レード
ステップ 3 のように非 SYN TCP を許可している場合、 set session tcp-reject-non-syn yes を実行して元に戻すことができます。
3. 機能リリースの [ アクション ] 列にある [ インストール ] をクリックします。目的のバージョン に [ ダウンロード ] が表示されている場合は、 [ ダウンロード ] リンクをクリックしてソフト
ウェア パッケージを取得し、
[インストール
]をクリックします。
注：この手順では、機能リリースにアップグレードする前の設定にデバイスが
復元されます。アップグレード後に行われた変更は失われます。新しいリリー
スに戻すときに、これらの変更を復元する場合に備え、現在の設定をバック
アップしてください。
PAN-OS
ソフトウェアのアップグレードとダウングレード
56 •
デバイス管理
Palo Alto Networks 4.デバイスの再起動後に使用される設定を選択できるプロンプトが表示されます。これは機能リ リースのダウングレードであるため、ほとんどの場合は、デバイスを次の機能リリースにアッ プグレードしたときに自動保存された設定を選択します。たとえば、
PAN-OS 5.0を実行して いて、
PAN-OS 4.1にダウングレードする場合は、図
2に示すように、
[アクション
]列の
[イ ンストール
]をクリックし、
[ダウンロード用設定ファイルの選択
]ドロップダウンで
「
autosave-4.1.0」を選択します。
図 2. 以前の機能リリースへのダウングレード
5. PAN-OS
をインストールしたら、
[OK]をクリックしてデバイスを再起動し、新しいバージョ
ンをアクティベーションします。
PAN-OSの選択した機能リリースと設定がアクティベー ションされます。
注：
4.1より前のリリースでは、出荷時状態に戻し、デバイスの復元が必要に
なる場合があります。たとえば、
4.0から
3.1にダウングレードする場合がそ
うです。
Palo Alto Networks
デバイス管理
• 57脅威およびアプリケーションの定義の更新
脅威およびアプリケーションの定義の更新
[Device] > [
ダイナミック更新
]Palo Alto Networks
では、新規または改訂されたアプリケーションの定義や、アンチウイルス シグ
ネチャ
(入手するには脅威防御ライセンスが必要です
)、
URLフィルタリング基準、
GlobalProtectデータの更新、
WildFireのシグネチャ
(入手するには
WildFireサブスクリプションが必要です
)などの新しいセキュリティの脅威に関する情報が含まれている更新ファイルを定期的に公開して います。最新の更新ファイルを表示し、各更新ファイルのリリース ノートを読み、ダウンロード およびインストールする更新ファイルを選択できます。以前にインストールした更新のバージョン に戻すこともできます。
必要に応じて、このページで以下の機能を実行します。
• [
今すぐチェック
]をクリックして、
Palo Alto Networksから最新情報を取得します。
• [
アクション
]列にある
[インストール
]をクリックして、そのバージョンに更新します。
•
バージョンの
[戻す
]をクリックして、そのバージョンに戻します。
•
更新ファイルの説明を表示するには、
[リリース ノート
]をクリックします。
•
以前に
PCに保存したファイルをインストールするには、
[アップロード
]をクリックします。
ファイルを参照して選択し、
[ファイルからインストール
]をクリックします。ドロップダウ ン リストから選択したファイルを選択し、
[OK]をクリックしてインストールします。
•
自動更新をスケジュールするには、
[スケジュール
]リンクをクリックします。更新の頻度と タイミングを指定し、更新ファイルをダウンロードしてインストールするのか、またはダウン ロードのみを行うのかを指定します。
[ダウンロードのみ
]を選択すると、
[ダイナミック更新
]ページの
[アクション
]列の
[インストール
]リンクをクリックしてダウンロードした更新 ファイルがインストールされます。
[OK]をクリックすると、更新がスケジュールされます。
コミットは必要ありません。また、アクションを実行するために必要なコンテンツの持続時間
を指定したり、アップロードをピア ファイアウォールと同期させるかどうかを指定したりで
きます。
管理者ロール、プロファイル、およびアカウント
58 •
デバイス管理
Palo Alto Networks管理者ロール、プロファイル、およびアカウント
ファイアウォールでは、ファイアウォールにログインしようとする管理ユーザーを認証するために 以下のオプションをサポートしています。
•
ローカル データベース
—ユーザーのログインおよびパスワード情報がファイアウォール デー タベースに直接入力されます。
