この項では、次のトピックについて取り上げます。

シスコの構築したサーバーが Cisco IOS XE イメージを生成します。Cisco IOS XE イメージの場合、Abraxas イメージ署名システムを使用して、シスコの秘密 RSA キーでイメージに安全に署名できます。

Cisco IOS XE イメージを Cisco ASR シリーズ ルータにコピーすると、シスコの ROMMON ブート ROM がシスコのリリースキーを使用してイメージを検証します。これらのキーは、Abraxas サーバーに安全に保存されているシスコのリリース秘密キーに対応する公開キーです。リリース秘密キーは ROMMON に保存されます。

すべての新しい Cisco ASR 1000 シリーズ プラットフォームは、シスコのセキュアブートテクノロジーをサポートしています。シスコのセキュアブートテクノロジーは、ROMMON ソフトウェアが改ざんされていないことを確認するために、ROMMON ソフトウェアを検証するハードウェア トラスト アンカーとして機能します。

Cisco IOS XE イメージは、構築時にデジタル署名されます。バイナリイメージファイル全体に対して SHA-512 ハッシュが生成され、このハッシュがシスコの RSA 2048 ビット秘密キーで暗号化されます。ROMMON は、シスコの公開キーを使用して署名を検証します。このソフトウェアがシスコの構築したシステムによって生成されたものではない場合、署名の検証は失敗します。Cisco ASR 1000 シリーズの ROMMON はイメージを拒否し、起動を停止します。署名の検証に成功すると、Cisco ASR 1000 シリーズ ルータはイメージを Cisco IOS XE ランタイム環境で起動します。

ROMMON は、ブートアッププロセス中に署名付き Cisco IOS XE イメージを検証する際、次の手順を実行します。

1. Cisco IOS XE イメージを CPU メモリにロードします。

2. Cisco IOS XE パッケージのヘッダーを調べます。

3. イメージに対して非セキュア整合性チェックを実行し、ディスクまたは TFTP で意図しないファイル破損が生じていないことを確認します。これは非セキュア SHA-1 ハッシュを使用して実行されます。

4. シスコの RSA 2048 ビット公開リリースキーを ROMMON ストレージからコピーし、シスコの RSA 2048 ビット公開リリースキーが改ざんされていないことを検証します。

5. パッケージのヘッダーからコード署名用署名（SHA-512 ハッシュ）を抽出し、シスコの RSA 2048 ビット公開キーを使用して検証します。

6. Cisco IOS XE パッケージの SHA-512 ハッシュを計算してコード署名の検証を実行し、コード署名用署名と比較します。これで署名付きパッケージの検証が実行されたことになります。

7. Cisco IOS XE パッケージのヘッダーを調べて、プラットフォームタイプと CPU アーキテクチャの互換性を検証します。

8. Cisco IOS XE パッケージから Cisco IOS XE ソフトウェアを抽出して起動します。

（注）	上記のプロセス中、ステップ 3 はイメージの非セキュアチェックであり、ディスクエラー、ファイル転送エラー、またはコピーエラーによる偶発的な破損に関してイメージを確認することを目的としています。これはイメージコード署名の一環ではありません。このチェックは、意図的なイメージの改ざんを検出するためのものではありません。 イメージコード署名の検証は、ステップ 4、5、および 6 で行われます。これは、2048 ビット RSA キーで暗号化された SHA-512 ハッシュを使用した、イメージのセキュアコード署名チェックです。このチェックは、意図的なイメージの改ざんを検出することを目的としています。

このプロセスの間、デバイスには次の情報が表示されます。

  Initializing Hardware ...
System integrity status: 90170400 12030107

System Bootstrap, Version 16.12(8r), RELEASE SOFTWARE
Copyright (c) 1994-2020  by cisco Systems, Inc.

Current image running: Boot ROM0
Last reset cause: LocalSoft

ASR1001-HX platform with 8388608 Kbytes of main memory

File size is 0x32e9b97c
Located asr1000-universalk9.17.01.01.SPA.bin
Image size 854178172 inode num 34, bks cnt 208540 blk size 8*512
#########################################################################
#########################################################################
#########################################################################  <---- (*) STEP 1
Boot image size = 854178172 (0x32e9b97c) bytes                             <---- (*) STEP 1

ROM:RSA Self Test Passed
ROM:Sha512 Self Test Passed

Package header rev 1 structure detected                                    <---- (*) STEP 2
Calculating SHA-1 hash...done                                              <---- (*) STEP 3
validate_package_cs: SHA-1 hash:                                           <---- (*) STEP 3
	calculated 3971e404:1211e83e:87ecc2bb:4f80bd9b:bacad0d7            <---- (*) STEP 3
	expected   3971e404:1211e83e:87ecc2bb:4f80bd9b:bacad0d7            <---- (*) STEP 3
Validating main package signatures                                         <---- (*) STEP 4 & 5

RSA Signed RELEASE Image Signature Verification Successful.                <---- (*) STEP 6
Image validated                                                            <---- (*) STEP 7


               Restricted Rights Legend                                     <---- (*) STEP 8

Use, duplication, or disclosure by the Government is
subject to restrictions as set forth in subparagraph
(c) of the Commercial Computer Software - Restricted
Rights clause at FAR sec. 52.227-19 and subparagraph
(c) (1) (ii) of the Rights in Technical Data and Computer
Software clause at DFARS sec. 252.227-7013.

            Cisco Systems, Inc.
            170 West Tasman Drive
            San Jose, California 95134-1706



Cisco IOS Software [Amsterdam], ASR1000 Software (X86_64_LINUX_IOSD-UNIVERSALK9-M), Version 17.1.1, RELEASE SOFTWARE (fc3)
Technical Support: http://www.cisco.com/techsupport
Copyright (c) 1986-2019 by Cisco Systems, Inc.
Compiled Fri 22-Nov-19 03:43 by mcpre

Cisco IOS XE には、Cisco ASR 1000 シリーズ ルータ上で完全に別々のプロセスとして稼働する数多くのコンポーネントがあります。このモジュラ アーキテクチャにより、それぞれの動作を担当するプロセスが分散されるため、すべての動作が Cisco IOS ソフトウェアに依存する場合よりも、ネットワークの復元力が向上します。

この項では、次のトピックについて取り上げます。

次の表に、Cisco ASR 1000 シリーズ ルータに関する重要な個々のプロセスのリストを示します。これらのプロセスはバックグラウンドで実行されます。Cisco IOS-XE を使用する Cisco ASR 1000 シリーズ ルータの CLI は、ほとんどのプラットフォームで Cisco IOS CLI と同じ画面表示、操作感、および使用方法です。この情報は、ルータの状態の確認と障害対応に役立つ可能性があるため提供されますが、この情報を理解することは、ほとんどのルータの動作を理解する上で必須ではありません。