AAAとローカルユーザー認証

この単元で学ぶこと

AAAは、ネットワーク機器やネットワークへのアクセスを、認証、認可、記録の観点で管理する考え方です。

この単元では、Authentication、Authorization、Accountingの役割、ローカルユーザー認証、enable secret、RADIUS、TACACS+、管理ログの基本を学びます。

AAAとは

AAAはAuthentication、Authorization、Accountingの頭文字です。誰であるかを確認し、何を許可するかを決め、何を行ったかを記録する流れを整理します。

ネットワーク機器の管理では、共有パスワードだけに依存せず、管理者ごとのアカウントと権限、操作記録を扱うためにAAAを利用します。

Authentication（認証）

Authenticationは、接続しようとしているユーザーや端末が本人であることを確認する処理です。ユーザー名とパスワード、証明書、多要素認証などを使う方法があります。

Cisco IOSでは、ローカルユーザー情報を機器内に登録して認証する方法や、外部のRADIUSまたはTACACS+サーバーへ問い合わせる方法があります。

Authorization（認可）

Authorizationは、認証に成功したユーザーに対して、どのサービスやコマンドを利用できるかを決める処理です。

ネットワーク機器では、特権レベル、管理コマンドの利用可否、接続できる回線などの制御に関係します。

Accounting（記録）

Accountingは、いつ誰が接続し、どの操作を行い、いつ切断したかを記録する処理です。

障害調査、設定変更の追跡、監査では、ユーザーごとの操作記録が役立ちます。Syslogや外部AAAサーバーと組み合わせて記録を集約する構成もあります。

ローカルユーザー認証

ローカルユーザー認証では、ユーザー名、パスワード、必要に応じて特権レベルをネットワーク機器自身に登録します。小規模な環境や外部AAAサーバーが使えない場面で利用できます。

管理者ごとにアカウントを分けると、共有パスワードだけで運用する場合よりも、誰が接続したかを把握しやすくなります。

enable secretと特権EXECモード

enable secretは、Cisco IOSで特権EXECモードへ移行する際に使う認証情報です。ログイン認証と、設定変更を行う特権モードの認証を分けて考えます。

実運用では、強い認証情報を設定し、不要なアカウントを残さず、管理アクセスをSSHなどで保護します。

RADIUSとTACACS+

RADIUSは、ネットワークアクセスの認証や認可、記録に使われるプロトコルです。無線LANの802.1X認証などでも利用されます。

TACACS+は、ネットワーク機器の管理アクセスで利用されることが多く、認証、認可、記録をより細かく扱える構成があります。どちらを使うかは、対象機器、利用目的、組織の運用方針で決めます。

安全な管理のポイント

ローカル認証だけで運用する場合でも、SSH、アクセス元ACL、exec-timeout、Syslogを組み合わせます。外部AAAサーバーを使う場合は、サーバー障害時の代替認証方法も設計します。

認証情報を共有しないこと、不要になったアカウントを削除すること、管理操作を記録することが、安全な機器管理の基本です。

まず覚えたいポイント

AAAはAuthentication、Authorization、Accountingの3要素です。ローカルユーザー認証は機器内のアカウントで認証し、RADIUSやTACACS+は外部サーバーで認証や記録を集約します。