ISEを使用したWindowsでのセキュアなクライアントNAMプロファイルの設定

ダウンロード オプション

  • PDF     (3.4 MB)
    Adobe Reader を使ってさまざまなデバイスで表示
  • ePub     (3.4 MB)
    iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
  • Mobi (Kindle)     (2.4 MB)
    Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示
Updated: 2026 年 8 月 26 日
Document ID:222236

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブ ランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポート コンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

はじめに

このドキュメントでは、Identity Services Engine(ISE)を介してCisco Secure Client Network Access Manager(NAM)プロファイルを導入する方法について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

  • ポスチャ ポリシー
  • Identity Services Engine（ISE）
  • AnyConnect NAMおよびプロファイルエディタ
  • 802.1xサービスのためのCisco Catalystの設定

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

  • Active Directory 2016
  • Cisco ISE リリース 3.3 以降
  • Cisco IOS® XE 17.6.5以降を搭載したCisco Catalyst 9200スイッチ
  • Cisco Secure Mobility Client 5.1.4.74以降がインストールされたWindows 10

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

バックグラウンド情報

EAP-FAST認証は2つのフェーズで行われます。最初のフェーズでは、EAP-FASTはTLSハンドシェイクを使用して、Type-Length-Value(TLV)オブジェクトを使用したキー交換を提供および認証し、保護されたトンネルを確立します。これらのTLVオブジェクトは、クライアントとサーバの間で認証関連のデータを伝送するために使用されます。トンネルが確立されると、2番目のフェーズは、クライアントとISEノードが必要な認証および認可ポリシーを確立するために、さらに対話を開始することから始まります。

NAM設定プロファイルは、認証方式としてEAP-FASTを使用するように設定され、管理上定義されたネットワークで使用できます。また、マシンとユーザの両方の接続タイプをNAM設定プロファイル内で設定できます。企業のWindowsデバイスは、ポスチャチェック付きのNAMを使用して企業のフルアクセスを取得します。個人用Windowsデバイスは、同じNAM設定を使用して、制限されたネットワークにアクセスできます。

このドキュメントでは、Web展開とポスチャコンプライアンスチェックを使用して、Identity Services Engine(ISE)ポスチャポータル経由でCisco Secure Client Network Access Manager(NAM)プロファイルを展開する手順について説明します。

コンフィギュレーション

ネットワーク図

Network Diagram

データフロー

PCがネットワークに接続すると、ISEがポスチャポータルへのリダイレクトのための認可ポリシーを提供します。PC上のHTTPトラフィックは、ISEからNSAアプリケーションがダウンロードされるISEクライアントプロビジョニングページにリダイレクトされます。その後、NSAはPCにセキュアクライアントエージェントモジュールをインストールします。エージェントのインストールが完了すると、エージェントがポスチャプロファイルをダウンロードし、NAMプロファイルがISEで設定されます。

NAMモジュールをインストールすると、PCの再起動がトリガーされます。再起動後、NAMモジュールはNAMプロファイルに基づいてEAP-FAST認証を実行します。
次に、ポスチャスキャンがトリガーされ、ISEポスチャポリシーに基づいてコンプライアンスがチェックされます。

スイッチの設定

dot1x認証およびリダイレクション用にアクセススイッチを設定します。

aaa new-model

aaa authentication dot1x default group radius
aaa authorization network default group radius
aaa accounting dot1x default start-stop group radius（aaaアカウンティングdot1xのデフォルトの開始/停止グループradius）
aaaサーバradius dynamic-author
クライアント10.127.197.53サーバキーQwerty123
auth-type any（任意の認証タイプ）

aaa session-id共通
ip radius送信元インターフェイスVlan1000
radius-server attribute 6 on-for-login-auth
radius-server属性8 include-in-access-req
radius-server属性25 access-requestには
radius-server attribute 31 mac format ietf大文字
radiusサーバRAD1
address ipv4 <ISEサーバIP> auth-port 1812 acct-port 1813
key <秘密キー>

dot1x system-auth-control

ユーザをISEクライアントプロビジョニングポータルにリダイレクトするためのリダイレクトACLを設定します。

ipアクセスリスト拡張リダイレクトacl
10 deny udp any any eq domain（udpを拒否する任意のeqドメイン）
20 deny tcp any any eq domain
30 deny udp any eq bootpc any eq bootps（udpを拒否する任意のeqブートアップを拒否する）
40 deny ip any host <ISEサーバIP>
50 permit tcp any any eq www
60 permit tcp any any eq 443を設定する

