[index] CentreCOM 8948XL コマンドリファレンス 2.9

# 運用・管理/セキュリティー

      - セキュリティーモード/ノーマルモード
       - モードの変更
      - Remote Security Officer（RSO）
      - Managerレベルでのセキュリティータイマー

セキュリティーモード/ノーマルモード

本製品には、次の2つの動作モードがあります。

表 1
モード | 動作
ノーマルモード | デフォルトの動作モードです。
セキュリティーモード | より高いセキュリティーレベルを実現するためのモードです。ログインセキュリティーや管理コマンドの実行権が厳しく制限されます。

動作モードによってアクセスレベルの権限が変わります。ノーマルモード時、ManagerレベルとSecurity Officerレベルは同等の権限を持ちますが、セキュリティーモードでは多くの操作にSecurity Officer権限が必要となります。

表 2
レベル | デフォルトアカウント | ノーマルモード時の権限 | セキュリティーモード時の権限
User | なし | ユーザー自身に関する設定などごく一部のコマンドのみ実行可能 | ユーザー自身に関する設定などごく一部のコマンドのみ実行可能
Manager | ユーザー名 manager/パスワード friend | すべてのコマンドを実行可能 | セキュリティーコマンドを除くすべてのコマンドを実行可能
Security Officer | なし | すべてのコマンドを実行可能 | すべてのコマンドを実行可能

セキュリティーモード時には、以下のコマンドの実行にSecurity Officerの権限が必要となります。

- ACTIVATE SCRIPTコマンド
- ADD IP INTERFACEコマンド
- ADD SCRIPTコマンド
- ADD SSH USERコマンド
- ADD USERコマンド
- ADD USER RSOコマンド
- CLEAR NVS TOTALLYコマンド
- CREATE CONFIGコマンド
- CREATE ENCO KEYコマンド
- CREATE SNMP COMMUNITYコマンド
- DEACTIVATE SCRIPTコマンド
- DELETE FILEコマンド
- DELETE SCRIPTコマンド
- DELETE SSH USERコマンド
- DELETE USERコマンド
- DELETE USER RSOコマンド
- DESTROY ENCO KEYコマンド
- DISABLE FEATUREコマンド
- DISABLE SSH SERVERコマンド
- DISABLE SSH USERコマンド
- DISABLE USERコマンド
- DISABLE USER RSOコマンド
- EDITコマンド
- ENABLE FEATUREコマンド
- ENABLE SNMPコマンド
- ENABLE SSH SERVERコマンド
- ENABLE SSH USERコマンド
- ENABLE USERコマンド
- ENABLE USER RSOコマンド
- LOADコマンド
- MAILコマンド
- PURGE USERコマンド
- RENAMEコマンド
- RESET ENCO COUNTERコマンド
- RESET USERコマンド
- SET CONFIGコマンド
- SET ENCO KEYコマンド
- SET INSTALLコマンド
- SET IP INTERFACEコマンド
- SET SCRIPTコマンド
- SET SNMP COMMUNITYコマンド
- SET SSH SERVERコマンド
- SET SSH USERコマンド
- SET USERコマンド
- SHOW CONFIGコマンド
- SHOW ENCO KEYコマンド
- SHOW FEATUREコマンド
- SHOW FILEコマンド
- SHOW NVSコマンド
- UPLOADコマンド

モードの変更

セキュリティーモードに移行するためには、あらかじめSecurity Officerレベルのユーザーを作成しておく必要があります。セキュリティーモードに移行すると、Managerレベルは第2位の権限レベルに降格され、セキュリティーに関するコマンドを実行できなくなります。

1. Security Officerレベルのユーザーを作成します。

   `ADD USER=secoff PRIVILEGE=SECURITYOFFICER PASSWORD="top secret" ↓`
2. セキュリティーモードに移行すると、Telnet接続ではSecurity Officerレベルでログインできなくなる（他のレベルならログイン可）ので、必要に応じて後述するRSO（Remote Security Officer）の設定をしておきます。RSOは、あらかじめ指定したアドレスからのみセキュリティーモード時でもSecurity Officerレベルでのログインを許可する機能です。

   `ENABLE USER RSO ↓
   ADD USER RSO IP=192.168.10.5 ↓
   `
3. セキュリティーモードに移行するにはENABLE SYSTEM SECURITY_MODEコマンドを実行します。このコマンドを実行すると、NVS上に「enabled.sec」ファイルが作成されます。システム起動時に本ファイルが存在すればセキュリティーモードとなります。このファイルを削除したり、修正、編集、コピー、リネーム等を行わないでください。

