変更要約: 初版
5.2デバイスアクセス制御とAAA
ルータ/スイッチへのアクセスを守るローカルパスワード（enable secret・ラインパスワード・username secret）とTelnetより安全なSSH、パスワードポリシー（複雑性・管理・MFA・証明書・生体認証）、そして認証・認可・アカウンティングを集中管理するAAAと外部サーバプロトコルTACACS+（TCP49・Cisco独自・コマンド単位認可）／RADIUS（UDP・標準・認証認可統合）の使い分けを、実機設定と要件から判断できるように学びます。
ネットワーク機器そのものが乗っ取られれば、その機器が守っていたトラフィックはすべて危険にさらされます。だからこそ、ルータ/スイッチへの管理アクセスを堅牢にすることは最優先の対策です。この節では、単体機器のローカルパスワード設定から、多数の機器を集中管理するAAA（外部サーバによる認証・認可・アカウンティング）まで、「小規模なら何で足りるか」「大規模・監査要件があるなら何が必要か」を判断できるようにします。
5.2.1ローカルパスワードとSSH
- 特権EXECモード（
enable）はenable secretで保護する。enable secretはハッシュ（既定でtype5、より新しいIOSではtype8/9のscrypt）で保存され、平文が復元できない。旧来のenable passwordは暗号化されず脆弱なので使わない。ラインパスワードやtype7表示を弱く隠すservice password-encryptionは可逆で本質的な保護にはならない点に注意。 - コンソール（
line console 0）とVTY（line vty 0 4＝Telnet/SSH用の仮想回線）にはそれぞれpassword＋login、あるいはlogin local（ローカルDBのusername/secretで認証）を設定する。username 名前 secret パスワードでユーザ単位のアカウントを作れる（passwordよりsecret＝ハッシュ保存が安全）。 - TelnetはIDもパスワードもコマンドも平文で流れるため、リモート管理には必ずSSHを使う。SSH有効化には（1）ホスト名とドメイン名の設定、（2）
crypto key generate rsaによるRSA鍵生成、（3）ローカルユーザ作成、（4）line vtyでtransport input sshを指定、が必要。SSHv2の使用が推奨される。
5.2.2パスワードポリシーと強力な認証
- 複雑性（complexity）＝十分な長さ＋英大小/数字/記号の組み合わせで推測・総当たりを困難にする。IOSでは
security passwords min-lengthで最小長を強制できる。管理（management）＝定期変更、既定パスワードの即時変更、使い回し禁止、退職者アカウントの無効化など運用ルール。 - パスワード単体（知識要素）は漏洩に弱いため、多要素認証（MFA）で「知識（パスワード）＋所持（トークン/スマホ）＋生体（指紋/顔）」の複数要素を要求する。証明書（certificate）による認証（公開鍵基盤PKIを用いた機器/ユーザ証明書）や生体認証（biometrics）はMFAの要素として組み合わせられ、パスワードのみより格段に強い。
5.2.3AAAとTACACS+/RADIUS
- AAA＝認証（Authentication＝誰か）／認可（Authorization＝何を許すか）／アカウンティング（Accounting＝何をしたかの記録）の3機能の枠組み。機器ごとにローカルパスワードを個別管理する代わりに、外部の認証サーバで集中管理すると、アカウントの追加/削除やコマンド権限の統制、監査ログの一元化ができる。
- TACACS+＝Cisco独自プロトコル。TCPポート49を使い、パケット本体（ペイロード）全体を暗号化する。AAAの3機能を分離して扱えるため、コマンド単位の細かな認可（ユーザごとに実行可能コマンドを制限）が可能。機器管理（デバイスアドミニストレーション）に適する。
- RADIUS＝IETF標準（オープン）プロトコル。UDP（認証/認可1812・アカウンティング1813、旧1645/1646）を使い、パスワードのみを暗号化（他の属性は平文）。認証と認可が統合されており、コマンド単位の細かな認可には不向きだが、802.1Xによるネットワークアクセス認証（有線/無線のユーザ端末の接続可否）で広く使われる。
