ロールベース アクセスの設定

ロールベース アクセス コントロールの概要

ロールベース アクセス コントロール（RBAC）は、ユーザのロールとロケールに基づいてユーザのシステム アクセスを制限または許可する方法です。ロールによってシステム内でのユーザの権限が定義され、ロケールによってユーザがアクセス可能な組織（ドメイン）が定義されます。権限がユーザに直接割り当てられることはないため、適切なロールとロケールを割り当てることによって個々のユーザ権限を管理できます。

必要なシステム リソースへの書き込みアクセス権限がユーザに与えられるのは、割り当てられたロールによりアクセス権限が与えられ、割り当てられたロケールによりアクセスが許可されている場合に限ります。たとえば、エンジニアリング組織の管理者ロールを与えられたユーザは、エンジニアリング組織のサーバ設定を更新できます。ただし、そのユーザに割り当てられたロケールに財務部門が含まれている場合を除いて、財務部門内のサーバ設定を更新することはできません。

ユーザ アカウント Cisco UCS

ユーザ アカウントは、システムへのアクセスに使用します。Cisco UCS Manager ドメインごとに最大 48 個の ローカル ユーザ アカウントを構成できます。各ユーザ アカウントには、一意のユーザ名とパスワードが必要です。

ユーザ アカウントは、SSH 公開キーを付けて設定できます。公開キーは、OpenSSH と SECSH のいずれかの形式で設定できます。

管理者アカウント

Cisco UCS ドメイン にはそれぞれ、1 つの管理者アカウントが付随しています。管理者アカウントはデフォルト ユーザ アカウントであり、変更や削除はできません。このアカウントはシステム管理者またはスーパーユーザ アカウントであり、すべての権限が与えられています。admin アカウントには、デフォルトのパスワードは割り当てられません。初期システム セットアップ時にパスワードを選択する必要があります。

管理者アカウントは常にアクティブで、有効期限がありません。管理者アカウントを非アクティブに設定することはできません。

ローカル認証されたユーザ アカウント

ローカル認証されたユーザ アカウントは、ファブリック インターコネクトのを介して直接認証され、admin または aaa 権限の所有者によって有効または無効にできます。ローカル ユーザ アカウントを無効にすると、そのユーザはログインできなくなります。しかし無効になったローカル ユーザ アカウントの構成の詳細はデータベースから削除されません。無効にされたローカル ユーザ アカウントを再度有効にすると、アカウントはユーザ名とパスワードを含め、既存の構成で再びアクティブになります。

リモート認証されたユーザ アカウント

リモート認証されたユーザ アカウントとは、LDAP、RADIUS、または TACACS+ で認証されたユーザ アカウントです。

ユーザがローカル ユーザ アカウントとリモート ユーザ アカウントを同時に保持する場合、ローカル ユーザ アカウントで定義されたロールにより、リモート ユーザ アカウントに保持された値が上書きされます。

ユーザ アカウントの有効期限

ユーザ アカウントは、事前に定義した時間に有効期限が切れるように設定できます。有効期限の時間になると、ユーザ アカウントは無効になります。

デフォルトでは、ユーザ アカウントの有効期限はありません。


（注）  

ユーザ アカウントに有効期限を設定した後、「有効期限なし」に再設定することはできません。ただし、そのアカウントの有効期限切れになる日付を更新して設定することは可能です。

予約語：ローカル認証されたユーザ アカウント

次の語は Cisco UCS でローカル ユーザ アカウントを作成するときに使用できません。

  • root

  • bin

  • daemon

  • adm

  • lp

  • sync

  • shutdown

  • halt

  • news

  • uucp

  • operator

  • games

  • gopher

  • nobody

  • nscd

  • mailnull

  • mail

  • rpcuser

  • rpc

  • mtsuser

  • ftpuser

  • ftp

  • man

  • sys

  • samdme

  • debug

ユーザ アカウントの Web セッション制限

Cisco UCS Manager は、Web セッション制限を使用して、あるユーザ アカウントに対してある時点で許容される Web セッション数（GUI と XML の両方）を制限します。

各 Cisco UCS Manager ドメインは、ユーザ 1 人につき同時 Web セッションを最大 32 件、合計 256 件のユーザ セッションをサポートします。デフォルトでは、Cisco UCS Managerが許容する同時 Web セッション数はユーザ 1 人あたり 32 に設定されます。ただし、この値を最大でシステム上限の 256 まで構成できます。

ユーザ ロール

ユーザ ロールには、ユーザに許可される操作を定義する 1 つ以上の権限が含まれます。ユーザごとに 1 つ以上のロールを割り当てることができます。複数のロールを持つユーザは、割り当てられたすべてのロールを組み合わせた権限を持ちます。たとえば、Role1 にストレージ関連の権限が含まれ、Role2 にサーバ関連の権限が含まれている場合、Role1 と Role2 の両方を持つユーザは、ストレージ関連の権限とサーバ関連の権限を持つことになります。