スイッチでデバイストラッキングとHTTPリダイレクションを有効にします。

device-tracking policy <デバイストラッキングポリシー名>
 トラッキングの有効化
interface <interface name>
 device-tracking attach-policy <デバイストラッキングポリシー名>

ip http server
ip http secure-server（セキュアサーバのip http）

Secure Client Packageのダウンロード

シスコソフトウェアダウンロードページから、プロファイルエディタ、セキュアクライアントウィンドウ、およびコンプライアンスモジュールのwebdeployファイルを手動でダウンロードします。製品名の検索バーで、Secure Client 5と入力します。 Downloads Home > Security > Endpoint Security > Secure Client (including AnyConnect) > Secure Client 5 > AnyConnect VPN Client Software

  • cisco-secure-client-win-5.1.x-webdeploy-k9.pkg（登録ユーザ専用）
  • cisco-secure-client-win-4.3.x-isecompliance-webdeploy-k9.pkg（登録ユーザ専用）
  • ツール：cisco-secure-client-win-5.1.x-profileeditor-k9.msi

ISE 設定

ステップ 1：ISEでのパッケージのアップロード

1. ISEでセキュアクライアントとコンプライアンスモジュールのWebDeployパッケージをアップロードするには、Workcenter > Posture > Client Provisioning > Resources > Add > Agent Resources from Local Diskの順に移動します。

Upload the Package on ISE

Resources

ステップ 2プロファイルエディタツールからのNAMプロファイルの作成

NAMプロファイルを設定する方法の詳細については、「WindowsおよびISE 3.2を使用したDot1x用のセキュアクライアントNAMの設定」ガイドを参照してください。

ステップ 3ISEでのNAMプロファイルのアップロード

1. NAMプロファイルConfiguration.xmlをエージェントプロファイルとしてISEにアップロードするには、Client Provisioning > Resources > Agent Resources From Local Diskの順に移動します。

Upload the NAM Profile on ISE

ステップ 4ポスチャプロファイルの作成 

Create a Posture Profile

Posture Profile Created

1. 「ポスチャプロトコル」セクションで、エージェントがすべてのサーバに接続できるように、アスタリスク(* )を必ず追加してください。

ステップ 5エージェント構成の作成

Create Agent Configuration

1. アップロードされたセキュアクライアントとコンプライアンスモジュールパッケージを選択し、Module選択の下でISE Posture、NAM、およびDARTモジュールを選択します。

Upload Secure Client and Compliance Module Package

2. Profile Selectionで、PostureおよびNAM Profileを選択し、Submitをクリックします。

Choose Posture and NAM Profile

ステップ 6クライアントプロビジョニングポリシー

1. Windows OS用のクライアントプロビジョニングポリシーを作成し、前のステップで作成したエージェント設定を選択します。

Client Provisioning Policy

ステップ 7ポスチャ ポリシー

ポスチャポリシーと条件を作成する方法の詳細については、『ISEポスチャ規範的導入ガイド』を参照してください。

ステップ 8ネットワーク デバイスの追加

スイッチのIPアドレスとRADIUS共有秘密キーを追加するには、Administration > Network Resourcesの順に選択します。

Add Network Device

Shared Secret

ステップ 9許可プロファイル

1. ポスチャリダイレクトプロファイルを作成するには、Policy > Policy Elements > Resultsに移動します。

Authorization Profile

2. Common Tasksの下で、リダイレクトACLを使用するクライアントプロビジョニングポータルを選択します。

Select Client Provisioning Portal with Redirect ACL

ステップ 10許可されるプロトコル

1. Policy > Policy Elements > Results > Authentication > Allowed Protocolsの順に移動し、EAP Chaining設定を選択します。

Allowed Protocols

Allow EAP-FAST and Enable EAP Chaining

ステップ 11Active Directory

1. ISEがActive Directoryドメインに参加していることを検証し、認証条件で必要な場合はドメイングループを選択します。

Administration > Identity Management > External Identity Sources > Active Directory

