Cisco Unified Communications Manager リリース 11.5(1)SU1 セキュリティガイド

偏向のない言語

この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。

翻訳について

このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。

マニュアルのコンテンツ
このマニュアル内で検索
ご利用いただける言語
Download Options

Book Title

Cisco Unified Communications Manager リリース 11.5(1)SU1 セキュリティガイド

Chapter Title

FIPS 140-2 モードの設定

検索結果

Updated:
2017年12月4日

章のタイトル： FIPS 140-2 モードの設定

FIPS 140-2 モードの設定

この章では、FIPS 140-2 モードの設定について説明します。

FIPS 140-2 の設定


注意    

FIPS モードは、FIPS 準拠のリリースだけでサポートされます。Cisco Unified Communications Manager を FIPS 非準拠のバージョンにアップグレードする前に、必ず FIPS モードを無効にしてください。

FIPS 準拠のリリースと、そのリリースの証明書を確認するには、http:/​/​www.cisco.com/​web/​strategy/​government/​security_certification/​net_​business_​benefit_​seccert_​fips140.html の FIPS 140 のドキュメントを参照してください。

連邦情報処理標準（FIPS）は、暗号モジュールにおいて遵守が必要な要件が定義された、米国およびカナダ政府の認証規格です。

Unified Communications Manager の特定のバージョンは、米国の National Institute of Standards（NIST）に従って FIPS 140-2 に準拠しており、FIPS モード レベル 1 に準拠して動作します。

FIPS 140-2 モードを有効にすると、Unified Communications Manager がリブートされ、起動時に証明書のセルフテストが実行されます。さらに、暗号モジュールの整合性チェックが実行され、キー関連情報が再生成されます。この時点で、Unified Communications Manager は FIPS 140-2 モードで動作します。

FIPS 要件には、起動時のセルフテスト実行や、一連の承認済み暗号機能に対する制限などが含まれます。

FIPS モードでは、次の FIPS 140-2 レベル 1 検証済み暗号化モジュールが使用されます。

  • Openssl 0.9.8l with FIPS Module 1.2

  • RSA CryptoJ 4.1

  • Red Hat Openssl

  • Red Hat Openswan

  • NSS

次の FIPS 関連作業を実行できます。

  • FIPS 140-2 モードの有効化

  • FIPS 140-2 モードの無効化

  • FIPS 140-2 モードのステータスの確認


（注）  

デフォルトでは、システムは非 FIPS モードになっています。FIPS モードを有効化する必要があります。

FIPS 140-2 モードの有効化

CLI で FIPS 140-2 を有効にできます。詳細については、『Command Line Interface Reference Guide for Cisco Unifed Communications Solutions』を参照してください。

Unified CM で FIPS 140-2 モードを有効にする前に、次の点を考慮してください。

  • 非 FIPS モードから FIPS モードに切り替えた場合は、MD5 および DES プロトコルは機能しません。

  • 単一サーバ クラスタでは証明書が再生成されるため、FIPS モードを有効にする前に CTL クライアントを実行するか、[Prepare Cluster for Rollback to pre-8.0] エンタープライズ パラメータを適用する必要があります。これらの手順のいずれかを実行しない場合は、FIPS モードを有効にした後で、手動で ITL ファイルを削除する必要があります。

  • FIPS モードをサーバで有効にした後は、サーバがリブートし、電話が正常に再登録されるまで待機してから、次のサーバで FIPS を有効にしてください。


注意    

FIPS モードを有効にする前に、システム バックアップを実行することを強く推奨します。FIPS のチェックが起動時に失敗した場合は、システムが停止し、復元するにはリカバリ CD が必要になります。

手順
    ステップ 1   CLI セッションを開始します。

    詳細については、『Command Line Interface Reference Guide for Cisco Unified Communications Solutions』の「Start CLI Session」の項を参照してください。

