Cisco Prime IP Express の BYOD 機能 - ホワイト ペーパー

概要

このホワイト ペーパーでは、Cisco PRIME IP Express（CPIPE）システムの BYOD の機能と設定について説明します。Cisco PRIME IP Express BYOD 登録ポータルは、デバイスを登録および管理するための、使いやすいセルフサービスの Web ポータルです。これは Cisco PRIME IP Express の DHCP、CDNS に統合されています。手法、アーキテクチャ、およびこのシステムに必要な BYOD 設定についての詳細がこのドキュメントに説明されています。このホワイト ペーパーをガイドとして使用して、デバイスの登録および管理のための BYOD の設定が行えます。

問題の説明

すべての IP ネットワークは、共通の問題に直面しています。これらは、自動のインターネット サインオン システムの開発以前にボストン カレッジが直面した問題と似ています。たとえば、次のことを行う必要があります。

• 正しい IP アドレスおよびネットワーク設定を持つ、無干渉でユーザ主導型のコンピュータの設定を提供する。

• 短時間で多数のコンピュータを設定する

• ネットワークで設定中のコンピュータに関する情報を取得する

• IP ネットワーク リソースへのアクセスを制御する

• ネットワークおよびセキュリティ イベントのトラブルシューティングをサポートする情報を集める

BYOD の機能概要

Cisco PRIME IP Express システムの BYOD 機能は、従業員に IP が有効化されたデバイスを十分に管理された安全な方法で使用するための分かりやすいソリューションを提供できるため、上記のそれぞれの問題を解決するのに使用することができます。これにより、IT 管理者が個人用および会社のデバイスを組み込んでトラックするための課題が効果的に解決されます。この機能の利点は次のとおりです。

• 正しい IP アドレスおよびネットワーク設定を持つ、無干渉でユーザ主導型のデバイスの設定を提供します。

• 短時間で多数のデバイスを設定します。

• ネットワークで設定中のデバイスに関する情報を取得します。

Cisco PRIME IP Express DHCP ネットワークは、ユーザが初めて BYOD デバイスを接続するときには、既存の Active Directory クレデンシャルを使用してデバイスを登録する必要があるため、自動的にユーザを BYOD 登録ポータルにリダイレクトします。登録時に、MACアドレス/DUIDや他のメタデータなど、ユーザのデバイスに関する情報は、自動検出または手動入力によって取得されます。この情報は、ユーザをデバイスにマップし、監査やコンプライアンスのために IP アクティビティをトラックするのに使用します。BYOD 登録ポータルは、Cisco Prime IP Express の DHCP と統合されています。

ユーザのパースペクティブ：

BYOD 機能は、デバイスを有効化し、Cisco Prime IP Express（CPIPE）ネットワークにアクセスするためのシンプルなプロセスをエンドユーザに提供します。手順は次のとおりです。

• デバイスをネットワークに接続します。

• ブラウザから HTTP をリクエストします。

• BYOD 登録ページに自動的にリダイレクトされます。

• 登録ページではデバイスの詳細を取得し、ユーザにユーザ クレデンシャルを入力するプロンプトが表示されます。

• ユーザ名やパスワードなどのクレデンシャルを入力します。

• 利用規約に同意します。

• [Register] ボタンをクリックします。

• 数秒待つと、デバイスがリブートします。

このプロセスは通常約 3 分しかかかりません。完了すると、デバイスが有効化され、クライアントが DHCP サーバに作成されます。

管理者のパースペクティブ：

このシステムは使いやすいセルフサービスの Web ポータルで、多くの時間がかかり、エラーが発生しやすいプロセスを置き換えます。このセルフサービス システムの管理はとてもシンプルです。

