このドキュメントでは、RSA Authentication Agent 6.1 の更新された情報について説明します。このドキュメントはソフトウェアをインストールする前にお読みください。このドキュメントの内容は次のとおりです。
このReadme は、更新されることがあります。最新情報が記載された Readme は、RSA SecurCare Onlinehttps://knowledge.rsasecurity.com において閲覧できます。Readme を印刷するには、ここをクリックしてください。
RSA Authentication Agent 6.1 for Microsoft Windows には、次のマニュアルが付属しています。
RSA Authentication Agent 6.1 for Microsoft Windows CD からRSA Authentication Agent 6.1 for Microsoft Windows インストレーション＆アドミニストレーション ガイド､プランニング ガイド、Readmeにアクセスできます。ヘルプは RSA Authentication Agent 6.1 をインストールした場合のみアクセスできます。
RSA Authentication Agent 6.1 for Microsoft Windows は、Windows 2003 Enterprise と Windows 2000 Advanced Server をサポートしていますが、このソフトウェアのリリース時に品質検証は行っていません。
EAP を使用したワイヤレス認証を行うには、アクセス ポイントが 802.1x 認証をサポートしている必要があります。
PEAP ワイヤレス LAN を使用するには、Windows XP の SP2 または、Windows Server 2003 の SP1 をインストールする必要があります。現在のサービス パックに更新できない場合、Windows XP クライアントと Windows Server 2003 ホストに Microsoft hot fix Article ID #827537 をインストールしてください。ホットフィックスを取得しインストールする手順については、Microsoft Knowledge Database www.microsoft.com にある"Windows XP Service Pack 1 and Windows Server 2003 wireless clients are not compatible with RSA Security Extensible Authentication Protocol (EAP) type" を参照してください。
RSA Authentication Agent 6.1 for Microsoft Windows は、pcAnywhere と互換性はありません。
RSA SecurID for Microsoft Windows ソリューションでは、スマート カード ベースのログインはサポートしていません。RSA Security は、RSA Authentication Agent 6.1 for Microsoft Windows をホストするクライアント コンピュータ上でスマート カード サービスを無効にすることを推奨しています。クライアント コンピュータでスマート カード サービスが有効になっている場合、スマート カード認証は、RSA SecurID 認証をバイパスします。
同じコンピュータで RSA Authentication Agent と Novell を使用するには、RSA Authentication Agent をインストールする前に Novell をインストールしてください。RSA Authentication Agent をインストールする場合、インストーラは GINA (Novell GINA) が既にインストールされていることを示すメッセージを表示します。このメッセージが表示された際は、Novell GINA を Authentication Agent GINA に置き換えるよう選択してください。
重要：Authentication Agent をアンインストールする前に RSA Keon Web PassPort をアンインストールすると、Authentication Agent ホスト コンピュータにログオンできなくなります。
RSA Authentication Agent 6.1 for Microsoft Windows をインストールした後、Authentication Agent ホスト コンピュータを再起動するとインストールが完了します。Authentication Agent をインストールすると、Microsoft GINA (msgina.dll) の代わりに Authentication Agent GINA (AceGina.dll) を参照するようにレジストリが変更されます。
インストールされたAuthentication Agent コンポーネントが Remote Authentication Server コンポーネントまたは RSA EAP Client コンポーネントの場合、RSA Authentication Agent をホストしているコンピュータ上に RSA Authenticatior ユーティリティをインストールまたはアンインストールするには、追加の手順が必要になります。
Authentication Agent Remote Authentication Server コンポーネントまたは RSA Security EAP Client コンポーネントのみを手動でインストールした後 Authenticator ユーティリティをインストールした場合、次の手順を実行してください。