    ステップ 2   CLI で utils fips enable と入力します。

    次のプロンプトが表示されます。

    Security Warning: The operation will regenerate certificates for1)
CallManager

2)Tomcat
3)IPsec
4)TVS
5)CAPF
6)SSH 
Any third party CA signed certificates that have been uploaded for the above 
components will need to be re-uploaded.If the system is operating in mixed 
mode, then the CTL client needs to be run again to update the CTL file.
******************************************************************************
This will change the system to FIPS mode and will reboot.
******************************************************************************
Do you want to continue (yes/no)?
    ステップ 3   yes と入力します。

    次のメッセージが表示されます。

    Generating certificates...Setting FIPS mode in operating system.
FIPS mode enabled successfully.
********************************************************
It is highly recommended that after your system restarts
that a system backup is performed.
********************************************************
The system will reboot in a few minutes.

    Unified CM は自動的に再起動されます。

    （注）     

    証明書および SSH キーは、FIPS 要件に応じて、自動的に再生成されます。

    （注）     

    単一のサーバ クラスタを使用しており、[Prepare Cluster for Rolback to pre 8.0] エンタープライズ パラメータを適用してから FIPS 140-2 モードを有効にした場合は、すべての電話がサーバに正常に登録されたことを確認してから、このエンタープライズ パラメータを無効にする必要があります。

    （注）     

    FIPS モードでは、Unified CM は Racoon（FIPS 未検証）の代わりに RedHat Openswan（FIPS 検証済み）が使用されます。Raccoon のセキュリティ ポリシーに、FIPS で承認されていない機能が含まれている場合、CLI コマンドは、FIPS で承認された機能を使用してセキュリティ ポリシーを定義し直すよう表示して終了します。詳細は、『Administration Guide for Cisco Unified Communications Manager』の「IPsec Management」に関するトピックを参照してください。

    FIPS 140-2 モードの無効化

    FIPS 140-2 は CLI から無効にできます。詳細については、『Command Line Interface Reference Guide for Cisco Unified Communications Solutions』を参照してください。

    FIPS 140-2 モードを Cisco Unified Communications Manager (Unified CM) で無効にする前に、次の点を考慮してください。

    • 単一または複数のサーバ クラスタでは、CTL クライアントを実行することを強く推奨します。CTL クライアントが単一サーバのクラスタで実行されない場合は、FIPS モードを無効にした後で、ITL ファイルを手動で削除する必要があります。
    • 複数サーバのクラスタでは、各サーバを個別に無効にする必要があります。これは、FIPS モードはクラスタ全体ではなくサーバごとに無効になるためです。

    FIPS 140-2 モードを無効にするには、次の手順を実行します。

    手順
      ステップ 1   CLI セッションを開始します。

      詳細については、『Command Line Interface Reference Guide for Cisco Unified Communications Solutions』の「Starting a CLI Session」の項を参照してください。

      ステップ 2   CLI で utils fips disable を入力します。

      Unified CM が再起動され、非 FIPS モードが復元されます。

      （注）     

      証明書および SSH キーは、FIPS 要件に応じて、自動的に再生成されます。

      FIPS 140-2 モードのステータス確認

      FIPS 140-2 モードが有効であることを確認するには、CLI からモード ステータスを確認します。

      FIPS 140-2 モードのステータスを確認するには、次の手順を実行します。

      手順
        ステップ 1   CLI セッションを開始します。

        詳細については、『Command Line Interface Reference Guide for Cisco Unified Communications Solutions』の「Starting a CLI Session」の項を参照してください。

        ステップ 2   CLI で utils fips status と入力します。

        FIPS 140-2 モードが有効であることを確認する次のメッセージが表示されます。

        admin:utils fips status
The system is operating in FIPS mode.Self test status: 

- S T A R T ---------------------
Executing FIPS selftests
runlevel is N 3
Start time: Thu Apr 28 15:59:24 PDT 2011
NSS self tests passed.
Kernel Crypto tests passed.
Operating System OpenSSL self tests passed.
Openswan self tests passed.
OpenSSL self tests passed.
CryptoJ self tests passed...