• Cisco Prime IP Express の Web サーバをインストールします。

• BYOD（DHCP サーバ、CDNS サーバ）を設定します。

• デバイスを登録する方法がユーザに指示されます。

• ユーザ ログイン ページを使用してデバイスを管理する方法が、ユーザに指示されます。

機能アーキテクチャ

この機能のアーキテクチャには、少なくとも 4 つの主要なコンポーネントである、ローカル DHCP サーバ、CDNS サーバ、地域サーバおよび Active Directory が必要です。地域サーバでは、BYOD をサポートするために新規の tomcat インスタンスが実行されます。標準 CDNS サーバは、ACL リストによるドメイン リダイレクト ルールが設定されているため、特定の範囲のアドレスからの HTTP クエリはすべて BYOD Web サーバ アドレスに解決されます。次に示すのは機能アーキテクチャ ダイアグラムです。

プロセス フロー

次の図は、ユーザまたはクライアントが BYOD をネットワークに接続する時の、Web UI のプロセス フローについて説明しています。

• クライアントが新規のデバイスをネットワークに接続する時、DHCPDISCOVER/SOLICIT パケットが DHCP に送信されます。

• DHCP は一時的な IP を提供し、DHCPv4 のオプション 6 または DHCPv6 のオプション 23 を CDNS サーバ アドレスとともに返します。

• クライアントは DNS 解決クエリを CDNS サーバに送信します。

• CDNS ドメイン リダイレクト ルールによって、未登録の BYOD デバイスに BYOD Web サーバ IP が提供され、デバイスの登録ページにリダイレクトされます。

• BYOD の Web サーバは HTTP ヘッダー データからクライアント IP を取得し、一致するサブネットまたはプレフィクスをチェックして、クライアントの DHCP サーバ アドレスを検出します。

• 一致するサブネットまたはプレフィクスが見つからない場合、SCP リクエストが地域 CCM に送信され、クライアントが使用した DHCP サーバを検索し、BYOD のインメモリのサブネットまたはプレフィクス情報を更新します。

• リース クエリとアドレスを、対応する DHCP サーバに送信して（DHCPv4 では RFC 4388、DHCPv6 では RFC 5007 による）、クライアントの識別子（デバイス ID）を取得し、デバイスの登録ページにデバイス ベンダーやオペレーティング システム等の他の詳細とともに入力します。

• クライアントは Active Directory のクレデンシャルを入力し、ログイン フォームを送信します。

• BYOD の Web サーバが Active Directory に対してクレデンシャルを認証します。

• 認証が成功した場合、BYOD の Web サーバは SCP リクエストを DHCP クラスタまたはフェールオーバーのペアに送信して、クライアントのエントリ（クライアントのクラス名、認証期限、デバイス タイプ、ベンダー、OS、MAC/UDID、ユーザ名）を DHCP クライアントのデータベースに作成します。LDAP を設定している場合、クライアントは LDAP データベースでのみ作成されます。

• 最後に、BYOD Web サーバは、登録の成功を知らせるメッセージを、クライアントによって登録されたすべてのデバイスの詳細とともに、クライアントに送信します。

• 認証に失敗した場合、BYOD Web サーバは認証に失敗したことを知らせるメッセージをクライアントに送信します。

BYOD の設定

BYOD機能をサポートするシステムを構築するには、Cisco Prime IP Expressの設定を設定済みの設定から変更して、サーバの高度な機能の一部を有効にする必要があります。Cisco Prime IP Express の地域サーバの BYOD のセットアップ ウィザードを使用して、簡単にこのプロセス（BYOD 設定）を実行できます。

Cisco Prime IP Express のインストール方法に関する情報については、『Cisco Prime IP Express インストール ガイド』を参照してください。

GUI の使用法の詳細については、『クイック スタート ガイド』および『ユーザ ガイド』を参照してください。

他のすべての Cisco Prime IP Express の製品ドキュメントは次の URL から入手できます。http://www.cisco.com/c/en/us/support/cloud-systems-management/prime-ip-express/tsd-products-support-series-home.html

BYOD セットアップ ウィザード

次のセクションでは、Cisco Prime IP Express 地域サーバの BYOD セットアップ ウィザードのワーク フローを説明します。全体的なプロセスには、DHCP および CDNS サーバの両方の設定が含まれています。簡単なセットアップにおいては、デフォルトのクライアントが未登録の BYOD デバイスに使用されますが、複雑なセットアップにおいては、client-class-lookup-id および client-lookup-expression が使用されます。詳細はユーザ ドキュメントまたは導入ガイドに記載されています。

