- Cisco Unified Communications Manager セキュリティ ガイド
- はじめに
- セキュリティの基礎
- セキュリティの概要
- HTTP over SSL（HTTPS）の使用方法
- デフォルトのセキュリティ
- Cisco CTL クライアントの設定
- 証明書の設定
- Cisco Unified IP Phone および Cisco Unity ボイス メール ポートのセキュリティ
- 電話機のセキュリティの概要
- 電話機セキュリティ プロファイルの設定
- セキュア インディケーション トーンと非セ キュア インディケーション トーンの設定
- アナログ エンドポイントの暗号化の設定
- Certificate Authority Proxy Function の使 用方法
- 暗号化された電話機設定ファイルの設定
- SIP 電話機のダイジェスト認証の設定
- 電話機のセキュリティ強化
- セキュアな会議リソースの設定
- ボイスメール ポートのセキュリティ設定
- セキュア コールのモニタリングと録音の設定
- Cisco Unified IP Phone のバーチャル プライベート ネットワーク
- バーチャル プライベート ネットワークの設定
- VPN ゲートウェイの設定
- VPN グループの設定
- VPN プロファイルの設定
- VPN 機能設定
- Cisco CTI、JTAPI、および TAPI アプリケーションのセ キュリティ
- CTI、JTAPI、および TAPI の認証と暗号化の 設定
- SRST 参照先、トランク、ゲートウェイ、および Cisco Unified Mobility Advantage サーバのセキュリティ
- セキュア SRST（Survivable Remote Site Telephony）参照先の設定
- ゲートウェイおよびトランクの暗号化の設定
- SIP トランク セキュリティ プロファイルの設定
- SIP トランクのダイジェスト認証の設定
- Cisco Unified Mobility Advantage サーバ セキュリティ プロファイルの設定
- 索引
Cisco Unified Communications Manager セキュリティ ガイド リリース 8.5(1)
偏向のない言語
この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
翻訳について
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
- Updated:
- 2017年5月28日
章のタイトル： HTTP over SSL（HTTPS）の使用方法
HTTP over SSL（HTTPS）の使用方法
•
「Cisco Unified IP Phone サービスでの HTTPS」
• 「Internet Explorer 8 を使用して証明書を信頼できるフォルダに保存する方法」
• 「参考情報」
HTTPS の概要
Hypertext Transfer Protocol over Secure Sockets Layer（HTTPS; HTTP over SSL）は、Microsoft Windows ユーザのために、ブラウザと Web サーバの間の通信を保護します。HTTPS は証明書を使用して、サーバの ID を保証し、ブラウザ接続を保護します。HTTPS は公開鍵を使用して、インターネット経由で転送されるデータ（ユーザのログインやパスワードを含む）を暗号化します。
HTTPS を有効にするには、接続プロセス中にサーバを識別する証明書をダウンロードする必要があります。現在のセッションだけでサーバ証明書を受け入れることができます。また、信頼できるフォルダ（ファイル）に証明書をダウンロードすると、そのサーバとの現在のセッションおよび将来のセッションを保護することができます。信頼できるフォルダには、すべての信頼できるサイトの証明書が格納されています。
シスコは、Cisco Unified Communications Manager 内の Cisco Tomcat Web サーバ アプリケーションへの接続で次のブラウザをサポートしています。
• Microsoft Internet Explorer（IE）7（Microsoft Windows XP SP3 で実行されている場合）
• Microsoft Internet Explorer（IE）8（Microsoft Windows XP SP3 または Microsoft Vista SP2 で実行されている場合）
• Firefox 3.x（Microsoft Windows XP SP3、Microsoft Vista SP2、または Apple MAC OS X で実行されている場合）
• Safari 4.x（Apple MAC OS X で実行されている場合）
（注） Cisco Unified Communications Manager をインストールまたはアップグレードすると、HTTPS 自己署名証明書（Tomcat）が生成されます。自己署名証明書は、アップグレード中に自動的に Cisco Unified Communications Manager に移行されます。この証明書のコピーは、.DER 形式および .PEM 形式で作成されます。