Authentication Agent Remote Authentication Server コンポーネントまたは RSA Security EAP Client コンポーネントのみを手動でインストールした後 Authenticator ユーティリティをアンインストールするには、次の手順を実行してください。
Authentication Agent Remote Authentication Server コンポーネントまたは RSA Security EAP Client コンポーネントをサイレント インストールして、Authenticator ユーティリティをインストールした場合、Authentication Agent コンポーネントを再度サイレント インストールする必要があります。
Authentication Agent Remote Authentication Server コンポーネントまたは RSA Security EAP Client コンポーネントをサイレント インストールして、Authenticator ユーティリティをアンインストールした場合、Authentication Agent コンポーネントを再度サイレント インストールする必要があります。
[除外するユーザ] を選択し、フィールドに administrator を入力すると、リストア モードでドメイン コントローラを起動したときに、ユーザ名として administrator を入力し、ディレクトリ サービスのリストア モード パスワードを入力してください。Microsoft Active Directory を設定する際、このパスワードを作成します。
- Cisco Installation ウィザードを使用して、Cisco ソフトウェアをアンインストールします。
重要： Microsoft Windows の [プログラムの追加と削除] は使用しないでください。
- PEAP なしでの設定で、Cisco ソフトウェアを再インストールします。
Microsoft Windows Kerberos チケットの有効期限が切れ、セッション証明書を持っていない場合、RSA Authentication Agent 6.1 for Microsoft Windows ホストで実行しているサードパーティ製アプリケーションからロックアウトされることがあります。これは、有効なセッション証明書が見つからない場合、Authentication Agent によって Microsoft Windows Kerberos チケットを新しくできないためです。この現象を避けるために、次のいずれかを実行してください。
Microsoft Windows Kerberos チケットの有効期限をユーザがログオンしている予定期間よりも長く設定します。たとえば、4 時間ごとにユーザがログオンすると仮定した場合は、Microsoft Windows Kerberos チケットの有効期限を 5 時間に設定します。デスクトップのロックとロック解除は、ログオフとログオンとは異なることに注意してください。
Authentication Agent ホスト コンピュータのマシン名を変更する
- Authentication Agent ホスト コンピュータ上で、RSA SecurID の認証要求の設定を [なし] にします。
- マシン名を変更します。
- 認証要求を [なし] 以外に設定し、新しいマシン名をベースにした認証要求グループを選択します。
上記の手順を実行する前に、Authentication Agent ホスト コンピュータのマシン名をすでに変更してしまった場合、次の手順を実行してください。
- Authentication Agent ホスト コンピュータをセーフ モードで再起動します。
- システム管理者「administrator」としてログオンします。
- 認証要求を [なし] に設定します。
- コンピュータを再起動します。
- システム管理者「administrator」としてログオンします。
- 認証要求を [なし] 以外に設定し、新しいマシン名をベースにした認証要求グループを選択します。
Authentication Agent ホスト コンピュータの静的 IP アドレスを変更する
Authentication Agent ホスト コンピュータの IP アドレスを変更し、コンピュータを再起動します。
RSA Authentication Agent と RSA Authentication Manager は、PIN パッドとソフトウェア トークンの PIN で 0 から始まる数字 （例：0123) はサポートしていません。0 を含む PIN を作成した場合、PIN はAuthentication Manager によって拒否され、パスコードを再度入力するプロンプトが表示されます。ただし、システムは、PIN が無効であることを示すメッセージは表示しません。
セッション証明書のタイムアウト パラメータを設定する際、ユーザの認証セッションの有効期限、つまり、RSA SecurID パスワードを再入力する時、を指定する必要があります。セッション証明書の有効期間は、5 分から 1,440 分 （1日） まで設定できます。セッション証明書のデフォルト有効期限は、5 分です。ただし、Microsoft ドメイン設定の 1 つである Kerberos 新規チケットなどの操作では、セッション証明書が上書きされます。Kerberos の新規チケットの有効期限が切れ、セッション証明書の期限が切れていない場合は、RSA SecurID パスコードを入力するプロンプトが再度表示されます。Kerberos の新規チケットのデフォルト有効期間は、10 日です。
