ISE 2.4およびFMC 6.2.3 pxGrid統合の設定

はじめに

このドキュメントでは、ISE pxGridバージョン2.4とFMCバージョン6.2.3を統合するための設定プロセスについて説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

• ISE 2.4
• FMC 6.2.3
• Active Directory/Lightweight Directory Access Protocol(LDAP)

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

• スタンドアロンISE 2.4
• FMCv 6.2.3
• Active Directory 2012R2
• Identity Services Engine(ISE)pxGridバージョン2.4
• Firepower Management Center（FMC）バージョン 6.2.3

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

ISE の設定

ステップ 1：pxGridサービスの有効化

1. ISE管理GUIにログインし、Administration > Deploymentに移動します。

  2. pxGridペルソナに使用するISEノードを選択します。

   

  3. pxGridサービスを有効にし、図に示すように保存をクリックします。

 

   4. pxGridサービスがCLIから実行されていることを確認します。 

注：複数のpxGridノードが使用中の場合、pxGridサービスが完全に起動してハイアベイラビリティ(HA)状態を判別するには、このプロセスに最大5分かかる必要があります。

   5. ISE pxGridノードCLIにSSHで接続し、アプリケーションステータスを確認します。

# show application status ise | in pxGrid
pxGrid Infrastructure Service running 24062
pxGrid Publisher Subscriber Service running 24366
pxGrid Connection Manager running 24323
pxGrid Controller running 24404
# 

   6. ISE管理GUIにアクセスし、サービスがオンラインで機能していることを確認します。Administration > pxGrid Servicesに移動します。

   7. ページの下部に、ISEによってConnected to pxGrid <pxGrid node FQDN>と表示されます。

ステップ 2すべてのpxGrid証明書ベースアカウントを承認するようにISEを設定する

  1. 「管理」>「pxGridサービス」>「設定」に移動します。

  2. 「Automatically approve new certificate-based accounts」のボックスをチェックして、Saveをクリックします。

注：このオプションが有効でない場合、管理者はISEへのFMC接続を手動で承認する必要があります。

ステップ 3ISE MNT管理証明書とpxGrid CA証明書のエクスポート

  1. Administration > Certificates > System Certificatesの順に移動します。

  2. 「プライマリ管理」ノードで「プライマリ・モニタリング(MNT)」ノードが使用可能でない場合は、展開します。

  3. Used-Byの「Admin」フィールドを持つ証明書を選択します。

注：このガイドでは、管理者が使用するデフォルトのISE自己署名証明書を使用します。認証局(CA)署名付き管理証明書を使用する場合は、ISE MNTノードで管理証明書に署名したルートCAをエクスポートします。

  4. Exportをクリックします。

  5. [証明書と秘密キーをエクスポートする]オプションを選択します。

  6. 暗号化キーを設定します。

  7. 次の図に示すように、ファイルをエクスポートして保存します。

 

  9. ISE System Certificates画面に戻ります。

 10. 証明書のIssued Byフィールドを、Used By列の使用法が「pxGrid」のフィールドと一致することを確認します。

注：古いバージョンのISEでは、これは自己署名証明書でしたが、2.2以降では、この証明書はデフォルトで内部ISE CAチェーンによって発行されます。

 11. 証明書を選択し、図に示すようにViewをクリックします。

 

 12. 最上位（ルート）証明書を決定します。この場合は「Certificate Services Root CA - tim24adm」です。

 13. 図に示すように、証明書表示ウィンドウを閉じます。

 

 14. ISE Certificate Authorityメニューを展開します。

 15. Certificate Authority Certificatesを選択します。

 16. 識別されたルート証明書を選択し、Exportをクリックします。 次に、図に示すように、pxGridルートCA証明書を保存します。 

  

FMCの設定

ステップ 4FMCへの新しいレルムの追加

1. FMC GUIにアクセスし、System > Integration > Realmsの順に選択します。
2. 図に示すように、New Realmをクリックします。

 3. フォームに入力し、[Active Directory (AD)参加のテスト]ボタンをクリックします。

注:AD参加ユーザ名は、ユーザプリンシパル名(UPN)形式である必要があります。そうでない場合、テストは失敗します。

 4. テストAD参加が正常に終了したら、OKをクリックします。

 