        FIPS 140-2 モード サーバのリブート

        FIPS 140-2 モードで Cisco Unified Communications Manager（Unified CM）がリブートすると、リブート後に各 FIPS 140-2 モジュールで FIPS の起動時セルフテストがトリガーされます。


        注意    

        これらのセルフテストのいずれかが失敗した場合、Unified CM サーバは停止します。


        （注）  

        Unified CM サーバは、対応する CLI コマンドによって FIPS が有効または無効になったときに、自動的にリブートされます。ユーザもリブートを開始できます。


        注意    

        起動時のセルフテストが一時的なエラーの原因で失敗した場合、Unified CM サーバを再起動すると問題が解決します。ただし、起動時のセルフテスト エラーが解消されない場合は、FIPS モジュールに重大な問題があるため、リカバリ CD の使用が唯一の選択肢となります。

        強化されたセキュリティ モード

        強化されたセキュリティ モードは FIPS 対応システムで稼働します。Cisco Unified Communications Manager と IM and Presence サービスの両方を、強化されたセキュリティ モードで動作するようにすることができます。これにより、次のセキュリティおよびリスク管理制御機能をシステムで実現できます。

        • ユーザのパスワードとパスワードの変更に関して厳格化されたクレデンシャル ポリシーが適用されます。

        • デフォルトでは、連絡先検索の認証機能が有効です。

        • リモート監査ロギングが設定されている場合、TCP がリモート ログのデフォルトの転送プロトコルとなります。

        クレデンシャル ポリシーの更新

        強化されたセキュリティ モードを有効にすると、新しいユーザ パスワードとパスワード変更に関してより厳格なクレデンシャル ポリシーが有効になります。強化されたセキュリティ モードを有効にした後で、管理者は一連の CLI コマンド set password *** を使用して、次の要件のいずれかを変更できます。

        • パスワードの長さは 14 ～ 127 文字です。

        • パスワードには少なくとも 1 つの小文字、1 つの大文字、1 つの数字、および 1 つの特殊文字が含まれている必要があります。

        • 過去 24 回以内に使用したパスワードを再使用することはできません。

        • パスワードの最短有効期間は 1 日、最長有効期間は 60 日です。

        • 新たに生成されるパスワードの文字列では、古いパスワードの文字列と少なくとも 4 文字が異なる必要があります。

        強化されたセキュリティ モードの設定

        強化されたセキュリティ モードを設定するには、すべての Cisco Unified Communications Manager または IM and Presence Service クラスタ ノードで次の手順に従います。

        はじめる前に

        強化されたセキュリティ モードを有効にする前に、FIPS を有効にしてください。

        手順
          ステップ 1   コマンドライン インターフェイスにログインします。
          ステップ 2   utils EnhancedSecurityMode status コマンドを実行し、強化されたセキュリティ モードが有効であるかどうかを確認します。
          ステップ 3   クラスタ ノードで次のいずれかのコマンドを実行します。
          • 強化されたセキュリティ モードを有効にするには、utils EnhancedSecurityMode enable コマンドを実行します。
          • 強化されたセキュリティ モードを無効にするには、utils EnhancedSecurityMode disable コマンドを実行します。
          ステップ 4   ノードが更新されたら、次のノードでこの手順を繰り返します。Cisco Unified Communications Manager および IM and Presence Service クラスタ ノードごとに繰り返します。
          （注）     

          utils EnhancedSecurityMode enable CLI コマンドまたは utils EnhancedSecurityMode disable CLI コマンドをすべてのノードで同時に実行しないでください。

          FIPS モードの制約事項

          機能

          機能制限

          SNMP v3

          FIPS モードでは、MD5 または DES を使用した SNMP v3 はサポートされません。SNMP v3 を設定済みで、FIPS モードが有効になっている場合、認証プロトコルとして SHA、プライバシー プロトコルとして AES128 を設定する必要があります。

          このドキュメントは役に立ちましたか?

          Feedbackフィードバック

          シスコに問い合わせ