RSA Authentication Manager では、@ 記号をユーザ名の一部として使用できますが、Windows Active Directory では使用できません。
RSA SecurID Authenticator SID800 USB トークンを接続して使用する場合、RSA Security Center View USB トークン ページに [] フィールドにトークンコードが表示される期間にかかわらず、[USB トークンの表示] ページが開かれるたびに、トークンコードの実際の有効期限からカウントを開始する代わりに [Time Remaining] フィールドで新しいカウントが開始されます。したがって、[Time Remaining] フィールドと実際のトークンコードの有効期限は、60 秒ほど異なる可能性があります。
ソフトウェア トークンをドメイン クライアント コンピュータでインポートした後、ドメイン クライアント コンピュータをログオフし再度ログオンするとソフトウェア トークンが有効になります。 リモート セッションから作業している場合、コンピュータを再起動する必要があります。
RSA Security Center の [認証要求の設定] ページで、ドメイン ユーザの認証要求を [すべてのユーザ] に設定すると、次のことが発生します。
[除外するユーザ] オプションは無視されます。通常の環境では、Directory Services Restore Mode (DSRM) でドメイン コントローラにログオンする際、このオプションによって認証要求からドメイン コントローラ認証を免除します。
システム管理者は、DSRM のドメイン コントローラにログオンできません。
ドメイン ユーザの認証要求が [すべてのユーザ] に設定されている場合、システム管理者が Directory Services Restore Mode でドメイン コントローラにログオンできるようにするには、ドメイン コントローラの [Windows ログオンの設定] ページの [このコンピュータへのローカル ユーザのアクセスを無効にする] を選択する必要があります。システム管理者は有効な RSA SecruID パスコードを使用し、プロンプトが表示されたときに DSRM パスワードを入力して、 DSRM ドメイン コントローラにログオンできるようになります。
RSA Security Center にドメイン クライアント登録が有効な場合に、「remove:security｣ポリシーをドメイン クライアント コンピュータに合わせて変更した際は、クライアント コンピュータを再起動すると設定が有効になります。
Windows XP SP2 が実行しているドメイン認証クライアント コンピュータでドメイン認証に失敗し、また、クライアント コンピュータのファイヤウォールが初期設定がオフになっている場合は、ファイヤウォールの設定を確認してください。Windows XP SP2 クライアントでファイヤウォール サービスが停止しすると、サービスは再起動し、Domain Authentication Client コンポーネントがドメイン コントローラの Domain Authentication Server コンポーネントと通信できなくなります。この現象が発生した場合は、オンライン ユーザのドメイン認証は失敗します。オフライン ユーザのドメイン認証が成功しますが、Active Directory パスコードは通信できず、Active Directory パスコードの表示が通常よりも遅くなります。この現象を避けるには、ドメイン認証クライアント上のファイヤウォール サービスを停止するのではなく、無効にします。クライアント コンピュータでファイヤウォールをシャットダウンしたくない場合は、TCP ポート 2334 がファイヤウォールの除外リストにあるかどうかを確認してください。初期設定でポートがリストに追加されていても、リストから削除されている場合もあります。
保護されたドメインと保護されていないドメイン間でドメイン信頼関係が有効な場合、各ドメインで異なるユーザ名をユーザに割り当てる必要があります。そうしないと、ユーザは保護されていないドメインヘ Windows パスワードで認証する際、認証に失敗します。
階層的なドメイン環境で、システム管理者が認証要求グループになくても、システム管理者として保護されている子ドメインから保護されていない親ドメインにログオンできません。システム管理者として保護されている子ドメインから保護されていない親ドメインにログオンするには、親ドメイン コントローラに RSA Authentication Agent Domain Server コンポーネントをインストールし、構成する必要があります。
ワイヤレス PEAP を使用したリモート アクセス認証は、180 秒間隔に設定された RSA SecurID 認証機器をサポートしていません。
このリリースにおいて、RSA Security EAP - PEAP なしの保護された OTP でのセッション再開はサポートされていません。ワイヤレス接続が切断された場合、ユーザを再認証する必要があります。PEAP を使用している場合、セッション再開はサポートされます。
ワイヤレス接続の間、コンピュータが休止状態になった場合、接続は追加認証せずにリストアすることができます。セキュリティ上の理由で、ユーザのコンピュータの休止状態は無効にし、離席する前にネットワークからログオフするようにユーザに指導してください。
