Cisco Secure ACS 5.1/5.2 用 Cisco Identity Services Engine Release 1.1.x 移行ガイド
Cisco Secure ACS-Cisco ISE Migration Tool について
Cisco Secure ACS-Cisco ISE Migration Tool について
発行日;2012/09/24 | 英語版ドキュメント(2012/07/10 版) | ドキュメントご利用ガイド | ダウンロード ; この章pdf , ドキュメント全体pdf (PDF - 2MB) | フィードバック

目次

Cisco Secure ACS-Cisco ISE Migration Tool について

概要:Cisco Secure ACS 5.1/5.2 から Cisco ISE 1.1 へ

Cisco Secure ACS-Cisco ISE Migration Tool

移行ツールのコンポーネント

データ設定

ステータス報告

エクスポートおよびインポート

データ構造マッピング

Cisco Secure ACS-Cisco ISE Migration Tool について

この章には、Cisco Secure Access Control System(ACS)-Cisco Identity Sevices Engine(ISE)Migration Tool に関する情報が記載されています。このツールを使用して、Cisco Secure ACS Release 5.1/5.2 データベースから Cisco ISE Release 1.1 アプライアンスへデータを移行します。以下のトピックでは、Cisco Secure ACS-Cisco ISE Migration Tool を使用してデータを移行する前に、このツールについて理解しておく必要がある情報について説明します。

「概要:Cisco Secure ACS 5.1/5.2 から Cisco ISE 1.1 へ」

「Cisco Secure ACS-Cisco ISE Migration Tool」

概要:Cisco Secure ACS 5.1/5.2 から Cisco ISE 1.1 へ

Cisco Secure ACS-Cisco ISE Migration Tool は、Cisco Secure ACS 5.1/5.2 データベースがすでにインストールされているユーザに対して、Cisco ISE 1.1 アプライアンスへデータを転送するための方法を提供する目的で設計されています。このツールの設計では、ベースとなるハードウェア プラットフォームとシステム、データベース、およびデータ スキーマにおける違いによって生じる、特有の移行問題について対処しています。Cisco Secure ACS-Cisco ISE Migration Tool を使用した移行プロセスには、以下の 3 つの手順があります。

Cisco Secure ACS 5.1/5.2 のデータベースからデータをエクスポートする

移行ツールを使用してこのデータを保持する

保持しているデータを Cisco ISE 1.1 アプライアンスへインポートする

Cisco Secure ACS-Cisco ISE Migration Tool は、Cisco Secure ACS 5.1/5.2 データから Cisco ISE 1.1 アプライアンスへのデータ移行のみをサポートしています。たとえば、Cisco Secure ACS-Cisco ISE Migration Tool を使用して以下のデータ移行手順を実行できます。

1. Cisco Secure ACS-1121 ハードウェア アプライアンスから、データベースを持つセキュアな外部サーバへ Cisco Secure ACS 5.1/5.2 のデータをエクスポートします。

2. Cisco Secure ACS のデータをバックアップします。

3. Cisco ISE 3315 アプライアンスと同じ物理ハードウェアである Cisco Secure ACS-1121 ハードウェア アプライアンスを、Cisco ISE 1.1 ソフトウェアで再作成します。

4. 変換した Cisco Secure ACS Release 5.1/5.2 のデータを、セキュアな外部サーバから Cisco ISE 1.1 アプライアンスへインポートします。

Cisco Secure ACS-Cisco ISE Migration Tool を使用する直接移行プロセスでサポートされているのは、Cisco Secure ACS 5.1/5.2 システムから Cisco ISE 1.1 アプライアンスへの移行のみです。ただし、 表 2-1 に記載されているオプションを使用して、Cisco Secure ACS の古いバージョンのデータを Cisco Secure ACS 5.1/5.2 のステートへアップグレードすることが可能です。

Cisco Secure ACS-Cisco ISE Migration Tool は、Cisco Secure ACS 5.1/5.2 システムから Cisco ISE 1.1 アプライアンスへデータを移行します。これは、Cisco Secure ACS 3.x ~ 4.x の古いバージョンで使用されるアップグレードとは別のプロセスです。

 

