[index] AT-Vista Manager EX（AT-VST-VRT版） ベースリファレンスマニュアル 3.17.0

# 画面リファレンス / ネットワークサービス / RADIUS

AVM EXメニューから「RADIUS」を選択すると、次の画面が表示されます。

## RADIUSサーバー

ネットワーク上のRADIUSサーバーを管理します。
ここでは、RADIUS認証を受けるユーザーのアカウントや所属するグループ、および、RADIUS認証を使用する機器であるRADIUSクライアント（NAS）の作成や編集ができます。

> Note

> > アカウントタイプが「一般ユーザー」のアカウントでは、ユーザーが読み取り権限を持つデバイスに登録された情報のみが表示の対象となります。

■ 表示1
管理対象となるRADIUSサーバーのデバイス名、またはデバイスグループの名前が一覧表示されます。

- デバイス名
  AlliedWare Plusデバイスに設定されたローカルRADIUSサーバーや、AT-VST-APL、AT-VST-VRT、Allied Telesisコンテナプラットフォームにて動作するRADIUSサーバーアプリケーション「AT-RADgate」などの外部RADIUSサーバーが含まれます。
  いずれかのデバイスグループに含まれる場合は、個別のデバイス名は表示されません。
  AlliedWare PlusデバイスのローカルRADIUSサーバー機能を有効にするには、ネットワークマップにて該当のデバイスを右クリックして表示されるコンテキストメニューから「RADIUSサーバーを有効化」を選択します。
  また、外部RADIUSサーバーを登録するには、「外部サーバーを追加」ボタンから、該当の外部RADIUSサーバーを登録する必要があります。
- グループ名
  AVM EXにて手動作成されたすべてのデバイスグループのうち、メンバーがすべてスタティックデバイスとして登録されたグループが表示されます。
  デバイスグループには、名前の右側に「Group」というバッジが表示されます。
  グループを選択した場合、本画面で行うユーザーの追加などの操作は、グループのメンバーであり、ローカルRADIUSサーバー機能が有効に設定されたデバイスすべてに適用されます。

デバイス名またはグループ名をクリックすると、画面右側に情報が反映されます。
■ 表示2
左側のRADIUSサーバー一覧で選択したデバイスまたはデバイスグループの設定を表示します。
設定の内容は、ユーザー、グループ（RADIUSグループ）、NAS（RADIUSクライアント）の3つのタブで分かれています。
個別のデバイスを選択している場合は、画面右上の「証明書を出力」ボタンをクリックすると、該当のRADIUSサーバーのローカルCA(認証局）の証明書（*.pem形式）がダウンロードできます。
デバイスグループを選択した際、グループ内のデバイスにRADIUSサーバー機能が有効に設定されていないデバイスがある場合、警告が表示されます。

### 認証共有パスワード

「資産管理」の「エンドポイント」タブにおいて、IES（インテリジェント・エッジ・セキュリティー）機能のクライアントにエンドポイントの再認証を要求するうえで必要な、共有パスワードを設定します。

表 1：認証共有パスワード
項目名 | 説明
--- | ---
共有パスワード | IES機能で使用するRADIUSクライアントに対してRADIUS Dynamic Authorizationメッセージ（DisconnectとChange-of-Authorization（CoA））の通信に使う共有パスワードの通信に使う共有パスワードを指定します。 RADIUSクライアント側の「radius dynamic-authorization client」コマンドと共通の文字列を指定します。 Note IES機能でRADIUSサーバーを使用する場合は、すべてのRADIUSサーバーに共通の共有パスワードを設定しておく必要があります。
キャンセル | 共有パスワードの編集を中止します。
編集 | 共有パスワードを編集します。
保存 | 共有パスワードの編集を保存します。

### 外部サーバーを追加

外部RADIUSサーバーの登録を行います。
事前に「システム管理」の「オプション機能」にて「AT-RADgate」、「HCNET」のいずれかまたは両方を有効に設定すると、本画面の右上に「外部サーバーを追加」ボタンが表示されます。
「外部サーバーを追加」ボタンをクリックすると、次のダイアログが表示されます。