Cisco UCS ドメイン には、デフォルトのユーザ ロールを含めて最大 48 個のユーザ ロールを含めることができます。48 個目のユーザ ロールが許可された後に設定されたユーザ ロールは、障害が発生して無効になります。

すべてのロールには、Cisco UCS ドメイン 内のすべての設定に対する読み取りアクセス権限が含まれています。読み取り専用ロールのユーザは、システム状態を変更することはできません。

ユーザは権限を作成したり、既存の権限を変更または削除したり、ロールを削除したりできます。ロールを変更すると、そのロールを持つすべてのユーザに新しい権限が適用されます。権限の割り当ては、デフォルト ロールに定義されている権限に限定されません。つまり、権限を自由に組み合わせて独自のロールを作成できます。たとえば、デフォルトのサーバ管理者ロールとストレージ管理者ロールには、異なる組み合わせの権限が付与されています。しかし、両方のロールの権限を持つサーバおよびストレージ管理者ロールを作成することができます。


（注）  

ロールをユーザに割り当てた後で削除すると、そのロールはそれらのユーザ アカウントからも削除されます。

AAA サーバ（RADIUS または TACACS+）上のユーザ プロファイルを、そのユーザに付与される権限に対応したロールを追加するように変更します。属性にはロール情報が保存されます。AAA サーバでは、要求とともにこの属性が返され、それを解析することでロールが得られます。LDAP サーバでは、ユーザ プロファイル属性内のロールが返されます。


（注）  

ローカル ユーザ アカウントとリモート ユーザ アカウントが同じユーザ名である場合、Cisco UCS Manager は、リモート ユーザに割り当てられたロールをローカル ユーザに割り当てられたロールで上書きします。

デフォルト ユーザ ロール

システムには、次のデフォルトのユーザ ロールが用意されています。

AAA アドミニストレータ

ユーザ、ロール、および AAA 設定に対する読み取りと書き込みのアクセス権。その他のシステムに対する読み取りアクセス。

アドミニストレータ

システム全体に対する完全な読み取りと書き込みのアクセス権。このロールは、デフォルトで管理者アカウントに割り当てられます。変更することはできません。

ファシリティ マネージャ

power management 権限による、電源管理操作に対する読み取りと書き込みのアクセス。その他のシステムに対する読み取りアクセス。

ネットワーク管理者

ファブリック インターコネクト インフラストラクチャとネットワーク セキュリティ操作に対する読み取りと書き込みのアクセス権。その他のシステムに対する読み取りアクセス。

オペレーション

システムのログ（syslog サーバを含む）と障害に対する読み取りと書き込みのアクセス権。その他のシステムに対する読み取りアクセス。

読み取り専用

システム設定に対する読み取り専用アクセス権。システム状態を変更する権限はありません。

サーバ計算

サービス プロファイルのほとんどの側面に対する読み取りと書き込みのアクセス権。ただし、ユーザは vNIC または vHBA を作成、変更、または削除できません。

サーバ機器アドミニストレータ

物理サーバ関連の操作に対する読み取りと書き込みのアクセス。その他のシステムに対する読み取りアクセス。

サーバ プロファイル アドミニストレータ

論理サーバ関連の操作に対する読み取りと書き込みのアクセス。その他のシステムに対する読み取りアクセス。

サーバ セキュリティ アドミニストレータ

サーバ セキュリティ関連の操作に対する読み取りと書き込みのアクセス。その他のシステムに対する読み取りアクセス。

ストレージ アドミニストレータ

ストレージ操作に対する読み取りと書き込みのアクセス権。その他のシステムに対する読み取りアクセス。

予約語：ユーザ ロール

次の語は、Cisco UCS でカスタム ロールを作成するときに使用できません。

  • ネットワーク管理者

  • network-operator

  • vdc-admin

  • vdc-operator

  • server-admin

権限

ユーザ ロールを割り当てられたユーザは、権限により、特定のシステム リソースにアクセスしたり、特定のタスクを実行したりできるようになります。次の表に、各権限と、その権限がデフォルトで与えられるユーザ ロールのリストを示します。


ヒント

これらの権限および権限によってユーザが実行できるようになるタスクの詳細情報は、次の URL から入手可能な『 Privileges in Cisco UCS http://www.cisco.com/en/US/products/ps10281/prod_technical_reference_list.html

