コマンド・セットの生成、検証、発行

コマンド生成、検証、発行用のチェックリスト

	ステップ	参照
	1. Policy Distribution Pointと発行順序の制約を理解する Policy Enforcement Pointに対応するPolicy Distribution Pointの選択が、ネットワーク・トポロジの構成によって制約を受ける場合があります。 デバイスに発行する前に、選択したPolicy Distribution Pointが有効であることを確認する必要があります。 さらに、ネットワーク上のさまざまなPolicy Enforcement Pointに対してコマンド・セットを発行する順序によっては、生成したコマンド・セットのすべてを正常に発行することができない場合があります。 したがって、コマンド配布を中断させる共通の事例を調査して、Policy Enforcement Pointすべてに発行する機能を絶対に中断しないような順序で、生成したコマンド・セットを発行する必要があります。	Policy Distribution Pointの詳細.
	2. デフォルトのコマンド発行方法を設定する ネットワーク・トポロジとCisco Secure Policy Managerを使用して管理するPolicy Enforcement Pointの数に従って、生成したコマンド・セットを自動的に発行するか手作業で発行するか決定する必要があります。 Cisco Secure Policy Managerでは、発行方法を選択する上で、2通りの設定値が提供されています。その1つは、新規作成のPolicy Enforcement Pointのすべてに適用されるグローバルのデフォルト値であり、もう1つは、Commandパネル上で使用されるPolicy Enforcement Pointごとの設定値です。	ポリシー・アップデート・デフォルトの指定. コマンド・セット承認方法の指定.（デバイスごと）
	3. コマンド・セットを生成する Cisco Secure Policy Managerが、Policy Enforcement Pointの管理を実際に開始する前に、FileメニューのSave and Updateコマンドを使用してコマンドを生成しておく必要があります。 Save and Update操作を実行するたびに、Cisco Secure Policy Managerが、Network Topologyツリーに定義されている各Policy Enforcement Pointに対して新しいコマンド・セットを生成します 結果のコマンド・セットは、各Policy Enforcement PointのCommandパネルにあるPending Commandsに表示されます。	変更の保存とネットワーク・ポリシーのアップデート.
	4. コマンド・セットを確認する Save and Update操作を実行したときに、Cisco Secure Policy Managerによるコマンド・セットの自動発行を設定していない場合は、Policy Enforcement Pointに実際に送信される前に、コマンド・セットを確認することができます。 コマンド・セットは、各Policy Enforcement PointのCommand PanelにあるPending Commandsフィールドに置かれます。	生成したコマンド・セットの再検討.
	5. カスタム・コマンドをコマンド・セットに追加する Cisco Secure Policy Managerを使用すると、デバイスごとにカスタム・コマンドを追加することができます。 カスタム・コマンドによって、Cisco Secure Policy Managerが直接制御しない機能を Policy Enforcement Pointに設定することができます。 Prologueコマンドは、システム生成コマンドの送信前に、Policy Enforcement Pointに送信されるコマンドです。 Epilogueコマンドは、システム生成コマンドの送信後に、Policy Enforcement Pointに送信されるコマンドです。	PrologueコマンドおよびEpilogueコマンドの入力.
	6. デバイスをIPSecコマンド発行に対してブートストラップする Policy Enforcement Pointにコマンド・セットを発行するのにIPSecトンネルを使用する場合は、コマンド・セットの発行前に適切なIPSec設定値によってPolicy Enforcement Pointをブートストラップする必要があります。	IPSecブートストラップの設定.
	7. コマンド・セットを発行する Save and Update操作によるコマンドの自動的に発行するように設定していない場合は、各デバイスに対してコマンド・セットを手動で承認し、発行する必要があります。	生成したコマンド・セットの手動による承認.
	8. コマンド・セットが問題なく発行されたかどうか確認する コマンド・セットを承認し、発行プロセスを起動した後、 Policy Enforcement Pointに問題なく発行されたかどうか確認し、問題が発生していればその時点を検出することが可能です。 コマンド・セットの発行に関係する最後のステップは、 Policy Enforcement Pointへの発行が必要なコマンド・セットが、ゲートウェイ・オブジェクトで実際に動作しているかどうか確認することです。 Cisco Secure Policy Managerでは、各発行段階で表示されるステータス情報がこの確認に役立ちます。	コマンドの発行ステータスの確認.