自己署名証明書は、Cisco Unified Communications オペレーティング システムの GUI を使用して再生成できます。詳細については、『Cisco Unified Communications Operating System Administration Guide』を参照してください。
表 2-1 に、Cisco Unified Communications Manager 内の、Cisco Tomcat で HTTPS を使用するアプリケーションを示します。
Cisco Unified IP Phone サービスでの HTTPS
リリース 8.0 よりも前の Cisco Unified Communications Manager では、Cisco Unified IP Phone および Cisco Unified IP Phone サービスで HTTPS 通信がサポートされておらず、ポート 8080 で「クリア テキスト」を使用して通信が行われていました。
Cisco Unified Communications Manager リリース 8.0 では、Cisco Unified IP Phone および Cisco Unified IP Phone サービスで、HTTPS、暗号化、およびポート 8443 によるサーバの安全な識別がサポートされています。
サポートされるデバイス
サポートされる機能
• Cisco Extension Mobility（EM; エクステンション モビリティ）
• Cisco Extension Mobility Cross Cluster（EMCC; クラスタ間のエクステンション モビリティ）
• Cisco Unified Communications Manager の Manager Assistant（IPMA）
Cisco Unified IP Phone サービスの設定内容
Cisco Unified Communications Manager リリース 8.0(1) では、HTTPS をサポートするために、電話機の設定内容に 表 2-2 に示すセキュア URL パラメータが含まれています。
セキュア URL パラメータを設定するには、Cisco Unified Communications Manager の管理ページから [デバイス(Device)] > [デバイスの設定(Device Settings)] > [IP Phoneサービス(Phone Services)] の順に選択します。詳細については、 『 Cisco Unified Communications Manager アドミニストレーション ガイド 』 の「Cisco Unified IP Phone サービスの設定」の章を参照してください。
エンタープライズ パラメータの設定内容
HTTPS をサポートするために、Cisco Unified Communications Manager リリース 8.0(1) では次の新しいエンタープライズ パラメータをサポートしています。
Internet Explorer 8 を使用して証明書を信頼できるフォルダに保存する方法
ブラウザを再起動するたびに証明書をリロードせずに、アクセスを保護するには、必ず Cisco Unified Communications Manager の証明書を Internet Explorer 8 にインポートします。証明書の警告が表示された Web サイトへのアクセスを続行する場合、その証明書が信頼ストアに存在しないときは、Internet Explorer 8 は現在のセッションの間だけ証明書を記憶します。
サーバ証明書をダウンロードした後も、Internet Explorer 8 は引き続き Web サイトの証明書エラーを表示します。ブラウザの [信頼されたルート証明機関] 信頼ストアにインポート済み証明書が含まれている場合は、このセキュリティ警告を無視できます。
Internet Explorer 8 のルート証明書信頼ストアに Cisco Unified Communications Manager 証明書をインポートする手順は、次のとおりです。
ステップ 1 Tomcat サーバのアプリケーションを参照します（たとえば、ブラウザに Cisco Unified Communications Manager の管理ページのホスト名、ローカルホスト、または IP アドレスを入力します）。
ブラウザに、この Web サイトが信頼されていないことを示す「証明書のエラー：ナビゲーションはブロックされました」というメッセージが表示されます。
ステップ 2 サーバにアクセスするには、[このサイトの閲覧を続行する (推奨されません)。] をクリックします。
[Cisco Unified Communications Manager の管理] ウィンドウが表示され、ブラウザにアドレス バーと [証明書のエラー] ステータスが赤色で表示されます。