表 1. ユーザの権限

権限

説明

デフォルトのロール割り当て

aaa

システム セキュリティおよび AAA

AAA アドミニストレータ

admin

システム管理

アドミニストレータ

ext-lan-config

外部 LAN 設定

ネットワーク アドミニストレータ

ext-lan-policy

外部 LAN ポリシー

ネットワーク アドミニストレータ

ext-lan-qos

外部 LAN QoS

ネットワーク アドミニストレータ

ext-lan-security

外部 LAN セキュリティ

ネットワーク アドミニストレータ

ext-san-config

外部 SAN 設定

ストレージ アドミニストレータ

ext-san-policy

外部 SAN ポリシー

ストレージ アドミニストレータ

ext-san-qos

外部 SAN QoS

ストレージ アドミニストレータ

ext-san-security

外部 SAN セキュリティ

ストレージ アドミニストレータ

fault

アラームおよびアラーム ポリシー

オペレーション

operations

ログおよび Smart Call Home

オペレーション

org-management

組織管理

オペレーション

pod-config

ポッド設定

ネットワーク アドミニストレータ

pod-policy

ポッド ポリシー

ネットワーク アドミニストレータ

pod-qos

ポッド QoS

ネットワーク アドミニストレータ

pod-security

ポッド セキュリティ

ネットワーク アドミニストレータ

power-mgmt

電源管理操作に対する読み取りおよび書き込みアクセス権

ファシリティ マネージャ

read-only

読み取り専用アクセス権

読み取り専用は、権限として選択できません。この権限は、すべてのユーザ ロールに割り当てられます。

読み取り専用

server-equipment

サーバ ハードウェア管理

サーバ機器アドミニストレータ

server-maintenance

サーバ メンテナンス

サーバ機器アドミニストレータ

server-policy

サーバ ポリシー

サーバ機器アドミニストレータ

server-security

サーバ セキュリティ

サーバ セキュリティ アドミニストレータ

service-profile-compute

サービス プロファイルの計算

サーバ計算アドミニストレータ

service-profile-config

サービス プロファイル設定

サーバ プロファイル アドミニストレータ

service-profile-config-policy

サービス プロファイル設定ポリシー

サーバ プロファイル アドミニストレータ

service-profile-ext-access

サービス プロファイル エンドポイント アクセス

サーバ プロファイル アドミニストレータ

service-profile-network

サービス プロファイル ネットワーク

ネットワーク アドミニストレータ

service-profile-network-policy

サービス プロファイル ネットワーク ポリシー

ネットワーク アドミニストレータ

service-profile-qos

サービス プロファイル QoS

ネットワーク アドミニストレータ

service-profile-qos-policy

サービス プロファイル QoS ポリシー

ネットワーク アドミニストレータ

service-profile-security

サービス プロファイル セキュリティ

サーバ セキュリティ アドミニストレータ

service-profile-security-policy

サービス プロファイル セキュリティ ポリシー

サーバ セキュリティ アドミニストレータ

service-profile-server

サービス プロファイル サーバ管理

サーバ プロファイル アドミニストレータ

service-profile-server-oper

サービス プロファイル コンシューマ

サーバ プロファイル アドミニストレータ

service-profile-server-policy

サービス プロファイル プール ポリシー

サーバ セキュリティ アドミニストレータ

service-profile-storage

サービス プロファイル ストレージ

ストレージ アドミニストレータ

service-profile-storage-policy

サービス プロファイル ストレージ ポリシー

ストレージ アドミニストレータ

ユーザ ロールの作成

手順

  コマンドまたはアクション 目的
ステップ 1

UCS-A# scope security

セキュリティ モードを開始します。
ステップ 2

UCS-A /security # create role name

ユーザ ロールを作成し、セキュリティ ロール モードを開始します。
ステップ 3

UCS-A /security/role # add privilege privilege-name

ロールに 1 つ以上の権限を追加します。

（注）   

複数の privilege-name を同じコマンドラインに指定してロールに複数の権限を追加することも、複数の add コマンドを使用して同じロールに複数の権限を追加することもできます。

ステップ 4

UCS-A /security/role # commit-buffer

トランザクションをシステムの設定にコミットします。

例

次の例は、service-profile-security-admin ロールを作成し、ロールにサービス プロファイル セキュリティおよびサービス プロファイル セキュリティ ポリシー権限を追加し、トランザクションをコミットします。

UCS-A# scope security
UCS-A /security # create role ls-security-admin
UCS-A /security/role* # add privilege service-profile-security service-profile-security-policy
UCS-A /security/role* # commit-buffer
UCS-A /security/role #

ユーザ ロールへの権限の追加

手順

  コマンドまたはアクション 目的
ステップ 1

UCS-A# scope security

セキュリティ モードを開始します。
ステップ 2

UCS-A /security # scope role name

指定したロールに対するセキュリティ ロール モードを開始します。
ステップ 3

UCS-A /security/role # add privilege privilege-name

ユーザ ロールの既存の権限に 1 つ以上の権限を追加します。

（注）   

複数の privilege-name を同じコマンドラインに指定してロールに複数の権限を追加することも、複数の add privilege コマンドを使用して同じロールに複数の権限を追加することもできます。

