rootパスワード
デバイスに初めて電源を入れると、デバイスの設定準備が整います。最初は、ユーザー root としてパスワードなしでログインします。初めて設定を変更してコミットする際に、ルートレベルのパスワードをプレーンテキスト(ユーザー名は root)で設定する必要があります。プレーンテキスト パスワードの設定は、不正ユーザーによるルート レベルのアクセスを保護する方法の1つです。デバイスのrootパスワードを忘れた場合、パスワードのリカバリー手順を使用してrootパスワードをリセットします。
root のパスワードを設定します
ルーターやスイッチの電源を入れると、設定ができる状態になります。最初は、ユーザー root としてパスワードなしでログインします。ルートディレクトリは、デバイス上の他のすべてのフォルダーとファイルへのエントリーポイントです。その結果、ルード ディレクトリへのアクセスは、デフォルトでは rootユーザーとして知られる事前定義済みユーザー アカウントに制限されています。rootユーザー( スーパーユーザーとも呼ばれる)は、システム内で無制限のアクセス権と完全な権限を持っています。一般的に「ルートとしてログイン」という表現は、ユーザーがルートユーザーとしてデバイスにログインすることを必要とするアクションの場合に使われます。
ルート認証のために、[edit system root-authentication]階層レベルで encrypted-password ステートメントを使用して空のパスワードを設定した場合、設定をコミットできます。しかし、ルートユーザーとしてログインし、ルーターやスイッチへのルートレベルのアクセス権を得ることは できません。
ログ インした後、[edit system] 階層レベルに root-authentication ステートメントを含め、次のいずれかのパスワード オプションを設定して、root(スーパーユーザー)パスワードを設定する必要があります。
[edit system] root-authentication { (encrypted-password "password"| plain-text-password); load-key-file URL filename; ssh-ecdsa “public-key” <from hostname>; ssh-rsa “public-key” <from hostname>; }
plain-text-password オプションを設定すると、パスワードの入力と確認を求められます。
[edit system] user@host# set root-authentication plain-text-password New password: type password here Retype new password: retype password here
プレーンテキスト パスワードのデフォルト要件は、以下の通りです。
-
パスワードは 6 から 128 文字の長さにする必要があります。
-
パスワードには、ほとんどの文字クラス(大文字、小文字、数字、句読点、その他の特殊文字)を使用できます。制御文字は推奨されません。
-
有効なパスワードには、少なくとも1つの大文字または小文字、もしくは1つの文字クラスを含める必要があります。
encrypted-password オプションを使用する場合、null パスワード (空) は許可されません。1〜128文字の範囲のパスワードを設定し、パスワードを引用符で囲む必要があります。
load-key-file URL filename ステートメントを使用して、以前に ssh-keygen を使用して生成された SSH キーファイルをロードできます。URL filename オプションは、ファイルの場所と名前へのパスです。このオプションを使用する場合は、load-key-file URL ステートメントを入力した直後に、キーファイルの内容が設定にコピーされます。このコマンドは、RSA(SSHバージョン1およびSSHバージョン2)とDSA(SSHバージョン2)パブリック キーをロードします。
オプションとして、 ssh-ecdsa または ssh-rsa ステートメントを使用して、ルートログインを認証するための SSH RSA および ECDSA キーを直接設定することができます。rootログインのSSH認証およびユーザー アカウント用に、複数のパブリック キーを設定できます。ユーザーがルートとしてログインすると、デバイスは、設定されたパブリックキーのいずれかと、プライベートキーが一致するかどうかを判断します。
[edit system] user@host# set root-authentication load-key-file my-host:.ssh/id_rsa.pub .file.19692 | 0 KB | 0.3 kB/s | ETA: 00:00:00 | 100%
設定モードでは、 show コマンドを入力することで、SSH キーの入力内容を確認することができます。次のような出力が表示されます。
[edit system]
user@host# show
root-authentication {
ssh-rsa "$ABC123"; ## SECRET-DATA
}
例:ルート ログイン用のプレーン テキスト パスワードの設定
この例では、ルートレベル ユーザー(ユーザー名は root)にプレーン テキスト パスワードを構成する方法を示します。プレーンテキストのパスワードを構成することは、権限のないユーザーがルート レベルにアクセスすることを防ぐ 1 つの方法です。システム設定を変更するために使用できるスーパーユーザーのコマンドに、不正ユーザーがアクセスできないようにする必要があります。
必要条件
この例を設定する前に、デバイス初期化以外の特別な設定を行う必要はありません。
プレーンテキスト パスワードのデフォルト要件は、以下の通りです。
-
6 から 128 文字までの長さにする必要があります。
-
ほとんどの文字クラス(大文字、小文字、数字、句読点、その他の特殊文字)を使用できます。制御文字は推奨されません。
-
大文字/小文字または文字クラスを1つ以上変更して使用する必要があります。
概要
ルーターの電源を入れると、構成ができる状態になります。まず、rootレベル ユーザーとしてパスワードなしでログインします。rootパスワードの設定方法はいくつかあります。この例では、プレーンテキストのパスワードを入力し、デバイスがそれを暗号化する方法を示しています。
構成
CLIクイック構成
この例を簡単に設定するには、以下のコマンドをコピーしてウィンドウに貼り付けます。プロンプトが表示されたら新しいパスワードを入力し、次にプロンプトが表示されたら再度入力します。
set system root-authentication plain-text-password
ユーザー Root のプレーンテキスト パスワードを構成する
手順
rootレベル ユーザーのプレーンテキストパスワードを設定するには、次の手順に従います。
-
プレーンテキスト パスワード用に
setコマンドを入力し、Enter を押します。[edit] user@host# set system root-authentication plain-text-password New password:
-
New passwordプロンプトの横に新しいパスワードを入力し、Enterを押します。New password: new-password Retype new password:
-
Retype new passwordプロンプトの横に同じパスワードを再入力し、Enterを押します。New password: new-password Retype new password: new-password
業績
構成モードで、 show system コマンドを使用して構成を確認します。次のように表示されます。
[edit]
user@host# show system
root-authentication {
encrypted-password "$ABC123"; ## SECRET-DATA
}
出力結果に意図した設定内容が表示されない場合は、この例の手順を繰り返して設定を修正します。
設定が正しいことを確認したら、設定モードで commit を入力します。
検証
ユーザー Root のプレーンテキスト パスワードの構成を検証する
目的
rootレベル ユーザーが使用するプレーンテキスト パスワードの設定を確認します。
アクション
運用モードで、 show configuration system コマンドを入力して構成を確認します。
user@host> show configuration system
root-authentication {
encrypted-password "$ABC123"; ## SECRET-DATA
}
意味
プレーンテキストのパスワードを使用する場合、構成するとすぐにデバイスがパスワードを自動的に暗号化します。他のシステムのように、パスワードを暗号化するようにデバイスを構成する必要はありません。プレーンテキスト パスワードは非表示になり、設定で## SECRET-DATAとしてマークされます。ユーザーが構成を閲覧する際、暗号化されていないパスワードは表示されず、暗号化された文字列のみが表示されます。