 5. Directoryタブをクリックし、次に図に示すようにAdd directoryをクリックします。

 6. IP/ホスト名を設定し、接続をテストします。

注：テストが失敗した場合は、[レルムの設定]タブで認証情報を確認してください。

 7. OKをクリックします。

 

  8. User Downloadタブをクリックします。

  9. 選択されていない場合は、ユーザーおよびグループのダウンロードを有効にします

 10. [今すぐダウンロード]をクリックします

 11. リストにデータが入力されたら、必要なグループを追加してAdd to Includeを選択します。

 12. レルム設定を保存します。

 13. レルムの状態を有効にします。

ステップ 5FMC CA証明書の生成

 1. 図に示すように、Objects > Object Management > Internal CAsの順に移動します。

 

 2. Generate CAをクリックします。

 3. フォームに入力し、自己署名CAの生成をクリックします。

 

 4. 生成が完了したら、図に示すように、生成されたCA証明書の右側にある鉛筆をクリックします。

 5. Downloadをクリックします。

 

 6. 暗号化パスワードを設定して確認し、OKをクリックします。

 7. Public-Key Cryptography Standards(PKCS) p12ファイルをローカルファイルシステムに保存します。

ステップ 6OpenSSLを使用した、生成された証明書からの証明書と秘密キーの抽出

これは、FMCのルート、またはOpenSSLコマンド対応の任意のクライアントで実行されます。この例では、標準のLinuxシェルを使用します。

 1. opensslを使用して、証明書(CER)と秘密キー(PVK)をp12ファイルから抽出します。

 2. CERファイルを抽出し、FMCの証明書生成から証明書エクスポートキーを設定します。

  ~$ openssl pkcs12 -nokeys -clcerts -in <filename.p12> -out <filename.cer>
  Password:
  Last login: Tue May 15 18:46:41 UTC 2018
  Enter Import Password:
  MAC verified OK

 3. PVKファイルを抽出し、証明書のエクスポートキーを設定し、新しいPEMパスフレーズを設定して確認します。

  ~$ openssl pkcs12 -nocerts -in <filename.p12> -out <filename.pvk>
  Password:
  Last login: Tue May 15 18:46:41 UTC 2018
  Enter Import Password:
  MAC verified OK