ステップ 4

UCS-A /security/role # commit-buffer

トランザクションをシステムの設定にコミットします。

例

次の例では、service-profile-security-admin ロールにサーバ セキュリティ権限とサーバ ポリシー権限を追加し、トランザクションをコミットする方法を示します。

UCS-A# scope security
UCS-A /security # scope role service-profile-security-admin
UCS-A /security/role # add privilege server-security server-policy
UCS-A /security/role* # commit-buffer
UCS-A /security/role #

ユーザ ロールの権限の置換

手順

  コマンドまたはアクション 目的
ステップ 1

UCS-A# scope security

セキュリティ モードを開始します。
ステップ 2

UCS-A /security # scope role name

指定したロールに対するセキュリティ ロール モードを開始します。
ステップ 3

UCS-A /security/role # set privilege privilege-name

ユーザ ロールの既存の権限を置き換えます。

（注）   

同じコマンド ラインで複数の privilege-name を指定することで、既存の権限を複数の権限に置換できます。権限を置換した後、add privilege コマンドを使用して同じロールに権限を追加できます。

ステップ 4

UCS-A /security/role # commit-buffer

トランザクションをシステムの設定にコミットします。

例

次の例では、service-profile-security-admin ロール用の既存の権限をサーバ セキュリティおよびサーバ ポリシー権限に置き換え、トランザクションをコミットする方法を示します。

UCS-A# scope security
UCS-A /security # scope role service-profile-security-admin
UCS-A /security/role # set privilege server-security server-policy
UCS-A /security/role* # commit-buffer
UCS-A /security/role #

ユーザ ロールからの権限の削除

手順

  コマンドまたはアクション 目的
ステップ 1

UCS-A# scope security

セキュリティ モードを開始します。
ステップ 2

UCS-A /security # scope role name

指定したロールに対するセキュリティ ロール モードを開始します。
ステップ 3

UCS-A /security/role # remove privilege privilege-name

既存のユーザ ロール権限から 1 つ以上の権限を削除します。

（注）   

同じコマンド ラインで複数の privilege-name を指定することで、複数の権限をロールから削除できます。または、複数の remove privilege コマンドを使用することで、同じロールから権限を削除できます。

ステップ 4

UCS-A /security/role # commit-buffer

トランザクションをシステムの設定にコミットします。

例

次に、service-profile-security-admin ロールからサーバ セキュリティ権限とサーバ ポリシー権限を削除し、トランザクションをコミットする例を示します。

UCS-A# scope security
UCS-A /security # scope role service-profile-security-admin
UCS-A /security/role # remove privilege server-security server-policy
UCS-A /security/role* # commit-buffer
UCS-A /security/role #

ユーザ ロールの削除

手順

  コマンドまたはアクション 目的
ステップ 1

UCS-A# scope security

セキュリティ モードを開始します。
ステップ 2

UCS-A /security # delete role name

ユーザ ロールを削除します。
ステップ 3

UCS-A /security # commit-buffer

トランザクションをシステムの設定にコミットします。

例

次に、service-profile-security-admin ロールを削除し、トランザクションをコミットする例を示します。

UCS-A# scope security
UCS-A /security # delete role service-profile-security-admin
UCS-A /security* # commit-buffer
UCS-A /security #

ロケール

ユーザ ロケール

ユーザは、1 つ以上のロケールに割り当てることができます。各ロケールでは、ユーザがアクセスできる 1 つ以上の組織（ドメイン）を定義します。アクセスは通常、ロケールで指定された部門のみに限定されます。ただし、部門をまったく含まないロケールは例外です。このようなロケールは、全部門のシステム リソースへの無制限のアクセスを提供します。

1 つの Cisco UCS ドメイン には、最大 48 個のユーザ ロケールを含めることができます。48 個目のユーザ ロールが許可された後に設定されたユーザ ロケールは、障害が発生して無効になります。

admin または aaa の権限を持つユーザは、組織をその他のユーザのロケールに割り当てることができます。組織の割り当ては、それを行うユーザのロケール内の組織のみに制限されます。たとえば、ロケールにエンジニアリング組織しか含まれていない場合、そのロケールを割り当てられたユーザは、他のユーザにエンジニアリング組織のみを割り当てることできます。