表 2：外部サーバーを追加
項目名 | 説明
--- | ---
サーバー種別 | サーバー種別を選択します。本バージョンでは「AT-RADgate」または「HCNET」が選択可能です。 Note 外部RADIUSサーバーとして使用可能なエイチ・シー・ネットワークス社（以下、「HCNET」と表記します）製品およびバージョンについては、「システム管理」の「オプション機能」の記載をご確認ください。 また、HCNET製品との連携にあたっては、HCNET製品側の説明書、案内をご確認ください。
キャンセル | 外部サーバーの追加を中止します。
サーバーを登録 | 本画面での設定を保存し、外部サーバーを追加します。
AT-RADgate選択時
ユーザー名 | ATｰRADgateのWeb管理画面にログインする際に入力する、管理用アカウントのユーザー名を入力します。
パスワード | 上記のユーザーに対応するパスワードを入力します。
IPアドレス | AT-RADgateのIPアドレスを入力します。
HCNET選択時
IPアドレス | HCNET製品のIPアドレスを入力します。
APIキー | HCNET製品と連携するためのAPIキーを入力します。 Note APIキーの発行については、HCNET製品側の案内を参照してください。
ポート | HCNET製品のポート番号を入力します。
HTTPS | HCNET製品との通信にHTTPSを使用するか否かを設定します。

正常に登録されると、外部RADIUSサーバーが資産管理画面、ネットワークマップにも表示されるようになります。デバイス名は、外部RADIUSサーバーのWeb管理画面で設定したホスト名が表示されます。以後、外部RADIUSサーバーのユーザーやグループの管理をAVM EXから行うことができます。
また、これらの外部RADIUSサーバーを管理下のAMFデバイスにも設定してある場合は、「インテリジェント・エッジ・セキュリティー」を利用することができます。
AVM EXで行えるようになる操作は次の通りです。

表 3：ローカル/外部RADIUSサーバー 対応機能
機能 | ローカル | AT-RADgate | HCNET製品
--- | --- | --- | ---
ユーザー関連
ユーザーの作成 | ○ | ○ | ○
ユーザーの変更 | ○ | ○ | ○
ユーザーの削除 | ○ | ○ | ○
CSVからの一括作成 | ○ | ○ | ○
グループへの割り当て | ○ | ○ | ×
ユーザー名、グループ、拒否状態の表示 | ○ | ○ | △（グループを除く）
ログイン成功/失敗、最終接続時刻の表示 | ○ | × | ×
ユーザー証明書、秘密鍵の出力 | ○ | × | ×
グループ関連
グループの作成 | ○ | ○ | ×
所属VLANの設定 | ○ | ○ | ×
所属VLANの変更 | ○ | ○ | ×
属性の設定 | ○ | × | ×
属性の変更 | ○ | × | ×
グループの削除 | ○ | ○ | ×
グループ名、VLAN、属性の表示 | ○ | △（属性を除く） | ×
関連ネットワーク、ユーザー数、状態の表示 | ○ | ○ | ×
NAS関連
NASの登録 | ○ | ○ | ×
NASの削除 | ○ | ○ | ×
IPアドレス、共有パスワードの表示 | ○ | ○ | ×
インテリジェント・エッジ・セキュリティー（IES）関連
許可/拒否/未登録の状態の表示 | ○ | ○ | ○
エンドポイントの許可 | ○ | ○ | ○
エンドポイントの拒否 | ○ | ○ | ○
RADIUSサーバーの一括管理 |
AVM EXグループ機器へのRADIUSサーバーの登録 | ○ | ○ | △（グループを除く）
AVM EXグループ機器へのRADIUS設定の一括配布 | ○ | ○ | △（グループを除く）
AVM EXグループ機器とRADIUSサーバー上の設定の不整合の表示 | ○ | ○ | △（グループを除く）
その他
RADIUSサーバーの証明書の出力 | ○ | × | ×