Policy Distribution Pointの配置と選択のガイドライン

セキュリティ・システムの展開を設計するときは、ネットワーク上に常駐するPolicy Enforcement Pointに対するコマンド・セットの生成、発行に要する時間を短縮することを重視する必要があります。これは、発行動作によりPolicy Enforcement Pointが一時的にトラフィックの通過を妨げられるためです。 さらに、その設計では、ネットワーク・アクティビティに関するデータ・ストリームを迅速にモニタリングして、潜在的なセキュリティ問題を検出して、適切な担当者に通知することも重視する必要があります。

ネットワーク・セキュリティ・ポリシーをPolicy Enforcement Pointに展開する場合に、その実行能力に影響を与える問題が多数ありますが、ネットワーク内のPolicy Distribution Pointの配置を慎重に計画することにより解決することができます。 慎重な計画と配置による利点には、次のようなものがあります。

• Policy Enforcement Pointへの管理接続は、Cisco Secure Policy Managerがこの接続をイネーブルにするために生成したセキュリティ・ポリシーによって保証されます。
• Policy Enforcement Pointへの接続は、発行操作中にアクティブ・コマンド・セットに変更されるため、切断されることはありません。
• 性能が向上し、コマンド・セットの分配がより安全になります。

ネットワーク上に複数のPolicy Distribution Pointを配置できるため、Policy Enforcement PointごとにPolicy Distribution Pointの選択を考慮する必要があります。 この選択を行う最も適切な方法は、コマンド配布に関して問題を起こす可能性のある事例を理解し、初期配置後に行うデバイス固有の変更の影響を把握することです。

Policy Distribution Pointの選択

Policy Enforcement Pointを制御するPolicy Distribution Pointは、自由に選択してはいけません。 グローバル・ネットワーク・ポリシーを定義する場合は、複数のPolicy Enforcement Pointを制御して変更を行う場合、その変更でPolicy Distribution Pointとそれが制御する1つ以上のPolicy Enforcement Point間に必要な通信が一時的にディセーブルになる状況が生じる可能性があります。

Policy Distribution Pointの選択時に最初に決定することは、そのPolicy Distribution Pointとそれが制御するすべてのPolicy Enforcement Point間に発生する通信のトラフィック・フローです。 次に、ネットワーク上の残りのPolicy Distribution PointとそのPolicy Distribution Pointの所要トラフィック・フローを検討する必要があります。 この2種類のトラフィック・フローは絶対に妨害を起こさないようにすることが必要です。

トラフィック・フローの妨害が発生するのは、ゲートウェイ・オブジェクトに限られます。そのようなゲートウェイ・オブジェクトを、これ以降、集中ゲートウェイ・オブジェクトと呼びます。 その集中ゲートウェイ・オブジェクトが管理対象ゲートウェイ・オブジェクトである場合は、このゲートウェイ・オブジェクトを管理するポリシーも変更される可能性があるため、そのゲートウェイ・オブジェクトはコマンド・セットの発行における障害の可能性があるポイントと認識されます。 集中ゲートウェイ・オブジェクトは、1つ以上のPolicy Enforcement Pointと1つのPolicy Distribution Point間のパスに沿ったポイントを表すため、それより遠方にあるPolicy Enforcement Pointに集中ゲートウェイ・オブジェクト上の変更を反映するコマンド・セットが届く前に、集中ゲートウェイ・オブジェクトがアップデートされる可能性があります。 このような事態は、Optionsダイアログ・ボックス（Toolsメニューに提供されている）または特定のPolicy Enforcement PointのCommandパネルで、Command Approvalの下にあるAutomaticを選択してコマンド・セットの自動発行をイネーブルにしてある場合に最も発生する可能性が高くなります。

トラフィック・フローに妨害が発生しているPolicy Distribution Point.に、1つのPolicy Distribution Pointからのトラフィック・フローに妨害が発生していることが分かる簡単なトポロジを示します。

