TACACS+とは？RADIUSとの違いとネットワーク機器のアクセス管理を情シスが実装する実践ガイド

ネットワーク機器の管理パスワードを複数人で共有していませんか。あるいは、退職したエンジニアのアカウントがルーターやスイッチに残ったままになっていませんか。

管理者権限を持つネットワーク機器への不正アクセスは、組織のネットワーク全体を支配できる侵害リスクのひとつです。境界型セキュリティが崩れた現代では、「内部」のネットワーク機器管理こそが攻撃者の標的になっています。

この記事では、ネットワーク機器への認証・認可・操作記録を一元管理できる「TACACS+」（タカックスプラス）について、よく混同されるRADIUSとの違い・仕組み・Cisco IOSでの設定手順・中小企業向けのオープンソース構築まで、現場で使えるレベルで解説します。

TACACS+とは？（概要・なぜ重要か）

TACACS+（Terminal Access Controller Access Control System Plus）は、ネットワーク機器への管理アクセスを制御するための認証プロトコルです。1990年代にCisco Systemsが拡張した規格で、現在はRFC 8907として標準化されています。TCP 49番ポートを使用します。

TACACS+が担うのは「AAA」と呼ばれる3つの機能です。

・Authentication（認証）: ログインするユーザーが本当に本人かを確認します
・Authorization（認可）: そのユーザーがどのコマンドを実行できるかを制御します
・Accounting（アカウンティング）: 誰がいつ何のコマンドを実行したかをログに記録します

特に「認可」の細粒度な制御と「アカウンティング」の詳細な操作ログが、TACACS+がネットワーク機器管理に選ばれる最大の理由です。

ネットワーク機器管理でTACACS+が必要な理由

一般的に見られる課題として、次のような状態になっている組織があります。

・管理者パスワードを複数のメンバーが共有している
・退職した担当者のアカウントがルーターやスイッチに残ったままになっている
・設定変更の操作ログが機器ローカルにしかなく、侵害後に消去されるリスクがある
・オペレーター担当者が全権管理者（privilege 15）でログインできてしまっている

TACACS+を導入すると、これらをサーバー側で一元管理できます。アカウントの有効化・無効化もサーバー1台で全機器に即時反映されます。

RADIUSとの違いを正しく理解する

TACACS+とRADIUSはどちらもAAAプロトコルですが、設計思想と得意な用途が異なります。現場では混同されることが多いため、比較を整理します。

端的にまとめると、RADIUSは「人をネットワークに接続させるか」の制御に向いており、TACACS+は「ネットワーク機器に何をさせるか」の制御に向いています。

実際の構成では両方を使い分けるのが一般的です。Wi-Fiユーザーの接続認証（802.1X）にはRADIUS、ルーターやスイッチへのSSHログインとコマンド制御にはTACACS+というパターンが標準的な実装です。

RADIUSによる802.1Xネットワークアクセス制御の詳細については、RADIUS認証とネットワークアクセス制御の実践ガイドもあわせてご参照ください。

攻撃者が狙うネットワーク機器へのアクセス経路

TACACS+を導入する必要性を正しく理解するために、攻撃者がどのようにネットワーク機器への管理アクセスを狙うかを確認します。

1. デフォルト認証情報の悪用

ネットワーク機器の初期設定パスワードはメーカーごとに公開されています。変更されていない機器がインターネットに面している場合、ログインを試みるスキャンは24時間止まりません。TACACS+を使って認証をサーバーに集約することで、機器ごとに個別パスワードを管理する手間とリスクを同時に減らせます。

2. 退職者アカウントの放置リスク

機器に直接設定されたローカルアカウントは、退職時の棚卸しから抜け落ちやすい盲点です。TACACS+でアカウント管理を一元化すれば、サーバー側でアカウントを無効化するだけで全ネットワーク機器へのアクセスを即時に停止できます。

3. 内部不正による設定変更の追跡不能

共有パスワードで全員がログインできる状態では、設定が変更されても誰がやったかを特定できません。TACACS+のアカウンティング機能は、ユーザー別・実行コマンド別の操作記録をサーバーに残します。機器自体が侵害されていてもサーバーのログは保全されます。

4. 権限の過剰付与によるリスク

オペレーターが全権管理者（privilege 15）でログインできる設定は、操作ミスによる障害と内部不正のリスクを高めます。TACACS+の認可機能を使うと「showコマンドのみ許可」「configureコマンドは禁止」といったコマンド単位の制限を実現できます。

具体的な防御手順：TACACS+の構築と設定

1. TACACS+サーバーの選定

商用環境ではCisco ISE（Identity Services Engine）が広く使われています。中小企業の検証環境や予算が限られた環境では、オープンソースのtac_plus（Shrubbery Networks製）をLinuxサーバーにインストールする方法が選ばれます。

LinuxサーバーへのtacplusのインストールやSSH強化については、姉妹サイトLinuxMaster.JPでもLinuxサーバー管理の基礎から詳しく解説しています。

tac_plusのインストール（Debian/Ubuntu系の想定例）：

# パッケージ更新とtacacs+インストール
sudo apt-get update
sudo apt-get install tacacs+

# 設定ファイルのバックアップ
sudo cp /etc/tacacs+/tac_plus.conf /etc/tacacs+/tac_plus.conf.bak

2. tac_plus の基本設定例

以下は /etc/tacacs+/tac_plus.conf の設定例です（想定例として記載）。

# TACACS+ 共有シークレット（機器設定と一致させる）
key = "StrongSharedSecretHere"

# アカウンティングログの出力先
accounting file = /var/log/tac_plus.acct

# ネットワーク管理者（privilege 15・全コマンド許可）
user = netadmin {
    pap = des "HashedPasswordHere"
    service = exec {
        priv-lvl = 15
    }
}

