内容

はじめに

前提条件

要件

使用するコンポーネント

設定

ネットワーク図

CSSMをオンプレミスでVMWARE ESXiにインストールします。

CSSMのオンプレミスの初期設定(CSSM On-Prem)。

オンプレミスのCSSMとスマートアカウントの統合

オプション1：インターネット接続を使用してCSSMをオンプレミスで登録します。

オプション2：インターネット接続なしでCSSMをオンプレミスで登録します。

CSSMをオンプレミスでISEと統合します。

Windows CAから証明書を作成します。

Windows ServerでDNSレコードを追加します。

トラブルシュート

ホスト/IPアドレスに到達できません。（ISEのエラー）

SSOサービス：シスコにアクセスできません。（CSSMオンプレミスのエラー）

CSRの共通名がDNSで解決可能なホスト名またはIPアドレスではありません。もう一度やり直してください。（CSSMオンプレミスのエラー）

はじめに

このドキュメントでは、CSSM On-PremとCisco Identity Service Engine(ISE)およびCisco Smart Accountの統合によるシームレスなセットアップについて説明します。

前提条件

要件

ISE 3.X

Cisco Smart Software Manager(CSSM)バージョン8リリース202304 +

使用するコンポーネント

- Identity Service Engine(ISE)3.2パッチ2

- Prem 8.20234のSSM

- Windows Active Directory 2016(DNSおよび認証局サービス)

- VMWare ESXiバージョン7

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

設定

ネットワーク図

一般的なトポロジ

CSSMをオンプレミスでVMWARE ESXiにインストールします。

1. Cisco IOS®をダウンロードします。次のリンクを使用できます。https://software.cisco.com/download/home/286285506/type/286326948/release/8-202304

2. ISOをVMWARE ESXiにアップロードします。

Storage > Datastore Browserの順に移動します。

Data Browserセクション

3. Create Directoryをクリックして新しいフォルダを作成します（オプション）。

ディレクトリの作成

次の例では、CSSMフォルダが作成されています。

フォルダの作成

4. Uploadをクリックし、ISOファイルを選択します。

ISOのアップロード

これで、ISOファイルがCSSMフォルダ内に作成されました。

ISOのアップロードが完了します

5. 仮想マシンを作成します。仮想マシン> VMの作成/登録に移動します。

新しいVMの作成の手順01

6. Create a new virtual machineを選択し、nextをクリックします。

新しいVMの作成の手順02

7. 次のパラメータを設定します。

- 名前：仮想マシンの名前を入力します。

- 互換性: ESXi 6.0以降またはESXi 6.5以降のいずれかを選択します。

- ゲストOSファミリ:Linux

- ゲストOSバージョン:CentOS 7（64ビット）または他の2.6x Linux（64ビット）のいずれかを選択します。

[next] をクリックします。

VM名とIOS

8. storageを選択し、nextをクリックします。

記憶域リスト

9. 次のパラメータを構成します。

- CPU:4以上。実際のvCPU設定は、スケール要件によって異なります

注：選択した仮想ソケットの数に関係なく、ソケットあたりのコア数を1に設定する必要があります。たとえば、4つのvCPU構成は、4つのソケットおよびソケットごとに1つのコアとして設定する必要があります。

