ISEとスマートライセンスサーバの統合

はじめに

このドキュメントでは、Cisco ISEでスマートライセンスを設定する方法について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

• ISE 3.xリリース
  
• Smart Software Licensingへのアクセス
  
• Cisco License Central for On-Prem（オプション）

使用するコンポーネント

このドキュメントの内容は、特定のソフトウェアやハードウェアのバージョンに限定されるものではありません。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

バックグラウンド情報

Cisco ISE 3.0以降では、スマートライセンスが必要です。Cisco Smart Licensingを使用すると、次の方法でデバイスを自己登録し、使用状況をレポートできるため、ライセンスの調達、導入、および管理が簡素化されます。

1. スマートライセンストークンがアクティブで、Cisco ISE管理ポータルに登録されると、Cisco License Centralは製品ライセンスごとに各エンドポイントセッションによるライセンスの消費を監視します。
2. スマートライセンスは、Cisco ISEのシンプルなテーブルレイアウトを使用して、エンドポイントセッションごとのライセンス消費を管理者に通知します。
3. スマートライセンスは、有効な各ライセンスのピーク使用状況を集中型データベースに毎日報告します。
4. Cisco ISEは、ライセンス消費の内部サンプルを30分ごとに取得します。それに応じて、ライセンスのコンプライアンスと消費が更新されます。
5. Cisco ISEプライマリ管理ノード(PAN)をCisco License Centralに登録した時点から、Cisco ISEは6時間ごとにライセンス消費のピーク数をCisco License Centralサーバに報告します。
6. ピーク数レポートは、Cisco ISEのライセンス消費が購入および登録されたライセンスに確実に準拠するのに役立ちます。
7. Cisco ISEは、Cisco License Central証明書のローカルコピーを保存することによって、Cisco License Centralサーバと通信します。
8. Cisco License Centralの証明書は、毎日の同期の間、およびLicensesテーブルを更新する際に、自動的に再認証されます。通常、Cisco License Centralの証明書は6ヵ月間有効です。
9. その結果、Cisco ISEはCisco License Centralに到達するためにネットワーク接続を必要とします。

ライセンス消費のフロー

TACACS+

デバイス管理者ライセンス(PID:L-ISE-TACACS-ND=)は、ポリシーサービスノード(PSN)でTACACS+サービスをアクティブ化します。 TACACS+を使用する各PSNには、独自のDevice Adminライセンスが必要です。TACACS+のデバイス管理では、エンドポイントの使用はカウントされず、管理可能なネットワークデバイスの数に制限はありません。ルータやスイッチなどのネットワークアクセスデバイス(NAD)の管理には、Essentialライセンスは必要ありません。

アカウンティングエンドポイントライセンス

各エンドポイントは複数のセッションを持つことができるため、アクティブなエンドポイントの数と使用するライセンスの数は異なる場合があります。ライセンスの消費は、エンドポイントの数だけでなく、アクティブなセッションの数にも基づきます。たとえば、複数のセッションを持つ10個のアクティブエンドポイントを持つシステムでは、より多くのライセンスを使用できます。

ワイヤレスアクセスポイントとスイッチの両方でアカウンティングが有効になっていることを確認します。ライセンスの消費は、AAAクライアントからAAAサーバに送信されるStart - Stopメッセージによって決定されます。

Cisco ISEは、Monitoring and Troubleshooting(MnT)でセッションを管理するために特定のルールを使用し、ネットワークアクセスデバイス(NAD)からのアカウンティングメッセージに依存します。 Cisco ISEは、次のアカウンティングメッセージに基づいてセッションを処理します。

• Cisco ISEは、RADIUS認証要求を受信してもアカウンティングメッセージを受信しない場合、セッションを1時間アクティブに保ちます。
• アカウンティングメッセージを受信すると、Cisco ISEは最大5日間、またはアカウンティング停止メッセージを受信するまでセッションを維持します。
• アカウンティング停止メッセージが受信されると、ライセンスセッションは直ちに解放されます。
• 暫定アップデートの期間は5日間です。