（注）  

次の権限の 1 つ以上を持つユーザにロケールを割り当てることはできません。

  • aaa

  • admin

  • fault

  • operations

組織は階層的に管理できます。トップ レベルの組織に割り当てられたユーザは、自動的にその下にあるすべての組織にアクセスできます。たとえば、エンジニアリング組織が、ソフトウェア エンジニアリング組織とハードウェア エンジニアリング組織で構成されているとします。ソフトウェア エンジニアリング部門のみを含むロケールでは、その部門内のシステム リソースにのみアクセスできます。しかし、エンジニアリング部門を含むロケールでは、ソフトウェア エンジニアリング部門とハードウェア エンジニアリング部門の両方のリソースにアクセスできます。

ロケールの作成

手順

  コマンドまたはアクション 目的
ステップ 1

UCS-A# scope security

セキュリティ モードを開始します。

ステップ 2

UCS-A /security # create locale locale-name

ロケールを作成し、セキュリティ ロケール モードを開始します。

ステップ 3

UCS-A /security/locale # create org-ref org-ref-name orgdn orgdn org-root/org-ref-name

ロケールに組織を参照（バインド）します。org-ref-name 引数は組織参照の識別に使用される名前で、orgdn-name 引数は参照されている組織の識別名です。

ステップ 4

UCS-A /security/locale # commit-buffer

トランザクションをシステムの設定にコミットします。

例

次の例は、western ロケールを作成し、そのロケールに財務組織を参照し、参照に finance-ref という名前を指定し、トランザクションをコミットします。 

UCS-A# scope security
UCS-A /security # create locale western
UCS-A /security/locale* # create org-ref finance-ref orgdn org-root/org-finance
UCS-A /security/locale* # commit-buffer
UCS-A /security/locale #

ロケールへの組織の割り当て

手順

  コマンドまたはアクション 目的
ステップ 1

UCS-A# scope security

セキュリティ モードを開始します。

ステップ 2

UCS-A# scope locale locale-name

セキュリティ ロケール モードを開始します。

ステップ 3

UCS-A /security/locale # create org-ref org-ref-name orgdn org-root/org-ref-name

ロケールに組織を参照（バインド）します。org-ref-name 引数は組織参照の識別に使用される名前で、orgdn-name 引数は参照されている組織の識別名です。

ステップ 4

UCS-A /security/locale # commit-buffer

トランザクションをシステムの設定にコミットします。

例

次の例は、western ロケールに入り、そのロケールに marketing 組織を追加（参照）し、参照に marketing-ref という名前を指定し、トランザクションをコミットします。 

UCS-A# scope security
UCS-A /security # scope locale western
UCS-A /security/locale* # create org-ref marketing-ref orgdn org-root/org-marketing
UCS-A /security/locale* # commit-buffer
UCS-A /security/locale #

ロケールからの組織の削除

手順

  コマンドまたはアクション 目的
ステップ 1

UCS-A# scope security

セキュリティ モードを開始します。
ステップ 2

UCS-A /security # scope locale locale-name

セキュリティ ロケール モードを開始します。
ステップ 3

UCS-A /security/locale # delete org-ref org-ref-name

ロケールから組織を削除します。
ステップ 4

UCS-A /security/locale # commit-buffer

トランザクションをシステムの設定にコミットします。

例

次に、western ロケールから finance 組織を削除し、トランザクションをコミットする例を示します。

UCS-A# scope security
UCS-A /security # scope locale western
UCS-A /security/locale # delete org-ref finance-ref
UCS-A /security/locale* # commit-buffer
UCS-A /security/locale #

ロケールの削除

手順

  コマンドまたはアクション 目的
ステップ 1

UCS-A# scope security

セキュリティ モードを開始します。

ステップ 2

UCS-A /security # delete locale locale-name

ロケールを削除します。

ステップ 3

UCS-A /security # commit-buffer

トランザクションをシステムの設定にコミットします。

例

次の例は、western ロケールを削除し、トランザクションをコミットします。 

UCS-A# scope security
UCS-A /security # delete locale western
UCS-A /security* # commit-buffer
UCS-A /security #

ローカル認証されたユーザ アカウント

ユーザ アカウントの作成

少なくとも、次のユーザを作成することを推奨します。

  • サーバ アドミニストレータ アカウント

  • ネットワーク アドミニストレータ アカウント

  • ストレージ アドミニストレータ

始める前に

システムに次のいずれかがある場合は、該当するタスクを実行します。

  • リモート認証サービス：ユーザがリモート認証サーバに存在すること、および適切なロールと権限を持っていることを確認します。

  • 組織のマルチテナント機能：1 つ以上のロケールを作成します。ロケールが 1 つもない場合、すべてのユーザはルートに作成され、すべての組織のロールと権限が割り当てられます。