• RADIUS —
ユーザーの認証に既存の
RADIUS (Remote Authentication Dial In User Service)サーバーが使用されます。
• LDAP —
既存の
Lightweight Directory Access Protocol (LDAP)サーバーがユーザーの認
証に使用されます。
• Kerberos —
既存の
Kerberosサーバーがユーザーの認証に使用されます。
•
クライアント証明書
—既存のクライアント証明書がユーザーの認証に使用されます。
管理アカウントを作成するとき、ローカル認証またはクライアント証明書
(認証プロファイルなし
)あるいは認証プロファイル
(RADIUS、
LDAP、
Kerberosまたはローカル
DB認証
)を指定します。
この設定によって、管理者の認証の確認方法が決まります。
管理者ロールによって、管理者がログイン後に実行を許可される機能が決まります。ロールを管理 者アカウントに直接割り当てることも、ロール プロファイルを定義して詳細な権限を指定し、それ を管理者アカウントに割り当てることもできます。
詳細は、以下のセクションを参照してください。
•
認証プロファイルのセットアップ手順の詳細は、
65ページの「認証プロファイルのセットアッ プ」を参照してください。
•
ロール プロファイルのセットアップ手順の詳細は、
60ページの「管理者ロールの定義」を参 照してください。
•
管理者アカウントのセットアップ手順の詳細は、
61ページの「管理アカウントの作成」を参 照してください。
• SSL
仮想プライベート ネットワーク
(VPN)の詳細は、
339ページの「
GlobalProtectの設定」
を参照してください。
•
管理者用の仮想システム ドメインの定義手順の詳細は、
63ページの「管理者のアクセス ドメ インの指定」を参照してください。
•
管理者の証明書プロファイルの定義手順の詳細は、
92ページの「証明書プロファイル」を参
照してください。
Palo Alto Networks
デバイス管理
• 59管理者ロール、プロファイル、およびアカウント
ユーザー名とパスワードの要件
PAN-OS
および
Panoramaアカウントのユーザー名とパスワードに使用できる有効な文字を以下
の表に示します。
注：
PAN-OS 3.1以降には以下の制限が適用されます。
表
7ユーザー名とパスワードの有効な文字
アカウントの種類 制限パスワード文字 セット
パスワードフィールドの文字セットには制限がありません。
リモート管理者、
SSL-VPN、キャプ ティブポータル
ユーザー名には以下の文字を使用できません。
•バックティック (`)
•山かっこ (< と >)
•アンパサンド (&)
•アスタリスク (*)
•アット記号 (@)
•疑問符 (?)
•パイプ (|)
•一重引用符 (\)
•セミコロン (;)
•二重引用符 (")
•ドル記号 ($)
•かっこ ( '(' と ')' )
•コロン (':') ローカル管理者アカ
ウント
ローカルユーザー名には以下の文字を使用できます。
•アット記号 (@)
•キャレット (^)
•左角かっこ ([)
•小文字 (a ～ z)
•大文字 (A ～ Z)
•数字 (0 ～ 9)
•アンダースコア (_)
•ピリオド (.)
•ハイフン (-)
•右角かっこ (])
•プラス記号 (+)
•ドル記号 ($)
注：応答ページの文字セットには制限は適用されません。
管理者ロール、プロファイル、およびアカウント
60 •
デバイス管理
Palo Alto Networks管理者ロールの定義
[Device] > [
管理者ロール
]管理ユーザーが行使可能なアクセス権と役割を決めるロール プロファイルを定義するには、
[管理 者ロール
]ページを使用します。管理者アカウントの追加手順の詳細は、
61ページの「管理アカウ ントの作成」を参照してください。
共通基準の目的で使用できる、事前に定義された
3つの管理者ロールがあります。最初にデバイス の初期設定でスーパーユーザー ロールを使用して、セキュリティ管理者、監査管理者、および暗 号管理者の管理者アカウントを作成します。アカウントを作成し、適切な共通基準管理者ロールを 適用したら、それらのアカウントを使用してログインします。
FIPSまたは
CCモードのデフォル トのスーパーユーザー アカウントは、 「
admin」で、デフォルトのパスワードは「
paloalto」です。
標準操作モードでは、「
admin」のデフォルトのパスワードは「
admin」 です。事前定義の管理者 ロールは、すべてのロールに監査証跡への読み取り専用のアクセス権があるという点を除き、機能 が重複しないように作成されています
(読み取りと削除のフル アクセス権がある監査管理者は除く
)。 これらの管理者ロールは変更できず、以下のように定義されています。
• auditadmin —