ISEライセンス

評価

評価ライセンスは、Cisco ISEリリース3.x以降のバージョンをインストールまたはアップグレードするときに、デフォルトでアクティブ化されます。評価ライセンスは90日間有効で、この期間中はすべてのCisco ISE機能にアクセスできます。Cisco ISEは、評価ライセンスの使用時に評価モードであると見なされます。Cisco ISE管理ポータルの右上隅に、評価モードの残り日数を示すメッセージが表示されます。

階層

ティアライセンスは、リリース3.x以前のリリースで使用されていたBase、Apex、およびPlusライセンスに代わるものです。Tierライセンスには、Essentials、Advantage、Premierの3つのライセンスが含まれます。現在Base、Apex、またはPlusライセンスをお持ちの場合は、Cisco License Centralを使用して新しいライセンスタイプに変換します。

デバイス管理者

デバイス管理ライセンスを使用すると、ポリシーサービスノードでTACACSサービスを使用できます。ハイアベイラビリティのスタンドアロン導入では、デバイス管理ライセンスにより、ハイアベイラビリティペアの単一のポリシーサービスノードでTACACSサービスを使用できます。Cisco ISEではDevice Adminとして定義され、スマートライセンスポータルではTACACS+トランザクションの権限を持つノードの最大数として定義されます。

仮想アプライアンスのライセンス

Cisco ISE 3.x以降には、新しい形式のVMライセンス（VM Commonライセンス）が付属しています。従来のVMライセンスを使用している場合は、VM共通ライセンスに変換する必要があります。

ライセンスタイプと変換の詳細については、次のリンクを参照してください。

• ライセンス機能
• シスコライセンスガイド

新しいISEバージョンでの主要なスマートライセンスの変更

• スマートライセンスの接続方法の変更：
  Cisco ISE 3.4では、Smart Licensingで使用されるTransport Gateway接続方法のサポートが削除されました。スマートライセンスにTransport Gatewayを使用している場合は、3.4にアップグレードする前に接続方法を更新する必要があります。更新しない場合、アップグレード中にシステムは自動的にダイレクトHTTPSに切り替わりますが、アップグレード後はいつでも変更できます。

• 3.5におけるライセンスの可視性の向上：
  Cisco ISE 3.5ではライセンストラッキングが強化され、可視性と正確性が向上します。ライセンスの階層と機能は変わりませんが、ライセンスの使用状況はアクティブなエンドポイントのピーク時に合わせて調整されます。3.5では適用はまだアクティブではなく、ライセンスされた制限を超過した場合は、中断を発生させない消費アラートで通知されます。

ライセンス登録のタイプ

Cisco ISE 3.1の導入では、スマートライセンスを有効にするために3つのオプションを使用できます。

Smart Software Licensing Reservation（Direct-Https、HTTP-Proxy、Cisco License Centralオンプレミス）

Smart Software Licensing Reservationは、1つのトークン登録で簡単かつ効率的に使用できます。購入したライセンスは、Cisco License Centralと呼ばれる中央データベースで管理されます。Cisco License Centralポータルにログインすると、使用可能なエンドポイントライセンスと消費統計を簡単に追跡できます。このモードでは、Cisco ISEはCisco License Centralに直接接続するか（ダイレクトHTTPS）、プロキシ経由で接続して、消費およびコンプライアンス情報を交換する必要があります。新しいオプションのCisco License Central On-Premでは、オンプレミス(サテライト)サーバとしてホストされるローカルサーバの形式でCisco License Centralの機能を利用するために、エアギャップISEが使用できます。