ステップ 3 サーバ証明書をインポートするには、[証明書のエラー] ステータス ボックスをクリックして、ステータス レポートを表示します。レポートで [証明書の表示] リンクをクリックします。
ステップ 5 [証明書] ウィンドウで [全般] タブを選択し、[証明書のインストール] をクリックします。
ステップ 6 [次へ] をクリックして、ウィザードを開始します。
ステップ 7 [自動] オプション（ウィザードがこの証明書タイプの証明書ストアを選択できる）が選択されていることを確認し、[次へ] をクリックします。
ステップ 9 [はい] をクリックして、証明書をインストールします。
インポート ウィザードに「インポートに成功しました」と表示されます。
ステップ 10 [OK] をクリックします。次回 [証明書の表示] リンクをクリックすると、[証明書] ウィンドウの [証明書のパス] タブに「この証明書は問題ありません」と表示されます。
ステップ 11 インポートした証明書が信頼ストアにあることを確認するには、Internet Explorer のツールバーで [ツール] > [インターネット オプション] をクリックし、[コンテンツ] タブを選択します。[証明書] をクリックし、[信頼されたルート証明機関] タブを選択します。リストをスクロールして、インポートした証明書を見つけます。
証明書のインポート後も引き続き、ブラウザにアドレス バーと [証明書のエラー] ステータスが赤色で表示されます。ホスト名、ローカルホスト、または IP アドレスを再入力しても、ブラウザをリフレッシュまたは再起動しても、このステータスは変わりません。
「関連項目」を参照してください。
証明書のファイルへのコピー
証明書をファイルにコピーし、ローカルに保管することによって、必要なときにいつでも証明書を復元することができます。
次の手順を実行すると、標準の証明書保管形式で証明書がコピーされます。証明書の内容をファイルにコピーするには、次の手順を実行します。
ステップ 1 [証明書のエラー] ステータス ボックスをクリックします。
ステップ 4 [ファイルにコピー] ボタンをクリックします。
ステップ 5 [証明書のエクスポート ウィザード] が表示されます。[次へ] をクリックします。
ステップ 6 ファイル形式を定義する次のリストから選択することができます。エクスポート ファイルに使用するファイル形式を選択して、[次へ] をクリックします。
• [DER encoded binary X.509 (.CER)]：DER を使用してエンティティ間で情報を転送します。
• [Base-64 encoded X.509 (.CER)]：保護されたバイナリ添付ファイルをインターネット経由で送信します。ASCII テキスト形式を使用してファイルの破損を防止します。
• [Cryptographic Message Syntax Standard-PKCS #7 Certificates (.P7B)]：証明書と、認証パス内のすべての証明書を、選択した PC にエクスポートします。
ステップ 7 ファイルのコピーをエクスポートする場所に移動して、ファイルの名前を指定します。[保存] をクリックします。
ステップ 8 ファイル名とパスが [証明書のエクスポート ウィザード] ペインに表示されます。[次へ] をクリックします。
ステップ 9 ファイルと設定が表示されます。[終了] をクリックします。
ステップ 10 エクスポートが正常に行われたことを示すダイアログボックスが表示されたら、[OK] をクリックします。
「関連項目」を参照してください。
Firefox での HTTPS の使用方法
Cisco Unified Communications Manager をインストールまたはアップグレードした後に、初めて Cisco Unified Communications Manager の管理ページまたは他の Cisco Unified Communications Manager SSL 対応仮想ディレクトリにブラウザ クライアントからアクセスすると、サーバを信頼するかどうかを確認するセキュリティ警告のダイアログボックスが表示されます。
ダイアログボックスが表示されたら、次の作業のいずれか 1 つを実行する必要があります。
• [危険性を理解した上で接続するには] をクリックして、現在の Web セッションに対してだけ証明書を信頼します。現在のセッションに対してだけ証明書を信頼すると、セキュリティ警告のダイアログボックスは、信頼できるフォルダに証明書をインストールするまで、アプリケーションにアクセスするたびに表示されます。
• [スタートページに戻る] をクリックして、操作を取り消します。認証は行われず、Web アプリケーションにアクセスすることはできません。Web アプリケーションにアクセスするには、[危険性を理解した上で接続するには] をクリックする必要があります。
次の各項では、Firefox ブラウザで HTTPS を使用する方法について説明します。
• 「Firefox 3.x を使用して証明書を信頼できるフォルダに保存する方法」