Policy Distribution PointとPolicy Enforcement Point間の切断の回避

ネットワーク・トポロジを定義し、そのネットワーク上のPolicy Enforcement Pointを修正する場合は、トラフィック・フローに影響するデバイス固有の設定も考慮する必要があります。 次に挙げるデバイス固有の設定が特に重要です。

• 管理インターフェイスとIPアドレスの変更（Policy Enforcement Pointで）。初期設定後は、別の管理インターフェイスを指定する場合、または管理インターフェイスに使用しているIPアドレスを変更する場合は必ず、前のインターフェイスを使用してあらゆるコマンド・セットを発行できるようにする特別なセキュリティ・ポリシーを定義する必要があります（新しいインターフェイスが設定されると、接続が途中で切れる場合があるためです）。
• 管理用パスワード。Policy Enforcement PointのCommandパネルにあるPending Commandsオプションを使用するか、サード・パーティ管理インターフェイスを使用するかして、イネーブル・パスワードなどの別の管理用パスワードを指定する場合は、Policy Enforcement Pointに新しいコマンド・セットを発行する前に、GUIクライアントにおいて、Policy Enforcement PointのEnforcementパネルで対応する変更を行っておく必要があります。
• IPアドレス変更（Cisco Secure Policy Managerホストで）。 Cisco Secure Policy Managerのあるコンポーネントを実行しているホストが使用しているIPアドレスを変更する場合、またはPolicy Enforcement Pointを制御するため別のPolicy Distribution Pointを選択する（実際には、Policy Enforcement Pointの管理に使用されているIPアドレスの変更になる）場合は、常に、Policy Enforcement Pointに対してコマンド・セットを実際に発行するシステムの機能を危険にさらすことになります。 このアドレスは、静的アドレスとして最適に定義されており（DHCPを通してリースしたのではなく）、修正しないでおくことが最も安全です。

Cisco Secure Policy ManagerがPolicy Enforcement Pointにコマンドを発行するために使用しているIPアドレス（Enforcementパネルのアドレス）をどうしても変更する場合、または特定のPolicy Enforcement Pointを管理するため別のPolicy Distribution Pointを選択する場合は、Enforcementパネルで選択されているネットワーク・サービスが、新旧両方のIPアドレスをイネーブルにできるようにする中間セキュリティ・ポリシーを定義する必要があります。 イネーブルにしていない場合は、Policy Distribution Pointが、元のアドレスから新しいアドレスに変更するコマンド・セットを発行している間、Policy Enforcement Pointに対する接続が切断されます。

• ルーティング規則。Cisco Secure Policy Managerは、Policy Distribution Pointとそれが管理するPolicy Enforcement Point間のトラフィック・フローを保証するのに必要なルーティング規則を自動的に導き出します。 導き出されたルーティング規則を無効にするか、導き出されたルーティング規則の生成をディセーブルにした場合は、上記の必要な通信が使用するルートが誤って切断されることがあり得ます。
• パス制限規則（フロー制限）。 Policy Distribution PointとPolicy Enforcement Pointの間の通信に必要なトラフィック・フローが、どちらの方向でも、ゲートウェイ・オブジェクト上で定義されているパス制限規則によって、絶対に妨害されないようにする必要があります。
• アドレス隠蔽規則とスタティック変換規則（管理対象Policy Enforcement Pointで）。Policy Distribution Pointに対して、アドレス隠蔽規則を絶対に定義してはいけません。 Policy Distribution PointのIPアドレスをどうしても変換する必要のある場合は、1対1スタティック変換規則を定義してください。 1対1マッピング規則に対する変更は、Policy Distribution PointのIPアドレスを変更するのと同じ効果があります。 したがって、Policy Distribution Pointが管理する各Policy Enforcement Pointに対して一時的なセキュリティ・ポリシーを定義して、コマンド・セット発行に使用されるネットワーク・サービスを、Policy Distribution Pointの新旧エイリアス・アドレスから、Policy Enforcement Pointが受け付けられるようにする必要があります。
• アドレス隠蔽規則とスタティック変換規則（管理外のゲートウェイ・オブジェクトで）。Policy Enforcement PointとそのPolicy Distribution Point間のトラフィック・フローに沿って存在する管理外のゲートウェイ・オブジェクト上で定義されているマッピング規則は、通信の管理に使用するIPアドレスを変換し、トラフィック・フローを中断します。 このような通信に使用されているアドレスに影響を与えるアドレス変換規則を定義してはいけません。 したがって、Policy Distribution Pointホストとその管理下にあるPolicy Enforcement Pointの間に常駐する管理外のゲートウェイ・オブジェクト上で定義されることとなるマッピング規則（または、どのような形式のNATも）を定義しないように強く推奨します。