> Note

> > AVM EXに追加済みのAT-RADgate上でサーバーのホスト名を変更した場合、AVM EXのWeb管理画面上ではAT-RADgateのデバイス名は更新されません。デバイス名を更新するには、一旦AT-RADgateの登録を削除して、再度追加しなおしてください。

### ユーザー

RADIUSクライアント（NAS）を使用するユーザーの情報を表示します。
■ 表示1

表 4：ユーザー一覧 ヘッダー
項目名 | 説明
--- | ---
サーバーを削除 | 選択したRADIUSサーバーがAT-RADgateの場合、該当のRADIUSサーバーの登録を削除します。
検索フィールド | 部分一致検索したい文字列を入力します。 入力した文字列をユーザー名またはRADIUSグループ名に含むユーザーがある場合、ユーザー一覧に該当のユーザーのみが表示されます。
期間フィルター | 指定の期間に接続があったユーザーのみをユーザー一覧に表示します。 直近1時間などのように相対的な期間を指定することや、範囲の開始・終了日時を指定して期間を指定することができます。
グループフィルター | 特定のRADIUSグループに所属するユーザーのみをユーザー一覧に表示します。
ファイルに出力 | 現在登録されているユーザーをCSVファイルに出力します。 Note ユーザーをCSVファイルに出力した場合、パスワードは「-」として出力されます。 出力したCSVファイルをインポートしてユーザーの登録を行う場合、インポートの前にテキストエディターなどを使用してパスワードを編集する必要があります。
CSVからインポート | CSVファイルをアップロードして、ユーザーを登録します。 次の3つのフィールドをそれぞれ二重引用符（"）で囲み、フィールドをカンマで区切ったCSVファイルを別途作成して、一括して登録できます。 ユーザー名： 最大116文字の、いずれも半角の英字・数字・記号（! # $ % ' ( ) * + , - . / : ; < > [ \ ] ^ _ ` { | } ~）が使用可能です（大文字小文字を区別します）。 グループ： 登録済みのグループ名を指定します。 パスワード： 最大31文字の半角英数字（大文字小文字を区別）とハイフン（-）、アンダースコア（_）が使用可能です。
ユーザーを追加 | 「ユーザーを追加」サイドパネルを表示します。
ユーザーをグループに割り当て | チェックボックスにチェックを入れたユーザーを一括してRADIUSグループに割り当てます。 ダイアログにてRADIUSグループをドロップダウンメニューから選択し、選択したユーザーすべてを同じRADIUSグループに割り当てます。 Note グループ割り当て後は、所属グループをなしにすることはできません。
選択したユーザーを削除 | チェックボックスにチェックを入れたユーザーを一括して削除します。

■ 表示2
選択されたデバイスまたはデバイスグループに登録されたRADIUSユーザーを一覧表示します。
デバイスグループを選択した際、該当のデバイスグループに属するデバイスの中で設定が異なるユーザーが存在する場合は、ユーザー一覧に選択不可状態でそれぞれの設定内容を表示します。