Active Directory

ステップ 12ポリシー セット

1. dot1x要求を認証するためのポリシーセットをISEで作成します。Policy > Policy Setsの順に移動します。

Policy Sets

2. 認証ポリシーのアイデンティティ・ソースとしてActive Directoryを選択します。

Select Active Directory

3. 不明、非準拠、および準拠のポスチャステータスに基づいて、さまざまな認可ルールを設定します。

この使用例では、次のようになります。

  • 初期アクセス：セキュアクライアントエージェントとNAMプロファイルをインストールするためのISEクライアントプロビジョニングポータルへのリダイレクト。
  • Unknown Access：ポスチャ検出に基づくリダイレクトのためのクライアントプロビジョニングポータルへのアクセス。
  • 準拠アクセス：フルネットワークアクセス。
  • 非準拠：アクセスを拒否。

Authorization Rules

検証

ステップ 1：ISEからのセキュアクライアントポスチャ/NAMモジュールのダウンロードとインストール

1. Initial Access Authorizationルールに従って、dot1xによって認証されたエンドポイントを選択します。Operations > Radius > Live Logsの順に移動します。

Download and Install Secure Client Posture/NAM Module from ISE

2. スイッチで、エンドポイントに適用されるリダイレクションURLおよびACLを指定します。

Switch#show authentication session interface te1/0/24の詳細
インターフェイス：TenGigabitEthernet1/0/24
IIF-ID: 0x19262768
MACアドレス：x4x6.xxxx.xxxx
IPv6アドレス：不明
IPv4アドレス： <client-IP>
ユーザ名：host/DESKTOP-xxxxxx.xxx
ステータス：承認済み
ドメイン：データ
Oper hostモード：single-host
Oper control dir：両方
セッションタイムアウト：該当なし
共通セッションID:16D5C50A0000002CF067366B
アカウントセッションID:0x0000001f
ハンドル： 0x7a000017
現在のポリシー：POLICY_Te1/0/24


ローカルポリシー：
サービステンプレート：DEFAULT_LINKSEC_POLICY_SHOULD_SECURE（優先度150）
セキュリティポリシー：セキュリティの確保
セキュリティの状態：リンクは保護されていません

サーバポリシー：
URLリダイレクトACL:redirect-acl
URLリダイレクト：https://ise33.xxxx:8443/portal/gateway?sessionId=16D5C50A0000002CF067366A&portal=ee39fd08-7180-4995-8aa2-9fb282645a8f&action=cpp&token=518f857900a37f9afc6d2da8b6fe3bc2
ACS ACL:xACSACLx-IP-PERMIT_ALL_IPV4_TRAFFIC-57f6b0d3


メソッドの状態リスト：
メソッドの状態
dot1x Authc成功

Switch#sh device-tracking database interface te1/0/24

ネットワーク層アドレスリンク層アドレスインターフェイスvlan prlvl age状態残り時間
ARP X.X.X.X b496.91f9.568b Te1/0/24 1000 0005 4mn REACHABLE 39 s try 0

3. エンドポイントで、ISEポスチャにリダイレクトされたトラフィックを確認し、StartをクリックしてエンドポイントにNetwork Setup Assistantをダウンロードします。

Device Security Check

Download and Install Agent

4. Runをクリックして、NSAアプリケーションをインストールします。

Run Device Security Check

2. ここで、NSAはISEからセキュアクライアントエージェント(SCA)ダウンロードを起動し、ポスチャ、NAMモジュール、およびNAMプロファイルconfiguration.xmlをインストールします。