Network Topologyツリー定義内のPolicy Enforcement PointとPolicy Distribution Pointの間に常駐する管理外のゲートウェイ・オブジェクトでは、そのゲートウェイ・オブジェクトの上流にPolicy Enforcement PointまたはPolicy Distribution Pointが常駐する場合は、そのゲートウェイ・オブジェクトで実行されるアドレス変換はどのような形式であってもそのデバイス上に置くことはできません。 この設定に一致する管理外のゲートウェイ・オブジェクトでは、Cisco Secure Policy Managerの管理下にあるゲートウェイ・オブジェクト用に導出された生成コマンド・セットは正しくないことが確実です。 この種のネットワーク・サービスには、Policy Distribution PointとPolicy Enforcement Pointの間の通信に必要なネットワーク・サービスも含まれます。

• Reset操作の実行。FileメニューのReset操作を実行すると、別種の配布問題が偶然発生する場合があります。 GUIクライアント参照先が、システム内のほかのエージェントが使用している参照先（Policy Distribution Pointなど）と異なる場合は、そうした参照先が、Network Topologyの下で定義されているPolicy Enforcement Pointに対して間違ったコマンド・セットを生成し、発行する原因となることがあります。 Network Topologyパネルから、このようなネットワーク・オブジェクトを削除または再インストールすると、問題のGUIクライアント参照先が削除され、Policy Enforcement Pointに対して、間違ったコマンドが絶対に生成されないようになります。

生成したコマンド・セットの発行: 順序の制限の例

ネットワーク・トポロジは、コマンド自動配布を使用しないように構築することができます。 問題は、さまざまなPolicy Enforcement Pointへのコマンド・セットのダウンロード順序にあります。この問題は、Cisco Secure Policy Managerサーバが、サーバの実アドレスを変換する内部Policy Enforcement Pointの背後から外部Policy Enforcement Pointにコマンド・セットを発行しようとするときに発生します。 場合により、自動ダウンロードされたコマンド・セットが失敗し、生成したコマンド・セットがトポロジ内の一部のPolicy Enforcement Pointにダウンロードできなくなることがあります。

順序の制限を示すネットワーク例.では、ネットワーク・トポロジに3台のCisco Secure PIX Firewall （この例では、Outside Gw、Middle Gw、Inside Gwと呼ぶ）が定義されており、この各Policy Enforcement Pointにコマンド・セットを配布するCisco Secure Policy Managerホスト(PDP)が、Inside Gwの上流に常駐していると仮定されています。 ここで、PDPのアドレスに対して1対1スタティック変換を行うMiddle GwまたはInside Gwのどちらかにマッピング規則を定義しているとします。

Optionsダイアログ・ボックスにアクセスするために、ToolsメニューのOptionsをクリックします。

結果: Optionsダイアログ・ボックスが表示されます。

1. ポリシー更新デフォルトを選択するために、Policy Update Defaultの下にある次の2つのオプションから1つ選択します。
2. Manual。GUIクライアントがプロンプトでコマンド・セットの承認を行うように要求し、承認後、コマンド・セットがネットワーク全体に適用するために配布されます。
3. Automatic。 コマンド・セットは、自動的に承認され、ネットワーク全体に適用するために配布されます。
4. 変更内容を確定してOptionsダイアログ・ボックスを閉じるために、OKをクリックします。 変更内容を放棄してOptionsダイアログ・ボックスを閉じるために、Cancelをクリックします。
5. 行った変更内容をすべて保存するために、FileメニューのSaveをクリックします。