表 5：ユーザー一覧
項目名 | 説明
--- | ---
チェックボックス | グループに一括して割り当てる、または一括して削除するユーザーのチェックボックスにチェックをつけます。
ユーザー | RADIUSクライアント（NAS）の利用者を識別するためのユーザー名です。 Note AVM EXのユーザーアカウントとは異なります。 Note デバイスグループ内のデバイス間で設定に不整合のあるユーザーは選択できません。
ログイン成功 | 該当のユーザーが認証に成功した回数を表示します。
ログイン失敗 | 該当のユーザーが認証に失敗した回数を表示します。
グループ | ユーザーが所属するグループ名です。 ユーザーに付与されるVLANやその他の属性は、グループに準じて決定されます。
不整合 | デバイスグループに所属するデバイス間でユーザーの所属グループなどの設定が異なる場合、メッセージが表示されます。メッセージにマウスポインターを合わせると、メッセージの全文が表示されます。 不整合のあるユーザーは選択できません。この場合、本画面では編集できませんので、各デバイスのCLIまたはWeb GUI画面にて適宜設定を統一してください。
拒否状態 | ユーザーの接続を拒否するよう登録されている場合は、「Reject」が表示されます。
最終接続時刻 | 該当のユーザー名を使用して認証を試みた日時を表示します。
アクション | ユーザーの削除やグループの割り当て、ユーザーキー（pk12形式）の出力を行います。 編集： ユーザーをグループに割り当てます。 ダイアログにてグループをドロップダウンメニューから選択し、ユーザーを割り当てます。 Note グループ割り当て後は、所属グループをなしにすることはできません。 削除： ユーザーを削除します。 複数のユーザーのチェックボックスにチェックをつけている場合、チェックのあるすべてのユーザーを削除します。 キーを出力： 登録済みユーザーのユーザー証明書と秘密鍵をPKCS#12形式のファイル（*.pk12）としてエクスポートします。 この項目は、デバイス一覧にてデバイスグループではなく、個別のデバイスを選択している場合のみ表示されます。 パスフレーズ： PKCS#12形式ファイルを暗号化して書き出すためのエクスポート用パスフレーズを入力してください。エクスポートしたユーザー証明書/秘密鍵を別のプログラムやシステムにインポートするときは、ここで指定したパスフレーズが必要となります。 保存： ユーザー証明書と秘密鍵を暗号化したPKCS#12形式のファイルとしてダウンロードします。

■ デバイスMACアドレスの登録について
MACベース認証などで使用するデバイスのMACアドレスは、User-Name属性、User-Password属性にMACアドレスを設定したRADIUSユーザーとして登録されます。
AlliedWare PlusデバイスのRADIUSサーバーでは、MACアドレスの表記は「xx-xx-xx-xx-xx-xx」形式でハイフン（-）を用いて2桁ごとに区切られます。
すなわち、MACアドレス00:00:5e:00:53:00のデバイスは、User-Name属性、User-Password属性とも「00-00-5e-00-53-00」という値を持つユーザーとして登録されます。
一方で、AT-RADgateのWeb管理画面では、「ユーザー」と「端末」のポリシーは別々に扱われており、端末ポリシーのMACアドレスは「xxxx.xxxx.xxxx」形式でピリオド（.）を用いて4桁ごとに区切って表記されます。
AVM EXからAT-RADgateに対してデバイスを登録する場合は、「xx-xx-xx-xx-xx-xx」形式のMACアドレスを「xxxx.xxxx.xxxx」形式に変換して、端末ポリシーの1つとして表示されます。

> Note

> > AT-RADgateでは、AVM EXの「xx-xx-xx-xx-xx-xx」形式（例：00-00-5e-00-53-00）のユーザー名を持つユーザーポリシーを作成しないでください。AVM EXからは編集、削除できなくなります。

#### ユーザーを追加

RADIUSサーバーにユーザーを登録します。

表 6：ユーザーを追加ダイアログ
項目名 | 説明
--- | ---
ユーザー名 | 最大116文字の、いずれも半角の英字・数字・記号（! # $ % ' ( ) * + , - . / : ; < > [ \ ] ^ _ ` { | } ~）が使用可能です（大文字小文字を区別します）。
パスワード | 最大31文字の、いずれも半角の英字・数字・ハイフン（-）・アンダースコア（_）が使用可能です（大文字小文字を区別します）。 Note AVM EXからパスワードを変更することはできません。パスワードを変更する必要がある場合は、ユーザーをいったん削除して登録しなおすか、デバイス自体のWeb設定画面またはCLIで変更してください。
グループ | 登録済みのグループ名を指定します。後で設定することもできます。 Note グループ割り当て後は、所属グループをなしにすることはできません。
キャンセル | 入力した内容を破棄し、ユーザーの新規追加を中止します。
保存 | 入力した内容でユーザーを新規に追加します。