DHCP 設定。

DHCP サーバを設定するには、以下の手順に従います。

• [Failover] の値に [No] を選択します。

• [DHCPv4] の値に [Yes] を選択します。

• [DHCPv6] の値に [No] を選択し、[Next] をクリックします。

• DHCPv4 セットアップ ウィザード ページが開きます。

• [Add Scope Templates] をクリックして、スコープを作成します。

• [Name] ボックスにスコープ テンプレート名を入力し、[Add DHCP Scope Template] ボタンをクリックします。

• [Save] をクリックしてスコープ テンプレートを保存し、[Next] をクリックして次のページに移動します。

• [Scope Name Expression] テキスト ボックスに「concat "byod-" subnet」と入力します。

• [Range Expression] テキスト ボックスに「create-range first-addr last-addr」と入力し、[Save] をクリックしてページを保存します。[next] をクリックします。

• [Add Subnet] をクリックしてサブネットを作成します。

• [Address] テキスト ボックスにサブネット IP を入力し（例：10.76.206.0）、[Add Subnet] ボタンをクリックします。

• [Push] アイコンをクリックして、サブネットをローカル クラスタにプッシュします。

• [Clusters] または [Failover] ドロップダウン リストから、サブネットをプッシュするローカル クラスタのホスト名を選択します。

• [Scope Template] ドロップダウン リストからスコープ テンプレートを選択します

• [Push Subnet] ボタンをクリックします。

• [Next] をクリックして、BYOD セットアップ ページに移動します。

BYOD の設定

BYOD セットアップ ページを使用して、ドメイン リダイレクト ルール（DNS スプーフィング）および未登録デバイスのリース時間の CDNS サーバ設定の詳細を取得します。

1. 次に示すポリシーおよびクライアント クラスは、地域サーバで作成され、その後セットアップ ウィザード ページで使用されます。

   BYOD ポリシー名：BYOD_Unregistered。

   • DHCPv4 の dhcp-lease-time オプション（51）を追加し、DHCPv6 の valid-lifetime および preferred-lifetime を設定します。

   • DHCPv4 にドメイン ネーム サーバのオプション 6 を、DHCPv6 にはオプション 23 を選択します。

   BYOD クライアント クラス名：BYOD_Registered

   • 除外の選択基準を設定します（BYOD_Unregistered）。

   BYOD クライアント クラス名：BYOD_Unregistered。

   • 選択基準を設定します（BYOD_Unregistered）。

   • ポリシーを設定します（BYOD_Unregistered）。

2. BYOD を設定するには、以下の手順に従います。

   • ドロップダウン リストから CDNS サーバを選択します。

   • 未登録のクライアントの時刻を指定し、クリックします。

   • [Next] をクリックして、[Policies] ページに移動します。

   • [Push] アイコンをクリックし、使用可能一覧からローカル クラスタ ホスト名を選択し、戻る矢印を使用して宛先クラスタに追加し、[Push Data to Clusters] ボタンをクリックします。

   • [Close] ボタンをクリックして、[View Push Data Report] を閉じます。

   • [Next] をクリックして [Client Classes] ページに移動し、[Push] アイコンをクリックし、[Push Data to Clusters] ボタンをクリックします。

   • [Close] ボタンをクリックして、[View Push Data Report] を閉じ、[Next] をクリックして、[Scope Creation] ページに移動します。

   • [Value] の下のテキスト ボックスにパーセンテージを指定して、未登録クライアントの IP 範囲を定義します。デフォルト値は 10 です。

   • [Next] をクリックして、[Report] ページに移動します。このページには、次の図に示すように、スコープ、クラスタ、サブネット、および IP の範囲などの他の詳細とともに、特定のクライアントに割り当てられた IP の範囲が表示されます。

   • [Next] をクリックして、HTTPS 設定ページに移動します。

地域サーバの HTTPS 設定

HTTPS 設定にセットアップ ウィザードを使用できます。BYOD Web サーバには、これらの詳細が必要です。

HTTPS を設定するには、以下の手順に従います。

• [Choose File] ボタンを使用して、キーストア ファイルをアップロードし、[Keystore Password] テキスト ボックスにキーストア パスワードを入力し、[Upload] ボタンをクリックし、[Next] をクリックして [Reload Server] ページに移動します。