特定ライセンスの予約（ISE 3.1以降で使用可能）

Specific License Reservation(SLR)により、セキュリティの高いネットワークを持つお客様は、ライセンス情報を伝えることなくスマートライセンス（およびスマートライセンス）を使用できます。SLRでは、アドオンライセンスを含む特定のライセンスを予約できます。SLRでは、Cisco License Centralに接続するためにCisco ISEは必要ありません。また、Cisco ISEでは、有効期限が切れるまでスマートアカウントのライセンスを消費できます。

設定

Cisco License CentralをISEと統合するための接続方法（ダイレクトHTTPS/HTTPSプロキシ）

ステップ 1：Administration > System > Licensingの順に選択します。

ステップ 2License TypeでSmart Software Licensing Reservationを選択し、Registration Detailsに登録トークンをペーストします。必要に応じて、該当する階層を選択します。このプロセスは、ダイレクトHTTPSとHTTPSプロキシでは少し異なります。

ダイレクトHTTPS

ステップ 3Direct HTTPSの場合は、Connection MethodとしてDirect HTTPSを選択し、Registerをクリックします。

HTTPSプロキシ

ステップ 4HTTPSプロキシが事前に設定されていることを確認するには、Administration > System > Settingsの順に選択します。

プロキシの詳細>ホスト、ユーザID、およびパスワードを追加します。

ステップ 5Cisco ISE Licensingページに戻り、Connection Method as HTTPS Proxyを選択して、設定されたプロキシがHTTPS Proxyセクションに表示されることを確認します。Registerをクリックします。

最後に、Cisco ISEがCisco License Centralに登録され、このISEノードのエントリが（トークンの生成元である）仮想アカウントの製品インスタンスで確認できます。

Cisco License Centralオンプレミスサーバの設定

この設定では、Cisco License Centralオンプレミス(サテライト)サーバを導入する必要があります。導入と接続が完了すると、サテライトサーバはローカルライセンスサーバとして機能し、Cisco ISEはインターネット経由でCisco License Centralにアクセスせずにライセンストランザクションを実行できます。サテライトサーバは、オンラインモードまたはオフラインモード（.ymlファイルを使用）のいずれかで、Cisco License Centralと同期できます。 サテライトサーバの詳細については、Cisco License Centralを参照してください。

これらの手順では、サテライトサーバが設定され、Cisco ISEライセンスを含むCisco License Centralの仮想アカウントがサテライトサーバに追加されることを前提としています。同じ処理を実行する手順については、Cisco License Centralで追跡できます。

ステップ1:サテライト Serverにログインし、Smart Licensingオプションを選択します。

ステップ 2インベントリからトークンを生成し、トークン値をコピーします。Cisco ISEに戻り、Smart Software Licensing Reservationの順に選択します。次に、Connection MethodとしてCisco License Central on-Prem serverを選択します。

ステップ 3Cisco License Central On-Prem Server Hostフィールドは、オンプレミスサーバに設定されているホスト名から取得されます。同じことは、オンプレミスのサーバ管理ワークスペース>セキュリティ>証明書>ホストの共通名からも確認できます。

ステップ 4ホスト名を確認したら、Cisco License Central On-Prem server Hostの下のCisco ISEにホスト名を追加し、Registerをクリックします。登録に成功すると、サテライト Serverの仮想アカウントに追加された製品インスタンスのリストにCisco ISEが表示されます。

ISEとCisco License Centralの統合方法

一眼レフ

ステップ 1：図に示すように、Administration > System > Licensingの順に選択します。

ステップ 2License Typeで、SLRを選択し、Generate Codeをクリックします。承認コードを生成するためにCisco License Centralで必要とされるために生成された予約コードをコピーします。

ステップ 3Cisco License Centralで、Cisco ISEライセンス(Essential、Advantage、Premier、VM、TACACS+)を含む仮想アカウントを選択します。 Licensesセクションで、次のように選択します。

L

ライセンスの予約。

ステップ 4Cisco ISEからコピーされた認証コードを入力し、Nextをクリックして、Reserve a specific licenseオプションを選択します。使用可能なライセンスに応じて、Cisco ISE用に予約するカウントを指定し、Nextをクリックします。ティアライセンスとVMライセンスでは、下位レベルのライセンスの要求を満たすために、上位レベルのライセンスの代用を使用できます。 階層モデルの「Cisco ISE 3.x Licensing Model」を確認します。