別の 1 つのアクセス ポイントからローミングすると、アクセス ポイントが同じ IAS サーバによってサービスが行われている場合、追加の RSA SecurID パスコードのプロンプトが表示されません。ただし、異なる IAS サーバによってサービスが行われているアクセス ポイントへローミングする場合、再認証する必要があります。この方法で動作するようにワイヤレス認証を有効にするには、リモート クライアント コンピュータの PEAP 構成で [Fast Reconnect] を有効にしてください。
初回のワイヤレス認証の間、Authentication Agent はユーザ名と RSA SecurID パスコードの両方を入力するプロンプトを表示します。これに続く認証は、Authenticaiton Agent は、RSA SecurID パスコードのみを入力するプロンプトを表示します。次の認証で異なるユーザ名を使用すると、プロンプトは中断され、次の手順を実行する必要があります。
次の認証プロンプトで、ユーザ名を変更します。
詳しくは、 Microsoft Knowledge Base article #823731 "How to remove cached user credentials that are used for PEAP authentication in Windows XP." を参照してください。
初めてコンピュータ上でローカル認証クライアント コンポーネントをインストールした後、リモートでネットワークに接続する際、いくつかの Authentication Agent の機能が動作しなくなることがあります。この場合は、次の手順を行ってください。
テスト認証またはオンライン認証を実行後、少なくとも 1 回、クライアント コンピュータを再起動します。
ネットワークに直接接続ができない場合、次の手順を行ってください。
RSA Authentication Agent を設定し、オフライン認証の後、保護されたドメインに対して自動的にユーザを認証することができます。オフライン セッション証明書が有効期間内であるかぎり、ユーザは自動的に認証されます。デフォルトでは、セッション証明書の有効期限は、5 分です。システムがユーザのオフライン認証を検証した後、新しいセッション証明書をユーザに発行します。有効期限は 5 分です。したがって、デフォルトで、初回のオフライン認証後 10 分間、ユーザはドメイン リソースにアクセスｄけいます。
認証の間にオフライン日数のリチャージを入力するプロンプトが表示され、リチャージが失敗したことをユーザに通知した場合、RSA SecurID トークンの有効期限を切るかどうか決定できます。ユーザのオフライン日数の有効期限が切れる前に、有効期限切れに設定された RSA SecurID トークンでユーザは認証を行うと、オフライン ログオン日数をリチャージするプロンプトが表示されます。ただし、この環境下でオフライン日数をリチャージすることはできません。エラーが発生します。
オフライン日数の数値を前回設定した値よりも少なくリセットすると（たとえば、オフライン日数を 10 から 5 に変更すると）、有効期限が切れるまではオフライン ユーザはオフライン日数をより大きい値で続行できます（たとえば、10 )。オフライン ユーザがオフライン日数をリチャージした場合、RSA Authentication Agent が新しいオフライン日数（たとえば 5）をダウンロードします。
一度ユーザがオフライン日数をダウンロードすると、ドメイン コントローラと RSA Authentication Manager との信頼関係が壊れていても、オフライン認証は成功します。認証イベントは、RSA Authentication Manager で記録されません。
Authentication Agent ホストからオフライン日数をクリアし、RSA Security Center ではオフライン日数を利用可能であるように表示する場合は、RSA Security Center を再起動するようにユーザに指導してください。
Windows XP プラットフォームで、コンピュータへのターミナル サービス セッションを実行する前にコンピュータからRSA SecurID Authenticator SID800 USB トークンを外してください。トークンをコンピュータに接続したままでコンピュータにターミナル サービス セッションを実行すると、再度ログオンする前にコンピュータを再起動しなければなりません。
RSA Security Center を初めて使用し、トレースを有効にして、トレース先としてログ ファイルを指定しても、システムは指定したトレース先の代わりに、デフォルトの場所「aceclient.log」に GINA トレースを記録し続けます。この問題を解決するには、コンピュータを再起動してください。
代替ユーザとしてソフトウェア トークンを使用してログオンすると、RSANetUse はドライブのマップに失敗します。
ローカル Authentication Client コンピュータで、ポリシー設定は 2 時間ごとに更新されます。ドメイン Authentication Client コンピュータでは、ポリシー設定は 4 時間ごとに更新されます。したがって、クライアント コンピュータで Windows パスワード統合が有効になっていると、Windows パスワード統合はポリシーが更新されるまで動作しません。ただし、ポリシーが自動的に更新されるまで待機できない場合、クライアント コンピュータを再起動することによりポリシーを強制的に更新できます。