### グループ

RADIUSユーザーが所属するRADIUSグループの情報を表示します。
VLANやRADIUS属性をグループに設定しておくことで、ユーザーが認証に成功した際にこれらのVLANや属性を付与します。
■ 表示1

表 7：グループ一覧 ヘッダー
項目名 | 説明
--- | ---
検索フィールド | 部分一致検索したい文字列を入力します。 入力した文字列をグループ名またはVLANに含むグループがある場合、グループ一覧に該当のグループのみが表示されます。
グループをインポート | 「インテントネットワーク」/「スマートACL」で使用するネットワーク（VLANサブネット）からエンドツーエンドネットワークの情報を収集して、RADIUSグループを作成します。 インポートできるネットワークは、スマートACL内に存在するエンドツーエンドネットワークのみです。エンドツーエンドネットワークではないネットワークはインポートすることはできません。 また、インポートする際、特定のネットワークを選択してインポートすることはできません。スマートACL内のネットワークに存在するエンドツーエンドネットワークがすべてインポートされます。 インポートされたネットワークのVLAN IDに準じて、「VISTA_NETWORK_VLANxxx」（xxxはVLAN ID）というRADIUSグループがグループ一覧に登録されます。 Note この機能を使用するには、AMF Plusライセンスが必要です。 Note これらのエンドツーエンドネットワークは、AMF Plusスイッチから自動的に収集されます。AT-ARルーター上のネットワークは収集されません。
グループを追加 | 「グループを追加」サイドパネルを表示します。

■ 表示2

表 8：グループ一覧
項目名 | 説明
--- | ---
グループ | RADIUSサーバーに登録されたRADIUSグループ名です。 ユーザーに付与されるVLANやその他の属性は、グループに準じて決定されます。 グループ名をクリックすると、「ユーザー」タブにて、該当RADIUSグループをグループフィルターの条件としてユーザーが絞り込み表示されます。
不整合 | デバイスグループに所属するデバイス間でRADIUSグループのVLAN、属性などの設定が異なる場合、メッセージが表示されます。メッセージにマウスポインターを合わせると、メッセージの全文が表示されます。 不整合のあるRADIUSグループは選択できません。この場合、本画面では編集できませんので、各デバイスのCLIまたはWeb GUI画面にて適宜設定を統一してください。
関連ネットワーク | VLANに関連付けられたAVM EX上のネットワーク名を表示します。
ユーザー数 | RADIUSグループに所属するユーザーの数を表示します。
VLAN | RADIUSグループに割り当てるVLANが表示されます。
属性 | RADIUSグループに割り当てるRADIUS属性が表示されます。
アクション | RADIUSグループの編集や削除を行います。 編集： 「グループを編集」ダイアログを表示します。 所属ユーザーに割り当てるVLANおよび属性を編集できます。 削除： グループを削除します。

#### グループを追加

RADIUSサーバーにグループを登録します。

表 9：グループを追加ダイアログ
項目名 | 説明
--- | ---
名前 | グループ名を入力します。最大64文字の、いずれも半角の英字・数字・ハイフン（-）・ピリオド（.）・アンダースコア（_）が使用可能です（大文字小文字を区別します）。
VLAN | 対象グループに割り当てるVLANを、VLAN IDまたはVLAN名で設定します。 最大64文字の、いずれも半角の英字・数字・記号（! # $ % ' ( ) * + , - . / : ; < = > [ \ ] ^ _ ` { | } ~）が使用可能です（大文字小文字を区別します）。
属性 | 対象グループに割り当てるRADIUS属性を指定します。 属性名、属性値のペアを入力して＋ボタンをクリックすると、属性名、属性値欄の下に「属性名:属性値」の書式で表示されます（例：Session-Timeout:3600）。 追加された属性を削除する場合は、属性絵の右側の×ボタンをクリックします。
キャンセル | 入力した内容を破棄し、グループの新規追加を中止します。
保存 | 入力した内容でグループを新規に追加します。