ステップ 5Download as Fileオプションを使用して、生成された認証コードを確認し、ダウンロードします。Cisco ISEに戻り、Upload SLR License Keyをクリックしてファイルをアップロードします。Cisco ISEのライセンスの有効期限には、スマートアカウントのライセンスの元の有効期限が反映されます。

一眼レフ予約の返却

ステップ1:Return Reservationをクリックして、提供された予約コードをコピーして安全に保管します。

ステップ 2Cisco ISEが追加される仮想アカウントの製品インスタンスを参照し、シリアル番号を使用してISEを検索します。Actions > Removeの順にクリックし、ステップ1でコピーしたコードを入力し、Return Product Reservationをクリックします。 予約済みライセンスが仮想アカウントに返されます。

トラブルシュート

一般的なガイドライン

• Cisco ISE 3.0 p7、3.1 p5、および3.2以降の場合は、このリンクの到達可能性を確認してください。https://smartreceiver.cisco.com/。
• より低いISEバージョン<= Ise 3.0の場合、tools.cisco.com、tools1.cisco.com、およびtools2.cisco.comのリンクの到達可能性を確認します。
• これらのリンクは、Cisco License Centralとやりとりする際に重要な役割を果たすため重要です。これらのIPをブロックすると、Cisco ISEはライセンスの使用状況をCisco License Centralに報告することができず、報告がないと、Cisco ISEへの管理アクセスが失われ、Cisco ISE機能が制限されます。

デバッグレベルに設定するISEロギング属性

• ライセンス(ise-psc.log)

• admin-license(ise-psc.log)

登録および更新エラー

登録エラーのトラブルシューティングを行うには、まずSmart Licensing Cloud（https://tools.cisco.com/またはhttps://smartreceiver.cisco.com/）に通信の問題がないことを確認します。 Cisco ISEとSmart Licensing Cloudの間の接続を中断する可能性のある要因には、次のようなものがあります。

• ファイアウォールなどのデバイスがトラフィックをブロックしている。
• DNSの問題。Cisco ISEがhttps://tools.cisco.com/またはhttps://smartreceiver.cisco.com/の対応するFQDNを解決できない場合、登録APIコールを送信できません。
• スマートライセンスポータルの問題。

ISEライセンスステータスを調査するためのAPI要求

Cisco ISEで使用されているライセンス数を確認するには、ブラウザから直接HTTPS APIコールを使用します。

• https://<MnTNodeIP>/admin/API/mnt/Session/ActiveCount
• https://<MnTNodeIP>/admin/API/mnt/Session/License/LicenseCountsFromSessionDB
• https://<MnTNodeIP>/admin/API/mnt/License/Base
• https://<MnTNodeIP>/admin/API/mnt/ライセンス/中間
• https://<MnTNodeIP>/admin/API/mnt/License/Premium
• https://<MnTNodeIP>/admin/API/mnt/Session/ActiveList

Cisco ISE 3.1以降では、OpenAPIを使用できます。Administration > Settings > API Settingsの順に移動する必要があります。API呼び出しは、ライセンスの状態に関する詳細なデータを取得するために使用されます。

関連情報

• Cisco ISEのCisco License Centralを使用したSLRの作成
• Cisco ISEライセンスの基本
• ISEライセンスの問題のトラブルシューティング
• Cisco ISEスマートライセンス
  
• シスコのテクニカルサポートとダウンロード

更新履歴

改定	発行日	コメント
4.0	01-Jun-2026	フォーマット、「Cisco Smart Software Manager (SSM)」への参照を「Cisco License Central」に置き換えます。
3.0	23-Apr-2026	書式、言語、リンク
1.0	03-Oct-2024	初版