Network Topologyツリーだけを表示するために、NavigatorツールバーのNetwork Topologyをクリックします。

結果: Network Topologyツリーが、Navigatorペインに表示されます。

1. PIX FirewallノードまたはIOS Routerノードを見つけて、それに対してコマンド承認方法を指定するために、NavigatorペインでそのPolicy Enforcement Pointノードが表示されるまで、Network Topologyツリーを展開します。

ツリー構造は、次に挙げる2通りの方法のどちらかで展開するか、または縮小することができます。

• 展開または縮小するツリーまたはブランチの横にあるプラス・アイコンまたはマイナス・アイコンをクリックします。
• 展開または縮小するツリーまたはブランチのアイコンまたは名前をダブルクリックします。
• ショートカット・メニューにアクセスするために、コマンド承認方法を指定する対象のPolicy Enforcement Pointアイコンを右クリックします。
• Commandパネルを表示するために、Propertiesをポイントし、次にショートカット・メニューのCommandをクリックします。

結果: Commandパネルが、Viewペインに表示されます。

1. このPolicy Enforcement Pointに対して生成されるコマンドを承認するときに従う方法を指定するために、Command Approvalの下でその方法をクリックします。

3通りの承認方法があります。

• Automatic。選択したPolicy Enforcement Point用に生成したコマンド・セットを、Policy Distribution PointがそのPolicy Enforcement Pointに発行する前に、このコマンド・セットの承認を行わない場合に指定します。 コマンド・セットは、Save and Update操作の間に自動発行されることになります。
• Default。ToolsメニューのOptionsをクリックしてアクセスすることができるOptionsダイアログ・ボックスのPolicy Update Defaultの下に指定されている値を使用する場合に指定します。 このオプションによって、すべてのPolicy Enforcement Pointに対するグローバル設定値を定義することができます。
• Manual。選択したPolicy Enforcement Point用に生成したコマンド・セットを、Policy Distribution PointがそのPolicy Enforcement Pointに発行する前に、このコマンド・セットの承認を手作業で行う場合に指定します。
• 変更内容を確定してCommandパネルを閉じるために、OKをクリックします。 変更内容を放棄してCommandパネルを閉じるために、Cancelをクリックします。
• 行った変更内容をすべて保存するために、FileメニューのSaveをクリックします。

System Inconsistenciesパネルにアクセスするために、ToolsメニューのConsistency Checkをクリックします。

結果: System Inconsistenciesパネルが、Viewペインに表示されます。

1. Consistency Checkの実行頻度を指定するために、System InconsistenciesパネルのAutomatic Checkingの下にあるオプションをクリックします。

Automatic Checkingに対しては、次の3つのオプションから選択することができます。

• Always。一貫性チェックは、Navigatorペインでノードを選択するごとに実施されます。 一貫性チェックを受けるのはノードだけです。 このオプションには、At File Saveが含まれます。すべてのノードは、ファイルの保存時に一貫性チェックを受けます。
• At File Save。セキュリティ・システムは、Save操作またはSave and Update操作のたびに一貫性チェックを受けます。
• Disabled。セキュリティ・システムは、一貫性チェックを一切受けません。
• Automatic Checkingに対する選択を承認するために、System InconsistenciesパネルのOKをクリックします。

Disabledを選択した場合は、ダイアログ・ボックスが、システムの整合性およびシステム・セキュリティが、この選択によって損なわれる可能性のあることを通知するメッセージを表示します。 Yesをクリックして、選択を承認します。

1. 現在の変更を保存し、ネットワーク・ポリシーを更新するために、FileメニューのSave and Updateをクリックします。

GUIクライアントの現在の設定が、一貫性に誤りがないかチェックされます。 誤りが検出されると、Save and Update操作は中止されます。 誤りが検出されなかった場合は、現在のコンフィギュレーションがPrimary Policy Databaseに保存され、ネットワーク・ポリシーが更新され、ネットワークで適用されます。

Network Topologyツリーだけを表示するために、NavigatorツールバーのNetwork Topologyをクリックします。

結果: Network Topologyツリーが、Navigatorペインに表示されます。

1. PIX FirewallノードまたはIOS Routerノードを見つけて、そのノード用に生成したコマンド・セットを再検討または承認するために、NavigatorペインでそのPolicy Enforcement Pointノードが表示されるまで、Network Topologyツリーを展開します。
2. ショートカット・メニューにアクセスするために、生成したコマンド・セットを再検討または承認するPolicy Enforcement Pointアイコンを右クリックします。
3. Commandパネルを表示するために、Propertiesをポイントし、次にショートカット・メニューのCommandをクリックします。