表 2-1 Cisco Secure ACS リリースのデータ アップグレード オプション

ACS リリース バージョン
アップグレード先の ACS リリース
ACS データ アップグレード リファレンス

Cisco Secure ACS Release 3.x

Cisco Secure ACS Release 5.0

「Cisco Secure ACS 3.x および 4.x から ACS 5.1/5.2 へのデータ移行」

Cisco Secure ACS Release 4.x

Cisco Secure ACS Release 5.0

「Cisco Secure ACS 3.x および 4.x から ACS 5.1/5.2 へのデータ移行」

Cisco Secure ACS Release 5.0

Cisco Secure ACS Release 5.1/5.2

「Cisco Secure ACS 3.x および 4.x から ACS 5.1/5.2 へのデータ移行」


) Cisco Secure ACS 3.x、4.x ~ 5.0 から Cisco Secure ACS 5.1/5.2 への移行に関する情報およびマニュアルのリンクについては、「Cisco Secure ACS 3.x および 4.x から ACS 5.1/5.2 へのデータ移行」を参照してください。第 5 章には、Cisco Secure ACS 5.0 から Cisco Secure ACS 5.1/5.2 への移行に関する情報およびマニュアルのリンクも記載されています。


Cisco Secure ACS-Cisco ISE Migration Tool

この章の内容は次のとおりです。

「移行ツールのコンポーネント」

「データ構造マッピング」

Cisco Secure ACS-Cisco ISE Migration Tool は Windows ベースのシステム上で稼働します。このツールは、Cisco Secure ACS のデータ ファイルをインポートし、そのデータを分析して、Cisco ISE 1.1 システムで使用可能な形式へデータをインポートするのに必要なデータ修正を行うことによって機能します。

Cisco Secure ACS 5.1/5.2 および Cisco ISE 1.1 のアプリケーションは、同じタイプの物理ハードウェア上で稼働する場合も、稼働しない場合もあります。Cisco Secure ACS-Cisco ISE Migration Tool は、Cisco Secure ACS Programmatic Interface(PI)および Cisco ISE representational state transfer(REST)アプリケーション プログラミング インターフェイス(API)を使用します。Cisco Secure ACS PI および Cisco ISE REST API により、Cisco Secure ACS および ISE アプリケーションは、サポートされているすべてのハードウェア プラットフォームまたは VMware サーバ上で稼働することが可能です。

Cisco Secure ACS はクローズ アプライアンスと見なされているため、Cisco Secure ACS-1121 アプライアンス上で移行ツールを直接稼働させることはできません。代わりに、Cisco Secure ACS PI は ACS 設定データを読み込み、正規化された形式で返します。Cisco ISE REST API は検証を実行し、エクスポートされた Cisco Secure ACS データを正規化して、Cisco ISE ソフトウェアで使用できる形式で保持します。


) 移行ツールは、Cisco ISE のフレッシュ インストール後、または application reset-config コマンドを使用して Cisco ISE アプリケーションの設定をリセットし、Cisco ISE データベースをクリアした後で実行する必要があります。このため、移行プロセスの完了前は、Cisco ISE FIPS モードを有効にすることはできません。


図 2-1 は、Cisco Secure ACS および Cisco ISE が異なるアプライアンスにインストールされている場合の展開シナリオについて説明しています(デュアルアプライアンス展開)。

図 2-1 異なるアプライアンスにインストールされている Cisco Secure ACS および Cisco ISE

 

図 2-2 は、Cisco ISE ソフトウェアがインストールされるアプライアンスと同じアプライアンス上に、Cisco Secure ACS がインストールされている展開シナリオを示しています(シングルアプライアンス展開)。シングルアプライアンス展開では、以下の手順を完了します。

ステップ 1 Cisco Secure ACS-Cisco ISE Migration Tool を、スタンドアロンの Windows マシンにインストールします。