サーバのリロード

設定が完了したら、[Reload Server] ページを使用して DHCP サーバ、CDNS サーバ、および BYOD Web サーバをリロードできます。

これを行うには、次の手順を実行します。

• [Yes] または [No] に値を指定して BYOD Web サーバ、CDNS Web サーバ、および DHCP サーバ/フェールオーバー ペアを再起動し、[Reload Servers] ボタンをクリックし、[Next] をクリックして [Security] ページを開きます。

• [Value] ドロップダウン リストから認証タイプの値に [Active Directory] を選択します。

• [Save] と [Next] をクリックし、[Active Directory] ページに移動して、[Save] をクリックします。

• IP アドレス、ホスト名、ポート（たとえば、IP = 10.76.206.5、ホスト名 = tmh2-chn-cnrent-AD1、ポート = 389）をそれぞれのテキスト ボックスに入力し、[Add Address] をクリックします。

• [Domain] テキスト ボックスに「CPIPE.COM」というドメイン名を入力します。

• [Next] をクリックすると、[Successfully Configured] ページが開きます。[Finish] をクリックして、設定プロセスを完了します。

[Device Registration] ページ

[Device Registration] ページでは、ユーザは自分のデバイスを登録することができます。このページでは、[Device Type]、[Device OS]、[Device Vendor]、および [Device/MAC ID] などの一部のフィールドが事前設定されており、ユーザは詳細を編集することもできます。ただし、ユーザは次のようなユーザ クレデンシャルを入力する必要があります。

ページ

• ユーザ名

• Password

• [Terms Of Service]

[Activation Success] ページ

登録が成功すると、アクティベーション成功ページに、自動アクティベーションと再接続のリース時間を示すメッセージが表示されます（図を参照）。アクティベーション成功ページには、同じユーザに対して現在登録されているデバイスのリストも表示されます。削除アイコンをクリックして、デバイスを削除できます。

デバイスを管理するユーザ ログイン ページ

ユーザ ログイン ページでは、ユーザが登録済みのデバイスを削除することができます。ユーザ ログイン ページにログインするには、ユーザはユーザ名、パスワードなどのログイン クレデンシャルを入力し、利用規約にも同意する必要があります。ログインに成功すると、[BYOD Registered Devices] ページが開きます。このページは、デバイスの削除など、登録デバイスの管理のために使用します。

• ユーザ名

• Password

• [Terms Of Service]

検索式

検索式によって、デバイスが既存のデバイスであるか未登録かを識別します。これは、DHCP サーバの client-class-lookup-id 属性のクライアント クラスを識別します。サーバはこの式をすべての受信パケットに対して実行して、パケットのクライアント クラスを判別します。指定した式の値によって、文字列（パケットのクライアント クラス名、またはクライアントの要求に対してクライアント クラスの値が考慮されなかったことを示す識別文字列）を返します。検索式により、各クライアントが同じネットワーク内で適切なサービス クラスを受けることができます。

検索式の設定

BYOD を設定した後は、次の手順に従って検索式を設定することができます。

• [Expert] をクリックしてエキスパート モードを開始します。

• [List/Add DHCP Client Classes] ページを開きます（次のように選択：[Design] > [DHCP Settings] > [Client Classes]）。

• 左側の [Client Classes] ペインでクラスを作成するか、作成済みのクラスを選択します。

• [Edit DHCP Client Class created client] ページの [Create New Embedded Policy] で、[client-lookup-id] および [override-client-id] に式を入力します。たとえば、[client-lookup-id] テキスト ボックスに「request option "relay-agent-info" "remote-id"」と入力し、[override-client-id] テキスト ボックスに「request option "relay-agent-info" "remote-id"」と入力します。

