AAAとは何ですか？

認証、認可、およびアカウンティング（AAA）とは、ユーザーやデバイスの身元を確認し、許可される操作を決定し、実行された操作を記録するセキュリティフレームワークです。ネットワークオペレーティングシステムや管理プラットフォームでは、RADIUSやTACACS+などのプロトコル、あるいはローカルのユーザーデータベースを通じてAAAが実装されています。

主なポイント

• 認証は身元を確認し、認可は権限を設定し、アカウンティングは利用状況を記録します。
• RADIUSとTACACS+は、AAAを一元管理するために使用される2つの主要なプロトコルです。
• AAAは、デバイス上でローカルに実行することも、ディレクトリサーバーを介して一元的に実行することもできます。
• 集中型AAAは、大規模なデバイス群全体にわたって管理上のアクセス制御を調整します。
• Versa ディレクターおよびVOSデバイスは、いずれもRADIUS、TACACS+、およびローカルAAAに対応しています。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ AAA およびVersa · よくある質問

AAAはなぜ重要なのでしょうか？

どのネットワークでも、ログインや操作が行われるたびに、「これは誰か」「そのユーザーにはどのような権限が与えられているか」「実際に何を行ったか」という3つの問いに答えなければなりません。AAAは、これら3つの問いすべてを単一のフレームワークの下で解決します。そのため、アクセス制御を必要とするほぼすべてのインフラストラクチャ――ルーター、ファイアウォール、VPNコンセントレータ、管理コンソールなど――の基盤となっているのです。

AAAを一元化することで、真のリスク要因も排除されます。それは、何百台ものデバイスに散在する「ローカルのみ」の認証情報であり、各デバイスごとに個別のパスワードを設定し、その更新や無効化、あるいは侵害発生後の調査が必要となるものです。一元化されたRADIUSまたはTACACS+サーバーを利用すれば、管理者は1つのアカウントを無効にするだけで、すべての場所でのアクセス権を一斉に失わせることができ、監査担当者には単一のアクセス履歴が提供されます。これは、規制産業においてコンプライアンス要件として求められることがよくあります。

AAAとは何ですか？

AAAは、アクセス制御を3つの独立したステップに分けます。認証では、ユーザー名とパスワード、証明書、またはトークンを、ローカルデータベースやActive Directory、LDAP、RADIUS、TACACS+などの外部サーバーと照合して、身元を確認します。認可は認証が成功した後に実行されます。システムは、ロールやグループの属性をポリシーデータベースと照合し、そのユーザーが実行を許可されている操作を調べます。 その後、アカウンティングが継続的に実行され、課金、監査、またはフォレンジック調査のために、セッションデータ（ログインおよびログアウト時刻、実行されたコマンド、転送されたバイト数など）が記録されます。

これらのステップは設計上独立しています。つまり、システムはローカルで認証を行い、リモートで認可やアカウンティングを行うことも、あるサーバーに対して認証を行いながら、別のサーバーに対してアカウンティングを行うことも可能です。RADIUSやTACACS+は、デバイスと集中管理サーバーの間でAAAリクエストをやり取りするための一般的なプロトコルですが、3段階モデルはこれらに関係なく適用されます。

AAAの種類

AAAの導入形態は、一般的にいくつかのパターンに分類されます。ローカルAAAは、ユーザーデータベースをデバイス自体に保持します。設定が最も簡単ですが、数台のデバイスを超えると拡張性が乏しく、一元化された監査証跡も残されません。RADIUSベースのAAAは、3つの機能をRADIUSサーバーに一元化し、パスワードのみを暗号化します。これは、VPNやWi-Fiログインなどのネットワークアクセス制御で一般的に採用されています。TACACS+ベースのAAAはセッション全体を暗号化し、3つの機能をよりきめ細かく分離するため、ネットワークインフラへの管理アクセスにおいて一般的に採用されています。ディレクトリベースのAAAは、Active DirectoryやLDAPに対して認証を行い、多くの場合、シングルサインオンや二要素認証と組み合わせて使用され、権限付与はグループメンバーシップに基づいて行われます。

AAA &Versa

Versa 2つのレイヤーでAAAを実装しています。Versa Directorでは、管理者およびテナントのログイン認証は、ローカルユーザーデータベース、または外部のActive Directory、LDAP、RADIUS、TACACS+サーバーに対して行われます。また、オプションで二要素認証や、OktaやAzure ADなどのプロバイダーを介したシングルサインオンも利用可能です。マルチディレクター構成では、1つのノードを中央認証ノードとして指定し、トポロジー全体にわたるすべてのログイン認証を一元的に行うことができます。

VOSデバイス（ブランチ、コントローラ、ハブ）では、AAAによってCLIおよびシェルへのアクセスが制御されます。 ローカル認証では、admin、operator、tenant-admin、security-admin などの事前定義されたロールが使用されます。外部認証では、RADIUS または TACACS+ に委任され、versa-user-group などの属性-値ペアを使用して、リモートアカウントをロールにマッピングします。『Versa』のセキュリティ強化ガイドラインでは、大規模なローカルパスワード管理に伴うリスクを排除できるため、すべてのブランチ、コントローラー、ハブにおいて、一元化された RADIUS または TACACS+ 認証を推奨しています。

よくある質問

認証と認可の違いは何ですか？

認証とは、通常はパスワード、証明書、またはトークンを通じて、ユーザーが誰であるかを確認するプロセスです。認可は、認証が成功した後に実行され、そのユーザーに割り当てられた役割やグループに基づいて、そのユーザーが何を行うことが許可されているかを決定します。ユーザーは認証に成功しても、実行できる権限がごく限られている場合があります。

RADIUSとTACACS+の違いは何ですか？

RADIUSは、認証要求に含まれるパスワードのみを暗号化し、認証と認可を1つの通信に統合しています。そのため、VPNやWi-Fiなどのネットワークアクセス場面で広く利用されています。一方、TACACS+はセッション全体を暗号化し、3つの機能を分離しているため、ネットワーク機器への管理アクセスにおいてより一般的に利用されています。

なぜ、集中管理型のAAAは、ローカルデバイスのアカウントよりも優れているのでしょうか？

一元化されたAAAは、RADIUS、TACACS+、またはディレクトリサーバーを通じて、管理者が各デバイスごとに個別に管理するのではなく、一か所で認証情報や権限を管理できるようにします。アクセス権の取り消しも、数百件の変更を行う代わりに1回の変更で済み、アカウンティングログも各デバイスに散在するのではなく、単一のシステムに集約されます。

AAAでは、RADIUSまたはTACACS+が必要ですか？

いいえ。AAAはプロトコルではなくフレームワークです。デバイスは、外部サーバーを一切介さずに、ローカルのユーザーデータベースに対して認証、認可、アカウンティングをすべて行うことができます。RADIUSやTACACS+は、単に多くのデバイスにわたってAAAを一元管理するために使用される、最も一般的なプロトコルにすぎません。

AAAの会計部門では、実際にはどのような内容を記録しているのでしょうか？

会計ログには、セッションレベルのデータ（誰がログインしたか、セッションの開始・終了時刻、実行されたコマンド、およびセッションによって生成されたトラフィック量（パケット数またはバイト数））が記録されます。このデータは、課金処理、セキュリティ監査、およびインシデント発生後のフォレンジック調査に活用されます。

AAAに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

AAAについて読んでいるなら、次はこれらもぜひチェックしてみてください。