「TACACS+＝TCP49・Cisco独自・パケット全体を暗号化・AAA分離＝コマンド単位認可・機器管理向き」と「RADIUS＝UDP・標準・パスワードのみ暗号化・認証認可統合・802.1Xネットワークアクセス向き」の対比が最頻出です。またenable secret（ハッシュ）＞enable password（平文）、SSH＞Telnet（平文）、MFA＝知識/所持/生体の複数要素を確実に。
あなたは全国に50拠点・数百台のCiscoルータ/スイッチを持つ企業のネットワーク運用責任者で、次の要件を満たすアクセス制御を設計するよう求められています。（1）管理者ごとに実行できるIOSコマンドを制限したい（新人にはshow系のみ許可、上級者には設定変更を許可）。（2）誰がいつどの機器でどのコマンドを実行したかを監査ログとして残したい。（3）機器ごとにローカルユーザを作る運用は台数的に破綻しているので集中管理したい。まず、機器ごとのローカルパスワード運用は台数と要件（1）（2）から不適切で、AAAによる集中管理が前提になります。次に外部サーバプロトコルの選択ですが、要件（1）の「コマンド単位の認可」が決め手です。RADIUSは認証と認可が統合されており、パケットもパスワードしか暗号化しないため、コマンド単位の細かな認可や機器管理の監査には不向きです。一方TACACS+はAAAの3機能を分離でき、コマンド単位の認可（command authorization）とアカウンティングをきめ細かく制御でき、パケット本体全体を暗号化するため、まさに機器管理（デバイスアドミニストレーション）の要件に合致します。したがってこのケースではTACACS+を採用するのが正解です。もし要件が「社員が持ち込むPCを有線/無線ネットワークに接続させる際の802.1X認証」であれば、逆にRADIUSが標準的な選択になります。プロトコル選択は「デバイス管理か、ネットワークアクセス認証か」という用途で判断するのが実務の勘所です。
| 項目 | TACACS+ | RADIUS |
|---|---|---|
| 標準化 | Cisco独自 | IETFオープン標準 |
| トランスポート/ポート | TCP 49 | UDP 1812/1813（旧1645/1646） |
| 暗号化範囲 | パケット本体全体 | パスワードのみ |
| AAAの扱い | 認証/認可/アカウンティングを分離 | 認証と認可を統合 |
| 主な用途 | 機器管理（コマンド単位認可） | ネットワークアクセス（802.1X） |
ひっかけ： 「RADIUSはパケット全体を暗号化し、コマンド単位の認可に最適」は誤りです——それはTACACS+の特徴で、RADIUSはパスワードのみ暗号化・認証認可統合です。「TACACS+はUDP、RADIUSはTCPを使う」も逆で、正しくはTACACS+＝TCP49／RADIUS＝UDPです。また「service password-encryptionを有効にすればパスワードは安全」も誤り＝これはtype7の可逆的な難読化にすぎず、機密はenable secret等のハッシュで保護すべきです。
5.2.4この節のまとめ
- 特権モードは
enable secret（ハッシュ）で保護し、リモート管理は平文のTelnetでなくSSHを使う。username secret＋login localが基本 - パスワードは複雑性＋管理運用で守り、単体では弱いためMFA（知識/所持/生体）・証明書・生体認証を組み合わせる
- AAAの集中管理で、機器管理・コマンド単位認可・監査ならTACACS+（TCP49・全体暗号化・AAA分離）、802.1XネットワークアクセスならRADIUS（UDP・標準）
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 数百台のCiscoルータ/スイッチを運用する企業が、管理者ごとに実行可能なIOSコマンドを制限し、誰がどのコマンドを実行したかを監査ログに残す集中管理を実現したい。外部認証サーバのプロトコルとして最も適切なものはどれか。
Q2. 新任のネットワーク技術者が、あるルータの特権EXECモードのパスワード保護を設定しようとしている。設定意図として最も適切なものはどれか。
Q3. パスワードのみに依存した認証を強化するため、多要素認証（MFA）を導入することになった。MFAの説明として最も適切なものはどれか。