認証方式を設定する方法を説明します。

認証方式には、次のものがあります。

• RADIUS サーバのグローバル プール

• RADIUS、TACACS+、または LDAP サーバの指定サブセット

• Cisco NX-OS デバイスのローカル データベース

• ユーザ名だけ（none）

デフォルトの方式はローカルですが、ディセーブルにするオプションがあります。

（注）	コンソール ログインの AAA の設定と操作は、デフォルト VDC に対してだけ適用されます。

（注）	aaa authentication コマンドの group radius および groupserver-name 形式は、以前に定義された RADIUS サーバのセットを参照します。ホスト サーバを設定するには、radius server-host コマンドを使用します。サーバの名前付きグループを作成するには、aaa group server radius コマンドを使用します。

（注）	リモート認証がイネーブルになっているときにパスワード回復を実行すると、パスワード回復の実行後すぐにコンソール ログインのローカル認証がイネーブルになります。そのため、新しいパスワードを使用してコンソール ポート経由で Cisco NX-OS デバイスにログインできます。ログイン後は、引き続きローカル認証を使用するか、または AAA サーバで設定された管理者パスワードのリセット後にリモート認証をイネーブルにすることができます。パスワード回復プロセスの詳細については、『Cisco NX-OS のパスワード回復手順』を参照してください。

認証方式には、次のものがあります。

• RADIUS サーバのグローバル プール

• RADIUS、TACACS+、または LDAP サーバの指定サブセット

• Cisco NX-OS デバイスのローカル データベース

• ユーザ名だけ

デフォルトの方式はローカルですが、ディセーブルにするオプションがあります。

デフォルトでは、コンソール ログインまたはデフォルト ログインのリモート認証が設定されている場合、どの AAA サーバにも到達不能なときに（認証エラーになります）、ユーザが Cisco NX-OS デバイスからロックアウトされないように、ローカル認証にフォールバックされます。ただし、セキュリティを向上させるために、ローカル認証へのフォールバックをディセーブルにできます。

注意	ローカル認証へのフォールバックをディセーブルにすると、Cisco NX-OS デバイスがロックされ、パスワード回復を実行しないとアクセスできなくなることがあります。デバイスからロックアウトされないようにするために、ローカル認証へのフォールバックをディセーブルにする対象は、デフォルト ログインとコンソール ログインの両方ではなく、いずれかだけにすることを推奨します。

（注）	コンソール ログインの AAA の設定と操作は、デフォルト VDC に対してだけ適用されます。

ユーザ ロールを持たないリモート ユーザに、デフォルトのユーザ ロールを使用して、RADIUS または TACACS+ リモート認証による Cisco NX-OS デバイスへのログインを許可できます。AAA のデフォルトのユーザ ロール機能をディセーブルにすると、ユーザ ロールを持たないリモート ユーザはデバイスにログインできなくなります。

この機能は必要に応じて VDC に対してイネーブルまたはディセーブルにできます。デフォルトの VDC では、デフォルトのユーザ ロールは network-operator です。デフォルト以外の VDC では、デフォルトの VDC は vdc-operator です。

ログイン時にリモート AAA サーバが応答しない場合、そのログインは、ローカル ユーザ データベースにロール オーバーして処理されます。このような場合に、ログイン失敗メッセージがイネーブルになっていると、次のメッセージがユーザの端末に表示されます。

Remote AAA servers unreachable; local authentication done.

Remote AAA servers unreachable; local authentication failed.

Cisco NX-OS ソフトウェアは、チャレンジ ハンドシェーク認証プロトコル（CHAP）をサポートしています。このプロトコルは、業界標準の Message Digest（MD5）ハッシュ方式を使用して応答を暗号化する、チャレンジ レスポンス認証方式のプロトコルです。リモート認証サーバ（RADIUS または TACACS+）を介した Cisco NX-OS デバイスへのユーザ ログインに、CHAP を使用できます。

デフォルトでは、Cisco NX-OS デバイスとリモート サーバの間でパスワード認証プロトコル（PAP）認証が使用されます。CHAP がイネーブルの場合は、CHAP ベンダー固有属性（VSA）を認識するように RADIUS サーバまたは TACACS+ サーバを設定する必要があります。

マイクロソフト チャレンジ ハンドシェーク認証プロトコル（MSCHAP）は、マイクロソフト版の CHAP です。Cisco NX-OS ソフトウェアは、MSCHAP バージョン 2（MSCHAP V2）もサポートしています。リモート認証サーバ（RADIUS または TACACS+）を介した Cisco NX-OS デバイスへのユーザ ログインに、MSCHAP を使用できます。MSCHAP V2 では、リモート認証 RADIUS サーバを介した Cisco NX-OS デバイスへのユーザ ログインだけがサポートされます。MSCHAP V2 の場合に TACACS+ グループを設定すると、デフォルトの AAA ログイン認証では、次に設定されている方式が使用されます。他のサーバ グループが設定されていない場合は、ローカル方式が使用されます。

（注）	Cisco NX-OS ソフトウェアで、次のメッセージが表示される場合があります。 「Warning: MSCHAP V2 is supported only with Radius.」 この警告メッセージは単なる情報メッセージであり、RADIUS での MSCHAP V2 の動作には影響しません。

デフォルトでは、Cisco NX-OS デバイスとリモート サーバの間でパスワード認証プロトコル（PAP）認証が使用されます。MSCHAP または MSCHAP V2 をイネーブルにする場合は、MSCHAP および MSCHAP V2 ベンダー固有属性（VSA）を認識するように RADIUS サーバを設定する必要があります。

タイプ 6 暗号化用のマスター キーを設定し、高度暗号化規格（AES）パスワード暗号化機能をイネーブルにすることができます。

既存の単純で脆弱な暗号化パスワードをタイプ 6 暗号化パスワードに変換できます。

タイプ 6 暗号化パスワードを元の状態に変換できます。

Cisco NX-OS デバイスからすべてのタイプ 6 暗号化パスワードを削除できます。

Cisco NX-OS ソフトウェアは、アカウンティングに TACACS+ および RADIUS 方式をサポートします。Cisco NX-OS デバイスは、ユーザのアクティビティを、アカウンティング レコードの形式で TACACS+ または RADIUS セキュリティ サーバにレポートします。各アカウンティング レコードに、アカウンティング属性値（AV）のペアが入っており、それが AAA サーバに格納されます。

AAA アカウンティングをアクティブにすると、Cisco NX-OS デバイスは、これらの属性をアカウンティング レコードとしてレポートします。アカウンティング レコードはその後セキュリティ サーバのアカウンティング ログに保存されます。

特定のアカウンティング方式を定義するデフォルト方式リストを作成できます。次の方式を含めることができます。

RADIUS サーバ グループ

RADIUS サーバのグローバル プールを使用してアカウンティングを行います。

指定されたサーバ グループ

指定された RADIUS または TACACS+ サーバ グループを使用してアカウンティングを行います。

ローカル

ローカルのユーザ名またはパスワード データベースを使用してアカウンティングを行います。

（注）	サーバ グループが設定されていて、そのサーバ グループが応答しない場合、デフォルトではローカル データベースが認証に使用されます。

ベンダー固有属性（VSA）を使用して、AAA サーバ上で Cisco NX-OS のユーザ ロールおよび SNMPv3 パラメータを指定できます。