コアの構成

- メモリ:8 GB

- ハードディスク：200 GB。プロビジョニングがシンプロビジョニングに設定されていることを確認。

ディスク構成

- ネットワークアダプタ: E1000アダプタのタイプを選択し、電源オン時に接続します。

ネットワーク設定の構成

- CD / DVDドライブ:「データISOファイル」を選択し、ISOファイルを選択します。

ISOイメージ

前の手順を完了したら、設定の概要を確認できます。

VM設定の概要01

[next] をクリックします。

10. Finishをクリックします。

VM設定の概要02

CSSMオンプレミス(Cisco IOS)の初期設定。

1. VMWARE ESXiで、Virtual Machinesに移動し、使用しているVMを選択して、Power Onをクリックします。

電源オンオプション

2. VMコンソールを管理するには、複数のオプションがあります。Console > Open browser consoleの順に選択します。

VMを管理するためのオプション

3. ネットワーク設定を構成します。

注:CSSM FQDNを解決するDNSサーバのIPアドレスを設定することが重要です。

CSSMネットワーク設定の構成

Okをクリックして、新しいCLIパスワードを設定します。

4. その後、インストールプロセスが開始され、アクセスプロンプトが表示されるまで完了します。

CSSM初期設定が完了しました

5. ブラウザを開き、https://<ip_address_CSSM>と入力します。

CSSMログインページ

デフォルトのクレデンシャルを使用します。

ユーザ名：admin

パスワード：CiscoAdmin!2345

6. 言語を選択します。

7. 新しいGUIパスワードを作成します。

8. ホストの共通名を設定します。（例：hostname.yourdomain）。

この例では、cssm.testlab.localはHost Common Nameとして設定されています。

ホストの共通名設定

9. 設定を検証し、Applyをクリックします。

CSSMの初期設定が完了しました。

オンプレミスのCSSMとスマートアカウントの統合

スマートアカウントをPrem ServerのCSSMに関連付ける必要があります。

1. 次のリンクを使用してシスコスマートアカウントを開きます。

https://software.cisco.com/

2. 次に、Smart Software ManagerセクションでManage Licensesを選択します。

ライセンスの管理オプション

3. Inventoryに移動し、スマートアカウント名と仮想アカウントの名前をコピーします。このガイドでは、これはInternalTestDemoAccount67およびAAA MEX TESTです。

ソフトウェアのCiscoページ

4. CSSM GUIを開き、Admin Workspaceオプションを選択します。

メインCSSMメニュー

5. 次に、Accountsを選択します。

アカウント：

6. 新しい登録要求を作成するには、New Accountを選択します。

CSSMアカウントの作成。

7. 次の情報を入力します。

- アカウント名：これは新しい登録のカスタム名です。

- Ciscoスマートアカウント：スマートアカウント名を貼り付けます。

- シスコの仮想アカウント：仮想アカウント名を貼り付けます。

- 通知用の電子メール：電子メールを入力します。

アカウント登録。

[Submit] をクリックします。

8. 次にAccount Requestsをクリックします。

このセクションでは、前の手順で行われた要求を確認できます。

アカウント要求。

9. [アクション（Actions）] をクリックします。

Actionsオプションを使用します。

次の 3 つのオプションがあります。

- 承認：このオプションを使用して、CSSMをインターネット経由でスマートアカウントにオンプレミスで登録します。

- 拒否：要求をドロップします。

- 手動登録：このオプションを使用して、CSSMをインターネットなしでスマートアカウントにオンプレミスで登録します。

オプション1：インターネット接続を使用してCSSMをオンプレミスで登録します。

1. Approveを選択した場合は、シスコスマートアカウントのユーザ名とパスワードを入力して、Submitをクリックする必要があります。

承認オプション。

次にnextをクリックして、アカウント登録を受け入れます。

アカウント登録。

登録のステータスを確認するには、Accountに移動します。Account statusはactiveである必要があります。

アカウントの状態。

スマートアカウント(https://software.cisco.com/)を開きます。 次に、On-Prem Accountsオプションを選択して新しい登録を表示します。

オンプレミスアカウント。

オプション2：インターネット接続なしでCSSMをオンプレミスで登録します。

Manual Registrationを選択した場合は、Generate Registration Fileをクリックします。これにより、コンピュータにダウンロードされる登録要求が作成されます。