• [Save] をクリックして、設定を保存します。

• [Manage Server] ページを開きます（次のように選択：[Operate] > [Servers] > [Manage Servers]）。

• 左側の [Manage Servers] ペインの [Local DHCP Server] リンクをクリックします。

• [Edit Local DHCP Server] タブをクリックします。

• [client-class-lookup-id] テキスト ボックスに作成したクライアント クラス名を入力します。

• ローカル DHCP サーバを再起動してこれらの変更を有効にします。

LDAP クライアント作成のサポート

IP Express DHCP サーバで LDAP クライアント オプションが有効な場合、BYOD Web サーバは「LDAP クライアント作成」のサポートを有効化します。

DHCP サーバで LDAP の client-look-up が有効な場合、LDAP にクライアントを作成するには、BYOD に地域サーバの LDAP 設定が必要です。

地域サーバに LDAP クライアントを作成して設定するには、以下の手順に従います。

• [Expert] をクリックしてエキスパート モードを開始します。

• [List/Add LDAP Remote Servers] ページを開きます（次のように選択：[Deploy] > [DHCP] > [LDAP]）。

• 左側の [LDAP] ペインで、[Add LDAP] アイコンをクリックすると、[Add DHCP LDAP Server] ウィンドウが開きます。

• [name] および [hostname] テキスト ボックスに LDAP 名とホスト名を入力し、次に [Add DHCP LDAP Server] をクリックします。左側の [LDAP] ペインに、DHCP LDAP サーバが入力した名前で追加されます。

• 左側の[LDAP]ペインで新しく追加した[LDAP]リンクをクリックすると、[Edit LDAP Remote Server]ページが開き、このページ名とホスト名が自動入力されます。

• アドレス、ポートの値、ユーザ名、およびパスワードを、それぞれのテキスト ボックスに入力します。

• [enable]の値を[True]に設定します。

• [can-create]の値を有効にします。

• 「can-query」の値を有効に設定します。

• [can-update]の値を有効に設定します。

• [Query]で、[Search Path]の値を入力します。

• [Query]で、[Search Path]の値を入力します。

• [Query]で、「search-scope」のデフォルト値SUBTREEを保持します

• [Create Settings]に「dn-create-format」値を入力します

• [Create Settings]で、「create-dictionary」値を入力します

• [Create Settings] で、[create-object-classes] の値を入力します。

• [Save] をクリックして、設定を保存します。

• [Manage Servers] ページを開きます（次のように選択：[Operate] > [Servers] > [Manage Servers]）。

• 左側の [Manage Servers] ペインの [Local BYOD Web Server] リンクをクリックします。

• [Restart Server] アイコンをクリックして、ローカル BYOD Web サーバを再起動し、変更を有効にします。

DHCP フィンガープリント

DHCP フィンガープリントは、特定のオペレーティング システムやデバイスの種類を特定する固有識別子です。

BYOD Webサーバは「dhcp_fingerprint.conf」を読み取り、指紋(PRL)とOSの説明の「HashMap」を持っています。

DHCPv4 リース クエリの応答から、BYOD Web サーバはリースに関するユーザ定義の属性値を取得し、適切な OS（記述値）および OS 番号を検出します。OS 番号を使用して適切なクラスの定義を検出し、クラスの記述はデバイスの種類の情報を提供します。

フィンガープリントファイルを使用してOSベンダーとデバイスタイプを識別できない場合は、httpヘッダーユーザエージェントデータが使用されます。パターンマッチングは、OSのリストを持つプライマリファイルで行われます。

DHCP フィンガープリントを設定するには、以下の手順に従います。

• [Expert] をクリックしてエキスパート モードを開始します。

• [List/Add DHCP Extensions] ページを開きます（次のように選択：[Deploy] > [DHCP] > [Extensions]）。

• 左側の [Extensions] ペインで、[Add Extensions] アイコンをクリックして、[Add DHCP Server Extension] ウィンドウを開きます。

• それぞれのテキストボックスに拡張子「name」、「lang」、「file」、および「entry」の値を入力します。

• [Add DHCP Server Extension] をクリックし、次に [Save] をクリックして設定を保存すると、新しい拡張が追加されます。

• 左側の[Add Extension]ペインで[Extension]リンクをクリックすると、[Edit DHCP Extension]ページが開きます。

• 図に示すように、右側にある[Attach Extension Points]アイコンをクリックすると、[Extension Points]ウィンドウが開きます。

