AAA

読み：とりぷるえー　／　英語表記：Authentication, Authorization, Accounting

セキュリティ
ネットワークサービス

ネットワークの利用者管理を支える3機能、本人確認を行う認証、利用できる範囲を決める認可、利用状況を記録するアカウンティングの総称である。各機能の英語名の頭文字を組み合わせている。

イマシルちゃんの解説

会社のネットワークでは、利用者を確かめて使える範囲を管理する必要があるよ。
パスワードなどで本人かどうかを確かめる機能が認証なんだ。
その人にどのサービスの利用を許すか決めるのが認可だよ。
本人だと分かっても、すべてのサービスを使えるとは限らないの。
接続した時刻や利用量などを記録する機能はアカウンティングと呼ぶんだ。
この三つの機能の総称がAAA（トリプルエー）だよ。
利用者ごとに使える範囲を管理しながら、利用状況も後から確認できるんだね。

より深い解説

定義

AAAは、ネットワークへのアクセスを制御・管理するための3つの機能の総称である。リモートアクセス、無線LAN、ネットワーク機器への管理者ログインなどで、利用者の管理を1台のサーバに集約するために使われる。

機能	問い	内容
認証（Authentication）	あなたは誰か	パスワードや証明書などで、利用者が本人であることを確かめる
認可（Authorization）	何をしてよいか	認証した利用者に、使えるサービスや権限（接続先のVLAN、実行できるコマンドなど）を与える
アカウンティング（Accounting）	何をしたか	接続の開始・終了の時刻、通信量などを記録する。課金や監査に使う

AAAを実現するプロトコル

プロトコル	トランスポート	特徴
RADIUS	UDP（認証 1812、アカウンティング 1813）	最も広く使われる。認証と認可を1つのやり取りで行う。パスワード以外の部分は暗号化されない
TACACS+	TCP（49）	シスコ社が開発。認証・認可・アカウンティングを分離して扱え、パケット全体を暗号化する。ネットワーク機器の管理者のコマンド単位の認可に向く
Diameter	TCP、SCTP	RADIUSの後継として設計された。携帯電話網（LTE、5G）などで使われる

RADIUSの構成

RADIUSでは、利用者が直接RADIUSサーバとやり取りするのではなく、利用者が接続しようとする機器（NAS：Network Access Server。リモートアクセスサーバ、無線LANのアクセスポイント、VPN装置など）が、RADIUSクライアントとしてRADIUSサーバに問い合わせる。

利用者 ─── NAS（RADIUSクライアント） ─── RADIUSサーバ
         接続・認証情報の入力         Access-Request / Accept / Reject
                                     Accounting-Request / Response

この構成により、多数のアクセスポイントやVPN装置があっても、利用者の情報を1か所でまとめて管理できる。

認証プロトコルとの違い

「認証にかかわるプロトコル」には、役割の異なるものが混ざっている。

プロトコル	役割	やり取りする区間
PAP、CHAP	利用者がパスワードなどを提示する方法（認証方式）	利用者 ⇔ NAS
EAP	さまざまな認証方式を運ぶための枠組み	利用者 ⇔ NAS（⇔ RADIUSサーバ）
RADIUS	認証情報やアカウンティング情報をサーバに問い合わせる	NAS ⇔ RADIUSサーバ
PPTP、L2TP	認証ではなく、VPNのトンネルを作る	利用者 ⇔ VPN装置

PAPやCHAPは認証の方法そのものであり、アカウンティングの機能は持たない。リモートアクセス環境で認証情報とアカウンティング情報の両方をやり取りするのは、RADIUSのようなAAAのプロトコルである。

不正アクセスと可用性の対策

利用者認証は、アクセスしてきた相手を確かめるための対策である。そのうえで認可によって操作できる範囲を制限する。本人確認だけを行って全データへの権限を与えるのでは不十分である。

バックアップ、記憶装置の二重化、通信経路の冗長化は、データの回復やサービスの継続に役立つ。一方、それらを行っただけで、利用者のなりすましや無権限の閲覧を防げるわけではない。防ぎたい事象と、対策の目的を対応させる。

実際の試験ではここに出る！全3問

ネットワークスペシャリスト

午前Ⅱ

R6春問8

テクニカルエンジニア（ネットワーク）

午前

AAA