結果: Commandパネルが、Viewペインに表示されます。

1. Pending Commandsコマンド・セットの再検討を行うには、Command Review/Editの下でそのオプションを選択します。

結果: 選択したPolicy Enforcement Pointに対してCisco Secure Policy Managerが生成したコマンド・セットが、Commands/Messagesボックスに表示されます。 コマンドを再検討して、コマンドが組織のセキュリティ・ポリシーを満たしているかどうか確認します。 スクロール・バーを使用して、コマンド・セット全体を再検討することができます。

生成したコマンド・セットを再検討するときにCommand/Messageボックスを拡大するために、Commandパネルの1番下にある <<ボタンをクリックします。 Command/Messageボックスを縮小して、別のコマンド・セットを選択できるようにするために、Commandパネルの1番下にある>> ボタンをクリックします。

1. Prologueコマンド・セットの再検討を行うには、Command Review/Editの下でそのオプションを選択します。

結果: Prologueコマンドが、Commands/Messageボックスに表示されます。

1. Epilogueコマンド・セットの再検討を行うには、Command Review/Editの下でそのオプションを選択します。

結果: Epilogueコマンドが、Commands/Messageボックスに表示されます。

1. Commandパネルを閉じるために、OKをクリックします。

Network Topologyツリーだけを表示するために、NavigatorツールバーのNetwork Topologyをクリックします。

結果: Network Topologyツリーが、Navigatorペインに表示されます。

1. PIX FirewallノードまたはIOS Routerノードを見つけて、そのノードに対してPrologueコマンドまたはEpilogueコマンドを入力するために、NavigatorペインでそのPolicy Enforcement Pointノードが表示されるまで、Network Topologyツリーを展開します。

ツリー構造は、次に挙げる2通りの方法のどちらかの方法で展開するか、または縮小することができます。

• 展開または縮小するツリーまたはブランチの横にあるプラス・アイコンまたはマイナス・アイコンをクリックします。
• 展開または縮小するツリーまたはブランチのアイコンまたは名前をダブルクリックします。
• ショートカット・メニューにアクセスするために、PrologueコマンドまたはEpilogueコマンドを入力するPolicy Enforcement Pointアイコンを右クリックします。
• Commandパネルを表示するために、Propertiesをポイントし、次にショートカット・メニューのCommandをクリックします。

結果: Commandパネルが、Viewペインに表示されます。

1. Prologueコマンドを入力するために、Command Review/Editの下でPrologueを選択します。Epilogueコマンドを入力するために、Command Review/Editの下でEpilogueを選択します。

選択したPolicy Enforcement Pointに対して、PrologueコマンドまたはEpilogueコマンドが既に指定されている場合は、この指定されているコマンドが、Commands/Messagesボックスに表示されます。 選択したPolicy Enforcement Pointに対して、PrologueコマンドもEpilogueコマンドも入力していない場合は、Commands/Messagesボックスには、何も表示されません。

1. コマンドを入力するために、Policy Enforcement Pointのコマンド・ラインで（または、Policy Enforcement Pointのテキスト・コンフィギュレーション・ファイルで）行うように、Commands/Messagesボックスにコマンドを入力します。 選択したPolicy Enforcement Pointで使用可能なコマンドについては、メーカのマニュアルを参照してください。

IOSに対するPrologueコマンドとEpilogueコマンドの両方のコマンド・セットを作成する場合は、コマンド・セットが、必ず、IOSコンフィギュレーション・モードで始まり、そのモードで終了するようにする必要があります。 さらに、次のようなコマンドには、後にexitコマンドを付ける必要があります。

crypto map
crypto isakmp policy
ip nat pool
route-map

1. 変更内容を確定してCommandパネルを閉じるために、OKをクリックします。 変更内容を放棄してCommandパネルを閉じるために、Cancelをクリックします。
2. 行った変更内容をすべて保存するために、FileメニューのSaveをクリックします。