Secure Client Download in Progress

3. NAMのインストール後、再起動プロンプトがトリガーされます。[Yes] をクリックします。

Updates Completed, Restart Computer

ステップ 2EAP-FAST 

1. PCが再起動し、ユーザがログインすると、NAMはEAP-FASTを使用してユーザとマシンの両方を認証します。エンドポイントが正しく認証されると、NAMによって接続されていることが表示され、ポスチャモジュールによってポスチャスキャンがトリガーされます。

Authentication in Progress

2. ISEライブログで、エンドポイントが不明なアクセスルールに一致しています。

Endpoint is Hitting Unknown Access Rule

3. これで、認証プロトコルはNAMプロファイル設定に基づいてEAP-FASTになり、EAPチェーンの結果は成功です。

Result is Success

ステップ 3ポスチャスキャン

1. セキュアクライアントポスチャモジュールがポスチャスキャンをトリガーし、ISEポスチャポリシーに基づいて準拠としてマークされます。 

Posture Scan

2. ポスチャスキャンの後でCoAがトリガーされ、エンドポイントが準拠アクセスポリシーに一致します。

CoA Triggered after the Posture Scan

トラブルシュート

ステップ 1：NAMプロファイル

1. NAMモジュールのインストール後、PC上の次のパスにNAMプロファイルconfiguration.xmlが存在することを確認します。C:\ProgramData\Cisco\Cisco Secure Client\Network Access Manager\system

NAM Profile

ステップ 2NAM拡張ロギング

1. タスクバーからSecure Clientアイコンをクリックし、settingsアイコンを選択します。

NAM Extended Logging

2. 「ネットワーク」 > 「ログ設定」タブにナビゲートします。Enable Extended Loggingチェックボックスにチェックマークを入れます。

3. パケットキャプチャファイルサイズを100 MBに設定します。問題を再現したら、Diagnosticsをクリックして、エンドポイント上にDARTバンドルを作成します。

Click Diagnostics to Create the DART Bundle on the Endpoint

4. 「メッセージ履歴」セクションに、完了した各ステップの詳細が表示されます。

ステップ 3 スイッチのデバッグ

1. スイッチで次のデバッグを有効にして、dot1xとリダイレクトフローのトラブルシューティングを行います。

  • debug ip http all（ベータ版）
  • debug ip http transactions（httpトランザクションのデバッグ）
  • debug ip http url（ベータ版）
  • set platform software trace smd switch active R0 aaa debug
  • set platform software trace smd switch active R0 dot1x-all debug
  • set platform software trace smd switch active R0 radius debug
  • set platform software trace smd switch active R0 auth-mgr-all debug
  • set platform software trace smd switch active R0 eap-all debug
  • set platform software trace smd switch active R0 epm-allデバッグ
  • set platform software trace smd switch active R0 epm-redirect debug
  • set platform software trace smd switch active R0 webauth-aaa debug
  • set platform software trace smd switch active R0 webauth-httpd debug

ログを表示するには、次の手順を実行します。

  • show logging
  • show logging process smd internal（隠しコマンド）

ステップ 4ISE でのデバッグ

1.デバッグレベルで設定する次の属性を持つISEサポートバンドルを収集します。

  • ポスチャ 
  • ポータル 
  • プロビジョニング 
  • ランタイムAAA 
  • nsf 
  • nsf-session 
  • swiss 
  • クライアントWebアプリ 

関連情報

更新履歴

改定 発行日 コメント
3.0
26-Aug-2026
読みやすいように、スペル、文法、挿入された水平線をセクションごとに分けて更新。
2.0
30-May-2025
タイトル、代替テキスト、スタイル要件、およびフォーマットが更新されました。
1.0
29-Jul-2024
初版
TAC Authored

シスコ エンジニア提供

  • Praveenkumarパラニサミ
    テクニカルコンサルティングエンジニア

このドキュメントは役に立ちましたか?

Feedbackフィードバック

シスコに問い合わせ

このドキュメントは次の製品に対応しています