インストラクター：このレッスンでは､
AAAサーバーについてお話しします｡ AAAサーバーとは､ 認証､ 認可､ アカウンティングの略で､
AAAサーバーを理解するためには､ まず､ 802.Authenticationの仕組みを理解する必要があります｡
1Xはフレームワークとして機能する｡
講師：802. 1X は､ 有線および無線ネットワークのポートベース認証に使用される標準化されたフレームワークです｡
さて､ 802. 1Xは単なるフレームワークであり､
実際には他のメカニズムを利用して認証を行う｡
例えば､ RADIUSとして知られるRemote
Authentication Dial-In User Serviceと､ TACACS+として知られるTerminal Access Controller Access-Control
System Plusの両方が､ 802.TCP/IPを使った認証に利用できます｡
1Xプロトコル｡
802. の下で認証が発生するために必要な
3 つの役割があります｡ 1X.
サプリカントとは､ ネットワークへのアクセスを要求するデバイスやユーザーのことで､
この画像ではPC1がそれにあたる｡
そして､ サプリカントがネットワークにアクセスしようとするデバイスである､
オーセンティケータがある｡
通常､ これはスイッチ､ ワイヤレス・アクセス・ポイント､
VPNコンセントレータのようなものになる｡
最後に､ 認証サーバーがある｡ これは､
認証を実行する集中デバイスで､
通常はRADIUSまたはTACACS+サーバーになる｡
認証は､ 個人の身元が証明によって確立され､
システムによって確認されるときに発生する｡
あなたは毎日これをやっている｡
実際､ このコースにログインしたとき､ あなたはそれを実行した｡
Eメールアドレスとパスワードを入力した時点で､ あなたはこのコースの受講料を支払った生徒であると主張したことになり､
それによってあなたはシステムによってチェックされ､
アクセスが許可されます｡
さて､ あなたが誰であるかを認証するには､ さまざまな方法がある｡
現実の世界では､ たとえば､ スピード違反で警察官に止められたら､
運転免許証を出して､ それが自分であり､
自分が本人であることを示すかもしれない｡
これが証拠だ｡
さて､ デジタルの世界では､
5つの認証方法がある｡
パスワードやユーザー名のようなもの､
指紋や眼球スキャン､
網膜スキャンのようなもの､
トークンや運転免許証､
クレジットカードのようなもの､ 話し方や署名の仕方､ GPSの位置情報に基づく位置情報などです｡
LDAPとは､ Lightweight Directory Access Protocol（軽量ディレクトリ・アクセス・プロトコル）のこと｡
これは､ クライアントやネットワーク上のオブジェクトに関する情報を一元管理するためのデータベースだ｡
LDAPは基本的にXの簡易版である｡ 500はディレクトリ・サービスであり､
ネットワーク内のユーザー､ グループ､ サーバー､
システムの階層構造を含んでいる｡
LDAPは､ 暗号化されていない場合はポート389で通信し､
SSLやTLSを使って暗号化する場合はポート636を使う｡
現在､ LDAPはクロスプラットフォームと考えられているが､
マイクロソフト社はAD（アクティブ・ディレクトリ）として知られる独自の実装を行った｡
Windowsドメインでは､ Active Directoryは､
クライアント､ サーバー､ デバイス､ ユーザー､ グループなど､
ネットワーク上のすべてのものを整理し､ 管理するために使われる｡
現在､ Active Directoryは､ セキュリティポリシーやグループポリシーによるアクセス制御の一部として使用することもできます｡
RADIUSとは､ Remote Authentication Dial-In User Serviceの略｡
ダイヤルアップ､ VPN､ ワイヤレス認証の一元管理を提供し､ 802.NETと803.NETの両方で使用できます｡
1XおよびEAP（Extensible
Authentication Protocol）｡
RADIUSは､ OSIモデルの第7層であるアプリケーション層上で動作するクライアント・サーバー・プロトコルである｡
RADIUSは通常､ 別のサーバーで実行するように設定されるが､
小規模なドメイン環境ではWindowsサーバーにロードすることもできる｡
RADIUSは､ ユーザーを認証し､ サービスへのアクセスを許可し､
サービスの利用状況を記録するために使用される｡
RADIUSはまた､ 接続にUDPを利用するため､
認証と認可の機能においてかなり高速である｡
さて､ RADIUSがクロスプラットフォームの標準である一方､
TACACS+と呼ばれるシスコ独自のプロトコルがある｡
これは､ 端末アクセスコントローラー・アクセスコントロールシステム・プラスで､
802. 1Xネットワーク｡
さて､ どれがあなたの組織のニーズに最適かは､
あなた次第だ｡
個人的には､ RADIUSは組織内でほとんど独占的に使ってきた｡
TACACS+はUDPの代わりにTCPに依存しているため､
動作が少し遅いことがわかったが､ TACACS+にはいくつかの利点がある｡
これは､ さらなるセキュリティを提供し､
認証､ 認可､ アカウンティングのプロセスを独自に行う｡
TACACS+はすべてのネットワークプロトコルをサポートしているが､
一方RADIUSはリモートアクセスプロトコル､
NetBIOSフレームプロトコル､ X.