PIX FirewallノードまたはIOS Routerノードを見つけて、そのノード用に生成したコマンド・セットを再検討または承認するために、NavigatorペインでそのPolicy Enforcement Pointノードが表示されるまで、Network Topologyツリーを展開します。

1. ショートカット・メニューにアクセスするために、Policy Distribution Pointとの間でIPSec通信を手作業で設定するPolicy Enforcement Pointアイコンを右クリックします。
2. Commandパネルを表示するために、Propertiesをポイントし、次にショートカット・メニューのCommandをクリックします。

結果: Commandパネルが、Viewペインに表示されます。

1. 生成したコマンドを表示するために、Command Review/EditボックスのPending Commandsをクリックします。

結果: 生成されたが、選択したPolicy Enforcement Pointにまだ発行されていないコマンドのリストが、Commands/Messagesボックスに表示されます。

1. IPSecブートストラップ・コマンドを見つけるために、IPSec bootstrap configurationタイトルが表示されるまで、Commands/Messagesボックスをスクロール・ダウンします。
2. IPSecブートストラップ・コンフィギュレーション・タイトルの後に現れるコマンドのリストをコピーし、テキスト・ファイルに貼り付けます。 Windows 95またはWindows NTが動作するコンソール上では、Notepadを使用することができます。 UNIXワークステーション上では、viを使用することができます。

IPSecブートストラップ・コンフィギュレーション・タイトルの後にコマンドが現れない場合は、FileメニューまたはツールバーからSave and Updateを選択した後、ポリシー生成処理がエラーなしに終了したことを確認します。 ポリシー生成を確認するために、ToolsメニューからConsistency Checkを選択します。

コマンドがそれでも表示されない場合は、EnforcementパネルにあるPolicy Distribution PointボックスのUse secure IPSec with templateフィールドで、IPSecテンプレートが選択されているかどうか確認します。

1. 各行の先頭から感嘆符(!)を削除します。

全部の感嘆符を素早く削除するために、テキスト・エディタの検索置換機能を使用します（できれば）。

結果: コマンド・セットが、いつでも、Policy Enforcement Pointに入力できる状態になります。 GUIクライアントがインストールされていないワークステーションからPolicy Enforcement Pointにアクセスする場合は、Policy Enforcement Pointへのアクセス・ポイントからアクセスできる場所、たとえば、フロッピーディスクまたはftpサーバに保存する必要があります。

1. 端末コンソールまたはTelnetセッションを使用して、Policy Enforcement Pointにアクセスします。 ブートストラップ・コンフィギュレーション情報は、Telnet経由ではすべての情報が平文で送信されるため、コンソール端末から入力することを推奨します。 Policy Enforcement Pointにアクセスするために、パスワードの入力を要求される場合があります。
2. Policy Enforcement Pointのコンフィギュレーション・モードに入ります。

ファイアウォール・フィーチャ・セットをもつPIX FirewallまたはIOSルータ上でコンフィギュレーション・モードに入るために、次の操作を行います。

1. EXECモード・プロンプトに対して、enableを入力し、Enterを押します。

結果: Policy Enforcement Pointが、特権EXECモードに入ります。 実際のPolicy Enforcement Pointのコンフィギュレーションによっては、このモードに入る前に、パスワードの入力が要求される場合があります。

2. グローバル・コンフィギュレーション・モードに入るために、config tを入力し、Enterを押します。

結果: Policy Enforcement Pointが、グローバル・コンフィギュレーション・モードに入ります。

結果: Policy Enforcement Pointが、必要なコンフィギュレーション・モードに入ります。

1. コンフィギュレーション・コマンドを入力するために、コマンドをテキスト・ファイルからコピーして、端末セッションまたはTelnetセッションに貼り付けます。 IPSecブートストラップ・コンフィギュレーション・タイトルまたはタイトルの上下に現れる点線は貼り付けないでください。

結果: コマンドが、行ごとにPolicy Enforcement Pointに入力されます。 コマンド・セットが自動的に入力される各コマンドに対して、Policy Enforcement Pointを適切なコンフィギュレーション・モードに置きます。