• [Attach Extension Points] で [post-packet-decode] を選択し、次の図に示すように [Save] をクリックします。

• または、[DHCP Extension Points]タブをクリックし、[Attach]ドロップダウンリストを[post-packet-decode]に対して選択します。 このウィンドウは、接続した拡張を切断するためにも使用できます。

• [Manage Servers] ページを開きます（次のように選択：[Operate] > [Servers] > [Manage Servers]）。

• 左側の [Manage Servers] ペインの [Local DHCP Server] リンクをクリックします。

• [Restart Server] アイコンをクリックして、ローカル DHCP サーバを再起動し、変更を有効にします。

注：フィンガープリントはローカル サーバでのみ設定する必要があります。

テーマの設定

このページでは、BYOD 管理者が、特定の色、カラー コード、およびユーザのブランドに合わせたロゴや背景イメージなどのテーマ属性を編集して、BYOD Web サーバ ページのルック アンド フィールを編集することができます。

カスタマイズできない Cisco のデフォルト テーマと、カスタマイズ可能なテーマの 2 種類のテーマがあります。

テーマを設定するには、次の手順に従います。

• [Expert] をクリックしてエキスパート モードを開始します。

• [List/Add Custom Theme] ページを開きます（次のように選択：[Deploy] > [DHCP] > [Theme]）。

• 左側の [Theme] ペインで、[Add Theme] アイコンをクリックして、[Add Custom Theme] ウィンドウを開きます。

• テーマ名、背景色、ログイン ページ タイトルのフォントの色、ページ タイトルのフォントの色を各テキスト ボックスに入力します。

• [Add Custom Theme] をクリックすると、次のページが開き、入力した詳細が表示されます。

注：このページを使用して、背景イメージ、共通のページ ヘッダーのイメージ、ログイン ページのロゴ、および共通のページのロゴをアップロードできます。

• [Background Image Browse] ボタンをクリックし、次に [Upload] をクリックして背景のイメージをアップロードします。

• 同じ手順を繰り返して、共通のページ ヘッダーのイメージ、ログイン ページのロゴ、および共通のページのロゴをアップロードします。

• [Save] をクリックして、設定を保存します。

コンテンツ ページ

[Content] ページでは、BYOD 管理者が、登録/ログイン ページのメッセージ、コンテンツについて、利用規約、連絡先および顧客固有のヘルプなどのメッセージを設定することができます。

ユーザがコンテンツを入力し、（.html）ファイル（フォーム）を送信またはアップロードすると、 BYOD Web コンテンツ ディレクトリ内の各属性について固有の HTML ファイルが固有のファイル名で生成され、その固有の HTML ファイルを指すコンテンツ リンクが生成されます。

入力したコンテンツは、入力時と同じフォーマットで表示されるように HTML の段落タグの間に配置されます。

[Content] ページを設定するには、以下の手順に従います。

• [Expert] をクリックしてエキスパート モードを開始します。

• [Content] ページを開きます（次のように選択：[Deploy] > [BYOD] > [Content]）。

• 登録/ログイン ページのメッセージのコンテンツ、コンテンツについて、利用規約のコンテンツ、連絡先のコンテンツおよびヘルプのコンテンツを各テキスト ボックスに入力します。

• または、該当する [Browse] ボタンと [Load] ボタンをクリックして、コンテンツをインポートします。

• [Save] をクリックして、設定を保存します。

用語集

次に示す一覧は、ドキュメント全体で使用される用語の略語について説明しています。

BYOD：個人所有デバイスの持ち込み（BYOD）

AD：Active Directory

CPIPE：Cisco Prime IP Express

DHCP：Dynamic Host Configuration Protocol

CDNS：キャッシング ドメイン ネーム システム

ACL：アクセス コントロール リスト

SCP：システム設定プロトコル

CCM：Central Configuration Manager

RFC：コマンドの要求

DUID：DHCP 固有識別子

LDAP：Lightweight Directory Access Protocol