25
ペグ接続､ その他
全体として､ TACACS+は優れた選択だが､ ネットワーク全体でCiscoデバイスを使用する場合に限る｡
なぜなら､ クロスプラットフォーム機能を持ちたいのであれば､ 私が過去に選択した方法であるRADIUSを超える必要があるからだ｡
つ目のAは認可である｡
認可は､ ユーザーが特定のデータまたは建物の特定のエリアへのアクセスを与えられたときに発生する｡
ビルの中に入って､ 立ち入り禁止､ 関係者以外立ち入り禁止と書かれた看板を見たことがあるだろうか？
まあ､ そのエリアには入れないということだ｡
整備室とか､ 発電機があって整備士しか入れないようなところかもしれない｡
彼らは特別なキーや特別なバッジを持っていて､
そのエリアに入ることができる｡
その地域は､ あなたが行くことを許可されていない場所だ｡
Kerberosは認証と認可に重点を置いている｡
これは､ Windowsドメイン内のKerberos発券システムを通じて実行されます｡
Kerberosは､ 双方向または相互認証を提供する認証プロトコルである｡
ユーザーがドメインにログオンすると､
まず鍵配布センター(KDC)として機能するドメインコントローラーにコンタクトする｡
このKDCは､ 認証とチケット付与という2つの基本機能を持っている｡
つまり､ クライアントが正しく認証されれば､
KDCはTGT（チケット・グラント・チケットと呼ばれる）を発行する｡
このチケット付与チケットは､ そのユーザーがリソースにアクセスしたいときにいつでもドメインコントローラに提供され､
ドメインコントローラはそのユーザーにサービスチケットまたはセッションキーのどちらか適切な方を提供することができる｡
これらのチケットはリソースに提示され､
リソースはドメインコントローラから提供されたチケットを常に信頼するため､
アクセスが許可される｡
さて､ Kerberosは鍵配布センターとしての役割をドメインコントローラーに依存しているので､
これはドメイン内の単一障害点となる｡
ドメインコントローラーが停止すると､
チケット付与サービスも停止する｡
しかし､ これを防ぐために､ ほとんどの人はプライマリとセカンダリのアクティブドメインコントローラーを持つ｡
これにより､ Kerberosが稼働し､
LDAPがまだ稼働していることを確認するための冗長性が得られる｡
3つ目のAは会計だ｡
会計は､ データ､ コンピュータの使用状況､
ネットワークリソースの追跡を確実に維持する｡
そうすると､ 通常はログファイルと呼ばれるものに記録される｡
これはコンピュータ上のファイルで､
基本的には単なる大きなテキスト文書であり､
あらゆる種類のことを記録している｡
これは､ この画面に表示されているように､
ネットワークから退出するすべてのインターネット接続かもしれないし､
特定のファイルやウェブサイトにログオンしようとしたすべての人のリストかもしれない｡
データ漏洩や内部脅威が発生した場合､
ログファイルのデータをさかのぼって見ることで､ 誰がいつ何をしたかを突き止めることができるからだ｡
それが会計の仕事だ｡
さて､ 誰かが何かをした､ 彼らが行動を起こしたという証拠がある場合､
私たちはこれを否認防止と呼ぶ｡
否認防止とは､ ユーザーがその行動をとったという証拠があるため､
ユーザーはその行動をとっていないと言えないということです｡
例えば､ あなたが私に電子メールを送り､
電子署名で署名したとすると､ その電子署名の秘密鍵を持っているのは世界中であなただけです｡
あなたがそのメールを送ったことは確かだ｡
証拠があるんだから､ 後で送ってないなんて言えないよ｡
それが否認防止だ｡