  • SSH 認証：SSH キーを取得します。

手順

  コマンドまたはアクション 目的
ステップ 1

UCS-A# scope security

セキュリティ モードを開始します。

ステップ 2

UCS-A /security # create local-user local-user-name

指定したローカル ユーザのユーザ アカウントを作成し、セキュリティ ローカル ユーザ モードを開始します。

ステップ 3

UCS-A /security/local-user # set account-status {active | inactive }

ローカル ユーザ アカウントを有効にするか、無効にするかを指定します。

ローカル ユーザ アカウントのアカウント ステータスが非アクティブに設定された場合、ユーザは既存のクレデンシャルを使用してシステムにロギングできません。

ステップ 4

UCS-A /security/local-user # set password password

ユーザ アカウントのパスワードを設定します

ステップ 5

（任意） UCS-A /security/local-user # set firstname first-name

（任意）

ユーザの名前を指定します。

ステップ 6

（任意） UCS-A /security/local-user # set lastname last-name

（任意）

ユーザの姓を指定します。

ステップ 7

（任意） UCS-A /security/local-user # set expiration month day-of-month year

（任意）

ユーザ アカウントが期限切れになる日付を指定します。month 引数は、月の英名の最初の 3 文字です。

（注）   

ユーザ アカウントに有効期限を設定した後、「有効期限なし」に再設定することはできません。ただし、そのアカウントの有効期限切れになる日付を更新して設定することは可能です。

ステップ 8

（任意） UCS-A /security/local-user # set email email-addr

（任意）

ユーザの電子メール アドレスを指定します。

ステップ 9

（任意） UCS-A /security/local-user # set phone phone-num

（任意）

ユーザの電話番号を指定します。

ステップ 10

（任意） UCS-A /security/local-user # set sshkey ssh-key

（任意）

パスワードレス アクセス用の SSH キーを指定します。

ステップ 11

UCS-A security/local-user # commit-buffer

トランザクションをコミットします。

例

次の例は、kikipopo という名前のユーザ アカウントを作成し、ユーザ アカウントを有効にし、foo12345 にパスワードを設定し、トランザクションをコミットします。 

UCS-A# scope security
UCS-A /security # create local-user kikipopo
UCS-A /security/local-user* # set account-status active
UCS-A /security/local-user* # set password
Enter a password:
Confirm the password:
UCS-A /security/local-user* # commit-buffer
UCS-A /security/local-user #

次の例は、lincey という名前のユーザ アカウントを作成し、ユーザ アカウントを有効にし、パスワードレス アクセス用の OpenSSH キーを設定し、トランザクションをコミットします。 

UCS-A# scope security
UCS-A /security # create local-user lincey
UCS-A /security/local-user* # set account-status active
UCS-A /security/local-user* #  set sshkey "ssh-rsa AAAAB3NzaC1yc2EAAAABIwAAAIEAuo9VQ2CmWBI9/S1f30klCWjnV3lgdXMzO0WUl5iPw85lkdQqap+NFuNmHcb4K
iaQB8X/PDdmtlxQQcawclj+k8f4VcOelBxlsGk5luq5ls1ob1VOIEwcKEL/h5lrdbNlI8y3SS9I/gGiBZ9ARlop9LDpD
m8HPh2LOgyH7Ei1MI8="
UCS-A /security/local-user* # commit-buffer
UCS-A /security/local-user #

次の例は、jforlenz という名前のユーザ アカウントを作成し、ユーザ アカウントを有効にし、パスワードレス アクセス用のセキュア SSH キーを設定し、トランザクションをコミットします。 

UCS-A# scope security
UCS-A /security # create local-user jforlenz
UCS-A /security/local-user* # set account-status active
UCS-A /security/local-user* #  set sshkey
Enter lines one at a time. Enter ENDOFBUF to finish. Press ^C to abort.
User's SSH key:
> ---- BEGIN SSH2 PUBLIC KEY ----
>AAAAB3NzaC1yc2EAAAABIwAAAIEAuo9VQ2CmWBI9/S1f30klCWjnV3lgdXMzO0WUl5iPw8
>5lkdQqap+NFuNmHcb4KiaQB8X/PDdmtlxQQcawclj+k8f4VcOelBxlsGk5luq5ls1ob1VO
>IEwcKEL/h5lrdbNlI8y3SS9I/gGiBZ9ARlop9LDpDm8HPh2LOgyH7Ei1MI8=
> ---- END SSH2 PUBLIC KEY ----
> ENDOFBUF
UCS-A /security/local-user* # commit-buffer
UCS-A /security/local-user #

ローカル認証されたユーザへのパスワード強度チェックの有効化

パスワードの強度確認を有効にするには、admin または aaa 権限が必要です。有効になっている場合、Cisco UCS Manager では、強力なパスワードのガイドラインを満たさないパスワードを選択できません。