Firefox 3.x を使用して証明書を信頼できるフォルダに保存する方法
ブラウザ クライアントで HTTPS 証明書を信頼できるフォルダに保存するには、次の手順を実行します。
ステップ 1 Tomcat サーバにアクセスします（たとえば、ブラウザに Cisco Unified Communications Manager の管理ページのホスト名、ローカルホスト、または IP アドレスを入力します）。
ステップ 2 セキュリティ警告のダイアログボックスが表示されたら、[危険性を理解した上で接続するには] をクリックします。
[セキュリティ例外の追加] ダイアログボックスが表示されます。
ステップ 5 [次回以降にもこの例外を有効にする] チェックボックスをオンにします。
ステップ 6 [セキュリティ例外を承認] をクリックします。
ステップ 7 証明書の詳細を表示するには、次の手順に従います。
a. Firefox ブラウザから、[ツール] > [オプション] をクリックします。
d. 表示する証明書を強調表示して、[表示] をクリックします。
f. [証明書のフィールド] フィールドで、表示するフィールドを強調表示します。
証明書のファイルへのコピー
証明書をファイルにコピーし、ローカルに保管することによって、必要なときにいつでも証明書を復元することができます。
次の手順を実行すると、標準の証明書保管形式で証明書がコピーされます。証明書の内容をファイルにコピーするには、次の手順を実行します。
ステップ 1 Firefox ブラウザから、[ツール] > [オプション] をクリックします。
ステップ 2 まだ選択されていない場合は、[詳細] をクリックします。
ステップ 3 [暗号化] タブをクリックして、[証明書を表示] をクリックします。
ステップ 5 コピーする証明書を強調表示して、[エクスポート] をクリックします。
[証明書をファイルに保存] ダイアログボックスが表示されます。
ステップ 7 [ファイルの種類] ドロップダウン リストで、次のオプションからファイル タイプを選択します。
• [X.509 証明書（PEM）]： PEM を使用してエンティティ間で情報を転送します。
• [証明書パスを含む X.509 証明書（PEM）]：プライバシー エンハンスト メールを使用して、証明書チェーンを検証し、エンティティ間で情報を転送します。
• [X.509 証明書（DER）]： DER を使用してエンティティ間で情報を転送します。
• [X.509 証明書（PKCS#7）]：PKCS#7 は、データの署名または暗号化の標準です。署名されたデータの検証に必要になるため、証明書を SignedData 構造に含めることができます。.P7C ファイルは、署名が必要なデータを持たない縮退した SignedData 構造です。
• [証明書パスを含む X.509 証明書（PKCS#7）]：PKCS#7 を使用して、証明書チェーンを検証し、エンティティ間で情報を転送します。
「関連項目」を参照してください。
Safari での HTTPS の使用方法
Cisco Unified Communications Manager をインストールまたはアップグレードした後に、初めて Cisco Unified Communications Manager の管理ページまたは他の Cisco Unified Communications Manager SSL 対応仮想ディレクトリにブラウザ クライアントからアクセスすると、サーバを信頼するかどうかを確認する [セキュリティの警告] ダイアログボックスが表示されます。
ダイアログボックスが表示されたら、次の作業のいずれか 1 つを実行する必要があります。
• [はい] をクリックして、現在の Web セッションについてだけ証明書を信頼するように選択します。現在のセッションに対してだけ証明書を信頼すると、[セキュリティの警告] ダイアログボックスは、信頼できるフォルダに証明書をインストールするまで、アプリケーションにアクセスするたびに表示されます。
• [証明書を表示] > [証明書のインストール] の順にクリックして、証明書のインストール作業を実行します。この場合、常に証明書を信頼することになります。信頼できるフォルダに証明書をインストールすると、Web アプリケーションにアクセスするたびに [セキュリティの警告] ダイアログボックスが表示されることはありません。
• [いいえ] をクリックして、操作を取り消します。認証は行われず、Web アプリケーションにアクセスすることはできません。Web アプリケーションにアクセスするには、[はい] をクリックするか、または [証明書を表示] > [証明書のインストール] オプションを使用して証明書をインストールする必要があります。
（注） Cisco Unified Communications Manager へのアクセスに使用するアドレスは、証明書に記載されている名前と一致する必要があります。一致しない場合は、デフォルトでメッセージが表示されます。信頼できるフォルダに証明書をインストールした後、ローカルホストまたは IP アドレスを使用して Web アプリケーションにアクセスすると、セキュリティ証明書の名前が、アクセスしているサイトの名前と一致しないことを示すセキュリティの警告が表示されます。