1. コンフィギュレーション・ファイルにラベルを付け、保存します。
   Policy Distribution PointとPolicy Enforcement Pointの間の標準的通信に戻ることが必要になった場合に、Policy Distribution PointからIPSec設定値を削除するため、"no"形式のコマンドを手作業で発行することが必要になります。

Network Topologyツリーだけを表示するために、NavigatorツールバーのNetwork Topologyをクリックします。

結果: Network Topologyツリーが、Navigatorペインに表示されます。

1. PIX FirewallノードまたはIOS Routerノードを見つけて、そのノード用に生成したコマンド・セットを再検討または承認するために、Navigatorペインで該当するPolicy Enforcement Pointノードが表示されるまで、Network Topologyツリーを展開します。
2. ショートカット・メニューにアクセスするために、生成したコマンド・セットを再検討または承認するPolicy Enforcement Pointアイコンを右クリックします。
3. Commandパネルを表示するために、Propertiesをポイントし、次にショートカット・メニューのCommandをクリックします。

結果: Commandパネルが、Viewペインに表示されます。

1. Pending Commandsコマンド・セットの見直しを行うには、Command Review/Editの下で、そのコマンド・セットが選択されていることを確認します。

Cisco Secure Policy Managerが、選択されているPolicy Enforcement Point用に生成したコマンド・セットが、Commands/Messagesボックスに表示されます。 コマンドを再検討して、コマンドが組織のセキュリティ・ポリシーを満たしているかどうか確認します。 スクロール・バーを使用して、コマンド・セットの全体を再検討することができます。

1. 選択したコマンド・セットを再検討した後、このコマンド・セットを承認するために、Command Approvalの下にあるApprove Nowをクリックします。

結果: 保留中のコマンド・セットが、直ちに、選択したPolicy Enforcement Pointに発行されます。 Statusボックスのメッセージが、Processing completedに変ります。

1. 変更内容を確定してCommandパネルを閉じるために、OKをクリックします。 変更を放棄してCommandパネルを閉じるために、Cancelをクリックします。
2. 行った変更内容をすべて保存するために、FileメニューのSaveをクリックします。

Network Topologyツリーだけを表示するために、NavigatorツールバーのNetwork Topologyをクリックします。

結果: Network Topologyツリーが、Navigatorペインに表示されます。

1. PIX FirewallノードまたはIOS Routerノードを見つけて、そのノード用に生成したコマンド・セットを再検討または承認するために、NavigatorペインでそのPolicy Enforcement Pointノードが表示されるまで、Network Topologyツリーを展開します。
2. ショートカット・メニューにアクセスするために、生成したコマンド・セットを再検討または承認するPolicy Enforcement Pointアイコンを右クリックします。
3. Commandパネルを表示するために、Propertiesをポイントし、次にショートカット・メニューのCommandをクリックします。

結果: Commandパネルが、Viewペインに表示されます。

1. 発行段階の現在の状態を判別するために、Statusボックスのメッセージを参照します。

ステータス・ボックスには、接続試行、アップロード完了（エラーなし）などの発行段階に関するインタラクティブなメッセージが表示されます。警告またはメッセージが生成された場合は、そのメッセージをDistributions Statusメッセージ・ボックスで再検討することができます。

1. Distribution Statusメッセージの再検討を行うには、Command Review/Editの下で、そのオプションを選択します。

Distribution Statusメッセージが、Commands/Messageボックスに表示されます。 このメッセージは、現在、ロードされているコマンド・セットがPolicy Enforcement Pointに発行されたときに検出されたステータスとエラーを示します。 このステータスには、Cisco Secure Policy ManagerによりPolicy Enforcement Pointに発行された実際のコマンドとPolicy Enforcement Pointが返した応答が含まれます。 エラー・メッセージの例として、Could not connect to device. Device not responding: connection failed in 1 secondsがあります。

コマンド/メッセージ・セットを再検討するときに
Command/Message ボックスを拡大するために、Commandパネルの1番下にある <<ボタンをクリックします。 Command/Messageボックスを縮小して、別のコマンド/メッセージ・セットを選択できるようにするために、Commandパネルの1番下にある>> ボタンをクリックします。

1. Commandパネルを閉じるために、OKをクリックします。