ネットワークセキュリティにおけるAAAとは？認証・認可・アカウンティングの基礎知識

AAAとは何の略？

AAAは「Authentication（認証）」「Authorization（認可）」「Accounting（アカウンティング／利用記録）」の頭字語です。この仕組みにより、コンピュータリソースへのアクセスに関するポリシーの適用、利用状況の監査、アクセス制御を実現できます。

AAAの3つの構成要素

AAAは以下の3つのプロセスで構成されています。

• 認証（Authentication）プロセス
• 認可（Authorization）プロセス
• アカウンティング（Accounting）プロセス

IAMにおけるAAAの例

AAAプロトコルの一例として、RADIUS（Remote Authentication Dial-In User Service）の後継として開発されたDiameterが挙げられます。また、Cisco Systemsの独自プロトコルであるTACACS+は、ゲートウェイサーバーやルーターなどのネットワークデバイスがネットワークリソースへアクセスする際の認証を担います。

Cisco設定におけるAAAとは

Cisco IOSデバイスは従来、ラインパスワードによる認証と、レベル15のイネーブルパスワードによる認可で運用されることが一般的でした。AAAはこれに対する最適なソリューションであり、この機能を利用することで、管理者はIOSデバイス上できめ細かなアクセス制御と監査機能を設定できます。

AAAにおける認可とは

ユーザーの資格情報がデータベース内の情報と照合され、AAAサーバーがその本人性を検証します。資格情報が一致すれば、ユーザーはネットワークへのアクセスを許可されます。その後、ユーザーが特定のコマンドの実行やサービスの利用を許可されているかどうかは、認可プロセスによって判断されます。

AAAにおける認証とは

認証はAAAセキュリティプロセスの最初のステップであり、ネットワークやアプリケーションがユーザーの本人性を確認する仕組みです。アクセスを得るにはユーザー固有の識別情報が必要で、各ユーザーは有効なユーザー名とパスワードを提示しなければなりません。

ファイアウォールにおけるAAAとは

AAA認証では、ルーターがユーザーを認証するために使用する1つ以上の認証方式を定義します。認証が成功した後は、AAAの認可機能により、ユーザーが特定の操作を実行したりサービスへアクセスしたりできるかどうかが制限されます。

AAAサーバーのセキュリティ機能における3つのA

通常、専用のAAAサーバーが認証・認可・アカウンティングの各サービスを提供します。現在では、RADIUSがネットワークアクセスサーバーとAAAサーバー間のインターフェースとして広く利用されています。

CCNAにおけるAAAとは

AAAとは、どの管理者がどのデバイスにアクセスできるか（認証）、ログイン中にそのデバイスで何ができるか（認可）、そして実際に何を行ったか（アカウンティング）を制御するための設定手法です。

RADIUSの3つの特徴

RADIUSの主な特徴は以下の通りです。

• IETFが策定した標準プロトコルである
• UDP/IPを使用する
• 暗号化できるのはパスワードのみである

一方、TACACS+はCisco独自のプロトコルであり、TCP/IPを使用し、送信されるすべてのデータが暗号化される点が異なります。

セキュリティにおける3つのA

セキュリティにおける3つのAは次の通りです。

• 認証（Authentication）
• 認可（Authorization）
• アカウンティング（Accounting）

AAAアカウンティングの特徴

アカウンティングは、認証・認可を通過したユーザーがネットワークリソースをどのように利用したか（接続履歴やコマンド実行など）を記録する機能です。これにより、監査や利用状況の追跡が可能になります。

会計分野におけるAAAとは

会計分野では、AAAは「American Accounting Association（アメリカ会計学会）」の略称として使用されます。

AAAの設定方法

AAAを設定する基本的な手順は以下の通りです。

• 「new model」に従ってAAAを有効化する
• AAAサーバー（TACACS+サーバーなど）を作成・設定する
• 認証方式と認可方式のリストを定義する
• 該当するインターフェース（コンソール、VTY）でAAA認証を必須にする

CiscoスイッチでのAAA認証の設定方法

Cisco IOSのCLIコマンド「aaa new-model」を使用すると、CiscoルーターやスイッチでAAAを有効化できます。さらに、AAA認証サービスを提供するSecure ACSのIPアドレスと、暗号化用の共有キーをCLIコマンドで設定します。

CiscoルーターでAAAを開始するコマンド

AAAを有効にするには、グローバルコンフィギュレーションモードでAAA関連コマンド（aaa new-model）を設定する必要があります。