手動登録：

次に、スマートアカウント(https://software.cisco.com/)を開き、オンプレミスアカウントに移動します。

New On-Premをクリックします。

新しいオンプレミスの追加

次に、次のパラメータを設定します。

- On-Prem Name（オンプレミス名）:これは新しいレジスタのカスタム名です。

- Registration File:Choose Fileをクリックし、Registration Requestを選択します。

- 仮想アカウント：仮想アカウント名を貼り付けます。

許可ファイル。

Generate Authorization Fileをクリックします。

次に、許可ファイルをダウンロードします。

承認ファイルをダウンロードしています。

CSSM GUIを開いて許可ファイルをアップロードします。Browseをクリックし、ファイルを選択して、Uploadをクリックします。

承認ファイルをアップロードしています。

次に、Synchronizationに移動して、Actions > Manual Synchronization > Full Synchronizationの順にクリックします。

手動同期：

同期要求ファイルをダウンロードします。

ファイル同期をダウンロードしています。

スマートアカウントを開き、オンプレミスアカウントを選択し、リストでCSSMオンプレミス名を探して、アクション>ファイルの同期をクリックします

ファイルの同期をアップロードしています。

次に、同期要求ファイルをアップロードし、応答ファイルの生成をクリックします。

応答ファイルを生成します。

次に、Download Synch Response Fileをクリックします。

ファイルを同期します。

最後に、オンプレミスのCSSMでSynch Response Fileをアップロードします。

同期が完了しました。

CSSMをオンプレミスでISEと統合します。

1. CSSM GUIを開き、Admin Workspaceを選択します。

メインCSSMメニュー

2. Security > Certificates > Generate CSRの順に移動します。

注:ISEはCSSMとの接続を確立するためにこのパラメータを使用するため、ホストの共通名(CN)でホスト名+ドメインを設定することが重要です。hostname + domainの代わりにIPアドレスを使用できますが、hostname + domainを使用することを推奨します

注：次の手順では、CSSMにGUI証明書をインストールする手順について説明します。個人の認証局(CA)によって署名された証明書を使用してGUI CSSMへの管理接続を保護する場合は、次の手順を確認する必要があります。それ以外の場合は、ステップ9を直接確認します。

CSRオプション。

3. 次に、個人情報を入力します。サブジェクト代替名は、共通名と同じ値を使用して自動的に作成されることに注意してください。CSRは、Generateをクリックすると自動的にダウンロードされます。

CSR詳細。

4. 詳細については、このドキュメントの「Windows CAからの証明書の作成」を参照してください。

5. ルートCA証明書をアップロードします。

ルートCAをアップロードしています。

[続行（Proceed）] をクリックします。

Proceedオプション

6. 説明を入力し、ルート証明書を選択して、OKをクリックします。

説明ルートCA。

7. CAによって署名されたCSR(CSSM ID証明書)をアップロードします。

CSSM ID証明書のアップロード

注：この場合、中間証明書はCAに存在しません。ただし、アーキテクチャで中間証明書を使用する場合は、中間証明書が必須です。

8. 次に、両方の証明書がインストールされていることを確認します。

証明書の検証。

9. SSM On-Prem: Select licensing Workspaceでトークンを作成します。

ワークスペースページ。

10. Smart Licensingに移動します。

CSSMスマートライセンスページ

11. ローカル仮想アカウントを探し、New TokenをクリックしてProceedをクリックします。

新しいトークンオプション。

12. Create Tokenを選択してコピーします。

新しいトークンの作成。

トークンの詳細

13. ISE GUIを開き、Administration > Systems > Licensingに移動し、Registration detailsをクリックし、SSM On-Prem server Host methodを選択して、トークンを貼り付けます。

ライセンスの登録。

14. SSM On-Prem server HostでSSM On-Prem FQDNを入力し、Registerをクリックします。

CSSMとISEの設定

注:ISEはCSSMとの接続を確立するためにこのパラメータを使用するため、ホスト名+ドメインをホストの共通名(CN)に設定することが重要です。ホスト名+ドメインの代わりにIPアドレスを使用できますが、ホスト名+ドメインを使用することを推奨します