ステップ 2 Cisco Secure ACS アプライアンスから Cisco Secure ACS 5.1/5.2 データをエクスポートします。

ステップ 3 Cisco Secure ACS のデータをバックアップします。

ステップ 4 アプライアンスを Cisco ISE 1.1 ソフトウェアで再作成します。

ステップ 5 Cisco Secure ACS 5.1/5.2 のデータを Cisco ISE 1.1 アプライアンスへインポートします。


) Cisco Secure ACS 5.1/5.2 のデータを Cisco ISE アプライアンスへ移行開始する準備ができた場合は、移行先がスタンドアロンの Cisco ISE ノードであることを確認します。移行が正常に終了した場合のみ、その後で何らかの展開設定(Administrator ISE や Policy Service ISE のペルソナなど)を開始することができます。移行のインポート フェーズは、サポートされているハードウェア アプライアンス上で、Cisco ISE ソフトウェアの新しい「クリーンな」インストールにおいて実行する必要があります。サポートされているハードウェア アプライアンスのリストについては、『Cisco Identity Services Engine Hardware Installation Guide, Release 1.1』を参照してください。


図 2-2 シングル アプライアンスにインストールされる Cisco Secure ACS および Cisco ISE

 

移行ツールのコンポーネント

移行アプリケーションは以下のコンポーネントで構成されています。

「データ設定」

「ステータス報告」

「エクスポートおよびインポート」

データ設定

移行プロセスの開始時には、入力として設定データの最小セットが必要です。次にアプリケーションは設定項目のフルセットの移行を処理します。プライマリ Cisco Secure ACS サーバおよび Cisco ISE サーバの IP アドレス(またはホスト名)と、管理者のクレデンシャルを入力する必要があります。ユーザが認証されると、Cisco Secure ACS-Cisco ISE Migration Tool は、アップグレードに似た形式で、設定されているデータ項目のフルセットの移行を処理します。

いったん移行プロセスが開始すると、通常それ以降はオペレータは介入する必要はありません。ただし、移行が進捗すると、2 つのアプリケーション間でいくつかのデータが自動的にマップされない場合があります。移行を処理する管理者には、このデータのタイプが通知されます。この問題は移行が完了する前に解決する必要があります。

ステータス報告

移行が進捗すると、移行のリアルタイムのステータス、およびアクティビティの進捗をモニタリングできます。トラブルシューティングの場合は、詳細なログを使用することができます。このログには、移行ツール内でアクセスできます。

エクスポートおよびインポート

インポートおよびエクスポートの処理は、個別の処理として実行することも、順番に実行することもできます。これらの手順は、移行されるデータの量によって時間がかかることがあります。移行ツールは、チェックポイント、および実行中のアクティビティのステータスを定期的に表示します。これらのチェックポイントにより、何らからの障害があった場合でも、チェックポイントから移行プロセスを再開できます。

エクスポートおよびデータの持続性

Cisco Secure ACS PI を使用して Cisco Secure ACS 5.1/5.2 データベースから Cisco Secure ACS データをエクスポートする場合、エクスポート コンポーネントは移行フェーズの間、アクティブになります。Cisco Secure ACS システムに接続した後でエクスポート プロセスを開始し、データのエクスポート、および認証を要求することができます。

Cisco Secure ACS から Cisco ISE への直接アップグレードはサポートされていません。Cisco Secure ACS5.1/5.2 ソフトウェアをアンインストールし、Cisco ISE 1.1 ソフトウェアで物理ハードウェアを再作成する場合、Cisco Secure ACS-Cisco ISE Migration Tool が有用です。移行ツールにより、再作成のプロセスが完了してからインポートのステージが開始するまでの間、Cisco Secure ACS のデータが保持されます。

データ分析およびインポート

エクスポート フェーズの間、Cisco Secure ACS-Cisco ISE Migration Tool は Cisco Secure ACS からデータを読み込んで分析し、これらのデータが Cisco ISE アプライアンス上に正しく作成できることを確認します。Cisco Secure ACS および Cisco ISE Policy のモデルは同じではないため、いくつかの ACS データは ISE でサポートされない可能性があります。ツールにより、問題およびデータがレポートされます。エクスポート フェーズの最後に管理者が介入しなければならない場合があります。

データ構造マッピング

Cisco Secure ACS 5.1/5.2 から Cisco ISE 1.1 へのデータ構造マッピングは、エクスポート フェーズ中に、Cisco Secure ACS-Cisco ISE Migration Tool によって各データ オブジェクトが分析および検証されるプロセスです。エクスポート中に生じるデータ情報マッピングの完全なリストについては、 付録 A「Cisco Secure ACS 5.1/5.2 および Cisco ISE 1.1 のデータ構造マッピング」 を参照してください。