   `ENABLE SYSTEM SECURITY_MODE ↓`

■ 現在の動作モードを確認するにはSHOW SYSTEMコマンドを実行します。「Security Mode」がEnabledならセキュリティーモード、Disabledならノーマルモードです。
■ Security Officerレベルでログインしなおすと、コマンドプロンプトが「SecOff >」に変わります。
■ Security Officerレベルでログインすると、セキュリティータイマーがスタートします。このタイマーはセキュリティー関連コマンドを実行するたびにリセットされます。一定時間セキュリティーコマンドを実行しないとタイマーがタイムアウトし、ログインユーザーの権限はManagerレベルに格下げされます。格下げされた状態でセキュリティーコマンドを実行しようとすると、あらためてSecurity Officerレベルのパスワードを要求されます。
■ セキュリティータイマーのデフォルト値は60秒です。この値を変更するには、SET USERコマンドのSECUREDELAYパラメーターを使用します。

`SET USER SECUREDELAY=90 ↓`

■ セキュリティーモード時にSET CONFIGコマンドで起動スクリプトを変更するときは注意が必要です。たとえば、SET CONFIG=NONEを実行すると、起動スクリプトは空になりますが、動作モードはセキュリティーモードのままになります。この状態でシステムを再起動すると、Security Officerレベルのユーザーが存在しないことになるため、多くのコマンドが実行できなくなります。このような状態になった場合は、DISABLE SYSTEM SECURITY_MODEコマンドを実行するしかありません。
■ ノーマルモードに戻るにはDISABLE SYSTEM SECURITY_MODEコマンドを実行します。このコマンドを実行すると、「enabled.sec」ファイルが削除されます。

Remote Security Officer（RSO）

セキュリティーモードでは、Security OfficerレベルでのTelnetログインが原則として禁止されています。Remote Security Officer（RSO）は、信頼できる特定のIPアドレスに限ってSecurity OfficerレベルでのTelnetログインを許可する機能です。

1. RSOアクセス（Security OfficerレベルでのTelnetログイン）を有効にするには、ENABLE USER RSOコマンドを使います。

   `ENABLE USER RSO ↓`
2. Security OfficerレベルでのTelnetログインを許可するアドレス（RSOアドレス）を追加するには、ADD USER RSOコマンドを使います。
   - たとえば、IPアドレス192.168.10.5を持つホストからのみ、Security OfficerレベルでのTelnetログインを許可するには次のようにします。

     `ADD USER RSO IP=192.168.10.5 ↓`
   - また、MASKパラメーターを使えば、許可するIPアドレスを範囲指定することもできます（サブネットなど）。省略時は32ビットマスク（単一ホストの指定）となります。

     `ADD USER RSO IP=172.16.10.0 MASK=255.255.255.0 ↓`
   - MASKパラメーターを使わずにIPアドレスの範囲を指定することもできます。この場合は、2つのアドレスをハイフンで区切って指定してください。

     `ADD USER RSO IP=172.28.28.5-172.28.28.9 ↓`
   - IPv6によるTelnetログインも同様に制御できます。たとえば、IPv6アドレス2001::1234を持つホストからのみ、Security OfficerレベルでのTelnetログインを許可するには次のようにします。

     `ADD USER RSO IP=2001::1234 ↓`
   - IPv6アドレスの後にプレフィックス長を付加することで範囲指定も可能です。

     `ADD USER RSO IP=2001:1:2:3::/64 ↓`
   - また、ハイフンによる範囲指定も可能です。

     `ADD USER RSO IP=3ffe::1-3ffe::7f ↓`

■ RSOアドレスを削除するにはDELETE USER RSOコマンドを使います。

`DELETE USER RSO=172.16.10.0 ↓`

■ RSOアドレスの一覧を見るにはSHOW USER RSOコマンドを使います。

`SHOW USER RSO ↓`

■ RSOアクセスを無効にするにはDISABLE USER RSOコマンドを使います。

`DISABLE USER RSO ↓`

Managerレベルでのセキュリティータイマー

Managerレベルでログインしているときは、以下のコマンドがセキュリティーコマンドと見なされ、セキュリティーモード時と同様のセキュリティータイマーが適用されます。

- ADD USERコマンド
- DELETE USERコマンド
- PURGE USERコマンド
- SET MANAGER ASYNコマンド
- SET USERコマンド

これらのコマンドを実行するとセキュリティータイマーはリセットされます。これらのコマンドを一定時間（SET USERコマンドのSECUREDELAYパラメーター）実行しないとタイマーがタイムアウトし、次にこれらのコマンドを実行したときにパスワードの入力が求められます。規定回数（SET USERコマンドのMANPWDFAILパラメーター）ログインに失敗すると、強制的にログアウトさせられます（Telnetの場合はセッションが切断されます）。

(C) 2004 - 2008 アライドテレシスホールディングス株式会社

PN: J613-M0021-12 Rev.L