4. このPEMフレーズは次のステップで必要です。

ステップ 7FMCへの証明書のインストール

 1. Objects > Object Management > PKI > Internal Certsの順に移動します。

 2. 図に示すように、Add Internal Certをクリックします。

 3. 内部証明書の名前を構成します。

 4. CERファイルの場所を参照して選択します。証明書データが入力されたら、2番目のデータを選択します。 

 5. Optionを参照して、PVKファイルを選択します。

 6. PVKセクションの先頭の「バッグ属性」と末尾の値をすべて削除します。PVKは-----BEGIN ENCRYPTED PRIVATE KEY—で始まり、-----END ENCRYPTED PRIVATE KEY—で終わります。  

注:PVKテキストの先頭と末尾にハイフン以外の文字が含まれている場合は、「OK」をクリックできません。

 7. Encryptedボックスにチェックマークを入れ、ステップ6でPVKがエクスポートされたときに作成されたパスワードを設定します。

 8. OKをクリックします。

ステップ 8ISEへのFMC証明書のインポート

 1. ISE GUIにアクセスし、Administration > System > Certificates > Trusted Certificatesの順に選択します。

 2. Importをクリックします。

 3. Choose Fileをクリックし、ローカルシステムからFMC CERファイルを選択します。

     オプション：フレンドリ名を構成します。

 4. ISE内の認証でTrustにチェックマークを付けます。

     オプション：説明を構成します。

 5. 図に示すように、Submitをクリックします。

ステップ 9FMCでのpxGrid接続の設定

 1. 図に示すように、System > Integration > Identity Sourcesの順に移動します。

 2. ISEをクリックします。

 3. ISE pxGridノードのIPアドレスまたはホスト名を設定します。

 4. pxGrid Server CAの右側にある[+]を選択します。

 5. サーバCAファイルに名前を付け、ステップ3で収集したpxGridルート署名CAをブラウズし、Saveをクリックします。

 6. MNTサーバCAの右側にある+を選択します。 

 7. サーバCAファイルに名前を付け、ステップ3で収集した管理証明書を参照して、Saveをクリックします。 

 8. ドロップダウンリストからFMC CERファイルを選択します。

 9. Testをクリックします。

 10. テストが成功したら、画面の右上にあるOK、Saveの順にクリックします。

注:2つのISE pxGridノードを実行すると、pxGridは一度に1つのISEノードでのみアクティブに実行されるため、通常は1つのホストで成功、1つのホストで失敗と表示されます。これは、どのプライマリホストが「Failure」を表示し、どのセカンダリホストが「Success」を表示するかという設定によって異なります。これはすべて、ISEのどのノードがアクティブpxGridノードであるかによって異なります。

確認

ISEでの検証

 1. ISE GUIを開き、Administration > pxGrid Servicesに移動します。

成功すると、2つのfirepower接続がクライアントリストにリストされます。1つは実際のFMC用(iseagent-hostname-33bytes)、もう1つはテストデバイス用(firesightisetest-hostname-33bytes)です。

 

iseagent-firepower接続が6つのサブスクリプションを表示し、オンラインになります。

firesightisetest-firepower接続でゼロ(0)のサブスクリプションが表示され、オフラインと表示される。

iseagent-firepowerクライアントの展開されたビューに、6つのサブスクリプションが表示されます。

注：これはCisco Bug IDCSCvo75376 ホスト名に制限があり、一括ダウンロードが失敗します。FMCのテストボタンに接続障害が表示されます。これは2.3p6、2.4p6、および2.6に該当します。現在のところ、正式なパッチがリリースされるまで2.3パッチ5または2.4パッチ5を実行することを推奨しています。

FMCでの検証

 1. FMC GUIを開き、Analysis > Users > Active Sessionsの順に移動します。

ISEのセッションディレクトリ機能を使用して公開されたすべてのアクティブセッションが、FMCのアクティブセッションテーブルに表示されます。

 

FMC CLI sudoモードから、「adi_cli session」にはISEからFMCに送信されたユーザセッション情報が表示されます。

ssh admin@<FMC IP ADDRESS>
Password:
Last login: Tue May 15 19:03:01 UTC 2018 from dhcp-172-18-250-115.cisco.com on ssh
Last login: Wed May 16 16:28:50 2018 from dhcp-172-18-250-115.cisco.com

Copyright 2004-2018, Cisco and/or its affiliates. All rights reserved.
Cisco is a registered trademark of Cisco Systems, Inc.
All other trademarks are property of their respective owners.

Cisco Fire Linux OS v6.2.3 (build 13)
Cisco Firepower Management Center for VMWare v6.2.3 (build 83)

admin@firepower:~$ sudo -i
Password:
Last login: Wed May 16 16:01:01 UTC 2018 on cron
root@firepower:~# adi_cli session

received user session: username tom, ip ::ffff:172.18.250.148, location_ip ::ffff:10.36.150.11, realm_id 2, domain rtpaaa.net, type Add, identity Passive.
received user session: username xiayao, ip ::ffff:10.36.148.98, location_ip ::, realm_id 2, domain rtpaaa.net, type Add, identity Passive.
received user session: username admin, ip ::ffff:10.36.150.24, location_ip ::, realm_id 2, domain rtpaaa.net, type Add, identity Passive.
received user session: username administrator, ip ::ffff:172.18.124.200, location_ip ::, realm_id 2, domain rtpaaa.net, type Add, identity Passive.

トラブルシュート

現在、この設定に関する特定のトラブルシューティング情報はありません。