手順

  コマンドまたはアクション 目的
ステップ 1

UCS-A# scope security

セキュリティ モードを開始します。

ステップ 2

UCS-A /security # enforce-strong-password {yes | no }

パスワードの強度確認を有効にするか、無効にするかを指定します。

例

次に、パスワード強度チェックを有効にする例を示します。 

UCS-A# scope security 
UCS-A /security # set enforce-strong-password yes 
UCS-A /security #

ユーザ アカウントの Web セッション制限の設定

手順

  コマンドまたはアクション 目的
ステップ 1

UCS-A# scope system

システム モードを開始します。
ステップ 2

UCS-A /system # scope services

システム サービス モードを開始します。
ステップ 3

UCS-A /system/services # scope web-session-limits

システム サービス Web セッション制限モードを開始します。
ステップ 4

UCS-A /system/services/web-session-limits # set peruser num-of-logins-per-user

各ユーザに許可する同時 HTTP および HTTPS セッションの最大数を設定します。

1 ～ 256 の整数を入力します。デフォルトでは 32 に設定されます。
ステップ 5

UCS-A /system/services/web-session-limits # commit-buffer

トランザクションをシステムの設定にコミットします。

例

次に、各ユーザ アカウントに許可する HTTP および HTTPS セッションの最大数を 60 に設定し、トランザクションをコミットする例を示します。

UCS-A# scope system
UCS-A /system # scope services
UCS-A /system/services # scope web-session-limits			
UCS-A /system/services/web-session-limits* # set peruser 60
UCS-A /system/services/web-session-limits* # commit-buffer
UCS-A /system/services/web-session-limits #

ユーザ アカウントへのロールの割り当て

ユーザ ロールおよび権限の変更は次回のユーザ ログイン時に有効になります。ユーザがログインしているときにユーザ アカウントに対して新しいロールを割り当てたり既存のロールを削除したりする場合、アクティブなセッションでは以前のロールや権限が引き続き使用されます。

手順

  コマンドまたはアクション 目的
ステップ 1

UCS-A# scope security

セキュリティ モードを開始します。

ステップ 2

UCS-A /security # scope local-user local-user-name

指定したローカル ユーザ アカウントに対するセキュリティ ローカル ユーザ モードを開始します。

ステップ 3

UCS-A /security/local-user # create role role-name

指定したロールをユーザ アカウントに割り当てます。

（注）   

create role コマンドは、1 つのユーザ アカウントに複数のロールを割り当てるために複数回入力できます。

ステップ 4

UCS-A security/local-user # commit-buffer

トランザクションをコミットします。

例

次の例では、ローカル ユーザ アカウント kikipopo に operations ロールを割り当て、トランザクションをコミットします。 

UCS-A# scope security
UCS-A /security # scope local-user kikipopo
UCS-A /security/local-user # create role operations
UCS-A /security/local-user* # commit-buffer
UCS-A /security/local-user #

ユーザ アカウントへのロケールの割り当て


（注）  

admin または aaa ロールを持つユーザにロケールを割り当てないでください。

手順

  コマンドまたはアクション 目的
ステップ 1

UCS-A# scope security

セキュリティ モードを開始します。

ステップ 2

UCS-A /security # scope local-user local-user-name

指定したローカル ユーザ アカウントに対するセキュリティ ローカル ユーザ モードを開始します。

ステップ 3

UCS-A /security/local-user # create locale locale-name

指定したロケールをユーザ アカウントに割り当てます。

（注）   

create locale コマンドは、1 つのユーザ アカウントに複数のロケールを割り当てるために複数回入力できます。

ステップ 4

UCS-A security/local-user # commit-buffer

トランザクションをコミットします。

例

次の例では、ローカル ユーザ アカウント kikipopo に西洋言語ロケールを割り当て、トランザクションをコミットします。 

UCS-A# scope security
UCS-A /security # scope local-user kikipopo
UCS-A /security/local-user # create locale western
UCS-A /security/local-user* # commit-buffer
UCS-A /security/local-user #

ユーザ アカウントからのロールの削除

ユーザ ロールおよび権限の変更は次回のユーザ ログイン時に有効になります。ユーザがログインしているときにユーザ アカウントに対して新しいロールを割り当てたり既存のロールを削除したりする場合、アクティブなセッションでは以前のロールや権限が引き続き使用されます。

手順

  コマンドまたはアクション 目的
ステップ 1

UCS-A# scope security

セキュリティ モードを開始します。

ステップ 2

UCS-A /security # scope local-user local-user-name

指定したローカル ユーザ アカウントに対するセキュリティ ローカル ユーザ モードを開始します。

ステップ 3

UCS-A /security/local-user # delete role role-name

指定したロールをユーザ アカウントから削除します。

（注）   

delete role コマンドは、あるユーザ アカウントから複数のロールを削除するために複数回入力できます。

ステップ 4

UCS-A security/local-user # commit-buffer

トランザクションをコミットします。

例

次に、kikipopo というローカル ユーザ アカウントから operations ロールを削除し、トランザクションをコミットする例を示します。 

UCS-A# scope security
UCS-A /security # scope local-user kikipopo
UCS-A /security/local-user # delete role operations
UCS-A /security/local-user* # commit-buffer
UCS-A /security/local-user #