15. そして最後に、登録が完了しました。

登録が完了しました。

Windows CAから証明書を作成します。

認証局の管理者は、次の手順を実行する必要があります。

1. Webブラウザを開き、http://localhost/certsrv/に移動します。

2. Request a certificateをクリックします。

証明書を要求します。

3. [advanced certificate request] をクリックします。

証明書の要求の詳細設定

4. 前に生成したCSRを開きます。  次に、情報をコピーして、Saved requestに貼り付けます。

証明書を送信します。

Submitをクリックすると、証明書が自動的にダウンロードされます。

5. 次に、CA証明書ルートをダウンロードします。http://localhost/certsrv/に戻り、Download a CA Certificate, Certificate Chain, or CRLを選択します。

ルートCAをダウンロードします。

6. エンコード方式としてBase64を使用して、CA証明書をダウンロードします。

Base 64オプション

Windows ServerでDNSレコードを追加します。

管理者の場合は、ISEおよびCSSM FQDNを追加します。

1. DNS Managerを開きます。Windowsのファインダで「DNS」と入力し、DNSアプリを開きます。

DNSオプション。

2. Forward Lookup Zonesに移動し、ドメインを選択します。

DNSマネージャ。

3. 画面上の黒いスペースを右クリックし、「New Host (A or AAAA)(新しいホスト（AまたはAAAA）」(新しいホスト（AまたはAAAA）)を選択します。

レコードを追加しています。

4. レコードDNSを次のように設定します。

- 名前：ホストの名前を意味します。

- デバイスのIPアドレス。

「Add Host」をクリックします。

レコード設定。

トラブルシュート

ホスト/IPアドレスに到達できません。  （ISEでのエラー）

到達可能なエラー

解決策1:ISEノードのDNS設定を確認し、修正します。

1. ISE CLIを開き、「nslookup <CSSM_FQDN>」と入力します。

次の例では、ISEノードからcssm.testlab.localが解決されていないことが確認できます。

CSSM解決に失敗しました。

正しい解決策は次のとおりです。

CSSM解決に成功しました。

アクションプラン：

1. このドキュメントの「DNS設定」のトピックを確認してください。

2. 「ip name-server」を確認するには、ISE CLIでshow running-configコマンドを入力します。「ip name-server」はDNSサーバのIPアドレスと一致している必要があります。

解決策2:CSSM GUIを開き、ホストの共通名およびブラウザ証明書が、ISE側のCSSMオンプレミスサーバホストパラメータと同じであることを確認します。

誤ったシナリオ：

CSSM解決とISE設定が正しくない

正しいシナリオ:

CSSM解決とISE設定が正しい。

アクションプラン：詳細については、このガイドの「ISEおよびCSSMの設定」を参照してください。

SSOサービス：シスコにアクセスできません。（CSSMオンプレミスのエラー）

アカウント登録に失敗しました。

解決方法：インターネットへの接続を確認してください。

アクションプラン：

1. インターネットにアクセスするためにプロキシが必要な場合は、Network > Proxyに移動し、Use A Proxy Serverオプションを有効にして、Applyをクリックします。

プロキシ設定.

CSRの共通名がDNSで解決可能なホスト名またはIPアドレスではありません。もう一度やり直してください。 （CSSMオンプレミスのエラー）

CSRエラーです。

解決策:CSSMサーバのDNS解決を確認し、修正します。

1. CSSM CLIを開き、「nslookup <CSSM_FQDN>」と入力します。

次の例では、CSSMサーバからcssm.testlab.localが解決されていないことがわかります。

DNSサーバに到達できない。

正しい出力は次のようになります。

DNSサーバに到達できる。

アクションプラン：

CSSMのオンプレミスのDNS設定を確認します。

1. Network > General > DNS Settingの順に移動します。

プライマリまたは代替DNSは、DNSサーバのIPアドレスと同じである必要があります。

DNS設定。