次の各項では、Safari で HTTPS を使用する方法について説明します。
• 「Safari 4 を使用して証明書を信頼できるフォルダに保存する方法」
Safari 4 を使用して証明書を信頼できるフォルダに保存する方法
ブラウザ クライアントで HTTPS 証明書を信頼できるフォルダに保存するには、次の手順を実行します。
ステップ 1 Tomcat サーバにアクセスします（たとえば、ブラウザに Cisco Unified Communications Manager の管理ページのホスト名、ローカルホスト、または IP アドレスを入力します）。
ステップ 2 [セキュリティの警告] ダイアログボックスが表示されたら、[証明書を表示] をクリックします。
証明書のデータを確認する場合は、[詳細] タブをクリックして、証明書の詳細を表示できます。設定のサブセットを表示するには（使用可能な場合）、次のオプションのいずれか 1 つを選択します。
• [すべて]：すべてのオプションが [詳細] ペインに表示されます。
• [バージョン 1 のフィールドのみ]：[バージョン]、[シリアル番号]、[署名アルゴリズム]、[発行者]、[有効期間の開始]、[有効期間の終了]、[サブジェクト]、および [公開キー] の各オプションが表示されます。
• [拡張機能のみ]：[サブジェクト キー識別子]、[キー使用法]、および [拡張キー使用法] の各オプションが表示されます。
• [重要な拡張機能のみ]：存在する場合は [重要な拡張機能] が表示されます。
• [プロパティのみ]：[拇印アルゴリズム] と [拇印] オプションが表示されます。
ステップ 3 [証明書] ペインの [証明書のインストール] をクリックします。
ステップ 4 [証明書のインポート ウィザード] が表示されたら、[次へ] をクリックします。
ステップ 5 [証明書をすべて次のストアに配置する] オプション ボタンをクリックし、[参照] をクリックします。
ステップ 6 [信頼されたルート証明機関] を参照し、選択して、[OK] をクリックします。
[セキュリティ警告] ボックスに証明書の拇印が表示されます。
ステップ 9 [はい] をクリックして、証明書をインストールします。
インポートが正常に行われたことを示すメッセージが表示されます。[OK] をクリックします。
ステップ 10 ダイアログボックスの右下に表示される [OK] をクリックします。
ステップ 11 証明書を信頼して、今後このダイアログボックスを表示しないようにするには、[はい] をクリックします。
ヒント [証明書] ペインの [証明のパス] タブをクリックして、証明書が正常にインストールされたことを確認できます。
証明書のファイルへのコピー
証明書をファイルにコピーし、ローカルに保管することによって、必要なときにいつでも証明書を復元することができます。
次の手順を実行すると、標準の証明書保管形式で証明書がコピーされます。証明書の内容をファイルにコピーするには、次の手順を実行します。
ステップ 1 [セキュリティの警告] ダイアログボックスで、[証明書を表示] をクリックします。
ヒント Safari の場合は、[証明書のエラー] ステータス ボックスをクリックして、[証明書を表示] オプションを表示します。
ステップ 3 [ファイルにコピー] ボタンをクリックします。
ステップ 4 [証明書のエクスポート ウィザード] が表示されます。[次へ] をクリックします。
ステップ 5 ファイル形式を定義する次のリストから選択することができます。エクスポート ファイルに使用するファイル形式を選択して、[次へ] をクリックします。
• [DER encoded binary X.509 (.CER)]：DER を使用してエンティティ間で情報を転送します。
• [Base 64 encoded X.509 (.CER)]：保護されたバイナリ添付ファイルをインターネット経由で送信します。ASCII テキスト形式を使用してファイルの破損を防止します。
• [Cryptographic Message Syntax Standard-PKCS #7 証明書(.P7B)]：証明書と、認証パス内のすべての証明書を、選択した PC にエクスポートします。
ステップ 6 ファイルのコピーをエクスポートする場所に移動して、ファイルの名前を指定します。[保存] をクリックします。
ステップ 7 ファイル名とパスが [証明書のエクスポート ウィザード] ペインに表示されます。[次へ] をクリックします。
ステップ 8 ファイルと設定が表示されます。[終了] をクリックします。
ステップ 9 エクスポートが正常に行われたことを示すダイアログボックスが表示されたら、[OK] をクリックします。
「関連項目」を参照してください。
参考情報
• 『 Cisco Unified Serviceability Administration Guide 』
フィードバック