# 監視専用ユーザー（showコマンドのみ許可）
user = netviewer {
    pap = des "HashedPasswordHere"
    service = exec {
        priv-lvl = 1
    }
    cmd = show {
        permit .*
    }
    cmd = exit {
        permit .*
    }
    # その他のコマンドは暗黙的に拒否される
}

3. Cisco IOS機器でのTACACS+設定例

Cisco IOSルーター・スイッチへの設定例です（想定例）。

! AAAを有効化（この設定で既存のローカル認証に影響が出るため注意）
aaa new-model

! TACACS+サーバーの定義
tacacs server TACACS_SRV
 address ipv4 192.168.10.10
 key StrongSharedSecretHere

! AAAグループの作成
aaa group server tacacs+ TACACS_GROUP
 server name TACACS_SRV

! 認証：TACACS+優先、失敗時はローカルアカウントにフォールバック
aaa authentication login default group TACACS_GROUP local

! 認可：実行権限と全権コマンドをTACACS+で制御
aaa authorization exec default group TACACS_GROUP local
aaa authorization commands 15 default group TACACS_GROUP local

! アカウンティング：全セッションとコマンドを記録
aaa accounting exec default start-stop group TACACS_GROUP
aaa accounting commands 15 default start-stop group TACACS_GROUP

! VTY（SSH）ラインへの適用・Telnet無効化
line vty 0 15
 login authentication default
 authorization exec default
 transport input ssh

注意事項: aaa new-model を実行すると既存のローカル認証設定が上書きされます。本番機器への適用は必ずコンソールポートに接続した状態で行い、設定後すぐに動作確認をしてください。フォールバック用のローカルアカウントが機器にあることを事前に確認しておきましょう（設定例末尾の local がフォールバック指定です）。

4. 権限グループの設計

ロールごとに使えるコマンドを分けることで、最小権限の原則を実践できます。

中小企業でも今日からできること

専用のTACACS+サーバーをすぐに構築できない場合でも、今すぐ始められる手順があります。

・全ネットワーク機器のアカウント棚卸し: まず機器ごとのローカルアカウント一覧を確認し、不要なアカウントと退職者のアカウントを削除します
・デフォルト認証情報の変更: 初期パスワードのまま運用している機器がある場合は優先的に変更してください
・enable secretに強いハッシュを設定: Cisco IOSではtype 9（scrypt）またはtype 8（pbkdf2）で設定します（enable secret 9 <ハッシュ値>）
・Telnetを禁止してSSH限定にする: transport input ssh だけでも管理接続の盗聴リスクを大幅に低減できます
・syslogサーバーへのログ転送: 機器のログを外部サーバーに転送することで、機器が侵害されても操作記録を保全できます
・段階的なTACACS+導入計画の立案: 検証環境のLinuxサーバー1台にtac_plusを構築し、動作確認してから本番展開の計画を立てます

ネットワーク機器のハードニングについては、ネットワーク機器のハードニング実践ガイドもあわせてご参照ください。

よくある誤解と注意点

【誤解1】RADIUSを入れているからTACACS+は不要

「すでにRADIUSを使っているのだから、TACACS+は要らない」という理解は多くの現場で見られます。しかし両者は用途が異なります。RADIUSはエンドユーザーのネットワーク接続認証（802.1X・VPNなど）に向いており、ネットワーク機器への管理アクセスはTACACS+の領域です。両方を並用するのが現場の標準的な構成です。

【誤解2】TACACS+の暗号化は完全に安全である

TACACS+はパケットのペイロード全体を暗号化しますが、使用しているのはMD5ベースのシンプルなXOR暗号です。現代の基準では十分とは言えないため、TACACS+サーバーと機器の間は専用の管理VLANに分離し、外部ネットワークから隔離する設計を推奨します。

【注意】フォールバック設定は必ず残す

TACACS+サーバーが停止した場合に備えて、ローカルアカウントへのフォールバックを必ず設定してください。フォールバックを省略すると、サーバー障害時に全機器への管理アクセスが不可能になります。設定例の末尾の local 部分がフォールバック指定であることを覚えておきましょう。

【注意】Telnet接続との混用は無意味

TACACS+で認証を強化しても、機器へのアクセスをTelnetで許可している場合は通信経路が平文になり認証情報を盗聴できます。管理接続は必ずSSHに限定してください。

本記事のまとめ

ネットワーク機器への管理アクセスは地味に見えますが、ルーター1台を掌握されるだけで組織全体の通信経路を書き換えられるリスクがあります。TACACS+による管理アクセスの一元化は、情シス1人体制の環境でも段階的に整備できる施策です。今期のセキュリティ改善の優先課題に加えてみてください。

認証方式全般の比較については、認証方式の種類と仕組み｜パスワード・証明書・生体認証・OTPを現場目線で比較もあわせてご覧ください。