監査管理者は、ファイアウォールの監査データの定期的な確認を担当する責任
者です。
• cryptoadmin —
暗号管理者は、ファイアウォールの安全な接続確立に関連する暗号要素の設
定と保守を担当する責任者です。
• securityadmin —
セキュリティ管理者は、他の
2つの管理ロールで対処されない、その他す
べての管理タスク
(ファイアウォールのセキュリティ ポリシーの作成など
)を担当する責任者 です。
表
8.管理者ロール設定
フィールド 説明
名前 管理者ロールの識別に使用する名前を入力します (最大 31 文字)。名前の大文 字と小文字は区別されます。また、一意の名前にする必要があります。文字、
数字、スペース、ハイフン、およびアンダースコアのみを使用してください。
内容 ロールの説明 (最大 255 文字) を入力します (任意)。
ロール ドロップダウンリストから管理役割の適用範囲を選択します。
WebUI Web インターフェースで許可するアクセスのタイプを示す
アイコンをクリックします。
•指定ページに読み書きアクセスできます。
•指定ページに読み取り専用でアクセスできます。
•指定ページにアクセスできません。
CLI ロール CLI アクセスのロールのタイプを選択します。
•無効化 — デバイスの CLI にはアクセスできません。
•superuser — 現在のデバイスにフルアクセスできます。
•superreader — 現在のデバイスに読み取り専用でアクセスできます。
•デバイス管理 — 新しいアカウントまたは仮想システムを定義する場合を 除き、選択したデバイスにフルアクセスできます。
•デバイスリーダー — 選択したデバイスに読み取り専用でアクセスできます。
Palo Alto Networks
デバイス管理
• 61管理者ロール、プロファイル、およびアカウント
パスワード プロファイルの定義
[Device] > [
パスワード プロファイル
]パスワード プロファイルを使用して、各ローカル アカウントにパスワードの基本要件を設定でき ます。すべてのローカル アカウントにパスワード要件を指定する
[パスワード複雑性設定
]を有効 にすると、このパスワード プロファイルはそれらの設定でオーバーライドされます。詳細は、
35
ページの「パスワード複雑性設定」を参照してください。アカウントで使用できる有効な文字 の詳細は、
59ページの「ユーザー名とパスワードの要件」を参照してください。
アカウントにパスワード プロファイルを適用するには、
[Device] > [管理者
]に移動し、アカウン トを選択して、
[パスワード プロファイル
]ドロップダウンからプロファイルを選択します。
管理アカウントの作成
[Device] > [
管理者
]ファイアウォールへのアクセス権は管理者アカウントに基づいて制御されます。各管理者には、
1台 のデバイスか、
1台のデバイス上の仮想システムへのフル アクセス権または読み取り専用アクセス 権を付与できます。事前に定義されている
adminアカウントには、フル アクセス権があります。
以下の認証オプションがサポートされています。
•
パスワード認証プロトコル
—ユーザーがログインするユーザー名とパスワードを入力します。
証明書は必要ありません。
•
クライアント証明書の認証
(Web) —このチェック ボックスをオンにすると、ユーザー名とパ スワードは必要なく、ファイアウォールへのアクセス認証には証明書で十分になります。
表
9パスワード プロファイル設定
フィールド 説明
名前
パスワードプロファイルの識別に使用する名前を入力します (最大 31 文字)。名前 の大文字と小文字は区別されます。また、一意の名前にする必要があります。文 字、数字、スペース、ハイフン、およびアンダースコアのみを使用してください。
パスワード有効期限 (日数)
設定された日数 (0 ～ 365 日) で指定されたとおりに、管理者は定期的にパスワー ドを変更する必要があります。たとえば、値を「90」に設定すると、管理者に 90 日ごとにパスワードの変更を求めるプロンプトが表示されます。
失効の警告を 0 ～ 30 日の範囲で設定して猶予期間を指定することもできます。
失効の警告期間 (日数)
必須のパスワード変更期間を設定すると、この設定を使用して、強制パスワード変 更日が近づくとユーザーがログインするたびにパスワードの変更を求めるプロン プトを表示できます (範囲は 0 ～ 30 日)。
失効後の猶予期間 (日数)
アカウントが失効した後に、管理者は指定した日数ログインできます (範囲は 0 ～ 30 日)。
許可された管理者失 効ログイン (数)
アカウントが失効した後に、管理者は指定した回数ログインできます。たとえば、
値を「3」に設定し、アカウントが失効した場合、管理者はアカウントがロックア ウトされるまで 3 回ログインすることができます (範囲は 0 ～ 3 回)。