ユーザ アカウントからのロケールの削除

手順

  コマンドまたはアクション 目的
ステップ 1

UCS-A# scope security

セキュリティ モードを開始します。

ステップ 2

UCS-A /security # scope local-user local-user-name

指定したローカル ユーザ アカウントに対するセキュリティ ローカル ユーザ モードを開始します。

ステップ 3

UCS-A /security/local-user # delete locale locale-name

指定したロケールをユーザ アカウントから削除します。

（注）   

delete locale コマンドは、あるユーザ アカウントから複数のロケールを削除するために複数回入力できます。

ステップ 4

UCS-A security/local-user # commit-buffer

トランザクションをコミットします。

例

次に、kikipopo というローカル ユーザ アカウントから western ロケールを削除し、トランザクションをコミットする例を示します。 

UCS-A# scope security
UCS-A /security # scope local-user kikipopo
UCS-A /security/local-user # delete locale western
UCS-A /security/local-user* # commit-buffer
UCS-A /security/local-user #

ユーザ アカウントの有効化または無効化

ローカル ユーザ アカウントを有効または無効にするには、admin または aaa 権限が必要です。

始める前に

ローカル ユーザ アカウントを作成します。

手順

  コマンドまたはアクション 目的
ステップ 1

UCS-A# scope security

セキュリティ モードを開始します。

ステップ 2

UCS-A /security # scope local-user

ローカル ユーザ セキュリティ モードを開始します。

ステップ 3

UCS-A /security/local-user # set account-status {active | inactive }

ローカル ユーザ アカウントを有効にするか、無効にするかを指定します。

admin ユーザ アカウントは常にアクティブに設定されます。変更はできません。

（注）   

アカウント ステータスを非アクティブに設定しても、データベースからコンフィギュレーションは削除されません。

例

次に、accounting というローカル ユーザ アカウントを有効にする例を示します。 

UCS-A# scope security
UCS-A /security # scope local-user accounting
UCS-A /security/local-user # set account-status active

ユーザ アカウントの削除

手順

  コマンドまたはアクション 目的
ステップ 1

UCS-A# scope security

セキュリティ モードを開始します。
ステップ 2

UCS-A /security # delete local-user local-user-name

ローカル ユーザ アカウントを削除します。
ステップ 3

UCS-A /security # commit-buffer

トランザクションをシステムの設定にコミットします。

例

次に、foo というユーザ アカウントを削除し、トランザクションをコミットする例を示します。

UCS-A# scope security
UCS-A /security # delete local-user foo
UCS-A /security* # commit-buffer
UCS-A /security #

CLI からのユーザ セッションのモニタリング

手順

  コマンドまたはアクション 目的
ステップ 1

UCS-A# scope security

セキュリティ モードを開始します。

ステップ 2

UCS-A /security # show user-session {local | remote } [detail ]

システムにログインしているすべてのユーザのセッション情報を表示します。セッション ID の横のアスタリスク（*）は、現在のログイン セッションを示します。

例

次に、システムにログインしているすべてのローカル ユーザのリストを表示する例を示します。アスタリスクは、どのセッションが現在のログイン セッションであるかを示します。 

UCS-A# scope security
UCS-A /security # show user-session local
Session Id      User            Host                 Login Time
--------------- --------------- -------------------- ----------
pts_25_1_31264*  steve           192.168.100.111      2009-05-09T14:06:59
ttyS0_1_3532    jeff            console              2009-05-02T15:11:08
web_25277_A     faye            192.168.100.112      2009-05-15T22:11:25

次に、システムにログインしているすべてのローカル ユーザの詳細情報を表示する例を示します。 

UCS-A# scope security
UCS-A /security # show user-session local detail
Session Id pts_25_1_31264:
    Fabric Id: A
    Term: pts/25
    User: steve
    Host: 64.101.53.93
    Pid: 31264
    Login Time: 2009-05-09T14:06:59

Session Id ttyS0_1_3532:
    Fabric Id: A
    Term: ttyS0
    User: jeff
    Host: console
    Pid: 3532
    Login Time: 2009-05-02T15:11:08

Session Id web_25277_A:
    Fabric Id: A
    Term: web_25277
    User: faye
    Host: 192.168.100.112
    Pid: 3518
    Login Time: 2009-05-15T22:11:25