Workstation Unlock with RSA SecurID PIN (Quick Workstation Unlock)は、フォーマ PIN とは異なる文字の長さの PIN にリセットされると、動作しません。PIN Unlock 画面が表示されると、ワークステーションを新しい PIN でロック解除することはできません。この現象が発生した場合は、[強制ログオフ] をクリックし、ユーザ名と RSA SecurID パスコードを入力するとワークステーションがロック解除されます。
RSA Authentication Agent 6.1 for Microsoft Windows は、Microsoft に準拠しています。ただし、次の例外があります。タイトル（英語）とタイトル番号は、Microsoft compliance documentation のセクションに対応しています。
RSA Authentication Agent 6.1 for Microsoft Windows では、「SystemFolder」に次の示す共用ファイルをインストールします。
他のディレクトリにファイルをインストールすると、Authentication Agent はこれらのファイルを共有している旧バージョンの RSA Security 製品との互換性が失われます。また、Authentication Agent は前バージョンから継承される共用されないファイルを「SystemFolder」にインストールします。
Authentication Agent は次に示すファイルを「WindowsFolder\Help」にインストールします。
RSA Authentication Agent 6.1 for Microsoft Windows のインストールは、次の方法で証明書要求から外れます。
インストールは、重複したファイルを .msi ファイルのインストール先に送信します。ただし、Authentication Agent によって重複に関係なく、すべてのファイルの個々のインスタンスが要求されます。
Authentication Agent 6.1 for Microsoft Windows は、インターフェイスに下線の付いたナビゲーション キーが割り当てられています。
RSA Authentication Agent 6.1 for Microsoft Windows のインストールは「HKEY_CURRENT_USER」値を変更します。ただし、この変更は Microsoft Windows インストーラによる結果で、Authentication Agent ソフトウェアではありません。
「sdagentsvc」サービスはデフォルトの Microsoft Windows ステーションとデスクトップを開きます。ただし、ユーザ インターフェイスを表示したり、ユーザ入力または Windows メッセージを受けることはしません。
RSA Authentication Agent 6.1 for Microsoft Windows は、必要な共用ファイルを混在させることはできません。混在させると、旧バージョンの Agent と互換性がなくなります。したがって、次に示すファイルは「/program files folder/RSA Security/RSA Authentication Agent」ディレクトリにインストールされます。
次に示すファイルは、「/system32」ディレクトリに保管され、旧バージョンの Agent との互換性を保ちます。
RSA Authentication Agent 6.1 for Microsoft Windows のアンインストール プログラムはすべての「非共用」dll ファイルとサービスを削除します。Authentication Agent に関連するレジストリ キーも削除します。ただし、次回のインストールのためにユーザの構成設定は削除されません。アンインストール プログラムでは、次に示すファイルは削除しません。
「sdcatool」は、「HKCU」以外のレジストリ キーを書き込みます。ただし、「sdcatool」は、個々のユーザではなく、全体的にシステムに影響を及ぼします。
RSA SecurCare Online: https://knowledge.rsasecurity.com
© 2006 RSA Security Inc. All rights reserved.
ACE/Agent, ACE/Server, Because Knowledge is Security, BSAFE, ClearTrust, Confidence Inspired, e-Titlement, IntelliAccess, Keon, RC2, RC4, RC5, RSA, the RSA logo, RSA Secured, the RSA Secured logo, RSA Security, SecurCare, SecurID, SecurWorld, Smart Rules, The Most Trusted Name in e-Security, Transaction Authority, and Virtual Business Units are either registered trademarks or trademarks of RSA Security Inc. in the United States and other countries. All other goods and services mentioned are trademarks of their respective companies.