#### グループを編集

RADIUSサーバーに登録されたグループに付与するVLAN、属性を編集します。

表 10：グループを編集ダイアログ
項目名 | 説明
--- | ---
名前 | グループ名を表示します。 Note グループ名は変更できません。変更したい場合は、当該のグループを削除し、新しくグループを作成しなおす必要があります。
VLAN | 対象グループに割り当てるVLANを、VLAN IDまたはVLAN名で設定します。 最大64文字の、いずれも半角の英字・数字・記号（! # $ % ' ( ) * + , - . / : ; < = > [ \ ] ^ _ ` { | } ~）が使用可能です（大文字小文字を区別します）。
属性 | 対象グループに割り当てるRADIUS属性を指定します。 属性名、属性値のペアを入力して＋ボタンをクリックすると、属性名、属性値欄の下に「属性名:属性値」の書式で表示されます（例：Session-Timeout:3600）。 追加された属性を削除する場合は、属性絵の右側の×ボタンをクリックします。
キャンセル | 入力した内容を破棄し、グループの編集を中止します。
保存 | 入力した内容でグループを更新します。

### NAS

RADIUSクライアント（NAS：Network Access Server）を設定します。
RADIUSクライアントには、RADIUSサーバーを利用してユーザーの認証を行うネットワークストレージや無線APなどが含まれます。
AlliedWare PlusデバイスのローカルRADIUSサーバーは、登録されたRADIUSクライアントからのみアクセスが許可されます。
■ 表示1

表 11：RADIUSクライアント（NAS）一覧 ヘッダー
項目名 | 説明
--- | ---
検索フィールド | 部分一致検索したい文字列を入力します。 入力した文字列をRADIUSクライアント（NAS）IPアドレスまたは共有パスワードに含むグループがある場合、RADIUSクライアント（NAS）一覧に該当のRADIUSクライアントのみが表示されます。
RADIUSクライアント（NAS）を追加 | 「RADIUSクライアント（NAS）を追加」サイドパネルを表示します。

■ 表示2

表 12：RADIUSクライアント（NAS）一覧
項目名 | 説明
--- | ---
RADIUSクライアント（NAS）IPアドレス | RADIUSクライアント（NAS）のIPアドレスです。
共有パスワード | RADIUSクライアント（NAS）とRADIUSサーバーとの認証に使用する共有パスワードを表示します。
不整合 | デバイスグループに所属するデバイス間でRADIUSクライアント（NAS）の共有パスワードなどの設定が異なる場合、メッセージが表示されます。メッセージにマウスポインターを合わせると、メッセージの全文が表示されます。 不整合のあるRADIUSクライアント（NAS）は選択できません。この場合、本画面では編集できませんので、各デバイスのCLIまたはWeb GUI画面にて適宜設定を統一してください。
アクション | RADIUSクライアント（NAS）の削除を行います。 削除： RADIUSクライアント（NAS）を削除します。

#### RADIUSクライアント（NAS）を追加

RADIUSサーバーにRADIUSクライアント（NAS）を登録します。

表 13：RADIUSクライアント（NAS）を追加ダイアログ
項目名 | 説明
--- | ---
IPアドレス | RADIUSクライアント（NAS）のIPアドレスを入力します。
共有パスワード | RADIUSクライアント（NAS）とRADIUSサーバーとの認証に使用する共有パスワードを入力します。最大31文字の、いずれも半角の英字・数字・記号（! # $ % ' ( ) * + , - . / : ; < = > @ [ \ ] ^ _ ` { | } ~）が使用可能です（大文字小文字を区別します）。
キャンセル | 入力した内容を破棄し、RADIUSクライアント（NAS）の新規追加を中止します。
保存 | 入力した内容でRADIUSクライアント（NAS）を新規に追加します。