TACACS+とは？ネットワーク機器の認証・認可を管理する規格を解説

TACACS+とはどのようなプロトコルか

TACACS+（Terminal Access Controller Access-Control System Plus）は、ルーターやスイッチといったネットワーク機器へのアクセスを一元的に管理するための通信プロトコルです。ネットワーク機器の管理者がログインして設定変更などを行う際、「誰が」「何をする権限を持ち」「実際に何を行ったか」を体系的に管理する仕組みとして利用されています。

AAAという考え方

TACACS+が実装しているのは、認証（Authentication）・認可（Authorization）・アカウンティング（Accounting）という3つの機能をまとめた、いわゆるAAAと呼ばれる枠組みです。認証は利用者が本人であることを確認する機能、認可は利用者にどこまでの操作権限を与えるかを決める機能、アカウンティングは利用者がいつ何をしたかを記録する機能を指します。TACACS+は、これら3つの機能をそれぞれ独立して処理できる点が特徴で、細かなポリシー設定が可能です。

開発の経緯と技術的な特徴

TACACS+は、Cisco Systemsが独自に開発したプロトコルで、もともと存在していたTACACSやXTACACSというプロトコルを大幅に改良したものです。通信にはTCPのポート49番が使用され、認証情報を含むパケット全体が暗号化されるため、高いセキュリティ水準を確保できる点が評価されています。

類似プロトコルRADIUSとの違い

ネットワーク機器の認証管理においては、RADIUSという類似のプロトコルもよく利用されます。RADIUSはUDPで通信を行い、暗号化される範囲がパスワード部分に限られるのに対し、TACACS+はTCPを用いて通信全体を暗号化する点が異なります。また、RADIUSが主に一般利用者のネットワーク接続認証に使われることが多いのに対し、TACACS+はネットワーク機器そのものの管理者アクセスを制御する用途に特化して使われる傾向があります。

企業での活用場面

大規模な企業のネットワーク環境では、数多くのルーターやスイッチに対する管理者アクセスを、TACACS+に対応したサーバー（CiscoのISEなど）で集中管理することが一般的です。これにより、セキュリティポリシーを組織全体で統一しやすくなるほか、誰がどの機器にいつアクセスして何を行ったかという監査ログを一元的に収集できるという利点があります。

導入によるメリット

TACACS+を導入する最大のメリットは、管理者アカウントの管理を各機器ごとに個別に行う必要がなくなる点にあります。従来のように機器一台ごとにローカルアカウントを設定していた場合、担当者の異動や退職のたびに全ての機器でアカウント情報を更新しなければならず、更新漏れがセキュリティ上のリスクとなりがちでした。TACACS+サーバーで一元管理すれば、アカウントの追加や削除、権限変更を一箇所で行うだけで済むため、運用の手間を大幅に減らしながらセキュリティ水準を保つことができます。

よくある疑問

「TACACS+とRADIUSはどちらを使えばよいのか」という疑問がよく聞かれますが、一般的にはネットワーク機器そのものの管理者アクセス制御にはTACACS+が、社員や利用者の無線LAN接続認証などにはRADIUSが向いているとされています。両者は目的や得意分野が異なるため、実際の企業ネットワークでは双方を用途に応じて併用するケースも珍しくありません。